邊緣技術(shù)能使零信任安全更經(jīng)濟和現(xiàn)實可行的嗎?

很少有網(wǎng)絡(luò)安全概念能像零信任那樣席卷企業(yè)界。本文探討了邊緣計算如何幫助解決與實施零信任相關(guān)的一些最重大挑戰(zhàn)。

根據(jù)最近的數(shù)據(jù)顯示，97%的企業(yè)表示已經(jīng)開始實施零信任倡議，到2027年，全球零信任產(chǎn)品的價值將達到約600億美元。很快，不接受零信任可能會導(dǎo)致競爭劣勢，因為潛在客戶可能只信任實施零信任戰(zhàn)略的企業(yè)。

但對于尚未實現(xiàn)零信任的企業(yè)而言，2023年是一個充滿挑戰(zhàn)的時期，需要做出雄心勃勃的改變。由于預(yù)算減少和人員可能減少，許多企業(yè)可能沒有準備好徹底改變其安全方式，特別是因為拙劣的零信任實施可能會打開漏洞之門。

讓零信任安全變得經(jīng)濟且現(xiàn)實可行的一種方法是使用邊緣技術(shù)。通過將安全性部分或全部轉(zhuǎn)移到分布式架構(gòu)上，可以大大簡化保護組織的過程。

確保每個利益相關(guān)者擁有正確的權(quán)限

零信任安全的一個核心組成部分是“最低權(quán)限訪問”——確保每個網(wǎng)絡(luò)用戶只能訪問其所需要的內(nèi)容。但是，考慮到需要定義權(quán)限的人數(shù)，為某人分配完全正確的權(quán)限可能既耗時又困難。

最低權(quán)限訪問的兩個關(guān)鍵組成部分是特異性和時間，即有權(quán)訪問的內(nèi)容以及何時授予訪問權(quán)限。擁抱邊緣對這兩方面都有幫助。由于邊緣基礎(chǔ)設(shè)施將網(wǎng)絡(luò)的組件從中心基礎(chǔ)設(shè)施分發(fā)出去，因此其促進了微分段的過程。通過將網(wǎng)絡(luò)及其內(nèi)容分割成離散的扇區(qū)，可以很容易地授予正確的權(quán)限。

然而，即使具有特定的權(quán)限和微分段，也需要能夠隨著角色的變化快速進行修改。為了獲得最佳安全性，這將需要一種實時管理和跟蹤權(quán)限的方法，許多邊緣解決方案現(xiàn)在都向其客戶提供這一功能。

管理復(fù)雜的安全基礎(chǔ)設(shè)施

如果當前的網(wǎng)絡(luò)基礎(chǔ)設(shè)施運行在大量中央服務(wù)器上，這可能會給物流管理和財務(wù)管理帶來負擔(dān)。在這種復(fù)雜性的基礎(chǔ)上實現(xiàn)零信任可能是壓倒性的。

邊緣計算可以幫助緩解這一挑戰(zhàn)。作為邊緣技術(shù)近期發(fā)展的一部分，專用的無服務(wù)器邊緣平臺已經(jīng)變得越來越普遍。這些平臺專注于邊緣構(gòu)建，并將基礎(chǔ)設(shè)施維護留給專家組。

如果能夠?qū)⒉糠只A(chǔ)設(shè)施從中央位置轉(zhuǎn)移到這些平臺之一，則可以降低需要管理的中央服務(wù)器的復(fù)雜性。在此基礎(chǔ)上，便可集中精力有效地實現(xiàn)零信任。

最大限度地減少破壞性和不安全的誤報和漏報

準確評估傳入請求是零信任的另一個關(guān)鍵組成部分。漏報(未能檢測到不良行為者)可能會導(dǎo)致違規(guī)，但誤報(錯誤地將合法行為者視為威脅)會使員工感到沮喪并損害生產(chǎn)力。Web應(yīng)用程序防火墻(WAF)是任何零信任實施的重要組成部分，可阻止跨站點腳本等應(yīng)用層威脅。將WAF放置在邊緣有助于快速攔截威脅，但并非所有WAF都是一樣的。

從歷史上看，基于特征的WAF最為常見。“特征”指的是一旦被識別就存儲在WAF中的攻擊模式。然而，這使得WAF沒有準備好面對全新的威脅。一種新興的替代方案是基于評分的WAF，其動態(tài)地對嘗試的請求進行評分，以檢測可能的威脅，從而允許這些防火墻阻止以前從未見過的策略。由于基于評分的WAF還可以包含有助于響應(yīng)已知威脅的預(yù)定規(guī)則，因此這種新型防火墻可以幫助避免誤報并快速適應(yīng)新情況，使其成為避免誤報的理想選擇。

在不犧牲其他保護的情況下實施零信任安全

雖然零信任安全對于維持嚴格的現(xiàn)代安全標準至關(guān)重要，但并不能完全防范可能破壞企業(yè)運營的各種攻擊，例如DDoS攻擊和機器人攻擊。

可以在WAF所在的邊緣實施針對DDoS攻擊和機器人攻擊的保護。保護措施盡可能遠離中央基礎(chǔ)設(shè)施，意味著可以在威脅接近中央基礎(chǔ)設(shè)施之前將其阻止。此外，還可以定義要阻止的特定類型的機器人，以確保不會阻礙搜索引擎爬蟲和損害搜索引擎優(yōu)化。需要注意的是：由于DDoS攻擊可能發(fā)生在應(yīng)用層和網(wǎng)絡(luò)層，因此找到一種覆蓋這兩個層的DDoS保護選項非常重要。

評估系統(tǒng)是否正常運行

即使完成了現(xiàn)代安全基礎(chǔ)設(shè)施的設(shè)置，也很難知道其是否有效運行。邊緣可以提供幫助，因為其是本地化的。從特定的邊緣位置獲取信息可以更容易地定位和解決該問題和位置。

因此，如果能夠?qū)⑦吘墧?shù)據(jù)傳輸?shù)絊IEM系統(tǒng)，就可以快速獲得組織基礎(chǔ)設(shè)施及其效能的俯視圖。隨著時間的推移，這可以通過更高效的運營節(jié)省資金。當然，僅僅了解這些信息只是成功的一半。另一半是尋找一個邊緣編排平臺，可以協(xié)調(diào)安全工作，并能夠?qū)崟r響應(yīng)危機。

避免被特定的安全策略或供應(yīng)商鎖定

不出幾年，零信任可能會變得完全不同。然而，當與一個只擅長零信任的供應(yīng)商聯(lián)系在一起，如果需求發(fā)生變化，這并不意味著該供應(yīng)商也與之發(fā)展。如果該供應(yīng)商依賴專有標準，這一點尤其緊迫，因為將系統(tǒng)轉(zhuǎn)移到另一個供應(yīng)商將具有挑戰(zhàn)性。

為了避免受到特定提供商的支配，最好與許多公民、組織和企業(yè)使用的開放標準保持一致。如果確實需要更換提供商，操作也變得容易一些。邊緣是一個開放標準創(chuàng)新的站點，包括WebAssembly、HTTP3等，因此可以以一種根據(jù)需要移動到其他地方的方式來構(gòu)建功能。

毫無疑問，采用零信任安全實踐可能是一個挑戰(zhàn)，尤其是在面臨快速完成流程的壓力時。但是，邊緣計算和網(wǎng)絡(luò)技術(shù)可以通過增強安全性、降低管理復(fù)雜性，并在規(guī)劃未來時保持選擇余地來提供幫助。雖然零信任趨勢在未來可能會發(fā)生變化，但邊緣計算很可能會繼續(xù)在零信任發(fā)展的過程中發(fā)揮作用。