零信任未来研究的八个领域

在领域 3：建立上述标准 尊龙凯时登录ZT 成熟度级别的基础上，安全领域的组织必须确定在某种程度上实施 ZT 所需的最低步骤，同时还要演示这些步骤在实践中的效果。一旦组织开始实施 ZT，它就可以努力实现更高水平的 ZT 成熟度，最终目标是实现数字信任。

根据信息系统审计与控制协会 (ISACA) 的说法，数字信任是指 对相关数字生态系统内供应商/供应商和客户/消费者之间的关系、互动和交易完整性的信心 。本质上，从网络安全的角度来看，ZT是实体之间交互的基础。数字信任更全面地涵盖内部和外部实体之间的所有交互。

实施 ZT 并实现数字信任需要政府和私营部门组织之间的强有力合作。政府和相关实体必须积极与私营部门组织合作，使模型、标准和框架与现实世界的产品和服务保持一致。

这种方法为最终用户提供了有关特定产品如何利用 ZT 策略来实现数字信任的有用信息。这些协作必须侧重于确定 (1) 安全产品可以做什么和不能做什么，以及 (2) 每个产品如何与其他产品集成以实现特定级别的合规性。这些信息使组织能够更快、更高效、更有效地采取行动。

随着云解决方案和分布式技术（例如内容交付网络 [CDN]）的日益普及，有必要开发安全框架来解决应用程序和数据从中心位置移至更靠近用户的情况。

在为 ZT 的未来开发框架和标准时，重要的是要考虑到异地数据存储正在向消费者靠拢，CDN 在现代 IT 基础设施中的普及就证明了这一点。

Zentera 的小组成员Michael Ichiriu建议研究人员考虑在新安全框架的背景下探索这个主题，因为许多现有框架在描述安全最佳实践时采用集中式数据中心/存储库方法。当面向 CDN 的组织开发和评估其安全状况和架构时，这种方法无法为他们提供服务。

在 ZT 环境中，了解有效隔离和阻止活动或恶意软件所需的最小信息量的构成非常重要。由于越来越多的勒索软件攻击使用自定义恶意软件，因此识别此信息至关重要。为了防御这种威胁，组织必须提高检测和阻止新威胁和适应威胁的能力。ZT 的一个重要方面是使用多种策略在攻击或恶意软件传播或造成损害之前检测和隔离它们。

正确实施的零信任架构不应信任未知的软件、更新或应用程序，并且必须快速有效地验证未知的软件、更新和应用程序。ZT可以使用多种方法（例如沙箱和隔离区）来测试和隔离新应用程序。然后，必须将这些结果输入 PDP，以便可以立即批准或拒绝未来对这些申请的请求。

在开发过程中，使用尽可能多的安全接触点非常重要，尤其是与ZT相关的接触点。了解如何在组织的传统技术和新兴技术的开发流程中强调安全性也很重要。

这些考虑因素引导我们进入DevSecOps领域，它指的是 一组原则和实践，通过改善组织内软件开发团队、IT 运营和安全人员之间的协作和沟通，提供更快的安全软件功能交付，例如以及软件系统生命周期中的收购方、供应商和其他利益相关者。

随着自动化变得越来越普遍，DevSecOps 必须考虑请求者自动化的可能性。ZTA 使用尝试相互通信的工作负载的身份来实施安全策略。这些身份不断得到验证；未经验证的工作负载将被阻止，因此无法与恶意远程命令和控制服务器或内部主机、用户、应用程序和数据进行交互。

在开发软件时，历史上每个人都假设人类会使用它。因此，在实施安全性时，默认的身份验证方法是在设计时考虑到人的因素的。然而，随着越来越多的设备自主地相互连接，软件必须能够使用 ZT 将数字信任集成到其架构中。为了启用 ZT 策略，DevSecOps 必须能够回答以下问题：

安全计划通常成本高昂，这导致组织将安全视为成本中心。识别 ZT 转换过程中的低效率（例如过时）非常重要。同样重要的是，组织了解如何使用 ZT 来最大化其投资回报。

ZT 是一种评估和管理组织数字资产风险的策略。ZT 方法将防御从网络边界转移到数字资产之间，并要求对所有访问请求进行会话身份验证。许多 ZT 策略可以通过合理的努力以较低的组织成本来实施。示例包括网络的微分段、静态数据加密以及使用多因素身份验证的用户身份验证。

然而，一些解决方案（例如云环境）需要漫长的过渡期并产生持续的成本。由于组织具有独特的风险承受能力，因此每个组织必须制定自己的 ZT 转型策略并指定初始阶段。每个策略和阶段都会有不同的成本和收益。

SEI 2022 年零信任行业日旨在将 ZT 领域的供应商聚集在一起，并提供一个共享的讨论平台。这种方法使参与者能够客观地展示他们的产品如何帮助组织进行 ZT 转型。讨论包括几个需要更多探索的领域。通过强调未来研究的这些领域，我们正在提高认识，促进公共和私营部门组织之间的合作以解决现实世界的问题，并加速 ZT 在政府和行业的采用。

对于我们来说，零信任还在路上。然而通过拿来主义，我们可以充分的了解零信任的优缺点，以便在我们采用零信任时，以更多正反馈来服务于我们的网络安全事业。