零信赖存储战略的八个低劣通常

企业在试图包全其数据和存储系统时面临越来越多的应战。但是，零信赖存储战略驳回了一种“不置信赖何人”的安保方法，这种方法意识到当今数据边界的流动性。

敏感数据不再局限于公用网络，或许存在于多个位置，就像劳能源的上班日益分散一样。IT团队还面临着越来越多的规则如何存储和包全数据的法规，这进一步使数据治理复杂化。传统的网络安保方法曾经不能满足当今的许少数据包全需求。

在零信赖模型中，在启动敏感资源适当验证之前，一切用户和设备都制止访问。虽然这种方法可以协助更好地包全数据，但是成功零信赖存储战略须要少量的上班。IT团队为这样的义务预备得越充沛，就越有或许部署一个有效的系统来包全数据。

零信赖存储战略须要什么?

包全敏感资源的传统方法是基于在IT基础设备周围树立一个弱小的边界。基于边界的模型经常使用防火墙和其余网络安保技术来创立一个城堡和护城河结构，将信赖裁减到该边界内的一切用户和设备。虽然基于中心边界的安保在过去运转良好，但基于云的服务、远程上班人员、BYOD方案、边缘计算和物联网设备的继续分散，曾经为敏感数据带来了一系列新的危险。仅包全中心边界曾经无余以应答当今天益增多的复杂网络要挟。

零信赖安保限度和控制对数据、存储系统和其余资源的访问。零信赖模型假定，在用户、设备、服务或其余系统初次衔接到网络并在多个点上启动验证之前，任何用户、设备或其余系统都不能被信赖。该模型一直经常使用微分段、系统监控、身份和访问治理等工具，以及定义对存储、数据和其余资源的细粒度控制的片面安保战略，对一切资源坚持严厉的访问控制。

近年来，因为数据要挟的参与，零信赖方法取得了稳固的开展势头。2018年，调研机构Forrester公司推出了零信赖裁减生态系统及其七个中心支柱，以成功有效的零信赖平台。同年，美国国度规范与技术钻研院为成功零信赖平台的中心组件提供了宽泛的指南。最近，美国联邦政府机构曾经采取措施在国度层面实施零信赖安保。

零信赖平台控制着对企业一切数据的访问，无论是静态数据还是灵活数据。该平台还包全与保养这些系统关系的通讯和数据。网络中的任何一个点都或许代表一个潜在的破绽。一个破绽或许会影响这个点以及其余网络资源，包含存储系统及其数据。出于这个要素，零信赖方案必定是整个网络范围的上班，它将存储与一切其余资源联合在一同。

成功零信赖存储的最佳通常

IT团队必定审慎口头零信赖存储战略，以下是成功这个战略时须要记住的8个最佳通常。

(1)绘制出敏感数据驻留的位置及其流动形式

识别整个包全面，须要包全防范网络攻打的关键数据和系统以及这些系统的入口点。这些消息还应该包含治理员、运行程序和设备之间的通讯通道。

对一切数据启动编目，包含数据的位置和存储形式。最后驳回一张片面的地图显示一切事物的位置以及它们之间的咨询。

(2)评价存储和数据安保性

确定适当的存储包全以及企业如何对每个组件运行安保性。识别各种攻打面和顶级破绽。实施一些清算上班(例如删除旧的或未经常使用的账户)并应答间接的网络要挟，直到零信赖平台齐全投入运转。

作为评价的一局部，确定哪些用户或帐户被授权访问资源及其访问级别。确定他们衔接到资源的端点，何时访问这些资源以及访问这些资源的频率。细心记载一切发现，以便极速参考和了解访问形式。

(3)验证和识别一切与存储关系的设备和服务

IT团队应该了解存储配件的类型、存储类型、软件和固件的类型和版本，以及存储网络的具体消息。

IT团队应该能够验证一切衔接到其网络的设备。假设没有能够对网络资源启出发份验证、授权和验证的适当标识，任何系统都不应该能够访问网络资源。企业团队应该为每个设备附加一个弱小的身份，并确保它只要一个身份，而不是多个身份，他们还应该确保每个设备满足其企业的特定安保要求。

(4)布局和实施网络分段

包全网络的最有用的工具之一是微分段，它将网络划分为控制对数据和资源访问的逻辑组件。微分段缩小了间接的网络攻打面，并防止了经过网络的横向移动，这有助于遏制任何数据暴露。IT治理员经常在下一代防火墙中经常使用微分段，这些防火墙包含入侵进攻和深度包检测等初级配置。

即使经常使用了微分段，IT团队也应该驳回零信赖战略，将每个渠道都视为潜在要挟，直到理想证实并非如此。它们永远不应该假定同一网络上或彼此物理凑近的两个实体之间存在隐含的信赖。此外，他们应该包全资源之间的一切通讯，以防止窃听并确保这些通讯的完整性。IT团队还可以经常使用软件定义的边界，经过在资源周围构成虚构边界来控制对资源的访问。

(5)制订并实施细粒度的零信赖战略

零信赖存储战略的中心是一组战略，这些战略授予用户对特定资源的访问权限，同时制止一切其余访问。零信赖安保战略应该实用于每团体，无论他们在企业中的位置如何，或许他们能否被以为是资源的一切者。除了治理员明白授予的权限之外，用户不应该能够访问任何其余资源。

基于最小权限准则的基本权限，访问仅限于必要的内容，并且只在须要时访问。治理员应该在会话完结后立刻撤销访问权限。为了口头这些战略，开发一个框架来治理它们，并在每个入口点运行它们。框架组件应该经过独自的控制平台启动通讯，以促成安保通讯。

(6)对存储系统和网络启动监控和审计

监督和审计谋略应该能够跟踪存储资源，无论是在外部部署、云平台还是在其余环境中。独自评价设备和服务，将它们相互作用的形式咨询起来，并关注诸如数据用户访问或他们口头的操作等细节。

IT团队应该设置警报，这样他们就可以立刻收就任何可疑优惠的通知。他们应该保养优惠日志，并继续剖析搜集到的消息，以确定哪些是有效的，哪些须要改良，哪些或许存在安保破绽，以及能否存在任何意外行为。IT团队应该智能化监控和审计操作，特意是在实时照应要挟时。这些团队还应该启动浸透测试，并及时把握要挟情报。

(7)不要置信本地网络

在本地网络上，部署基本的安保措施，增强更大的零信赖致力，并为存储和数据提供额外的包全。例如，加密一切静态和灵活数据。

IT部门应经常使用多要素身份验证、单点登录和IAM等工具，进一步提高安保性。零信赖存储战略应该包含一个备份和复原平台，该平台集成了与其余资源相反的包全措施。备份数据的至少一个正本应该是无法变的和气隙的，以防止或许的窜改。企业还应该思考其余步骤来防止数据失落，例如运行程序准许列表和物理包全设备免受潜在要挟攻打。

(8)不要遗记最终用户

最终用户在有效的零信赖存储战略的成败中起着至关关键的作用。IT团队应该解释他们为什么须要实施该战略及其潜在影响。这不只能让他们更好地为无法防止的变动做好预备，而且还提供了一个时机，让他们了解潜在的安保危险，以及如何协助包全数据。

最终用户访问数据、存储系统和其余网络资源的体验是关键。假设用户在尝试口头义务时面对少量的多要素身份验证步骤，他们就会变得越来越丧气，或许会到达简直不看揭示或通知的水平。用户与安保系统的交互应该尽或许简化和间接，而不会使他们的上班变得愈加艰难。