AI 就绪型 Zero Trust 架构构建蓝图

多年来，行业共同坚守一个口号：“永不信任，始终验证。”这是早期 Zero Trust 的基石，摆脱“城堡和护城河”思维的必要转折点，因为这种思维假设网络内部的任何东西都是安全的。但是如今，仅仅验证身份已成为最低要求。AI 驱动的脚本现在能够劫持经过身份验证的会话并以机器速度模仿用户行为，因此，重点必须从身份验证转向架构弹性。

我们现在必须假设验证门最终将被绕过。目标不再是检查凭据，而是确保架构本身能够抵御主动入侵。企业必须超越基本权限，转向自动遏制状态。例如，如果一个会计用户的凭据被自动脚本利用，系统不应仅仅对凭据进行验证，还不应允许该用户接触预定义的狭窄沙盒之外的任何东西。

现代网络安全弹性依赖于实时自动响应，在威胁出现时立即将其扼制。如果遥测数据显示数据泄露信号，架构不应等待人工分析师，而必须自主隔离分段。这种根本性转变有效抵消了攻击的“突破阶段”。

在企业开始实施 Zero Trust 时，还必须考虑到这种永不信任、限制访问权限的模式也有不利的一面。Zero Trust 的一个基本功能是限制访问，在过去，这主要依靠主动安全策略实现。这种做法明确指定了允许执行的操作；并且默认拒绝其他一切操作。

这确实可以削弱攻击者从事恶意活动的能力，但往往也会增加意外地造成其他人无法正常工作的可能性。或者说，误报导致阻止合法软件包或用户，或漏报允许恶意流量通过，这些会累积造成延迟和挫败。如果 Zero Trust 策略造成用户无法有效完成工作，那就不具备可行性。

同样，当今复杂的 IT 环境如今面临着更加复杂的威胁形势。这就意味着安全团队需要管理数千条手动规则。但这已经行不通。企业需要采用防御性 AI 方法来实现 Zero Trust 安全。虽然 AI 简化了攻击，但它也可以简化策略创建，使团队能够快速部署和调整策略，同时保持至关重要的人工监督。

因此，强大的 Zero Trust 策略将在安全性与访问之间取得平衡，或者在自动化与人工监督之间取得平衡。

市面上的产品之间还存在一个至关重要的差异化因素，而 Zero Trust 采购团队可能会忽视这个重要考虑要点。整合边缘云平台的解决方案可充当身份感知代理，从而消除与边缘平台的连接，确保在远离数据中心的边缘完成所有身份验证，给企业带来额外的优势。有些企业采用的是在 DMZ 内运行的访问代理架构，但这种方案无法利用云的能力来更好地吸收攻击、提供缓存带宽，以及按需自动扩缩。

在云端构建的身份感知代理可以按需扩缩，运行 CPU 密集型资源，并有效吸收攻击。此外，这种方案基于私有 IP 地址，无法直接通过互联网访问。对性能和安全最为敏感的活动发生在最靠近最终用户的边缘。此外，进入应用程序的敏感进入路径使用了反向应用程序隧道，这有效去除了边界的 IP 可见性，并降低了流量攻击的风险。

AI 同时加速跨多个媒介的攻击（将网络和应用程序 DDoS 攻击、API 攻击等融合到协同攻击活动中），因此在离网络更远的地方安装防御体系变得更加重要。

Zero Trust 计划永远没有“完成”可言，因此对于考虑相关软件、硬件和招聘要求的人员而言，首要问题往往是：“应该从何种技术入手？”

与许多事情一样，答案取决于各公司的具体需求、风险评估结果以及相对优势和劣势。许多行业观察家给出的回答是首先实施 ZTNA。确实如此，保护企业免受恶意南北流量的侵袭不失为精明的起点。但也有人认为，东西向微分段方法（特别是软件定义的微分段）要更为理想。

大多数专家都认为防御总有漏洞，恶意攻击不可能彻底避免，如果您也认同这种观点，那么您必定希望保护自己的重要资产。这就是微分段的意义所在。企业不愿开始实施微分段方案的原因之一在于，他们认为这种方案非常复杂。

首先，微分段并非“要么全面实施，要么完全不实施”的方法。与 Zero Trust 本身一样，它可以分阶段实施。企业可以首先确定自己的重要资产。关注点应放在真正关键的资产上。应该确保在系统遭到入侵时，您的业务不会因此而中断。资产的重要性可以根据资产内的数据判断，也可以根据现有保护级别判断。

许多情况下，您都希望微分段解决方案能够涵盖您的传统系统，因为这些系统运行的常常是业务关键应用程序，并且特别容易遭受攻击。但是，有些微分段解决方案并不能保护这些传统系统。

其次，软件定义的微分段可消除企业认定的大部分复杂难题。您不需要处理硬件，也不需要一再地联系网络架构师和安全架构师。您也不需要花费数月时间来创建、修改和实施策略。AI 降低了采用 Akamai 的生成式策略引擎等功能的障碍，该引擎对应用程序行为进行建模，并将该意图映射到深度工作负载遥测中，包括进程、用户和完全限定域名，从而自主综合可直接实施的分段规则。

此外，如果您认为入侵只是时间问题，并且 AI 驱动的攻击正在使攻击的杀伤力与代价均创新高，那么，理应从阻止入侵最有效的方法切入，即在攻击入侵内部后，立即封锁所有移动。

微分段计划一旦启动，就能立竿见影地获得初步的好处，而这有助于推动后续项目。例如，您现在可以一个客观来源，便于了解您的环境中所发生情况的事实。您甚至不需要实施策略便可立即获得该事实，而且在此之后，您将能很好地了解通信流的来龙去脉。此外，在企业启用应用程序安全围栏之后，您可以轻松地封锁关键服务，仅允许它们通过特定端口和进程进行通信。

或者，针对特定威胁的策略可用作速效方案。精密的微分段平台应内置主动安全机制，让您可以快速创建策略，阻止远程桌面服务与互联网之间的不必要连接。例如，企业可以快速消除导致 Colonial Pipeline 攻击的漏洞。

无论起点如何，在任何持续进行的 Zero Trust 旅程中，关键是平衡。无论身份管理有多出色，如果分段不善或者 Web 访问保护能力不尽人意，也无法实现良好的安全性。

就像许多技术决策一样，在制定购买 Zero Trust 软件的决策时，最终要在独立专用工具与整合多个组件的平台之间做出选择。考虑到 Zero Trust 对安全团队、集成人员、架构师和分析师的影响，以及这些人员在多个控制台、代理和集成之间维护策略的需要，平台是一种令人信服的方案。在人力市场紧张、娴熟的网络安全专业人员稀缺的现状下，平台方案尤具优势。管理多家供应商的解决方案可能会显著增加人力成本，因为彼此之间无法有效通信的解决方案会造成误报，进而给最终用户加重负担，并且可能需要额外的支持与培训。

AI 赋能威胁日益增多，攻击者不再只是寻找弱点，而是同时寻找所有弱点。因此，集中策略创建和协调自动化至关重要。而且，拥有先进 Zero Trust 防御的企业将跨其安全堆栈的所有部分（从安全信息和事件管理到端点检测和响应威胁再到威胁情报）实现紧密集成。这种平台方法为现代企业显著简化操作，而不是走单项最佳之路。

最后，在涉及到支持和合同谈判时，通常采用“握一只手”原则，因此与平台提供商合作实施 Zero Trust 具有明显优势。

您应该寻找一家具有灵活方法的单一供应商——既能提供 Zero Trust 的综合平台，也能提供独立的单点产品。这种灵活性让您既能更轻松地实现 Zero Trust 架构，又能享受单一供应商带来的便捷性。

如今，AI 驱动的网络攻击已使“检测和响应”的传统网络安全方法过时。自主智能体和 AI 赋能恶意软件能够在短短几分钟内映射网络并执行横向移动，因此人工步调的调查不再是可行的防御措施。在这种形势下，速度是唯一明确的优势。

赢得 AI 网络安全较量需要战略发生根本性转变：从追逐攻击者转向抢先遏制。Zero Trust 蓝图包含一个全面平台，涵盖 ZTNA、微分段、DNS 防火墙和防网络钓鱼 MFA，这对于企业韧性至关重要。用 AI 驱动的防御措施取代人工猜测，企业可以缩小其爆炸半径，并在微服务层实施安全防护措施，避免让威胁成为现实。在我们进入 AI 风险时代后，赢家不会是手动响应最多警报的人，而是其架构能够默认遏制隐形威胁的人。

Akamai 通过保护每次交互，帮助您快速开启这一旅程。Akamai Guardicore Segmentation 中的生成式策略引擎实现改观，原来需要数月手动设置规则，现在只需几分钟即可完成 AI 驱动的策略创建，即时映射您的暴露情况。通过将 Zero Trust 的这些核心要素相结合，Akamai 可帮助您治理自主智能体并以机器速度遏制横向移动。将复杂的安全性转变为操作简单性，确保您的架构能够抵御未来的威胁，让您能够立即实现创新。