零信任安全架构及在HVV中的实践

疫情常态化的当下，我们仍需严防死守，不能松懈。其实防范疫情与防御威胁两者之间有相似之处，如“应检尽检、不漏一个”的防疫措施也能很好地体现零信任理念；为了防止疫情扩散所实施的“封城政策”则与网络安全加固异曲同工，都是将边界作为阻断危机的首道防线。

“零信任”最早雏形源于2004年成立的耶利哥论坛（Jericho Forum ），2010年“零信任”概念由时任市场研究机构Forrester的研究员John Kindervag正式提出，John后来加入Palo Alto Networks任面向客户的CTO （Field CTO）。零信任要解决的是缺省或者隐式信任带来的信息系统弱点问题。 传统网络安全架构中，默认内网是安全的，网络安全重点在边界防御，因此在边界部署大量安全产品如防火墙、DDoS, WAF, IDS/ IPS、网闸等设备对网络边界进行防护，而对企业内网安全则重视度不够，一旦网络边界防护被突破，攻击者可以在内网畅行无阻，因为内网主机和用户默认全部“可信”。随着业务需求和技术的演进，内部员工、业务合作伙伴甚至供应商都有访问企业数据的需求，在这种情况下，传统的安全边界变得模糊，外网和内网已经不再泾渭分明，行业迫切需要一种颠覆性的思维和方法来重新定义网络安全，“零信任安全”应运而生。

“零信任安全”引导安全体系架构从网络中心化走向身份中心化，从默认信任走向确信的信任，从静态检查走向持续监控，其本质是“从不信任、永远验证！”（Never Trust，Always Verify！）。

正是基于零信任理念，我们对HVV行动进行了总结，以下经验与大家分享：

1.梳理和熟悉经常被命中的威胁攻击签名，如扫描工具，IoT漏洞扫描等
2.关注各种安全公众号，快速自定义新披露漏洞的签名；内网NGFW开启端口扫描检测
3.传统防护思路注重南北向头重脚轻，用户缺少一个有效的安全架构指引
4.NGFW在HVV的优势：7层应用识别、高检测率低误报率、开放灵活的API

为敏捷开发而生的容器安全

云原生作为一个概念集合，既包含微服务、容器，也包含更多的管理方法，如持续交付、DevOps和重组等。随着微服务的广泛采用，微服务容器化趋势愈加明显，在为DevOps团队带来敏捷性的同时，也给后端管理带了负面影响，对信息系统的安全性和业务的连续性提出了挑战。

在这样的背景下，Palo Alto Networks 推出Prisma Cloud Compute 容器安全解决方案。该方案可有效应对微服务容器化趋势带来的诸多不便，及时发现新版本应用中的安全漏洞和隐患，实现更透明、更快速、更自动化的应用迭代和交付。此外，该容器解决方案能够实时监测和扫描各种风险，满足企业对合规和风控的要求，其可执行如下功能：

攻击面管理及安全运维自动化

软件定义网络的普及，带来的是攻击面的不断扩大，而攻击种类与规模的不断增加，加之以受管理服务器在数量上的日益增多，使得人工运维捉襟见肘，自动化运维开始走上历史舞台。

内容一：外部威胁攻击面管理
随着全球云计算市场的不断扩大，攻击面也在不断扩大。根据ESET 2020年第四季度威胁报告，主要云提供商的远程桌面协议(RDP)暴露增加了27%，而2020年第一季度到第四季度 RDP攻击则暴增了768%。
Palo Alto Networks Cortex Xpanse可对攻击面进行有效管理，包括：

具有如下特性：
■ 无需部署任何软件与硬件
■ 从外部评估企业暴露在Internet上的资产的风险
■ 实时评估暴露在Internet的资产的风险
■ 为CISO及安全团队提供已知和未知资产的可见性
■ 缩短MTTI时间

内容二：安全自动化编排与响应

Palo Alto Networks 安全编排、自动化与响应平台Cortex™ XSOAR可执行如下功能：

金融发展，安全为先
Palo Alto Networks（派拓网络）作为全球网络安全领导者，在金融安全领域已树立多个标杆性案例，具备丰富的产品解决方案与项目实践经验，将不断夯实自身优势基础，持续发力云端安全研究，以实际行动赋能金融数字化转型建设，为全球客户的数字化经济高质量发展贡献更多力量。