以应用为中心的世界中的零信任
零信任是一种强大而全面的安全策略，有助于企业更快速、更安全地发展。保障企业应用安全对于防止数据泄露至关重要。妥善实施还可以提高业务流程效率和用户工作效率。零信任安全模型可以带来这些业务价值，但零信任并非一种产品，而是一种理念和准则，可落实为安全的网络和应用架构。从本质上讲，它是一个由多种解决方案协同构成的生态系统，确保无论用户或设备位于网络内部还是外部，默认情况下均不受信任，必须经过验证才能访问应用。
近年来，零信任虽然并非新概念，却备受关注。如今，这一概念比以往任何时候都更具现实意义，也更加重要，尤其是在全球企业努力应对疫情及其他自然或人为紧急事件带来的运营和响应挑战之际。随着全球各组织加快推进数字化转型，深入理解零信任对每个组织都至关重要。
传统网络边界安全沿用已久的“护城河与城堡”模式，即只允许已知且可信的人员跨过“护城河”、进入“城墙”，并访问其获授权的任何应用或资源，如今已无法满足需求。随着应用越来越多地部署在本地、多云环境和软件即服务（SaaS）平台中，或在这些环境之间迁移，加之移动办公和远程办公人员日益增多，网络边界实际上已几乎消失。
零信任摒弃了在明确边界内存在可信网络的理念。如今，必须假定攻击者已潜入网络并伺机发动攻击。需要实施最小权限用户访问，尽可能严格审查用户、用户设备、访问行为等，并通过内部和外部控制点获取更多上下文信息，提高可见性。
要实现零信任，必须摒弃“信任但要验证”的方法，转而遵循以下原则：
- 绝不信任
- 始终验证
目前，没有任何一家供应商能够提供构建零信任环境所需的一切。不过，F5能够带来切实价值，并提供部署全面零信任方法所需的关键组件。凭借强大的应用安全产品组合，以及保护零信任环境中新控制点的能力，F5提供必要的基础组件，帮助您采用“从不信任，始终验证”的方法保护当今的应用，并为零信任增加第三项原则：“持续监控”。
F5认为，需要保护以下4个控制点：
- 访问应用的端点
- 应用（无论是云原生应用、SaaS应用，还是传统应用和自定义应用）
- 身份服务
- 网络基础设施
那么，F5如何帮助保护每个控制点？
- 对于访问应用的端点，F5 Trusted Application Access解决方案可为所有应用提供现代化身份验证、集中式访问和控制。
- 对于网络基础设施，F5的Application Infrastructure Security解决方案有助于保护网络免受攻击和入侵。
- 针对应用，F5提供Application Layer Security解决方案，在应用层或应用附近提供安全防护，并保护应用堆栈的第4层至第7层。
- 在身份服务方面，F5与Microsoft、Okta和Ping等厂商建立了深度合作伙伴关系。通过将Trusted Application Access解决方案与这些身份即服务（IDaaS）提供商集成，F5可帮助弥合云原生应用和SaaS应用与任务关键型传统应用和定制应用之间的身份与身份验证差距，让所有用户都能以统一、安全的方式访问任何应用。
F5可通过Trusted Application Access、Application Infrastructure Security和Application Layer Security解决方案，针对性地帮助您部署零信任模型。
可信应用访问
在应用访问方面，组织必须假定所有访问其站点的人员都具有恶意。与访问相关的安全事件持续增加，短期内没有缓解迹象。
F5 BIG-IP Access Policy Manager (APM)可保护、简化并集中管理对应用、API和数据的访问，无论用户及其应用位于何处。凭借身份感知代理（IAP）功能，BIG-IP APM可基于精细的上下文和身份感知实施零信任模型验证，保护每个应用访问请求。它还会在用户的整个应用访问会话期间，持续监控其设备完整性、位置及其他应用访问参数。
BIG-IP APM通过单点登录（SSO）提升用户体验。无论应用托管在何处，也无论应用需要现代还是传统身份验证方法，用户都能通过单点登录访问获授权的任何应用，从而在所有应用中获得一致的体验。通过采用IAP，可增强应用及其访问的安全性，帮助实现零信任应用访问。BIG-IP APM还为混合环境提供统一架构，并支持创建和实施通用访问策略，以访问跨多个云的应用。
随着新增Shape Security以及识别实施欺诈的恶意行为者的能力，F5现在可以更准确地识别正常用户，并减少用户需要输入密码的次数。这样，用户无需创建更多用户名和密码组合，即可访问更多已获授权的服务。创建更多用户名和密码组合是凭据盗窃和凭据填充攻击以及密码遗忘的主要诱因。减少此类组合有助于降低支持成本并提高营收。
应用基础设施安全
尽管网络边界的作用有所减弱，但在可预见的未来仍不会消失。网络基础设施对于实现零信任至关重要，有助于确保本地、数据中心或私有云中的应用保持安全和可用。隐藏在加密流量中的威胁是一项可能严重影响网络、用户和数据的风险。
加密如今已成为常态。大多数网页加载现已采用加密。虽然这有助于保护隐私，但攻击者也可以利用加密流量隐藏恶意软件及其他恶意载荷，从而绕过安全控制。如今，必须假定入站加密流量中潜藏着恶意软件。还必须假定出站加密流量中包含正在被窃取的敏感数据，或正在与恶意命令与控制服务器通信，而这些服务器正准备发起更多或更大规模的攻击。
F5 SSL Orchestrator可应对试图通过加密流量侵入网络的威胁。它能够发现隐藏在加密流量中的恶意软件，消除安全盲区，并阻止被盗数据外泄。这是一款专用于编排入站和出站加密流量的解决方案。借助上下文感知策略引擎和基于策略的流量引导功能，它支持创建动态安全服务链，无需再手动串联安全堆栈中的解决方案。它还可确保智能绕过，帮助满足行业和政府的隐私合规要求。SSL Orchestrator可监控现有安全解决方案、对其进行负载均衡并确保其健康运行。它还能集中管理加密控制，为管理员节省时间和精力。
应用层安全
事实上，任何组织的应用都可能存在漏洞。应用仍然是数据泄露事件最主要的初始攻击目标。攻击者深知应用对企业的重要性，因此会主动尝试攻破应用，因为每个应用都可能成为通往宝贵知识产权和数据的后门（甚至正门）。持续保护应用是任何零信任策略的关键组成部分。
F5可在零信任架构中保护您的应用堆栈。我们的Web应用防火墙（WAF）解决方案，例如Advanced WAF、Essential App Protect和Silverline WAF，可防范常见漏洞和利用手段，例如OWASP十大风险以及SQL或PHP注入。此外，NGINX App Protect基于F5先进的WAF技术构建并在NGINX Plus软件上运行，是一款适用于现代应用环境的轻量级高性能WAF。
我们的WAF解决方案还可通过行为分析功能防御第7层DoS攻击，并持续监控应用的运行状况。F5还提供凭据保护，防止攻击者未经授权访问用户账户。此外，随着API的使用日益广泛，F5可保护API，并防止应用遭受API攻击。
F5通过WAF和API安全解决方案保护应用免受漏洞威胁，同时还利用Shape Security解决方案保护业务逻辑，防范欺诈和滥用。
此外，F5还可根据贵组织的零信任部署策略提供安全产品，支持自主管理、即服务模式，或通过Silverline和Shape Security提供全托管服务。
