零信任體系化能力建設(shè)（2）：設(shè)備風(fēng)險(xiǎn)與安全監(jiān)控

為了提高工作效率和靈活性，現(xiàn)代企業(yè)允許各種類型的終端設(shè)備連接并訪問企業(yè)的應(yīng)用程序和數(shù)據(jù)資源，為企業(yè)網(wǎng)絡(luò)帶來了巨大的安全挑戰(zhàn)。作為零信任安全能力建設(shè)中的薄弱環(huán)節(jié)，組織必須全面了解連接到網(wǎng)絡(luò)的設(shè)備，并采取一系列安全措施，以確保只有健康合規(guī)的設(shè)備才能訪問組織資源，保護(hù)企業(yè)的敏感數(shù)據(jù)和資源免受潛在的安全威脅。

本文主要從設(shè)備相關(guān)的安全能力建設(shè)入手，討論資產(chǎn)和供應(yīng)鏈的風(fēng)險(xiǎn)管理、設(shè)備合規(guī)監(jiān)控、資源訪問授權(quán)和終端威脅保護(hù)等問題。

關(guān)鍵字：零信任；威脅保護(hù)；風(fēng)險(xiǎn)管理；安全合規(guī)

一、零信任設(shè)備安全

隨著IT基礎(chǔ)設(shè)施的演變發(fā)展，風(fēng)險(xiǎn)面也隨著訪問點(diǎn)數(shù)量的增加而擴(kuò)大，與以往任何時(shí)候相比，業(yè)務(wù)系統(tǒng)的訪問者（包括員工、承包商、合作伙伴和供應(yīng)商等）使用了更多的設(shè)備和位置，訪問存儲(chǔ)在本地和云端的更多資源和數(shù)據(jù)。更為嚴(yán)重的是，這些訪問點(diǎn)正以驚人的速度被攻擊者利用，特別是設(shè)備安全缺陷已經(jīng)成為身份攻擊和數(shù)據(jù)泄露的主要原因。

從直觀上看，組織直接管理的PC、平板電腦和智能手機(jī)都屬于設(shè)備，但安全人員還需要考慮第三方設(shè)備（例如，BYOD、客戶或合作伙伴使用的設(shè)備）和接入點(diǎn)、物聯(lián)網(wǎng)設(shè)備和基礎(chǔ)設(shè)施組件（例如，服務(wù)器、交換機(jī)，及其固/軟件）。在零信任安全體系中，設(shè)備也是正在尋求資源訪問權(quán)限的實(shí)體，它們代表著潛在的暴露點(diǎn)，也需要被納入零信任安全框架。

可見，“設(shè)備”是零信任安全能力框架中的一個(gè)復(fù)雜領(lǐng)域，涵蓋了連接到網(wǎng)絡(luò)（資源）上的所有資產(chǎn)，如服務(wù)器、臺式機(jī)、筆記本電腦、打印機(jī)、智能手機(jī)、物聯(lián)網(wǎng)設(shè)備、網(wǎng)絡(luò)設(shè)備等，以及各類資產(chǎn)的硬件、軟件和固件。按管理歸屬的實(shí)體劃分，大多數(shù)組織的設(shè)備可分為以下三類：

?員工使用的企業(yè)設(shè)備，主要由組織管理；
?員工使用的個(gè)人設(shè)備，主要由員工管理；
?第三方使用的非托管設(shè)備（例如，承包商、合規(guī)審計(jì)員），由第三方管理。

在識別、判斷設(shè)備的安全態(tài)勢時(shí)，由于組織對不同類型的設(shè)備存在不同控制力度，也導(dǎo)致這些設(shè)備面臨著不同的安全風(fēng)險(xiǎn)。在圖1中，Gartner給出了不同BYOPC策略下，控制能力和安全風(fēng)險(xiǎn)的關(guān)系。

圖1 不同BYOPC策略下控制和風(fēng)險(xiǎn)的關(guān)系

由組織管理的設(shè)備往往最易控制。這些設(shè)備可能安裝了設(shè)備或終端管控軟件，能夠通過序列號記錄和跟蹤設(shè)備，并對設(shè)備安全設(shè)置進(jìn)行鎖定和持續(xù)審查。從IT安全的角度來看，這些設(shè)備狀態(tài)處于良好狀態(tài)，能夠根據(jù)需要進(jìn)行控制，在可疑情況下，管理員可以采取立即行動(dòng)。
對于員工使用的個(gè)人設(shè)備，控制要少得多。在移動(dòng)化、分布式的工作環(huán)境中，幾乎不可避免BYOD設(shè)備。雖然一些組織要求用戶安裝特定軟件才能訪問公司資源，但這并非強(qiáng)制性要求，而是鼓勵(lì)性措施。

最后，第三方使用的非托管設(shè)備通常是未知的，組織無法看到這些設(shè)備，也幾乎沒有控制權(quán)。管理員對這些設(shè)備存在大量的隱性信任，主要依賴身份授權(quán)來確定其訪問權(quán)限。

二、設(shè)備安全的關(guān)鍵能力

設(shè)備安全能力在零信任領(lǐng)域中主要包括設(shè)備管理追蹤、安全配置管理、漏洞補(bǔ)丁管理、訪問控制、安全監(jiān)控和威脅檢測等措施，以保護(hù)企業(yè)網(wǎng)絡(luò)免受設(shè)備相關(guān)的安全威脅和風(fēng)險(xiǎn)。

圖2 設(shè)備安全解決方案應(yīng)具備的主要能力

1．設(shè)備資產(chǎn)與風(fēng)險(xiǎn)管理
資產(chǎn)管理涉及對企業(yè)所有設(shè)備的準(zhǔn)確定位、分類和跟蹤。體系化的零信任安全能力需要準(zhǔn)確了解企業(yè)中的設(shè)備，建立并維護(hù)所有資產(chǎn)的動(dòng)態(tài)清單、配置信息及相關(guān)漏洞。通過使用自動(dòng)化工具和設(shè)備識別技術(shù)，實(shí)時(shí)監(jiān)控和管理設(shè)備的狀態(tài)、配置和訪問權(quán)限，從而降低潛在的風(fēng)險(xiǎn)。
市場上與企業(yè)設(shè)備管理相關(guān)的工具，大都具備對設(shè)備的描述和跟蹤能力。例如，統(tǒng)一設(shè)備管理（UDM）、企業(yè)設(shè)備管理（EDM）、移動(dòng)設(shè)備管理（MDM）、IT資產(chǎn)管理（ITAM）等。通常，這些工具的設(shè)備資產(chǎn)清單需要解決并明確回答以下問題：

?哪些用戶設(shè)備（包括公司設(shè)備、BYOD，以及其他人為控制的設(shè)備）可以訪問企業(yè)資源？
?哪些非人為控制的物聯(lián)網(wǎng)或其他設(shè)備可以訪問企業(yè)資源？
?哪些類型/型號的BYOD設(shè)備可以訪問企業(yè)資源？
?這些設(shè)備在什么位置（包括地理位置、網(wǎng)絡(luò)接入位置）？
?哪些設(shè)備已經(jīng)被過期淘汰、銷毀？

供應(yīng)鏈風(fēng)險(xiǎn)管理是零信任設(shè)備安全中的另一個(gè)重要考慮因素。通常，企業(yè)中使用的設(shè)備來自各種供應(yīng)商和合作伙伴，可能存在潛在的漏洞、后門或惡意代碼。因此，企業(yè)需要實(shí)施供應(yīng)鏈風(fēng)險(xiǎn)管理措施，包括對供應(yīng)商進(jìn)行嚴(yán)格的篩選和評估，確保其設(shè)備的安全性和合規(guī)性。

此外，建立合同和協(xié)議中的安全要求和監(jiān)控機(jī)制，進(jìn)行供應(yīng)鏈審計(jì)和監(jiān)督，以確保供應(yīng)鏈中的所有環(huán)節(jié)都符合零信任安全策略。

2．設(shè)備衛(wèi)生與安全監(jiān)控

設(shè)備衛(wèi)生是指組織需要掌握設(shè)備的當(dāng)前狀態(tài)，并采取基本的安全措施來保護(hù)設(shè)備，其中涵蓋了一系列與設(shè)備相關(guān)的因素，包括設(shè)備歸屬，安全狀態(tài)、接入方式，風(fēng)險(xiǎn)數(shù)據(jù)采集等。從更高的層面上看，可以將設(shè)備衛(wèi)生視為與安全合規(guī)和風(fēng)險(xiǎn)狀態(tài)相關(guān)的核心屬性，以確保設(shè)備符合企業(yè)定義的安全標(biāo)準(zhǔn)和政策。

對于不同類別的設(shè)備來說，“安全”或“可信”的實(shí)施可能具有不同的含義，試圖使用各種安全工具建立一致的設(shè)備信任視圖也不太現(xiàn)實(shí)。一般來說，組織管理的設(shè)備可以通過設(shè)備管理工具或數(shù)字證書等安全機(jī)制實(shí)現(xiàn)最高級別的安全和信任，但個(gè)人和第三方設(shè)備比較棘手。

首先，各種安全工具可能在不同平臺上具有不一致的功能集，有些工具（如EDR）可能只涵蓋桌面而非移動(dòng)設(shè)備，也可能只支持單一平臺。雖然可以通過高度定制來解決該問題，但這也意味著IT管理的更高復(fù)雜性和成本。

其次，這些安全工具存在于用戶身份系統(tǒng)之外，將設(shè)備上下文與用戶身份連接起來，以實(shí)現(xiàn)訪問控制極具挑戰(zhàn)性。從設(shè)備提取大量的安全數(shù)據(jù)后，仍然需要進(jìn)行大量額外工作才能將這些數(shù)據(jù)與最終用戶的身份關(guān)聯(lián)起來。

再次，對于個(gè)人或第三方設(shè)備來說，有些安全工具可能無法實(shí)施，移動(dòng)辦公和員工流動(dòng)使得企業(yè)的MDM策略也難以奏效。

因此，許多組織轉(zhuǎn)而使用設(shè)備姿態(tài)檢查，來提供一定的安全監(jiān)控覆蓋。但即便如此，由于設(shè)備和資源在大多數(shù)環(huán)境中的復(fù)雜多樣性，很難對設(shè)備姿態(tài)要求進(jìn)行標(biāo)準(zhǔn)化的統(tǒng)一管理，例如，由于各個(gè)操作系統(tǒng)平臺在安全實(shí)現(xiàn)方法上的細(xì)微差別，導(dǎo)致不同的版本補(bǔ)丁更新和密碼強(qiáng)度等策略也會(huì)存在差異。

3．安全姿態(tài)與動(dòng)態(tài)訪問

由于失陷設(shè)備可以作為針對其他資源的攻擊媒介，零信任訪問策略將設(shè)備姿態(tài)檢查（DPC）作為訪問決策的部分依據(jù)。DPC評估設(shè)備的當(dāng)前狀態(tài)和潛在漏洞。為了支持零信任的動(dòng)態(tài)訪問策略，設(shè)備監(jiān)控組件需要定義在DPC中評估的設(shè)備狀態(tài)要素，主要包括：

?操作系統(tǒng)版本；
?反病毒軟件的版本和更新狀態(tài)；
?屏幕鎖定狀態(tài)；
?防火墻狀態(tài)；
?存儲(chǔ)加密狀態(tài)；
?數(shù)字證書；
?設(shè)備名稱和ID；
?管理軟件的客戶端版本；
?補(bǔ)丁狀態(tài)與最后更新時(shí)間；
?已安裝的特定應(yīng)用程序。

對于所有類型的設(shè)備來說，都應(yīng)通過評估安全姿態(tài)來生成信任評級，無論是公司設(shè)備、個(gè)人設(shè)備，還是第三方所有的設(shè)備，也包括服務(wù)器和相關(guān)的物聯(lián)網(wǎng)（IoT）設(shè)備。

更重要的是，要通過安全評估和動(dòng)態(tài)訪問控制，確保設(shè)備及其用戶不會(huì)以任何方式使敏感數(shù)據(jù)受到損害。設(shè)備注冊是一種典型的方法，將設(shè)備指紋及安全姿態(tài)存儲(chǔ)在基于風(fēng)險(xiǎn)的訪問數(shù)據(jù)庫中，實(shí)現(xiàn)訪問時(shí)的動(dòng)態(tài)信任評估，控制各種潛在威脅（如勒索軟件）的攻擊半徑。

4．威脅檢測與保護(hù)響應(yīng)

目前，典型的終端保護(hù)工具包括終端檢測和響應(yīng)（EDR）和終端保護(hù)平臺（EPP），盡管在術(shù)語概念上存在一些差異，但它們對設(shè)備的保護(hù)能力是通用的。

威脅檢測通過先進(jìn)的安全監(jiān)測和識別技術(shù)，如實(shí)時(shí)監(jiān)控、行為分析、異常檢測和威脅情報(bào)等，來辨識可能存在的安全風(fēng)險(xiǎn)或惡意活動(dòng)。這種持續(xù)的監(jiān)測和檢測幫助組織及時(shí)發(fā)現(xiàn)并應(yīng)對潛在的安全威脅，保護(hù)企業(yè)的資產(chǎn)和敏感數(shù)據(jù)。

一旦威脅被檢測到，保護(hù)響應(yīng)措施會(huì)被啟動(dòng)，以減輕影響并防止進(jìn)一步的損害。這些措施可以包括隔離風(fēng)險(xiǎn)設(shè)備或用戶、阻止可疑的網(wǎng)絡(luò)流量、實(shí)施訪問控制、應(yīng)用補(bǔ)丁或安全更新，或觸發(fā)事件響應(yīng)程序等。

簡單來說，終端保護(hù)通過連接上述相關(guān)功能來加固設(shè)備以抵御攻擊，主要包括：

?根據(jù)威脅情報(bào)和模式分析，預(yù)測終端何時(shí)可能受到攻擊；
?如果可能，防止終端受到攻擊；
?在攻擊發(fā)生時(shí)，進(jìn)行實(shí)時(shí)檢測并響應(yīng)。

威脅檢測與保護(hù)響應(yīng)通常采用基于云的平臺進(jìn)行功能交付，以支持無處不在的連接和實(shí)時(shí)更新。另外，這些保護(hù)功能還應(yīng)該能與其他的零信任支柱（例如，零信任網(wǎng)絡(luò)技術(shù)）進(jìn)行無縫連接，在實(shí)現(xiàn)隨時(shí)隨地的用戶訪問的基礎(chǔ)上，對由人員控制和非人員控制的設(shè)備強(qiáng)制執(zhí)行統(tǒng)一的訪問策略，確保安全策略的一致性。

三、設(shè)備安全的最佳實(shí)踐

為了創(chuàng)建零信任安全環(huán)境，組織需要制定一個(gè)設(shè)備安全戰(zhàn)略，以滿足業(yè)務(wù)需求并實(shí)現(xiàn)有效的風(fēng)險(xiǎn)管理。但實(shí)施構(gòu)建零信任的設(shè)備安全能力時(shí)，組織將會(huì)面臨各種障礙和挑戰(zhàn)。

業(yè)務(wù)的快速發(fā)展以及不斷涌現(xiàn)的新設(shè)備和服務(wù)，可能導(dǎo)致各類服務(wù)器、筆記本電腦等設(shè)備頻繁上線和下線，難以準(zhǔn)確地清點(diǎn)和記錄網(wǎng)絡(luò)上的所有設(shè)備。另外，用戶或業(yè)務(wù)部門可能存在未經(jīng)批準(zhǔn)而上線的新設(shè)備和服務(wù)（影子IT），導(dǎo)致對這些設(shè)備缺乏足夠的可見性和控制，使得難以對其進(jìn)行注冊、跟蹤和監(jiān)控。

要實(shí)施有效的零信任設(shè)備安全能力，組織需要采取一種全面的方法來克服這些障礙。這包括定期審查和更新策略和程序，標(biāo)準(zhǔn)化上線新設(shè)備和服務(wù)的方式，以及實(shí)施強(qiáng)大的設(shè)備管理系統(tǒng)，能夠準(zhǔn)確跟蹤和監(jiān)控網(wǎng)絡(luò)上的所有設(shè)備。

1．建立設(shè)備清單

開發(fā)設(shè)備清單是實(shí)施零信任設(shè)備安全的重要步驟。如果沒有對所有設(shè)備進(jìn)行全面清查，就不可能準(zhǔn)確地跟蹤、監(jiān)控或識別可能導(dǎo)致安全漏洞的惡意設(shè)備。

過去，IT團(tuán)隊(duì)使用電子表格手動(dòng)跟蹤設(shè)備非常普遍。如今，設(shè)備跟蹤必須完全自動(dòng)化，包括掃描、監(jiān)控、更新，以及為安全運(yùn)營團(tuán)隊(duì)自動(dòng)生成警報(bào)。

需要注意的是，零信任安全體系中的設(shè)備清單超越了傳統(tǒng)的資產(chǎn)管理，一些非企業(yè)擁有的設(shè)備（如BYOD、合作伙伴擁有的設(shè)備）也需納管，安全團(tuán)隊(duì)必須為所有訪問終端建立一個(gè)完全自動(dòng)化的設(shè)備清單，包括非傳統(tǒng)設(shè)備，如傳感器、攝像頭和其他物聯(lián)網(wǎng)或OT設(shè)備。

零信任設(shè)備管理還需要為各種設(shè)備及使用行為，建立適當(dāng)?shù)奶幚砹鞒毯头诸愊到y(tǒng)，包括確保所有設(shè)備都已注冊，并為報(bào)廢設(shè)備制定全面的報(bào)廢計(jì)劃，以安全地處置物理設(shè)備以及該設(shè)備具有的任何訪問權(quán)限。

2．持續(xù)動(dòng)態(tài)授權(quán)

了解設(shè)備的運(yùn)行狀況和合規(guī)性是實(shí)施零信任設(shè)備安全的關(guān)鍵步驟，這意味著需要對設(shè)備狀態(tài)進(jìn)行持續(xù)監(jiān)控評估，而不僅僅依賴于一次性的時(shí)間點(diǎn)評估。持續(xù)監(jiān)控的優(yōu)勢在于：

?及早發(fā)現(xiàn)安全事件；
?設(shè)定安全檢查基線；
?檢測未經(jīng)授權(quán)的登錄；
?能夠檢測錯(cuò)誤配置；
?有利于實(shí)現(xiàn)主動(dòng)防御。

通常，組織會(huì)主動(dòng)保護(hù)PC免受漏洞和攻擊，而移動(dòng)設(shè)備通常不受監(jiān)控且沒有保護(hù)措施。為了幫助限制風(fēng)險(xiǎn)暴露，需要監(jiān)控每個(gè)端點(diǎn)以確保其具有可信身份、應(yīng)用了安全策略，并且惡意軟件或數(shù)據(jù)泄露等風(fēng)險(xiǎn)級別已經(jīng)過評估、修復(fù)或被認(rèn)為是可接受的。例如，如果個(gè)人設(shè)備存在軟件漏洞，可以阻止其訪問網(wǎng)絡(luò)或業(yè)務(wù)，以確保企業(yè)應(yīng)用程序不會(huì)暴露于已知漏洞。

通過全面的可見性和分析監(jiān)控設(shè)備的狀態(tài)和上下文，組織可以確保根據(jù)實(shí)時(shí)數(shù)據(jù)驅(qū)動(dòng)的上下文來保護(hù)目標(biāo)業(yè)務(wù)和數(shù)據(jù)，而不是依賴于靜態(tài)策略，這樣可以更及時(shí)地應(yīng)對快速發(fā)展的威脅。

3．實(shí)施響應(yīng)保護(hù)

作為正常業(yè)務(wù)過程的一部分，用戶必須能夠通過設(shè)備訪問應(yīng)用和數(shù)據(jù)。在受感染設(shè)備上，合法用戶也可能有意/無意執(zhí)行一些攻擊行為（例如，竊聽、DDoS、數(shù)據(jù)泄露等），最好的設(shè)備安全性是讓數(shù)據(jù)遠(yuǎn)離設(shè)備。

但除此之外，在設(shè)備受到安全威脅時(shí)，還可以通過快速響應(yīng)行動(dòng)將威脅影響降至最低，例如，將設(shè)備與網(wǎng)絡(luò)進(jìn)行隔離，限制其影響半徑。通常在制定終端安全的應(yīng)急響應(yīng)計(jì)劃時(shí)，應(yīng)考慮以下內(nèi)容：

?終端數(shù)據(jù)發(fā)生了什么？是否被加密、刪除、泄露？
?動(dòng)態(tài)訪問權(quán)限應(yīng)該做什么調(diào)整？
?如何處理受影響的設(shè)備？

四、結(jié)語

終端安全能力是構(gòu)建零信任體系化安全能力的關(guān)鍵要素之一。在零信任架構(gòu)中，終端設(shè)備作為接入組織資源的關(guān)鍵節(jié)點(diǎn)，需要具備一系列安全能力來保護(hù)數(shù)據(jù)和系統(tǒng)免受威脅，包括設(shè)備認(rèn)證（身份領(lǐng)域）、安全姿態(tài)評估、動(dòng)態(tài)訪問控制、威脅檢測響應(yīng)和數(shù)據(jù)防泄漏（數(shù)據(jù)領(lǐng)域）等能力。然而，成功實(shí)施身份能力需要綜合考慮多個(gè)因素，并與其他能力和跨域能力相互配合。企業(yè)應(yīng)制定全面的設(shè)備安全治理策略，并采取逐步實(shí)施的方法，以確保有效的零信任安全環(huán)境的建立。

審核編輯 黃宇