到目前為止，零信任已成為一種著名的網絡安全方法，用來防御基于身份的入侵。正如身份定義安全聯盟（IDSA）的“零信任之路始于身份”白皮書中所舉例說明的那樣，零信任是指承認威脅參與者將進入組織的環境，因此，防御必須牢記這一理念。

許多企業在遇到違規或審核失敗后，便開始建立零信任的道路。零信任以身份管理和訪問控制為重點，自然而然地滿足了合規性法規和網絡安全的許多要求。盡管如此，許多組織仍缺乏與身份相關的密鑰安全控制。實際上，IDSA最近的一項研究表明，基于憑證的數據泄露是普遍存在的（94%的調查對象經歷過與身份相關的攻擊），而且是高度可預防的（99%）。

可怕的事實是，黑客不再入侵，他們登錄時使用的是脆弱的、默認的、被盜的或其他泄露的憑證。

當今的經濟環境加劇了這些網絡風險，并且COVID-19流行病的影響導致數字化轉型和技術變革的加速，將進一步對組織的身份和訪問管理（IAM）做法進行壓力測試。這在最小化傳統數據中心、云和DevOps環境中與訪問相關的風險方面提出了新的挑戰。

采用了以身份為中心的安全措施的公司通常將重點放在人類用戶（客戶、員工、IT管理員、顧問或業務合作伙伴）身上。然而，這與現實背道而馳。今天，身份不僅包括人，還包括工作負載、微服務和應用程序。

事實上，在許多組織中，非個人身份（也稱為機器身份）代表了大多數“用戶”。計算機標識通常與特權帳戶相關聯，并且通常比現代IT基礎設施中的傳統人工特權帳戶占用的空間大得多。在DevOps和云環境中尤其如此，在這些環境中，任務自動化占主導地位。

歸根結底，這些新型機器和現代云計算原生應用架構正促使企業重新思考其IAM戰略，否則他們將面臨網絡對手很容易利用的盲點。在Gartner最近的一份報告“管理機器身份、機密、密鑰和證書”中，作者證實了“一種無法控制的不安感和缺乏責任感是有充分理由的。”Gartner提到存在發布、管理和控制密鑰、機密和證書的影子IAM部署；ghost Secure Shell（SSH）密鑰在組織的不同設備和工作負載中的出現；以及在使用機器標識方面缺乏良好的指導，這是公司如何努力處理機器標識的幾個例子。

除了低估非個人身份在數據泄露情況下的相關性外，許多組織也很快意識到，傳統的靜態密碼概念（通常需要手動和耗時的配置）不適合快速移動的多云和混合環境，在這種情況下，訪問需求往往是暫時的，變化是不斷的。那么，這對密碼的未來意味著什么？組織如何控制對其敏感資源的訪問？

零信任：從基礎開始

Gartner建議重新考慮并制定企業范圍內的身份，機密和密鑰管理策略，其中應包括以下基本步驟：

· 定義機器標識的通用命名法。

· 區分機器身份如何存儲在中央和本地身份存儲庫（例如Active Directory或數據庫）和機器使用的憑據之間。

· 了解組織必須滿足的不同業務部門的需求和法規要求。

· 評估可以幫助管理機器憑據的不同技術，例如：硬件安全模塊（HSM）、密鑰管理系統（KMS）、秘密管理系統、特權訪問管理（PAM）、IaaS/PaaS提供商提供的內置功能和工具

· 建立計算機的所有權和憑證。

· 向整個組織的利益相關者提供最佳實踐和指導（例如，DevOps）。

推進身份驗證模型

一旦組織實施了這些基本步驟，他們就必須放棄對靜態密碼模型的依賴，而轉而采用動態密碼方法。這些基于證書的臨時訪問憑據解決了困擾靜態密碼的主要安全問題，而又不影響高度數字化的IT環境中的可用性和敏捷性。

在實現短暫的基于證書的授權時，目標系統的訪問不需要永久訪問憑據，這基于零信任原則建立了“零常設特權”的立場，確保對服務的所有訪問都必須經過身份驗證、授權和加密。對于每個會話（無論是對于人還是機器），臨時證書都是由證書頒發機構（CA）頒發的，CA作為可信的第三方，并且基于行業標準，例如臨時X.509證書。為了安全起見，它對用戶身份進行編碼，并且具有較短的生存期，避免了中間人攻擊的風險。

最終，CA根據基于規則創建的用戶角色（包括分配給工作負載，服務和計算機的角色）控制對目標系統的訪問。特定角色的規則是根據安全策略和訪問要求生成的。然后，CA從傳統企業目錄（例如，Microsoft Active Directory）中獲取每個角色的規則，并使用它們來確定適當的身份驗證。這種方法減輕了為每個單獨的用戶/計算機設置訪問權限的可能性，并簡化了對用戶/計算機組的更新。

結論

身份與安全性的集成仍在進行中，根據IDSA的研究，只有不到一半的企業完全實施了與身份相關的關鍵密鑰訪問控制。開始這條道路的關鍵是要認識到，基于零信任原則的以身份為中心的安全方法不僅適用于人類，而且還適用于機器。