應援小百科
請想像一下，當你走進一間陌生大樓，警衛將你攔下來，你必須出示證件或獲得內部人的邀請才能進入。也許你已經司空見慣，但在網路世界中，這就是「零信任」的概念。
具體來說，到底什麼是「零信任」？
零信任是資安術語，代表一種安全策略：無論使用者或裝置都不應該被默認信任。
所謂的「零信任架構」（Zero Trust, ZT） ，指的就是一種網路資安的架構和目標，它的假設前提是：任何交易、個體與身分在獲得信任並持續維持信任之前，全都不可信任。
Google Cloud 說明零信任，藉由移除隱含的預設「信任」，並強制實行嚴格的身分驗證和授權機制，用以保護現代的組織、設備和機構。
在零信任機制下，不論使用者是屬於機構網路內部或外部，一律將所有使用者、裝置和元件視為不受信任。
零信任這種安全模型的原則是「永不信任，隨時驗證」。換句話說，每個訪問請求都被視為來自未經信任的來源，資安系統需要驗證該請求的合法性。
近年來，組織面臨的網路攻擊數量急劇增加。從資料外洩到勒索軟體，企業時刻受 到惡意攻擊者的威脅。因此，安全專家越來越多採用零信任架構來保障網路和資料的安全。
Microsoft 指出，零信任架構不只會保護組織的周邊環境，還會透過驗證每個身分和裝置，來保護各項檔案、電子郵件和網路。
有時候，零信任架構也被稱為「無界限安全措施」。 零信任架構不只會保護單一網路，它還會協助保護遠端存取、個人裝置及第三方應用程式。
iThome 說明，在2010年，國際研究機構Forrester 的首席分析師John Kindervag 提出了「零信任」名詞及具體概念。
自 2020 年美國國家標準技術研究院（National Institute of Standards and Technology, NIST）正式頒布標準文件「SP 800-207：零信任架構（Zero Trust Architecture, ZTA）」，成為各界採用基礎。
後續因為全球疫情爆發，聯網需求增加，迅速增進零信任架構發展，已有許多不同資安廠商提供各式各樣的零信任解決方案。
零信任架構包含多個支柱，共同組成了一個安全且有效的防護模型。分別包括 5 大組成。
身分和訪問管理（identity and access management, IAM）是零信任架構的基礎。這是一個管理數位身分和資源訪問的過程。
身分和訪問管理讓組織確保只有授權的使用者和裝置才能訪問他們的網路和資料。
在零信任環境中，組織可以使用多種工具和技術來實施身分和訪問管理，包括多因素驗證 (MFA)、基於角色的訪問控制 (RBAC)、特權訪問管理 (PAM) 方案以及身分驗證。
網路分段是將網路分割成更小、更安全的部分的過程。每個部分都與其他部分分離，並需要一套獨立的訪問控制和驗證規則。
網路分段對零信任架構非常重要，因為可以限制潛在攻擊造成的損害。
如果駭客進入了其中一個分段，駭客無法在沒有適當驗證的情況下訪問其他部分。
裝置安全是零信任架構的另一個重要基礎。所有訪問網路的裝置必須安全，而且符合組織的資安政策，這包括公司擁有的裝置和員工使用的個人裝置。
組織應該使用裝置和端點特權管理技術，確保所有裝置都安裝了最新的安全更新，並隨時保持最新。行動裝置管理 (MDM)、端點特權管理 (EPM) 和端點偵測與回應 (EDR) 是零信任環境中裝置安全的三大重要工具。
資訊安全常常是零信任架構中被忽略的支柱。所有資訊無論在傳輸、使用還是儲存，都必須受到保護。這包括加密儲存中的資訊和傳輸中的資訊，並實施權限控制來限制誰可以查看和修改資料。
組織還應監控其資料是否有可疑活動的跡象，例如異常地點和時間的登錄要求、原始資料的變更等。
常用的工具動態資料遮蔽 (DDM) 和資訊流處理工具可以在資訊使用或傳輸過程中，透過遮蔽個人識別資訊 (PII) 防止資訊洩露。
持續監控與分析是識別和應對零信任環境中安全事件的關鍵。安全團隊應使用監控工具來跟踪網路活動並偵測任何可疑行為的跡象。
監控有助於還可以利用分析識別網路流量和使用者行為中的模式，這有助於在威脅成為嚴重的資安事件之前辨識。
實施零信任架構是一個複雜的過程，需要精心的計劃和執行。
零信任架構的五個支柱——身分和訪問管理、網路分段、裝置安全、資訊安全和持續監控與分析——共同組成了一個安全且有效的防護模型。
透過實施零信任架構，組織可以保護其網路和資料免受日益複雜的網路攻擊。
應援科技以市面首創整合型金流系統，重視體驗更懂得兼顧資安、服務等需求的雲端組織管理工具。
100% 搭載在 AWS 雲端採用最先進的零信任架構，以及 Visa Cybersource 代碼化技術，應援科技得到多項國際資安認證，包含 PCI-DSS 及 ISO27001。
總部設於台灣，能夠快速提供支援，並以此為基礎，支援超 過 800 個組織建立官網和舉行活動，無論你是組織、個人還是企業用戶，應援科技都能提供你所需的工具和支持，助你輕鬆建立安全的網路環境。
利用應援科技的專業知識，了解更多關於零信任架構的解決方案。聯繫我們，看看我們可以如何幫助你。
交易暨資訊安全