什麼是零信任? IoT 與零信任 (Zero Trust) 不相容嗎?正好相反

基於許多原因,IoT 一直是資安上的頭痛問題。那麼如何讓 IoT 成為零信任資安架構的一環呢?

基於許多原因,IoT 一直是資安上的頭痛問題。本質上,這些裝置本來就不能信任,因為它們通常無法安裝資安軟體,而且在設計之初也大多未考量到資安。還有,它們在網路上的存在感不高,因為看起來不像 IT 設備。之前,個人自備裝置 (BYOD) 也曾面臨類似的問題。不過,許多 BYOD 在外觀和運作上都很像企業 IT 設備,但 IoT 卻是一種截然不同且更難防護的設備。傳統的資安模型在面對 IoT 和 BYOD 時顯然力不從心。傳統的舊式架構擴充能力有限,所以才會讓一些新式的攻擊有機可乘,並且輕易地隨著 IT 向外拓展而移動。隨著越來越多 IT 和資安開始轉變成軟體定義的型態,零信任 (Zero Trust,簡稱 ZT) 被視為一種根本的解決之道,解決了資安上令企業困擾已久的問題。

乍看之下,ZT 與 IoT 似乎不相容,但是,這些本質上不能信任、所以也不安全的 IoT 裝置,卻是為何零信任架構對企業非常重要的最完美範例。

那麼如何讓 IoT 成為零信任資安架構的一環呢?

何謂零信任?


零信任是一種資安方法,就如同企業不可能「100% 安全」一樣,企業也不可能「徹底達到零信任」。但這並不意味著企業應該拋棄資安和零信任的想法,反而是,企業應該以它們為目標,就如同「品質」和「健康」是一種不斷追求的目標。當您越接近這個目標,您的資安和零信任架構就運作得越好。這不是什麼魔術,也不是逃避之詞:反正就是得接受一定程度風險。而是,網路資安的工作本來就是必須不斷面對外在變化而盡力做到最好,換句話說,就是盡力維護安全並預期改變。

您的企業隨時都可能添增新的裝置、人員、應用程式以及物品,因此,持續掌握風險狀況是零信任架構非常重要的一環。

將零信任應用到 IoT


至目前為止,有關 IoT 資安的討論大多集中在微分割 (microsegmentation) 上。但這其實有點誤導,因為您至少要先知道該分割什麼,才能知道如何分割。同樣地,在零信任的觀念出現之前,大家的思維是:您要先為 IoT 建立其所屬的區域,但這卻不是零信任的運作方式。

零信任的概念核心就是要盡可能掌握所有身分、使用者、裝置、應用程式以及其他元素的存在狀態與資安狀況。因為,若您無法掌握可視性,就無法掌握信任程度,換句話說就是無法掌握風險。所以,零信任最基本的一件事就是要找出所有的物品,並了解其可信任的程度。

由於 IoT 裝置根本上是未知而不可信任的裝置,因此,搜尋您網域中的 IoT 裝置並評估其風險狀況,對於將他們納入零信任架構當中非常有價值、也非常重要。但更有價值的是掌握這些裝置的通訊歷史記錄、與它們通訊的物品與使用者的資安狀況,以及預先套用一層防護來防止它們做出惡意或太過危險的動作。

然而,最困難的是,這一切都必須持續不間斷地執行,而非在裝置第一次加入網路時的一次性工作。

持續的 IoT 風險評估可減少信任遭到濫用,並且提升自動化


除了資安營運中心 (SOC) 對零信任架構的掌握之外,不明裝置的風險評估 (不論是 IoT 或傳統的 BYOD) 都可藉由零信任領域下的「安全存取服務邊緣」(SASE) 和「零信任網路存取」(ZTNA) 來自動套用。不論是以 IoT 為對象的連線,或是從 IoT 對網站、應用程式或 SaaS 的連線 (SaaS 本身可能就包含 IoT 元件),假使所有通訊對象的資安狀況都能持續評估的話,就更好決定是否要信任或攔截連線。

既然 IoT 是如此不可信任,那麼它最適合採用零信任架構,因為零信任的資安方法,正是要降低信任誤判的風險。

原文出處:IoT and Zero Trust Are Incompatible? Just the Opposite 作者:Greg Young