Landscape cloud-native, yang dicirikan oleh sifat dinamik, terdistribusi, dan efemeral, menawarkan kelincahan dan keluasan yang belum pernah berlaku sebelumnya. Walau bagaimanapun, dinamik ini merosakkan paradigma keselamatan tradisional. Konsep rangkaian dalaman yang boleh dipercayai yang dilindungi oleh perimeternya yang diperketat semakin tua. Microservices merebak di pelbagai persekitaran awan, kontainer berputar ke atas dan ke bawah dalam hitungan saat, dan API membentuk tisu sambungan yang kritikal tetapi rentan. Dalam realiti baru ini, bagaimana kita menubuhkan kepercayaan? Bagaimana kita melindungi data sensitif dan beban kerja kritikal apabila perimeternya telah dibubarkan? Jawapan terletak dalam perubahan mendasar dalam pemikiran keselamatan: Zero Trust. Zero Trust bukan produk, tetapi pendekatan strategik untuk keselamatan siber yang dibina di atas prinsip “Never Trust, Always Verify.” Ia mendikte bahawa tiada pengguna atau entiti, sama ada di dalam atau di luar sempadan rangkaian tradisional, harus dipercayai secara lalai. Sebaliknya, kepercayaan mesti ditubuhkan secara eksplisit, dan terus disahkan, dan akses diberikan dengan keistimewaan yang paling sedikit yang diperlukan, berdasarkan konteks. Artikel ini merangkumi prinsip teras Zero Trust Architecture (ZTA), mengkaji cabaran unik menerapkannya dalam persekitaran asli awan, dan merangkumi strategi praktikal, teknologi, dan amalan terbaik. Direka kepada profesional keselamatan IT, arsitek awan, jurutera DevSecOps, dan pembuat keputusan teknologi, panduan ini menawarkan wawasan tindakan untuk membina keselamatan yang kukuh dan tahan lama dalam era asli awan. Understanding Zero Trust: Core Principles Dasar Zero Trust Architecture, seperti yang diformalkan oleh kerangka kerja seperti NIST Special Publication 800-207, bergantung kepada beberapa prinsip utama yang mendasarkan semula cara kami mendekati keselamatan: Never Trust, Always Verify: Ini adalah batu penjuru. Zero Trust menghilangkan konsep lama kepercayaan tersirat berdasarkan lokasi rangkaian. Setiap permintaan capaian, tidak kira asal, mesti dianggap sebagai berpotensi bermusuhan. Verifikasi memerlukan pengesahan ketat pengguna dan peranti, bersama dengan kebenaran berdasarkan dasar dinamik sebelum memberikan capaian kepada mana-mana sumber. Asume Breach: ZTA beroperasi di bawah asumsi bahawa pelanggaran tidak dapat dielakkan, atau mungkin telah berlaku. langkah-langkah keselamatan, oleh itu, direka untuk meminimalkan radius letupan serangan. Akses Privilege Minimum: Pengguna dan sistem hanya perlu diberi keizinan minimum mutlak yang diperlukan untuk melaksanakan tugas-tugas tertentu mereka, untuk tempoh yang paling pendek yang diperlukan. Prinsip ini tidak hanya terpakai kepada akaun pengguna tetapi juga kepada aplikasi, perkhidmatan, dan aliran rangkaian. Micro-segmentasi: Alih-alih segmen rangkaian yang luas, Zero Trust menggalakkan segmentasi granular, sering ke tahap beban kerja individu. trafik rangkaian terhad berdasarkan identiti dan dasar, mewujudkan zon kecil dan terpencil (mikrosegmen). Pengawasan dan pengesahan berterusan: Kepercayaan bukanlah satu peristiwa sahaja; ia dinamik dan mesti dinilai secara berterusan. ZTA memerintahkan pemantauan berterusan tingkah laku pengguna, kesihatan peranti, trafik rangkaian, dan corak capaian sumber. penyimpangan daripada tingkah laku yang dijangka atau perubahan dalam sikap keselamatan boleh menyebabkan pengesahan semula atau pembatalan capaian. Fokus kepada Sumber: Upaya perlindungan memberi tumpuan kepada mengamankan sumber itu sendiri (data, aplikasi, perkhidmatan) dan bukan hanya segmen rangkaian di mana mereka terletak. The Cloud-Native Conundrum: Cabaran Unik Walaupun prinsip Zero Trust boleh digunakan secara universal, menerapkannya dalam persekitaran berasaskan awan menyajikan satu set cabaran yang unik yang berpunca daripada sifat semula jadi awan: Infrastruktur Dinamis & Ephemeral: Persekitaran berasaskan awan sentiasa dalam aliran. Kontena, fungsi tanpa pelayan, dan mesin maya dicipta, dihancurkan, dan diperluaskan secara automatik dalam beberapa minit atau saat. Peraturan berasaskan IP statik dan perlindungan perimeter tradisional tidak berkesan terhadap beban kerja sementara tersebut. dasar keselamatan mesti menyesuaikan secara dinamik kepada perubahan yang berterusan ini. Arsitektur Distributed & Peningkatan Attack Surface: Microservices memecah aplikasi monolitik menjadi komponen yang lebih kecil dan bebas.Meskipun menawarkan fleksibiliti, ini sangat meningkatkan bilangan titik akhir rangkaian dan laluan komunikasi (kereta "Leste-Barat") yang perlu dilindungi, secara signifikan memperluaskan permukaan serangan. Proliferasi API: API adalah tulang belakang aplikasi berasaskan awan, memudahkan komunikasi antara microservices, integrasi pihak ketiga, dan antara muka pengguna. Setiap titik akhir API adalah titik masuk potensial untuk penyerang, yang memerlukan pengesahan yang kukuh, otorisasi, pembatasan kadar, dan perlindungan ancaman. Kompleksiti dan Skala: Menguruskan keselamatan di antara berpotensi beribu-ribu microservices, kontena, fungsi, dan API yang tersebar di seluruh persekitaran hibrid atau pelbagai awan memperkenalkan kerumitan yang signifikan. Pengurusan Identiti: Membezakan antara pengguna manusia, akaun perkhidmatan, identiti aplikasi, dan komponen infrastruktur menjadi penting dan kompleks.Pengurusan kredensial, peranan, dan keizinan secara konsisten di seluruh landskap yang pelbagai ini memerlukan penyelesaian Pengurusan Identiti dan Akses yang canggih (IAM) dan Pengurusan Akses Privileged (PAM). Visibiliti dan Pengawasan: Mendapatkan visibiliti yang komprehensif ke dalam beban kerja efemeral, lalu lintas terenkripsi antara perkhidmatan (sering dalam rangkaian perkhidmatan), dan interaksi API sukar. alat pengawasan tradisional sering kekurangan konteks dan granulariti yang diperlukan untuk pengesanan dan tindak balas ancaman yang berkesan dalam persekitaran ini. Automation and Integration (DevSecOps): Keselamatan tidak boleh menjadi pemikiran selepas; ia mesti disepadukan dengan lancar ke dalam paip CI / CD. Pengesahan keselamatan, penguatkuasaan dasar, dan pengurusan kelemahan automatik (pindah keselamatan "kiri") adalah penting tetapi memerlukan perubahan budaya dan alat baru dalam kerangka kerja DevSecOps. Model Tanggungjawab Bersama: Organisasi mesti memahami dengan jelas pembahagian tanggungjawab keselamatan antara mereka dan pembekal perkhidmatan awan mereka (CSPs). Implementasi Zero Trust dalam awan: Strategi dan Teknologi Implementasi berjaya Zero Trust dalam persekitaran berasaskan awan memerlukan pendekatan pelbagai aspek, memanfaatkan strategi dan teknologi tertentu di seluruh domain keselamatan yang berbeza.   Identity and Access Management (IAM) - The Foundation Identiti ialah pilar teras Zero Trust. atau Meminta akses adalah yang utama. * Melangkah melampaui kata laluan. Melaksanakan pengesahan pelbagai faktor (MFA) secara universal untuk semua pengguna.Mengkaji kaedah pengesahan tanpa kata laluan (FIDO2, biometrik) untuk meningkatkan keselamatan dan pengalaman pengguna. yang apa Strong Authentication: Kawalan Akses Granular: Implementasikan Kawalan Akses Berasaskan Peranan (RBAC) dan Kawalan Akses Berasaskan Atribut (ABAC) untuk menguatkuasakan keistimewaan terkecil. memanfaatkan dasar Akses bersyarat (biasa digunakan dalam platform seperti Azure AD dan AWS IAM) yang faktor dalam identiti pengguna, kesihatan peranti, lokasi, dan isyarat risiko masa nyata untuk membuat keputusan akses dinamik. Identity Federation & SSO: Gunakan penyelesaian Single Sign-On (SSO) yang bersekutu dengan Pembekal Identiti Pusat (IdP) seperti Azure AD, Okta, atau Ping Identity untuk menguruskan identiti secara konsisten di seluruh platform dan aplikasi awan. Pengurusan Akses Keistimewaan (PAM): Menguruskan dan memantau akaun keistimewaan (manusia dan mesin) dengan selamat menggunakan penyelesaian PAM. Melaksanakan akses tepat pada masa (JIT) dan rekod sesi untuk operasi sensitif.   Gambar 2: Contoh Konfigurasi Dasar Akses Bersyarat Azure AD. Menunjukkan syarat-syarat yang ditakrifkan (contohnya, risiko pengguna, pematuhan peranti) dan kawalan pemberian (contohnya, memerlukan MFA) untuk mengakses aplikasi awan.   Network Security & Segmentation Zero Trust mendefinisikan semula keselamatan rangkaian, bergerak daripada perimeter pertahanan ke arah segmentasi granular, berasaskan identiti. Micro-segmentasi: Implementasikan segmensi rangkaian yang halus, idealnya pada tahap beban kerja. Gunakan kumpulan keselamatan / firewall asli awan (contohnya, Kumpulan Keselamatan AWS, Kumpulan Keselamatan Rangkaian Azure, Peraturan Firewall GCP) dan penyelesaian lanjutan seperti mesh perkhidmatan (Istio, Linkerd) atau platform mikro-segmentasi khusus (Illumio, Akamai Guardicore) untuk menguatkuasakan dasar berdasarkan identiti perkhidmatan, bukan hanya alamat IP. Zero Trust Network Access (ZTNA): Menggantikan VPN tradisional dengan penyelesaian ZTNA (juga dikenali sebagai Perimeters Software-Defined atau SDPs). ZTNA memberi akses kepada aplikasi tertentu berdasarkan identiti dan konteks pengguna dan peranti yang disahkan, bukannya menyediakan akses rangkaian yang luas. Keselamatan mesh perkhidmatan: Memanfaatkan mesh perkhidmatan seperti Istio atau Linkerd dalam persekitaran Kubernetes untuk menguatkuasakan TLS bersama (mTLS) untuk komunikasi terkripsi antara microservices, menerapkan dasar kawalan lalu lintas yang halus, dan mendapatkan kelihatan dalam komunikasi perkhidmatan-ke-perkhidmatan.   Continuous Monitoring, Visibility, and Analytics Anda tidak boleh melindungi apa yang tidak anda lihat. pemantauan berterusan adalah penting untuk mengesahkan kepercayaan dan mengesan ancaman. Log & SIEM Bersepadu: Menggabungkan log daripada semua sumber yang berkaitan (platform awan, aplikasi, titik akhir, pembekal identiti, peranti rangkaian) ke dalam sistem Keselamatan Maklumat dan Pengurusan Peristiwa (SIEM) pusat untuk korelasi dan analisis. Analisis tingkah laku pengguna dan entiti (UEBA): Gunakan alat UEBA untuk menubuhkan tingkah laku normal bagi pengguna dan akaun perkhidmatan dan mengesan anomali yang mungkin menunjukkan akaun yang dikompromikan atau ancaman dalaman. Pengurusan sikap keselamatan awan (CSPM): Gunakan alat CSPM untuk terus memantau persekitaran awan untuk kesilapan konfigurasi, pelanggaran pematuhan dan risiko keselamatan. alat awan asli seperti AWS Security Hub, Azure Security Center (Microsoft Defender for Cloud), dan Pusat Perintah Keselamatan Google menyediakan keupayaan CSPM asas. Platform Perlindungan beban kerja awan (CWPP): Melancarkan penyelesaian CWPP untuk menyediakan kelihatan dan perlindungan bagi beban kerja awan (VM, kontena, fungsi tanpa server), termasuk pengurusan kelemahan, perlindungan runtime, dan keupayaan pengesanan dan tanggapan titik akhir (EDR) yang disesuaikan untuk awan.   Securing Cloud-Native Workloads Melindungi beban kerja yang berlainan yang dijalankan dalam awan memerlukan pendekatan tertentu. Keselamatan kontainer: Melaksanakan keselamatan sepanjang kitaran hayat kontainer: memindai imej untuk kecacatan dalam rekod dan paip CI / CD, menguatkuasakan dasar keselamatan (contohnya, menghalang keistimewaan akar), memantau tingkah laku runtime kontainer untuk ancaman, dan mengamankan orkestrator yang mendasari (seperti Kubernetes). Keselamatan tanpa pelayan: Menjamin fungsi tanpa pelayan dengan menggunakan peranan IAM yang paling sedikit hak, mengesahkan data kejadian input, mengamankan kod fungsi dan ketergantungan, dan memantau log pelaksanaan untuk anomali. Keselamatan Kubernetes: Sekuriti kubernetes dengan mengkonfigurasi RBAC, melaksanakan dasar rangkaian untuk komunikasi pod, menguruskan rahsia dengan selamat, mengeraskan konfigurasi nod, dan secara kerap memindai kerentanan dan konfigurasi yang salah.   API Security Mengikut peranan kritikal mereka, API memerlukan langkah keselamatan yang berdedikasi. Authentication & Authorization: Mengekalkan API menggunakan mekanisme yang kukuh seperti OAuth 2.0 dan OpenID Connect (OIDC) untuk pengesahan pengguna dan aplikasi. Gateway API: Gunakan gateway API untuk menyentralisasikan penguatkuasaan dasar, pengesahan, pembatasan kadar, throttling, dan routing untuk API. Pengesahan Input & Perlindungan Ancaman: Mengesahkan semua input API secara ketat untuk mengelakkan serangan suntikan. Menggunakan Firewall Aplikasi Web (WAF), yang berpotensi disepadukan dengan gateway API, untuk melindungi terhadap ancaman web dan API tertentu yang biasa (contohnya, OWASP API Security Top 10). * Encryption: Menguatkuasakan enkripsi TLS untuk semua lalu lintas API (data dalam transit).   Data Security & Compliance Akhirnya, Zero Trust bertujuan untuk melindungi data.Ini melibatkan memahami di mana data terletak, mengklasifikasinya, dan memohon kawalan yang sesuai. Klasifikasi Data & Labeling: mengenal pasti dan mengklasifikasikan data sensitif di seluruh persekitaran awan anda. gunakan tag atau label untuk melaksanakan dasar keselamatan yang sesuai. Encryption: Mengenkripsikan data sensitif dalam keadaan istirahat (menggunakan penyedia awan KMS atau pengenkripsan pangkalan data yang dikendalikan) dan dalam transit (menggunakan TLS / mTLS). Pencegahan Kerugian Data (DLP): Melaksanakan penyelesaian DLP untuk memantau dan mengelakkan penapisan data sensitif melalui pelbagai titik keluar. Mapping Kepatuhan:Map Zero Trust mengawal kerangka kerja kepatuhan yang berkaitan (contohnya, NIST CSF, PCI DSS, HIPAA, GDPR). Audit Trails: Menyediakan log audit yang komprehensif untuk semua permintaan capaian, perubahan dasar, dan kejadian keselamatan. Teknologi dan Alat Utama Landscape Implementasi ZTA melibatkan memanfaatkan gabungan teknologi, yang sering digabungkan: Pembekal Identiti (IdP): Azure Active Directory, Okta, Ping Identity, Google Cloud Identity. Pembekal ZTNA/SDP: Zscaler Private Access (ZPA), Palo Alto Networks Prisma Access, Cloudflare Access, Netskope Private Access, Akamai Secure Internet Access Enterprise. Micro-segmentasi: Illumio Core, Akamai Guardicore Segmentation, Cisco Secure Workload (Tetration), kawalan asli awan (Kumpulan Keselamatan, Dasar Rangkaian). CSPM/CWPP: Palo Alto Networks Prisma Cloud, Aqua Security Platform, CrowdStrike Falcon Cloud Security, Sysdig Secure, Lacework Polygraph Data Platform, Wiz, Orca Security, Native Cloud Tools (AWS Security Hub, Azure Defender for Cloud, GCP Security Command Center). Mesh Perkhidmatan: Istio, Linkerd, Consul Connect. Keselamatan API: Gateway API (AWS API Gateway, Pengurusan API Azure, Google Apigee), WAFs (Cloudflare, Akamai, F5), Pembekal Keselamatan API Dedicated (Salt Security, Noname Security). SIEM/SOAR: Splunk, IBM QRadar, Microsoft Sentinel, Exabeam, Securonix, LogRhythm. Kelebihan dunia sebenar Cloud-Native Zero Trust Mengadopsi model Zero Trust dalam persekitaran asli awan menghasilkan kelebihan yang signifikan: Posisi Keselamatan yang ditingkatkan: Mengurangkan permukaan serangan secara drastik dan mengehadkan radius letupan pelanggaran dengan menghapuskan kepercayaan tersirat dan menguatkuasakan keistimewaan terkecil. Peningkatan Pengesanan Ancaman & Tanggapan: Pengawasan berterusan dan kelihatan granular membolehkan pengesanan aktiviti anomali dan entiti yang terancam lebih cepat. Kepatuhan dan pengurusan yang lebih baik: Kawalan akses granular, audit komprehensif, dan penegakan dasar membantu memenuhi keperluan peraturan yang ketat. Akses Jarak Jauh Aman: Menyediakan akses yang selamat, khusus aplikasi untuk pekerja jauh dan pihak ketiga tanpa risiko yang berkaitan dengan VPN tradisional. Peningkatan kecekapan operasi: Automasi tugas penguatkuasaan dasar dan keselamatan mengurangkan usaha manual dan meningkatkan konsistensi. Membolehkan Transformasi Digital Aman: Membolehkan organisasi untuk dengan percaya diri mengamalkan teknologi cloud-native, microservices, dan amalan DevOps tanpa mengorbankan keselamatan. Perangkap biasa dan bagaimana untuk mengelakkan mereka Perjalanan ke Zero Trust adalah rumit dan tidak tanpa kemungkinan perangkap: Kompleksiti Overwhelm: Mencuba untuk melaksanakan segala-galanya pada satu masa boleh menjadi melampau. Mengelakkan: Mulakan kecil, memberi tumpuan kepada aset kritikal atau kes penggunaan. Mengambil pendekatan iteratif, terus memperluaskan dan menyempurnakan pelaksanaan ZTA. Pengalaman pengguna negatif: Dasar-dasar yang terlalu mengehadkan atau proses pengesahan yang rumit boleh mengecewakan pengguna dan menghalang produktiviti. Mengelakkan: Menyeimbangkan keperluan keselamatan dengan pengalaman pengguna.Melibatkan pengguna lebih awal, memanfaatkan akses adaptif / bersyarat, dan meneroka pilihan tanpa kata laluan. Pencapaian Alat dan Cabaran Integrasi: Implementasi ZTA sering melibatkan pelbagai alat. kekurangan integrasi mewujudkan jurang keselamatan dan overhead operasi. Mengelakkan: Prioriti platform bersepadu di mana sahaja yang mungkin. Tumpuan kepada alat dengan API yang kukuh untuk interoperabiliti. Membangunkan visi arsitektur yang jelas. Kekurangan Automasi: Menguruskan dasar secara manual dan bertindak balas kepada amaran dalam persekitaran awan dinamik tidak berkelanjutan. Pencegahan: Melabur banyak dalam automasi untuk pembentukan dasar (Policy-as-Code), penegakan, pemantauan, dan tanggapan (SOAR). Pengawasan dan kelihatan yang tidak mencukupi: Melaksanakan kawalan tanpa kelihatan yang mencukupi untuk mengesahkan keberkesanan mereka adalah berbahaya. Pencegahan: Menjamin pengawasan komprehensif di seluruh identiti, titik akhir, rangkaian, aplikasi, dan data. Mengabaikan Pergeseran Budaya: Kepercayaan nol adalah sama banyak tentang budaya seperti teknologi. Resistensi terhadap perubahan atau kurangnya kesedaran keselamatan boleh merosakkan pelaksanaan. Mengelakkan: Membina budaya kesedaran keselamatan. Menekankan bahawa keselamatan adalah tanggungjawab semua orang. Menyediakan latihan dan komunikasi yang jelas. Kesimpulan Dalam dunia dinamis, tanpa perimeter pengkomputeran berasaskan awan, Zero Trust bukan lagi konsep niche tetapi imperatif strategik. Melampaui perlindungan berasaskan perimeter yang usang dan memeluk falsafah "Jangan pernah percaya, sentiasa semak" adalah penting untuk melindungi perniagaan moden. Dengan memberi tumpuan kepada pengesahan identiti yang kukuh, akses keutamaan terkecil, mikro-segmen, pemantauan berterusan, dan mengamankan beban kerja dan API secara langsung, organisasi boleh membina arsitektur keselamatan yang tahan lama dan adaptif. Perjalanan pelaksanaan memerlukan perancangan yang teliti, memanfaatkan teknologi yang betul di seluruh identiti, rangkaian, beban kerja, data, dan domain pemantauan, dan menangani cabaran unik yang dihasilkan oleh persekitaran asli awan.Walaupun perangkap ada, pendekatan berterusan berasaskan risiko yang memberi tumpuan kepada aset kritikal, automatik, dan menggalakkan budaya yang sedar keselamatan boleh membawa kepada kejayaan. Mulakan perjalanan Zero Trust anda dengan menilai sikap keselamatan semasa anda, mengenal pasti kawasan berisiko tinggi, dan membangunkan roadmap bertahap. Mulakan melaksanakan kawalan asas seperti IAM yang kukuh dan mikro-segmentasi untuk aplikasi kritikal. Ingat, Zero Trust bukan destinasi tetapi proses berterusan penyempurnaan dan penyesuaian. Dengan merangkul perjalanan ini, organisasi boleh membuka potensi penuh awan sambil mengekalkan keselamatan yang kukuh dan kepercayaan dalam dunia yang tidak dipercayai. References: National Institute of Standards and Technology (NIST). (2020). penerbitan khas 800-207: Zero Trust Architecture. https://doi.org/10.6028/NIST.SP.800-207 (Termasuk URL dari carian web dalam research_notes.md jika sesuai atau mengutip artikel tertentu jika disenaraikan secara langsung / disenaraikan secara meluas)

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

Audio ini dihasilkan dalam bahasa asal cerita!

Di Luar Perimeter: Kepercayaan Architecting dalam Era Cloud-Native oleh Mohit Kumar Singh

About Author

KOMEN

GANTUNG TANDA

ARTIKEL INI DIBENTANGKAN DALAM

Related Stories

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps