企業需要探索如何將零信任安全模型應用于存儲系統。考慮到當今的網絡威脅形勢，額外的數據保護對企業來說至關重要。IT團隊必須謹慎執行零信任存儲策略，本文介紹了實現這個策略時需要記住的8個最佳實踐。

企業在試圖保護其數據和存儲系統時面臨越來越多的挑戰。然而，零信任存儲策略采用了一種“不相信任何人”的安全方法，這種方法認識到當今數據邊界的流動性。

敏感數據不再局限于專用網絡，可能存在于多個位置，就像勞動力的工作日益分散一樣。IT團隊還面臨著越來越多的規定如何存儲和保護數據的法規，這進一步使數據管理復雜化。傳統的網絡安全方法已經不能滿足當今的許多數據保護需求。

在零信任模型中，在進行敏感資源適當驗證之前，所有用戶和設備都禁止訪問。盡管這種方法可以幫助更好地保護數據，但是實現零信任存儲策略需要大量的工作。IT團隊為這樣的任務準備得越充分，就越有可能部署一個有效的系統來保護數據。

零信任存儲策略需要什么?

保護敏感資源的傳統方法是基于在IT基礎設施周圍建立一個強大的邊界。基于邊界的模型使用防火墻和其他網絡安全技術來創建一個城堡和護城河結構，將信任擴展到該邊界內的所有用戶和設備。盡管基于外圍邊界的安全在過去運行良好，但基于云的服務、遠程工作人員、BYOD計劃、邊緣計算和物聯網設備的持續擴散，已經為敏感數據帶來了一系列新的風險。僅保護外圍邊界已經不足以應對當今日益增多的復雜網絡威脅。

零信任安全限制和控制對數據、存儲系統和其他資源的訪問。零信任模型假設，在用戶、設備、服務或其他系統首次連接到網絡并在多個點上進行驗證之前，任何用戶、設備或其他系統都不能被信任。該模型始終使用微分段、系統監控、身份和訪問管理等工具，以及定義對存儲、數據和其他資源的細粒度控制的全面安全策略，對所有資源保持嚴格的訪問控制。

近年來，由于數據威脅的增加，零信任方法獲得了穩定的發展勢頭。2018年，調研機構Forrester公司推出了零信任擴展生態系統及其七個核心支柱，以實現有效的零信任平臺。同年，美國國家標準與技術研究院為實現零信任平臺的核心組件提供了廣泛的指南。最近，美國聯邦政府機構已經采取措施在國家層面實施零信任安全。

零信任平臺控制著對企業所有數據的訪問，無論是靜態數據還是動態數據。該平臺還保護與維護這些系統相關的通信和數據。網絡中的任何一個點都可能代表一個潛在的漏洞。一個漏洞可能會影響這個點以及其他網絡資源，包括存儲系統及其數據。出于這個原因，零信任計劃必須是整個網絡范圍的工作，它將存儲與所有其他資源結合在一起。

實現零信任存儲的最佳實踐

IT團隊必須謹慎執行零信任存儲策略，以下是實現這個策略時需要記住的8個最佳實踐。

(1)繪制出敏感數據當前駐留的位置及其流動方式

識別整個保護面，需要保護防范網絡攻擊的關鍵數據和系統以及這些系統的入口點。這些信息還應該包括管理員、應用程序和設備之間的通信通道。

對所有數據進行編目，包括數據的位置和存儲方式。最后采用一張全面的地圖顯示所有事物的位置以及它們之間的聯系。

(2)評估當前存儲和數據安全性

確定適當的存儲保護以及企業如何對每個組件應用安全性。識別各種攻擊面和頂級漏洞。實施一些清理工作(例如刪除舊的或未使用的賬戶)并應對直接的網絡威脅，直到零信任平臺完全投入運行。

作為評估的一部分，確定哪些用戶或帳戶當前被授權訪問資源及其訪問級別。確定他們連接到資源的端點，何時訪問這些資源以及訪問這些資源的頻率。仔細記錄所有發現，以便快速參考和理解訪問模式。

(3)驗證和識別所有與存儲相關的設備和服務

IT團隊應該了解存儲硬件的類型、存儲類型、軟件和固件的類型和版本，以及存儲網絡的詳細信息。

IT團隊應該能夠驗證所有連接到其網絡的設備。如果沒有能夠對網絡資源進行身份驗證、授權和驗證的適當標識，任何系統都不應該能夠訪問網絡資源。企業團隊應該為每個設備附加一個強大的身份，并確保它只有一個身份，而不是多個身份，他們還應該確保每個設備滿足其企業的特定安全要求。

(4)規劃和實施網絡分段

保護網絡的最有用的工具之一是微分段，它將網絡劃分為控制對數據和資源訪問的邏輯組件。微分段減少了直接的網絡攻擊面，并防止了通過網絡的橫向移動，這有助于遏制任何數據泄露。IT管理員經常在下一代防火墻中使用微分段，這些防火墻包括入侵防御和深度包檢測等高級功能。

即使使用了微分段，IT團隊也應該采用零信任策略，將每個渠道都視為潛在威脅，直到事實證明并非如此。它們永遠不應該假設同一網絡上或彼此物理接近的兩個實體之間存在隱含的信任。此外，他們應該保護資源之間的所有通信，以防止竊聽并確保這些通信的完整性。IT團隊還可以使用軟件定義的邊界，通過在資源周圍形成虛擬邊界來控制對資源的訪問。

(5)制定并實施細粒度的零信任策略

零信任存儲策略的核心是一組策略，這些策略授予用戶對特定資源的訪問權限，同時禁止所有其他訪問。零信任安全策略應該適用于每個人，無論他們在企業中的地位如何，或者他們是否被認為是資源的所有者。除了管理員明確授予的權限之外，用戶不應該能夠訪問任何其他資源。

基于最小權限原則的基本權限，訪問僅限于必要的內容，并且只在需要時訪問。管理員應該在會話結束后立即撤銷訪問權限。為了執行這些策略，開發一個框架來管理它們，并在每個入口點應用它們。框架組件應該通過單獨的控制平臺進行通信，以促進安全通信。

(6)對存儲系統和網絡進行監控和審計

監視和審計策略應該能夠跟蹤存儲資源，無論是在內部部署、云平臺還是在其他環境中。單獨評估設備和服務，將它們相互作用的方式聯系起來，并關注諸如數據用戶訪問或他們執行的操作等細節。

IT團隊應該設置警報，這樣他們就可以立即收到任何可疑活動的通知。他們應該維護活動日志，并持續分析收集到的信息，以確定哪些是有效的，哪些需要改進，哪些可能存在安全漏洞，以及是否存在任何異常行為。IT團隊應該自動化監控和審計操作，特別是在實時響應威脅時。這些團隊還應該進行滲透測試，并及時掌握威脅情報。

(7)不要相信本地網絡

在本地網絡上，部署基本的安全措施，加強更大的零信任努力，并為存儲和數據提供額外的保護。例如，加密所有靜態和動態數據。

IT部門應使用多因素身份驗證、單點登錄和IAM等工具，進一步提高安全性。零信任存儲策略應該包括一個備份和恢復平臺，該平臺集成了與其他資源相同的保護措施。備份數據的至少一個副本應該是不可變的和氣隙的，以防止可能的篡改。企業還應該考慮其他步驟來防止數據丟失，例如應用程序允許列表和物理保護設備免受潛在威脅攻擊。

(8)不要忘記最終用戶

最終用戶在有效的零信任存儲策略的成敗中起著至關重要的作用。IT團隊應該解釋他們為什么需要實施該策略及其潛在影響。這不僅能讓他們更好地為不可避免的變化做好準備，而且還提供了一個機會，讓他們了解潛在的安全風險，以及如何幫助保護數據。

最終用戶訪問數據、存儲系統和其他網絡資源的體驗是關鍵。如果用戶在嘗試執行任務時面對大量的多因素身份驗證步驟，他們就會變得越來越沮喪，可能會達到幾乎不看提示或通知的程度。用戶與安全系統的交互應該盡可能簡化和直接，而不會使他們的工作變得更加困難。