對於零信任的概念,大家有著什麼樣的想像?這種預設都不信任的概念或是態度,其實很早就隱隱存在我們日常周遭,尤其是在威脅變得更加猖獗的情況之下,自然逐漸浮現。

舉一個簡單的例子,當我們知道釣魚郵件、社交工程手法猖獗,因此,一遇到陌生或可疑郵件,就不會去點擊連結、不開啟附檔,這已經是一種不信任的態度。

若要信任所要開啟的網址連結或檔案的安全,多數人都會抱持謹慎態度,存有懷疑並且想要驗證。像是透過已知的管道去查詢寄件者是否有異,或是思考為何對方要寄給自己,郵件內容是否為釣魚或詐騙,同時,還會去注意郵件夾帶的網址連結是否指向正常網頁,以及附加的檔案是否暗藏惡意程式。

當然,在知道更多威脅手法後,考量的部分會更細,像是檢查郵件夾帶的連結,是否顯示文字與URL網址不同的情況,仔細確認網址內容,還會觀察可能偽造成與真實網址相近的釣魚連結,以及注意檔案格式,例如,可能為了避過郵件安全防護偵測,而將惡意程式藏在加上密碼的壓縮檔。

此外,大家可能還會透過線上惡意檢查服務VirusTotal來檢測檔案與網址,做為參考,但也不全然相信安全無虞,所以,仍會做好系統與應用程式安全更新,以及執行端點安全防護機制,這些都是不可或缺的基本安全防範措施。

甚至因為釣魚連結、惡意檔案不斷運用各式伎倆,以規避資安防護的偵測,再加上零時差漏洞可能存在系統軟體,導致被植入竊密程式或各種惡意程式的狀況。

因此,若是全部假設皆不信任,當我們開啟可疑連結、檔案時,最好能夠選用系統環境乾淨、隔離的測試環境或VM執行,避免自己現在使用的電腦遇害,而在面對網釣威脅上,現在不只呼籲採用MFA,還要是無密碼、不受網釣攻擊影響的MFA,並且此時還是會注意能繞過MFA的Session劫持手法。

從這樣的概念來看,大家應該能夠瞭解,以零信任的概念與態度而言,其實一直存在我們日常周遭,只是在安全與方便的權衡。

而在企業網路安全前提之下所談的「零信任」,包含零信任模型、零信任架構(ZTA)、零信任網路安全(ZTNA),意涵更廣,不僅是基於沒有被默許的信任而成,但最終還是要設法達到信任,因此就要建構細緻的存取控制,遵循最小權限原則,透過蒐集多方即時資訊以供判斷,使每次快速持續驗證都要基於動態風險評估後才放行(判斷及驗證速度也要夠快夠方便才具實用性),透過整個架構與機制來提升安全強度。

其目的是要扭轉過往「外網危險、內網安全」的制式防護型態,而是要假設網路入侵事件已經發生,因此,我們要將內外安全防護一致作為最主要的考量,最終達到降低資料外洩、橫向移動攻擊機率的目的。

那麼,前述提到的郵件安全情境當中,是否也能套用零信任架構,進而達到郵件安全零信任呢?或是應用到其他領域呢?

前幾年,我們看到電子郵件安全防護,都更聚焦在重寫網址連結與沙箱機制,這些能提供進一步預防與安全性驗證。

日本政府推動郵件無害化,也是很值得參考的作法。簡單來說,就是讓郵件的內文只顯示純文字,移除郵件中的JavaScript、HTML與超連結等。在此之後,CDR檔案威脅清除技術,以及上網隔離(Web Isolation)技術的興起,也能提供更多防護力。前者可將檔案中可能有害的內容元件抽離去除,並維持檔案的可用性,後者可讓用戶以遠端瀏覽器隔離執行的方式免除惡意威脅,再加上提倡多年的電子郵件認證方式DMARC等。在這些種種方案的搭配之下,也讓郵件安全零信任架構有了更多的探討。

整體而言,我們可以發現,雖然都是基於不信任的概念去推動資安,但在不同場景、不同目標之下,提出的因應防範方式也會有變化。在網路安全零信任架構上,就是因為不給予任何的信任,因此要每個環節都會進行驗證,而從現在郵件安全零信任架構的探討上,則是因為不給予任何的信任,又顧及收信需求及偵測誤判可能,因此利用盡可能去除任何威脅的方式來做到保障。

因此,儘管要將現在網路安全所提的零信任架構,類比到其他領域,不一定完全可以適用,也還在持續探討與發展,但如何從都不信任的設想下去建立「信任」,大家的發展方向都是一致的。

專欄作者

熱門新聞

Advertisement