【ZTA 101】NIST SP 800-207第二章：零信任基礎認知

要瞭解關於零信任的更多基礎知識，在SP 800-207 Zero Trust Architecture的第二章中有更多的說明。在此章節包含兩個小節，首先說明了設計零信任架構所需遵循的7大原則，並更進一步談到從網路視角看待零信任的假設與見解。

第二章 零信任基礎認知

在第二章開頭的第一句話，就是強調零信任是一種網路安全範例，聚焦於資源保護，並指出信任的前提，在於持續評估而不會是隱性授予權限。

這裡說明了不少零信任該有的認知，例如，零信任架構可以實現端到端的企業資源與資料安全，方法面向包括：身分、帳密與憑證管理、存取管理，以及操作、端點、託管環境與相互連接的基礎架構等。而最初的重點應放在限制資源的存取，只有需要存取的人才能存取該資源，並且僅給予執行任務所需的最低權限。

同時，這裡提出了對於零信任與零信任架構有效定義的說明：

　零信任（Zero Trust）是面對資訊系統與服務在被視為已被入侵的網路環境中運作時，為了讓每個存取請求決定的不確定性最小化，並是在執行準確且最小權限下去執行，所提供的一系列概念與想法。

　就零信任架構（Zero Trust Architecture）言，這是一種企業網路安全計畫，當中利用了零信任概念，包含元件關係、工作流程規畫與存取政策。

就整個網路安全策略而言，當企業決定採用零信任作為網路安全核心戰略，就需要根據零信任原則來制定計畫，以產生零信任架構，之後，將需要部署與打造零信任環境，讓企業來使用。

值得關注的是，這裡說明了零信任所要解決的問題癥結：第一，防止未經授權存取資料與服務，第二，使存取控制盡可能做到更精細。

因此，這裡談到零信任架構的目的，要讓未經授權存取的風險降到最低。

也就是說，只讓經過授權與允許的主體可以存取資料，而不讓攻擊者等其他主體能存取，而這裡的主體，包括使用者、應用程式或服務，以及裝置。

更進一步而言，在零信任（ZT）與零信任架構（ZTA）所指的資源存取，不僅僅包含資料存取，也包含像是印表機、運算資源與物聯網設備等。

該如何判斷是否允許存取？以及該如何做到存取控制細化？這裡先從基本概念開始說起，同時藉由一個簡要的存取模型，讓外界可以更容易理解。

由於存取控制有其不確定性，因此存取決策的重點將放在身分驗證、授權與限縮默示信任區域，同時，需要盡可能減少身分驗證機制的時間延遲，以保持可用性，並盡可能讓存取規則更精細，讓每次資源存取請求的操作，只提供所需的最小權限。

關於存取模型的概念，NIST繪製了圖1（如下圖）來說明：當使用者或機器需要存取企業資源時，需要經過政策落實點（Policy Enforcement Point，PEP）進行把關，並由相應的政策決策點（Policy Decision Point，PDP），來決定權限。

資料來源／NIST，iThome整理，2022年8月

以上圖為例，系統必須確保左邊的主體是真實的，以及請求是有效的，而中間的政策決策點（PDP）與政策落實點（PEP），需提供適當的判斷，允許主體存取資源。

在此當中，將考慮主體身分的信任程度，像是請求設備的安全現況等種種因素。

同時，這裡也提到PDP/PEP的重要性，因為在PDP/PEP與資源之間，將會形成默示信任區（Implicit Trust Zone），在NIST的解釋中，這如同機場航站位於登機區的改念，通過機場安全檢查站 (PDP/PEP) 進入登機口的人員與旅客，將被視為是可信的。

綜合來說，如何讓PDP/PEP做到嚴謹的決策，就需要透過即時且基於風險評估的結果，給出適當的判斷，以決定是否能夠存取。P64

換言之，企業需要為資源存取，制定與維護一個基於風險的動態政策，並建立一個這樣的系統，已確保每次的資源存取請求，都能透過這個動態政策來執行。NIST也強調，為了使PDP/PEP盡可能具體明確，隱式信任區必須盡可能小。

整體而言，零信任提供了一套原則與概念，並圍繞在讓PDP/PEP與資源更靠近，而其想法是對於企業所有主體、資產與工作流程，都做到明確的驗證與授權。

第二章第一節 零信任原則

有了零信任基本認知後，接下來就是理解零信任的原則。這部分的重點，就是具體描繪出零信任架構（ZTA）的設計與部署所需遵循的基本原則，也可以說是ZTA的精神，或者是信念、信條。

基本上，這些原則是盡可能與技術無關，NIST共統整出7項：

（１）所有的資料來源與運算服務，都要被當作是資源。

（２）不管與哪個網路位置的裝置通訊，都需確保安全。

（３）對於個別企業資源的存取要求，應以連線為基礎去判斷是否許可。

（４）對於資源的存取需要有動態政策來決定，包括要基於客戶端識別、應用服務，以及要求存取資產可觀察到的狀態，可能還包括其他行為或環境屬性。

（５）企業對於所有自有與相關的資產，需監控與衡量其完整性與安全狀況。

（６）在允許存取之前，所有的資源的身分鑑別與授權機制，都要依監控結果動態決定，並且嚴格落實。

（７）企業應該要盡可能收集有關資產、網路基礎架構與通訊的資訊現況，並用這些資訊來增進安全狀態。

關於上述零信任所需遵循的原則，簡單來說，網路上每個服務與可被存取的設備，都應被視為資源而要管控其存取，且所有通訊都需要確保安全。

對於資源的存取請求，是要基於每次連線請求來進行，並要先評估請求者的可信度，以及僅給予完成任務所需的最低權限。在此當中，需要建立相關系統來監控與評估資產的安全狀況，以及要有動態政策來判斷是否能夠存取。

因此，這將是獲得存取權限、掃描、威脅評估、適應與不斷重新評估的持續循環，並依照每次監控結果來動態決定是否允許存取。也就是企業必須要有身分憑證與存取管理（ICAM），以及資產管理系統，當中也包括多因素身分驗證（MFA）的採用，而在存取管控策略的定義與執行上，將包含基於時間的因素，以及新資源的請求、資源修改、偵測到的異常活動等。而且，這樣的策略需要在安全性、可用性與成本效益上取得平衡。

此外，為了支援動態政策，以做到更細緻的存取控制，需要盡可能從外部蒐集資訊來改進政策。

第二章第二節 零信任視角下的網路

在闡述零信任原則之後，NIST列出零信任角度下對於網路的6大假設。換言之，這其實就是指出ZTA將建立在相關假設前提之下。包括：

（1）企業私有網路不能預設為信任的區域

（2）網路中的裝置可能不是企業所有，也不能被企業設定

（3）沒有資源是原本就可信賴

（4）並非所有企業資源都位於企業擁有的基礎架構上

（5）遠端使用者存取企業主體與資產時，不能完全信賴本身的網路

（6）在企業與非企業基礎建設之間移動的資產與工作流程，應具有一致的安全政策與安全狀況。

從上述假設來看，我們可以瞭解到一些觀念：必須設想攻擊者存在於企業網路中。因此要以儘安全與可行的方式來溝通，這將需要對所有連接做鑑別，以及加密所有流量。

有些假設也與上述原則呼應，例如，沒有資源是原本就可信賴，因此在存取企業擁有的資源之前，每個資產都必須經過PEP評估其安全狀況，確保所有設備盡可能是在最安全的狀態。

最後，也必須考慮企業環境的複雜性，像是並非所有裝置都是企業所擁有，資源也被非都是在自己擁有的基礎建設上，以及企業不同據點與的連結，資產與工作流程的遷移等。

更多ZTA 101內容

１　２　３　４　５　６　７