[Check Point]：零信任网络访问采购指南

引言

近年来，随着远程和混合办公模式的普及，企业面临的安全风险显著增加。60%的组织迅速转为100%在家办公，78%的组织仍有大量员工远程办公。Check Point Research数据显示，2021年全球企业网络每周遭受的攻击尝试次数增加了50%。92%的高管表示其组织曾遭受网络攻击，导致客户数据丢失、运营中断、勒索软件赎金支付等后果。

传统远程办公安全防护的局限性

传统VPN和本地安全防护措施存在以下问题：

无法扩展：难以快速配置和扩展VPN连接以应对大量远程员工。
访问缺乏可见性：VPN允许广泛网络访问，增加横向移动风险，IT团队无法了解用户实际行为。
对BYOD和合作伙伴不切实际：在个人设备和第三方设备上部署VPN既不切实际也不可取。
性能受影响：所有流量回传数据中心进行安全检查，导致吞吐量降低和延迟。
VPN到云的复杂性：难以跨多个服务器、云提供商和混合架构扩展VPN。
缺少特权访问管理：VPN不提供针对特权用户和资源的原生PAM功能。
开销高：保护所有员工、网络和应用程序的VPN导致高昂的运营开销。

零信任网络访问（ZTNA）

ZTNA是一种软件定义功能，支持对网络和应用程序的安全访问，基于“从不信任，始终验证”的原则。ZTNA模型：

对每个设备和用户进行身份验证，无论其位置。
逐应用程序限制访问权限。
应用程序内控制和授权。
隐藏未经授权的应用程序，减少横向移动。
持续监控用户活动，实时实施策略。

Gartner定义ZTNA为创建基于身份和情景的逻辑访问边界的产品及服务，应用程序隐藏且只有指定实体可访问，访问前验证身份、情景和策略遵从性。

ZTNA的运作方式

应用程序连接器：部署在相关网络、数据中心、IaaS或云环境中，创建安全隧道隐藏私有应用程序。
零信任访问：
- 应用程序级访问：用户使用浏览器或现有软件连接，无需VPN客户端，实现无客户端访问。
- 网络级访问：支持安全的第3层网络连接，需要轻量级客户端或代理。
零信任服务：云信任代理实施访问策略，确保用户访问符合零信任原则。