Gartner将零信任网络访问定义为一种产品或服务，它围绕一个或一组应用程序创建基于身份和上下文的逻辑访问边界。TechTarget说得更简单，说明零信任网络安全模型假定在默认情况下，允许进入您的网络的任何用户都不应该被信任，因为他们可能被泄露。
零信任方法要求在整个网络中进行身份和设备验证，而不仅仅是在外围。零信任就像每个接入点都锁上了门，任何人都需要正确的钥匙和授权才能进入。
考虑到这一点，这非常重要85%的数据泄露与人为因素有关．只要组织中有人点击恶意链接或下载受感染的PDF文件，就会立即使您的网络和数据面临恶意软件和勒索软件的风险。随着社会工程计划变得越来越复杂，TechTarget最近的一篇文章说，一些攻击是如此精心设计，以至于他们甚至愚弄安全研究人员．
零信任:加强你的第一线防御
作为加强美国抵御网络攻击的努力的一部分，美国国家安全局(NSA)建议各组织采用一种安全策略零信任安全模型．美国国家安全局将该模型定义为“一种基于承认威胁存在于传统网络边界内外的协调网络安全和系统管理战略。”
当您转移到零信任模型时，您将不断限制访问由任何人只做需要的事。零信任包括对异常或恶意活动的监控、基于风险的细粒度访问控制(RBAC)以及贯穿整个基础设施的自动化、协调的系统安全性。您还应该更加关注实时保护关键数据。
回到人的因素上来，一个成功的零信任安全模型要求组织内的每个人，从上到下，都理解并遵守零信任原则。
零信任的基本概念
美国国家安全局已经发布了高级别的指导方针，可以作为您在转向零信任模型时做出决定的基础，其中包括:
- 从来没有信任;总是验证
- 所有用户、设备、应用程序、工作负载和数据都被视为不受信任。使用动态安全策略对每个人进行身份验证并显式地授予所需的最小权限。
- 假设发生了违约
- IT团队需要首先假设他们已经被攻破，并据此进行操作和防御。默认情况下，每个用户、数据流、设备和请求的每次访问尝试都应该被拒绝。应该监视、记录和检查所有配置更改、资源访问和网络流量，以防止恶意活动。
- 验证每个人
- 使用具有多个动态和静态属性的一致、安全的方法，以增强基于上下文因素限制资源访问的信心。
构建零信任解决方案
NSA还分享了一些核心概念，这些概念应该构成零信任策略的基础，包括:
- 设定明确的目标：零信任体系结构需要满足组织的特定需求，包括识别关键数据、资产、应用程序和服务。
- 开始在：第一步是保护上面列出的体系结构的组件。下一步是保护对这些组件的所有访问。
- 决定特权：创建安全策略，并在您的环境(局域网、广域网、端点、周界、用户和设备)中一致地应用它们。
- 获得可见性：制定一个解决方案，使您能够完全可见整个网络架构中的所有活动，从而启用检测可疑活动的分析，并让您在采取行动之前检查和记录所有活动。
零信任包括您的备份解决方案
随着黑客攻击备份的频率越来越高，他们可以阻止您的组织从攻击中恢复，保护您的备份比以往任何时候都更加重要。我们设计了Arcserve UDP支持零信任安全策略，最大限度地减少重要数据备份暴露于外部威胁。
Arcserve UDP和零信任
Arcserve UDP通过包括扩展的默认配置和可定制的配置来防止不必要的访问。该解决方案的特性还确保只有授权用户才能访问您的数据备份和数据保护基础设施。Arcserve UDP可以允许本地用户访问，也可以与您组织的活动目录部署集成，以简化用户管理。
UDP还利用整个平台的零信任原则来保护您的备份，包括:
- 默认情况下，只有管理员可以使用Arcserve UDP代理和恢复点服务器(RPS)，每次访问都需要严格的身份验证。
- 高级RBAC功能允许您为用户分配预定义的管理、备份、恢复或监视角色之一。或者，您可以选择定义一个具有一组权限的新角色，该权限控制对三十多个单独特性的访问。
- 在Linux环境中，Arcserve UDP组件可以在非root用户id下运行，并在需要管理权限时使用SuperUser DO (Sudo)命令。
超越零信任:隔离备份基础设施
在大多数情况下，Arcserve UDP是自给自足的，设计用于在隔离环境中运行。此方法通过监控和最小化对备份数据的访问，进一步支持您的零信任策略，以便您可以在发生灾难时进行恢复，包括:
- 为了Arcserve UDP组件之间的安全通信，必须打开极少数非标准TCP端口，所有其他操作都在受保护的系统和RPS上本地执行。
- 基于web的接口在HTTPS上运行，不需要打开可能不安全的端口，如远程桌面协议(RDP)。
- 唯一的自动外部互联网查询是定期检查更新。如果环境是安全和完全隔离的，则可以禁用该检查，以防止防火墙解决方案发出出站连接尝试警报。
- Arcserve建议Arcserve UDP服务器不应与较大的活动目录集成，以最大限度地减少数据保护基础设施的潜在攻击面。
Arcserve还建议，当备份复制到远程站点或云时，将网络之间的直接连接限制在所需的端口上——TCP/8014用于复制数据，TCP/8015用于集中管理。如果您的主站点被黑客攻击或被勒索软件锁定，这将最大限度地减少数据的次要备份副本的暴露。
最高安全性监控
借助高级监控功能，Arcserve UDP让您的备份管理员快速反应，以调查备份基础设施操作的任何方面-包括安全性-通过提供:
- 根据需要，通过电子邮件发送有关Arcserve UDP部署的计划报告。
- 大多数备份操作的自动电子邮件警报，以便快速解决任何问题。
全面的作业日志，包括调查备份和基础设施异常所需的所有必要信息。Arcserve UDP也提醒备份管理员当问题出现时，无需登录管理控制台。
向零信任迈进
Arcserve是零信任模式的坚定支持者。要了解如何实施零信任策略，请选择我们的专业的技术合作伙伴或联系我们有关更多产品细节。