零信任？网上冲浪无零信任

虽然听起来有点夸张，但别信任何人或任何事的概念已成为网络安全的新范式。过去，我们会将内部网络视为可信，而将外部网络视为不可信。随着内部威胁和高度复杂恶意软件的扩散，这一概念不仅早已过时，而且非常危险。

零信任

零信任概念改变了规划和执行现代网络安全策略的方式。物理设备、软件产品或云服务等任何安全屏障均无法被视为具有足够的安全性。任何企业均无法被视为是可以由自身外围防御设施所保护的安全堡垒。任何网络均无法自动“OK”。直截了当地说，组织必须不再信任其网络内外的任何事或任何人。

自零信任概念提出以来，已经出现了大量新的微细分解决方案以将其从理论运用到实践。微细分应用程序和环境背后的想法是，为执行安全策略，组织必须能够控制网络上各点之间应该或不应该允许的通信。为实现这一目标，网络活动被分解为可以单独得到保护的最小单个进程。在零信任范式下，机器、网络和 IP 地址都进行了细分，同时对每个组件和组件之间的访问都根据严格应用的安全策略和身份验证来限制。

微细分的要求十分苛刻。在一个真正的微细分网络内，IT 团队必须跨人员、网络、设备和工作负载管理大量数据进程。一个小的错误配置就可能会使组织的工作效率倒退一天。此外，差别极小的访问和身份验证过程可能会造成不良用户体验，并可能进一步阻碍生产效率。

更重要的是，虽然微细分和相关解决方案在保护网络以及每个人和每件事的数据方面已经有很长的历史，但在真正锁定网络内外的所有内容方面仍然存在差距。

Web 浏览如何？

微细分未能应对的风险领域之一就是 Web 浏览。尽管浏览在当今的商业环境中必不可少，但它仍然是一个可让恶意软件渗透到组织中的非常开放的漏洞。虽然可以将内容细分到核心内容，但却无法阻止勒索软件变种，跨站点脚本攻击和偷渡式下载等基于浏览器的恶意软件在网络中立足。恶意软件绕过接口后，就会进入您的端点设备，然后进入您的网络。

零信任的倡导者通常的解决方案是将可信站点列入白名单，同时拒绝访问所有其他站点。但事实一次又一次证明，将访问限制到已知的必需站点只会阻碍生产效率。有限的访问给 IT 人员和最终用户都带来了障碍，用户被迫请求和等待访问，而 IT 人员则必须将注意力从更重要的战略优先事项转移到管理此类请求并给其授予访问权限。

此外，即使企业可以将员工必需的每个网站都列入白名单，但仍然容易受到通过合法网站渗透的恶意软件的攻击。无法确切知道给定网站的后台进程，即便是已经列入白名单的网站。网站总是有可能在“恶意广告”活动中受到恶意软件的感染

因此，尽管网站在技术上是“信任”网站，但仍会向用户传播恶意软件。即使是 URL 过滤、反网络钓鱼列表、Web 网关以及其他类型的过滤和筛选解决方案也无法完全阻止来自 Web 的威胁。因此，当前的零信任范式为浏览器传播的恶意软件留下了渗透网络的空间。

远程浏览器隔离对于 Web 也采取零信任策略。零信任概念也必须扩展到浏览器才能达到百分百安全。

采用远程浏览器隔离后，Web 内容均不被信任。每个网站、每段内容以及所有下载都受到同样的极端怀疑。无需白名单或访问请求，同时用户可以正常与其所需的任何站点交互。

所有浏览都在位于网络隔离区或云中的一次性虚拟容器中发生，远离易受攻击的资源。用户可以实时访问网站和应用程序，而不受任何基于浏览器的威胁。当该浏览标签关闭时，虚拟容器及其所有内容都被销毁。任何不受信任的内容均无法进入端点设备，正常工作流也不会被中断。远程浏览器隔离意味着整个 Web 不再对您的组织构成威胁。

事实上，零信任的概念仍然使组织处于浏览器传播的恶意软件的风险中。虽然在当今不断变化、高度复杂的威胁格局中，不信任“任何人和任何事”是明智之举，但如果将其作为一种新的范式，那么这种明智之举必须应用到所有方面才有意义。远程浏览器隔离是将零信任提升到下一个级别，给组织带来真正安全的解决方案。