零信任網路及其對影像監控的影響

By Wayne Dorris | 2月9, 2024 8月4, 2020 | 網路安全 0 comments

網際網路變得越來越脆弱，日益複雜與眾多的網路攻擊，加上網路連線裝置以指數性的增長，都造成另一個網路端點易遭受到攻擊。這也表示公司組織正為網路安全保障，面臨著永無止境的戰爭。

從歷史上看，公司組織一直依賴的策略是確保企業防火牆盡可能強大。儘管這種方法目的在於確保存取網路的安全性，但只要有人能夠突破防火牆，他們便可以在網路內自由地行動。一旦進入網路，資料遺失將造成潛在不可彌補的實際損失風險，然而不良行為者在被發現之前（如果發生的話）可能已活躍數週或數個月。

此外，在防火牆內隔離網路的觀念已經過時。同樣地，大量裝置連接到網路的同時，也代表透過單一解決方案保護網路外圍並不可行。在網路外使用雲端服務以及建立更具「滲透性」的網路邊界，可讓客戶與供應商系統間無縫連線並且提高供應鏈效率，卻如此改變了網路安全的本質。

不信任網路上的任何人事物

後來，出現了「零信任」的概念，隨之而來的是零信任網路及架構。顧名思義，零信任網路中的預設立場是，不管是連上網路或在網路內部的任何實體－無論是人還是機器、無論位於何處、無論是否正在連線－都無法信任。

相反地，零信任網路的首要哲學是「永不信任，永遠驗證」。其根據在網路中存取特定資料的行為與敏感性，透過多種不同方式來要求正在存取網路或在網路內部的任何實體，進行多次身分驗證。實質上，就是授予實體以可完成任務所需的最低存取量。

零信任採用了以下技術：網路微分割－對於網路中包含較重要資料的特定部分，採取不同等級的安全性－以及根據使用者與裝置、其實體位置及其他驗證資料的微型網路外圍安全性措施，來決定是否可信任其憑證以存取網路。

僅允許個人存取網路的某部分以及執行任務所需的資料，具有明顯的安全優勢。但是，與驗證有關的異常行為會帶來更高等級的安全性層級。

舉例來說，網路管理員可能擁有廣泛的網路存取權限用以維護，如存取 R&D 或財務伺服器的權限。但是，倘若那些相同的憑證被使用來在深夜時分下載特定文件或資料，並將其傳送到網路外部，將會導致安全性的危險信號。這些可能是安全憑證被盜、員工心懷不滿或希望透過公司間諜活動獲得好處的人。

在零信任網路中，可以採用其他身分驗證，或者至少可以即時標記異常活動，來引起安全作業中心的注意以便進行調查。

定義及運作規則

零信任網路的核心是規則引擎：大體而言，組織可以建立、監控軟體並執行有關如何存取網路資源及組織資料的規則。

規則引擎將結合網路分析及編程的規則，根據許多因素來授予角色權限。簡而言之，規則引擎將比較每一個存取網路的請求及其規則脈絡，然後通知監督者是否允許該請求。

在零信任網路中，規則引擎定義並實施資料安全並在託管機型、位置、使用者與裝置間存取規則，針對重要安全控制措施，例如新一代防火牆 (NGFW)、電子郵件和雲端安全閘道以及資料遺失防護 (DLP) 軟體，要求公司組織謹慎地定義規則與策略。

這些控制措施結合在一起，可在託管機型與位置之外進行網路微分割。儘管目前可能有必要在每一個解決方案的管理控制台中設置規則，但整合度越來越高的控制台可以自動定義並跨產品更新規則。

身分及存取管理 (IAM)、多重因素驗證、推送通知、文件權限、加密及安全編排都在零信任網路架構的設計中發揮作用。

零信任網路對影像監控的影響

當然，連線到網路的實體包含人員，但是在如今越來越多連線數量的情況下，大多數的網路連線來自裝置。這包含網路監控攝影機及相關網路連線裝置，隨著公司組織朝著零信任網路架構邁進，這些網路裝置必須遵守驗證所需的準則。如果設計用來維護組織實體安全的裝置引發了網路安全漏洞，將會是個諷刺。

同樣地，傳統形式的裝置安全性已不足。不良行為者已能夠竊取員工的存取憑證，並破壞裝置的安全憑證。在零信任網路中，裝置需要新方法來證明其網路信任度。

驗證硬體裝置的身分

區塊鏈技術是一項可為連線硬體裝置提供固定信任來源的科技。儘管對於許多區塊鏈來說，其與加密貨幣緊密連結，並且可能因而惡名遠播。但是，區塊鏈本身是一種開放的、分佈式的分類帳，可以有效、可驗證、永久的方式來記錄雙方之間的交易。有公共和私有區塊鏈，而企業可以利用私有區塊鏈作為硬體的信任來源，在裝置內建立固定的信任金鑰。

基於區塊鏈的本身結構，如果所有先前交易的共識節點未達成一致，鏈中的任何資料交易都無法更改，所有的交易都是透過密碼連結。因此，如果硬體裝置可識別部分的信任金鑰內建於區塊鏈，裝置本身將可獲得固定的憑證。