什麼是零信任網路存取（ZTNA）？

現今企業正面臨日益擴大的各類安全威脅，從保護遠端工作團隊到防護雲端基礎架構皆然。傳統以邊界為基礎的安全模型已不再適用。一旦駭客取得存取權，他們便相對容易利用內部網路的弱點。根據 IBM 的 2023 X-Force Threat Intelligence Index，利用遭竊或遭入侵憑證的攻擊較前一年增加了 71%。除此之外，現今 32% 的網路事件涉及資料竊取與外洩，證實攻擊者正從為勒索而加密，轉向資料外傳與販售。這些入侵事件通常始於帳戶內部，或透過受信任裝置的未經授權存取而發生。

零信任網路存取是在這波日益增加的安全疑慮中提供解決方案。無論使用者和裝置登入網路的哪個部分，它都會檢查每一位使用者和每一台裝置，協助降低組織因內部威脅與未經授權存取敏感資料而產生的風險。在本文中，我們將討論 ZTNA 的基本概念、其運作方式、企業為何應採用這項技術，以及這項技術與傳統 VPN 相比表現如何。我們也將提供零信任網路存取在使用案例中的實際範例，以及在您的組織內實作 ZTNA 的步驟。

什麼是零信任網路存取（ZTNA）？

零信任網路存取是一種資安方法，預設情況下不信任任何使用者或裝置，無論該使用者或裝置位於網路內部或外部。不同於傳統安全模型假設位於網路邊界內的使用者值得信任，ZTNA 會在授予資源存取權限之前，於每次連線時以及之後反覆驗證使用者或裝置的身分與存取權限。因此，只有經過驗證與授權的使用者才能存取特定資源。

您知道嗎？68% 的 IT 決策者認為，使用傳統網路安全基礎架構無法實現安全的雲端轉型。這項統計顯示，相較於傳統防火牆與 VPN 用於遠端存取，ZTNA 更受青睞。這也凸顯出，將 ZTNA 作為安全策略已成為企業有效因應現代網路安全挑戰並支援數位轉型工作的必要需求。

零信任網路存取的必要性

隨著雲端解決方案與遠端工作團隊的普及，傳統安全模型已無法滿足現代挑戰。在本節中，我們將概述為何零信任網路存取已成為當今企業的核心必要條件。

1. 保護遠端工作團隊： 雖然遠端工作已成為當前商業環境中的常態，但也帶來相當大的安全風險。根據 Gartner 去年的一項調查，45% 的組織因網路安全漏洞而遭遇與第三方相關的業務中斷。ZTNA 透過對遠端工作者實施嚴格的存取控制來協助降低此類風險，確保只有經過適當驗證與確認的使用者才能存取敏感的公司資源。
2. 雲端環境的安全性： 隨著企業將關鍵資料移轉至雲端，保護這些環境已變得至關重要。傳統以邊界為基礎的安全控制無法有效保護多雲環境。相較之下，零信任網路存取解決方案可在所有雲端平台上，於使用者與裝置嘗試存取雲端資源時的身分驗證過程中提供一致的保護。
3. 內部威脅： 內部威脅，無論是意外或蓄意，仍然是任何企業的主要關切之一。ZTNA 方法中的微分段與最小權限原則可確保內部員工也只能在其特定工作所需的範圍內存取資料，進一步降低發生入侵的可能性。
4. 第三方存取管理： 大多數組織都會使用第三方供應商、承包商與合作夥伴，而這實際上會增加資料存取。ZTNA 透過對第三方使用者實施嚴格的存取控制來降低這些風險。每個請求都會經過驗證，並限縮至所需的特定資源，因此可減少攻擊面。
5. 確保合規與法規要求： 包括 GDPR 與 HIPAA 在內的產業法規，甚至要求對資料存取實施嚴格控制。ZTNA 透過細緻的存取記錄、工作階段的即時監控，以及強大的身分驗證機制，為組織提供符合此類規範的機會。

ZTNA 與 VPN：有何差異？

在深入探討 ZTNA 的技術層面之前，讓我們先比較並對照其與傳統 VPN 解決方案在概念上的差異。VPN（虛擬私人網路）是遠端工作安全解決方案中的必要項目，但其中存在某些不可忽視的固有弱點。這是因為 VPN 的運作原理是在使用者通過驗證後，賦予其對整個網路的完整存取權，因此一旦帳戶或裝置遭到入侵，就會為未經授權的橫向移動打開大門。相較之下，ZTNA 是根據使用者身分與角色授予對資源的存取權，因此風險可降至最低。

讓我們來看看兩者之間的主要差異：

那麼，在分析完表格後，我們學到了什麼？在 ZTNA 中，存取權限高度細緻化，且只有經過驗證的使用者才能存取特定資源。這可減少網路內部的橫向移動。VPN 則會在使用者通過驗證後提供完整存取權限，這使得攻擊者一旦取得存取權，就能輕易在網路內擴散。此外，ZTNA 也能更妥善地擴充至雲端環境，因為它可因應使用者位置與裝置的動態變化。

ZTNA 與 VPN 的另一個關鍵差異體現在監控方面。零信任網路存取解決方案包含對使用者存取的持續監控與驗證，能夠更即時且更深入地掌握是誰正在存取哪些資源。通常，VPN 只允許有限的即時監控，這會留下大量可被攻擊者利用的缺口。透過了解這些差異，企業可根據其安全需求決定採用其中任一種解決方案。

零信任網路存取解決方案的類型

零信任網路存取解決方案有多種類型，適用於不同的安全需求。無論是偏好雲端原生方法的組織，或是希望將 ZTNA 整合至地端基礎架構的組織，都有適合各種組織需求的 ZTNA 解決方案。以下是 ZTNA 解決方案的主要類型。

1. 以代理程式為基礎的 ZTNA： 以代理程式為基礎的 ZTNA 解決方案需要在使用者裝置上安裝軟體。代理程式會檢查使用者身分，然後強制執行存取所需的安全政策。這種 ZTNA 方法可完整掌握使用者行為，並提供更強大的存取控制，因此能針對最敏感的資源提供有效的端點防護。這特別適合具有嚴格裝置管理政策的組織。
2. 無代理程式 ZTNA： 無代理程式 ZTNA 解決方案可在無需於裝置上安裝任何軟體代理程式的情況下授予網路存取。對於打算在不於每台未受管理裝置上安裝代理程式的前提下，為第三方供應商提供安全存取的組織而言，這相當有效。它可良好搭配 Web 應用程式與 SaaS 平台，因此適用於重視存取便利性且不犧牲安全性的環境。
3. 雲端原生 ZTNA： 雲端原生 ZTNA 解決方案適合在多個雲端環境中運作的組織。它也可在所有平台上提供無縫安全性，在使用者存取公有雲、私有雲或混合雲時維持相同的存取政策。這就是為什麼它們最適合正在進行數位轉型且具有分散式雲端基礎架構的企業。
4. 混合式 ZTNA: 混合式 ZTNA 結合了雲端型與地端元件。數個同時在傳統與現代雲端平台混合環境中運作的組織，會使用混合式 ZTNA 來確保其在兩種環境中的安全性。這可在管理傳統資料中心與雲端應用程式時提供彈性，同時確保安全政策可因應複雜 IT 基礎架構的各種需求而調整。

零信任網路存取如何運作？

零信任網路存取不僅僅是身分驗證。零信任網路存取架構由不同的一組流程組成，這些流程協同運作，以動態方式保護對資源的存取。

從使用者的持續驗證到微分段，ZTNA 可確保僅在有需要的基礎上允許存取，且每個請求都會經過驗證。現在，讓我們繼續了解 ZTNA 的運作方式： 

1. 使用者驗證: 使用者驗證是零信任網路存取中首要且最重要的步驟。在大多數情況下，ZTNA 會先使用多重要素驗證來驗證使用者身分。此方法可確保當有人使用其認證資料進行存取時，必須通過額外一層驗證才能取得資源。
2. 裝置驗證: ZTNA 不僅驗證使用者，也會驗證裝置。它可確保只有經核准且安全的裝置才能獲得對公司敏感資料的存取權。如果某個裝置不符合安全標準，則該裝置將被拒絕存取。
3. 最小權限存取原則: ZTNA 的理論基礎建立在最小權限存取的概念上。使用者只能存取其角色所需的資源。即使使用者的認證資料遭到入侵，這也能將敏感資訊遭未授權存取的機率降到最低。
4. 微分段: ZTNA 將網路劃分為微分段，每個分段都有自己的一組存取控制。這使得網路犯罪分子即使真的取得了網路某一部分的存取權，也很難在網路中進行橫向移動。
5. 持續監控: 透過持續監控使用者活動以及全面掌握網路存取情況，若偵測到任何異常行為，ZTNA 會自動撤銷存取權或觸發警示，以確保威脅在造成損害之前很久就被消除。

實作  零信任網路存取：逐步指南

實作零信任網路存取 (ZTNA) 需要審慎規劃，並與組織的安全策略保持一致。執行良好的 ZTNA 部署可在提供可因應未來需求的可擴充解決方案的同時，處理關鍵安全弱點。本指南將帶您了解成功實作零信任網路存取架構的必要步驟。

1. 使用者、裝置與數位資產識別: ZTNA 的實作始於建立所有需要網路存取的使用者、裝置與數位資產清冊。資產清冊有助於識別究竟哪些項目需要保護，並決定存取控制的定義。建立可存取您網路的員工、承包商與第三方供應商清冊。記錄其職務、存取層級以及所需資訊。此外，也請透過 BYOD 政策，對每一部裝置（無論是公司擁有或個人裝置）進行相同處理，並評估裝置的安全態勢，以便能以分段方式授予適當的存取權限。
2. 零信任政策:在建立適當的資產清冊之後，下一步是定義零信任政策。這些是您的 ZTNA 框架基礎，將決定驗證使用者與裝置以授予或拒絕存取的方法。請制定明確規則，說明如何處理網路流量與各種形式的存取請求。清楚闡明您網路中的良好行為應呈現的樣貌，以便將所有存取與這些標準進行比對。在實際設計零信任架構之前，先制定這些政策可確保其符合核心安全原則。
3. 為零信任設計您的架構: 一旦定義好政策後，就可以設計實際用來落實零信任策略的架構。此架構將成為建立您網路安全態勢的骨幹。此設計的關鍵在於微分段，也就是將您的網路拆分為一系列較小且彼此獨立的區段，並為其配置各自的安全控制。透過將每個區段與相鄰區段隔離，您可以將攻擊者在入侵網路後所能達成的 lateral movement 降到最低，從而將威脅侷限於網路中的特定區域。
4. 實作零信任網路存取: 這是在成功完成架構設計後的下一個階段，在此階段中，會透過根據包含裝置安全性、使用者位置以及所存取資源等條件驗證每一次存取請求，於整個網路中實作 ZTNA。納入 MFA 等驗證通訊協定，以及具備情境感知能力的存取控制，讓權限層級可依據情況即時變更。這表示在任何特定時間點，只有經過驗證且獲得授權的使用者才能存取有價值的資源。
5. 持續監控與變更:ZTNA 的實作不是一次完成後就可以置之不理的事情。它需要持續監控，否則網路將無法維持安全。定期評估使用者活動與裝置行為是否存在任何可能顯示威脅的異常情況。運用分析工具深入了解網路流量與使用者行為，以提供洞察並促進最佳化的 ZTNA 策略。定期檢視並更新您的零信任政策，是主動式生命週期管理的一部分，可在面對新興威脅與風險時維持其敏銳性。

實作零信任網路存取的優勢

除了改善組織的安全態勢之外，零信任網路存取解決方案還提供多種優勢，包括營運效率、成本節省、法規遵循等。以下是企業採用 ZTNA 可實現的五項主要優勢：

1. 全方位更佳的安全性: ZTNA 會持續驗證使用者與裝置，以確保只有經授權的使用者才能獲得對資源的存取權。這包括消除原本基於受信任網路位置的存取方式，從而降低未授權存取。
2. 可擴充性: 零信任網路存取架構讓大型分散式員工隊伍在多個雲端環境中的安全擴充變得更加容易。隨著組織成長，您可以輕鬆擴充，並擴展 ZTNA 以保護新的使用者與裝置。憑藉這些能力，ZTNA 是小型企業與大型企業都適用的理想選擇。
3. 改善的使用者體驗: ZTNA 透過 Single sign-on (SSO) 與多重要素驗證 (MFA) 等技術，提供更簡單、更標準化且更安全的存取，從而帶來更佳的使用者體驗。員工可以無縫且安全地存取其完成工作所需的資源，進而提升生產力。
4. 較低的營運成本: ZTNA 不需要大多數系統為了安全性所需的昂貴硬體及其維護。其軟體型模型可將營運負擔降到最低，成為企業管理安全基礎架構時具成本效益的替代方案。
5. 法規遵循: ZTNA 支援組織的法規要求，因為其內建詳細的存取控制與活動記錄。持續的使用者驗證與即時監控可支援 GDPR 與 HIPAA 等產業標準的合規要求，使稽核更易於管理。

採用 ZTNA 的挑戰與考量

ZTNA 帶來一些顯著優勢，但也有其挑戰，組織在完整實作時需要克服，範圍從與傳統系統的相容性到部署新安全工具所涉及的各種其他費用。因此，讓我們來看看企業在採用零信任網路存取解決方案之前必須考量的 5 項常見挑戰：

1. 複雜資訊與傳統系統的整合困難: 對於必須處理傳統系統的組織而言，整合 ZTNA 可能無法順利進行。這些傳統系統大多無法提供動態存取控制所需的彈性，因此若不升級或客製化現有基礎架構，就無法實作完整的 ZTNA。因此，短期內可能需要採用混合式方法。
2. 高昂的初始成本: 雖然 ZTNA 從長遠來看可降低總成本，但其短期實作成本非常高。組織需要投資於新技術、培訓，以及將 ZTNA 與現有系統整合。然而，前期成本可能會因降低資料外洩與違反法規的風險而獲得合理化。
3. 使用者體驗疑慮: ZTNA 的一項缺點是，如果實作不當，持續驗證會影響組織的工作流程。解決方案必須始終在安全性與使用者之間取得平衡。自適應多重要素驗證可在保護使用者端的同時，維持順暢的工作流程。
4. 供應商綁定: 某些 ZTNA 解決方案可能會透過將您綁定於其專有生態系統來限制您的靈活性，使更換供應商或與其他工具整合成為複雜的程序。每家公司都應確保專注於可互通的 ZTNA 解決方案，並避免那些除了專有鎖定之外一無所提供的方案。
5. 持續管理與監控： ZTNA 需要持續監控與定期更新，以使其符合最新的安全標準。自動化可降低管理負擔，但無法消除企業資源對系統進行監督並隨著威脅演變更新政策的需求。

部署零信任網路存取的最佳實務

在部署零信任網路存取（ZTNA）時，遵循最佳實務對於最大化安全性與效率至關重要。成功的實作不僅僅是掌握基本要素，還涉及進階策略，以確保持續保護與適應能力。透過採用這些實務，組織可以強化其網路防禦、限制潛在威脅，並確保所有環境中的使用者都能安全存取。

1. 情境感知存取控制： 情境感知存取控制會根據目前的使用者位置、存取時間或裝置健康狀態，動態變更使用者權限。舉例來說，如果使用者正在新的地理位置存取資源，系統可立即將其標記為需要額外的驗證步驟。基於情境的安全性可確保存取決策依據各種風險因素明確設定，而不會以過度的安全措施增加使用者負擔。
2. 用於異常偵測的行為分析： 透過行為分析取得洞察，以建立正常使用者行為與網路活動的基準。ZTNA 可與機器學習演算法整合，以分析與典型模式相異的異常流量。例如，使用者在工作時間之外或使用其通常不會使用的裝置存取敏感資料。接著，安全團隊可將這些異常標記出來，以識別並快速回應內部威脅或遭入侵的帳戶。
3. 即時（JIT）存取： 使用 JIT 存取控制 僅在需要時且於有限時間內授予使用者對資源的存取權限。任務完成後，存取權限會自動撤銷。這可縮短網路攻擊者可利用的機會窗口，並確保使用者不會持續保有對敏感資源的存取權限。
4. Shadow IT 的發掘與整合： Shadow IT 一般定義為企業內在 IT 部門不知情的情況下所使用的應用程式與裝置。零信任網路存取解決方案可識別這些項目，並將未經授權的應用程式整合至安全框架中，確保即使是被視為 Shadow IT 的資源，也會納入存取控制與風險評估政策的考量。
5. 傳輸中與靜態資料加密： 雖然 ZTNA 可保護對資源的存取，但另一項最佳實務是對所有傳輸中或靜態資料實施端對端 加密。這表示即使發生攔截或未經授權的存取，資訊也無法被利用。裝置、使用者與應用程式之間的安全通訊可進一步降低資料外洩的可能性。
6. 與端點偵測與回應（EDR）整合： 將 ZTNA 與端點偵測與回應系統整合，以強化端點安全性。EDR 解決方案，例如 SentinelOne’s SIngularity™ platform，會持續監控端點活動，以即時偵測並回應威脅。這再加上 ZTNA 的存取控制，可確保即使端點遭到入侵、惡意軟體擴散或資料外洩，也能盡快加以控制與緩解。
7. 持續裝置狀態評估： 執行即時裝置狀態評估，在授予存取權限之前，依據組織安全政策檢查裝置。檢查項目可包括但不限於適當的修補程式更新、防毒保護與加密。未達最低安全標準的裝置可被標記以進行修復，確保只有安全的裝置才能連線至網路。
8. 最小權限存取的自動化： 透過使用 角色型存取控制（RBAC） 與屬性型存取控制（ABAC）框架，將最小權限存取政策自動化。這些框架會根據使用者的角色、部門或專案需求動態調整其角色，並自動指派權限——換言之，隨時間推移強制執行角色變更。自動化方法可確保不會有權限過高的帳戶處於未受管理狀態。

ZTNA 使用案例

ZTNA 被廣泛應用以強化安全性。此概念非常適用於不同情境。以下列出六個實際使用案例，清楚說明組織如何運用 ZTNA 來保護其網路與資料。

1. 居家工作員工的安全性： ZTNA 是組織維持遠端員工安全性的理想選擇，因為它僅會提供員工所需的資源存取權限。隨著遠端工作增加，零信任網路存取架構可確保異地工作者安全地存取關鍵公司資料，而不會讓整個網路暴露於威脅之中。
2. 保護雲端中的應用程式： ZTNA 與雲端環境高度相容，對於使用 SaaS 平台或雲端服務的公司而言，將是最佳解決方案之一。ZTNA 可確保使用者只能存取特定雲端應用程式，降低資料暴露的機率。它也可在公有雲、私有雲與混合雲基礎架構中提供無縫的安全性。
3. 第三方供應商存取： 許多企業會涉及提供不同服務的第三方供應商、承包商與業務合作夥伴。ZTNA 可確保外部使用者依據嚴格的基本原則進行存取，僅授予其對資源的存取權限，而不暴露敏感資料。它會限制第三方存取，以將外部實體帶來的潛在攻擊向量降至最低。
4. 符合法規標準： ZTNA 可協助組織維持 法規遵循，例如 GDPR、HIPAA 與 PCI DSS，透過嚴密的存取控制與全面的稽核軌跡，將不符合法規而遭罰款及稽核流程相關風險降至最低。即時監控可確保任何偏離合規標準的情況都能迅速獲得處理。
5. 關鍵基礎設施保護： ZTNA 也可用於保護涉及關鍵基礎設施的組織內部 OT 系統，例如公用事業或製造工廠。這可確保只有經授權的人員能存取敏感系統，降低破壞或網路攻擊的可能性。透過隔離關鍵系統，ZTNA 可進一步防範外部與內部威脅。
6. 內部威脅緩解： 透過 ZTNA，微分段與最小權限存取控制可限制內部人員可存取的內容，降低兩種類型的內部威脅——惡意與意外。ZTNA 透過持續驗證使用者活動來偵測並緩解可疑行為。這有助於根據即時行為分析強制執行嚴格的存取政策，從而防止資料外洩。

SentinelOne 如何提供協助？

SentinelOne Singularity™ Identity為您的身分基礎架構攻擊面提供主動式、智慧化且即時的防禦。它可降低整個企業的身分風險；您可以偵測並回應進行中的攻擊，並透過適用於 Active Directory 和 Entra ID 的整體解決方案，在網路內欺敵對手。利用高互動式誘餌誤導對手與過度好奇的內部人員，使其主動出現在您的網路中，然後將所產生的遙測資料效益最大化，以利進一步調查與攻擊者情報蒐集。

使用 AI 驅動的 EPP 保護您的資產，EDR，以及 XDR，透過 SentinelOne 在整個雲端環境中提供防護。使用 Singularity™ Data Lake 集中資料，並將其轉化為可採取行動的洞察。 Purple AI 是全球最先進的 AI 安全分析師，可協助您實作 Zero Trust Network Access (ZTNA)。您可以藉此加速 SecOps，並親自見證其實際運作。若要實現完整的企業級整合式安全性，請使用 Singularity™ Platform。

Singularity™ Identity

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

結論

Zero Trust Network Access (ZTNA) 正迅速成為現代網路安全的標準。透過持續驗證使用者身分並套用最小權限存取原則，ZTNA 可將資料外洩、內部威脅及未經授權存取的風險降至最低。對於希望保護其雲端環境、遠端員工團隊及第三方關係的企業而言，ZTNA 提供了可因應當今動態環境的全面性解決方案。

因此，隨著轉向 ZTNA，如何在可擴展性與安全性之間取得平衡成為優先事項。這正是 SentinelOne’s Singularity™ AI-powered platform 發揮作用之處，其可確保沙箱隔離、透過自動化威脅回應提供持續防護，並且毫無複雜性地處理整合。最終，決定權在您手中，因此請將本指南視為為您的組織建立更佳安全態勢的第一步。如需進一步了解 SentinelOne 如何協助您的組織落實零信任原則，立即聯絡我們！