重新思考您的访问策略，超越公司

多年前，Forrester 宣布旧的安全口号“信任但要核实”已过时，并创造了“零信任”一词。 争论在于，我们根据最初的成功身份验证信任一切，但此后从未真正验证过。 通常情况下，此类流行词都会经历炒作周期，一开始会引起极大的兴奋，但往往不会在短期内引发太大的行动。 零信任及其衍生产品（应用是新的边界等）现在正在现实世界的架构和实现中产生影响。 谷歌是这一安全策略的主要支持者，它在实施该策略方面取得了巨大进步，甚至慷慨地公布了他们实施该策略的流程。 他们将其命名为 BeyondCorp。

谷歌最近发表了一篇博客文章来宣传他们关于该主题的第四篇研究论文，该论文描述了他们如何在漫长的迁移过程中保持生产力。 总结一下 BeyondCorp 架构，不再区分本地访问和远程访问...而只是访问。 无论用户的位置或设备如何，所有身份验证和访问请求都会通过集中访问网关遵循相同的路径。 然而，身份验证挑战和访问决策可能会因多种风险因素而有所不同。 网关提供身份验证提示，但也允许根据风险概况进行细粒度的基于属性的访问控制。 这为用户提供了一致性和简单性，这对于减少成功攻击的可能性极为有价值（正如我在过去的文章中所描述的那样）。

举例来说，如果用户试图连接到他们公司的网络应用程序，该应用程序仅包含可能是公开的公司公告（低风险），并试图从他们的办公桌或公司发放的笔记本电脑进行连接（低风险），那么作为安全管理员，也许我选择只需要用户名和密码即可访问。 但假设用户正尝试从俄罗斯的某个地方（高风险）通过未知设备（高风险）连接到与金融相关的应用（高风险）。 作为安全管理员，我可能在访问网关上有一个策略，该策略认为这种行为风险太大并拒绝访问，或者至少提示用户使用第二甚至第三个因素来验证身份。 此外，通过细粒度的基于属性的访问控制，我可以决定为符合该风险级别的访问请求提供缩小形式的访问......可能是只读而不是读/写。

这些听起来熟悉吗？ 如果您使用 IDaaS 服务（例如 F5 合作伙伴 Microsoft Azure AD、 Ping或Okta提供的服务），那么您在某种程度上已经这样做了。 BeyondCorp 模型还有其他组件，但访问网关无疑是整个架构的关键。 谷歌目前正在向其他公司提供他们的“身份感知代理”（IAP），但它并非没有限制。 除了只能在 Google 计算平台 (GCP) 上的应用程序上使用此功能之外，一些客户还指出了控制访问的粒度和灵活性方面的挑战，希望配置会话长度、每个应用程序策略而不是每个 GCP，以及进行灵活的升级第二因素身份验证的能力。

并非巧合的是，F5 提供的访问解决方案不仅具备这些功能，而且还具有更多功能。 它适用于您的所有环境，而不仅适用于 GCP 内的应用程序。 无论是完全采用云端还是混合方式，F5 都能提供安全、集中且可扩展的访问解决方案以适应任何架构。 如需了解更多信息，请访问f5.com/apm 。