Microsoft 分享使用零信任模式保護網路安全的經驗

任何企業都將企業資源安全視為優先要務。不過，Microsoft 如何保護網路周邊，讓當中的數千個全球端點能全天候、全年無休存取企業資料和服務？

答案很簡單：一切全憑通訊技術、協同合作和專家知識。

Microsoft 將零信任網路視為零信任計畫的重要環節之一，交由 Microsoft 網路部門資深主管 Phil Suver 及其團隊負責。Microsoft 安全性組織所提出的零信任模式，是以強大的使用者身分識別、裝置健康情況驗證、應用程式健康情況驗證，以及安全且最低限度的企業資源和服務存取權限為中心。

Suver 表示：「零信任網路的重點，是在設計到終端使用等階段中，徹底排除網路的固有信任機制。我們的零信任模式架構採用網路元件為基礎，旨在修正我們的安全性方法，以保護位於任何地點的人員、裝置、應用程式和資料。零信任模式會將網路視為單一項目，並將身分識別和裝置健康情況視為不同的項目。因此需要使用條件式存取和權限。而所涉及的範圍則涵蓋整個組織。」

當然，本計畫涵蓋的層面十分廣大，Microsoft 旗下的所有員工都會受到影響。為了大力支援零信任計畫，Microsoft 的網路工程團隊決定與安全性團隊和終端使用者體驗團隊攜手合作，以實作安全性原則和身分識別，同時確保員工及合作夥伴的生產力。Suver 提到，所屬團隊致力於減輕影響層面，並傳達這項措施所帶來的各項優勢。

Suver 表示：「我們徹底改變了過去二十多年來的網路基礎架構運作方式。除了不再使用內部私人網路做為主要目的地，更改以網際網路和雲端當做新的預設值。雖然安全性成果為優先要項，仍需考量業務需求和生產力，並於三者之間取得平衡，以確保連線的透明度。」

這表示，該團隊需要密切掌握實作零信任網路對使用者帶來的影響，以確保員工不會遇到工作停擺或作業中斷等窘境。

Suver 說道：「部分措施的用意在於加速推展我們的既定方向，不會造成過多的作業中斷。這類型的範例包括：改採網際網路優先和無線網路優先的網路設計，以及推行遠端工作等。但有些措施確實會造成作業中斷，因此，我們會與受影響的對象密切合作，以協助對方了解影響所及層面。」

根據 Suver 觀察，取得理解和進行溝通，為防範作業中斷的關鍵要務。

他表示：「Microsoft 為知名企業，許多軟體和系統推出至今已有數十年之久。為了有效執行業務，我們必須妥善因應無法立即轉換至零信任架構的程序和技術。」

在使用者群遠端工作期間，我們可以更積極進取地革新建築內的連線體驗。這樣一來，就能在園區使用者人數較少的情況下推行多項設定，並從中汲取經驗。
– 網路部門資深主管 Phil Suver

Suver 也強調與受影響員工密切合作的重要性。他提到：「我們需要與工程團隊密切合作，以了解對方的連線需求，並為其建置相應的短期解決方案，再於後續擴大實施範圍和延長實施期間。」

許多員工因 COVID-19 疫情的關係，而選擇在家工作，在園區使用者人數銳減下，工程團隊才能相對快速且效率十足地完成 Microsoft 建築內的多項部署作業，並順利執行安裝作業，包括部署新的網路區段、建立新的無線連線、部署網路安全性原則，並大幅減少作業中斷 (相較於建築內滿是員工的情況)。

Suver 說道：「在使用者群遠端工作期間，我們可以更積極進取地革新建築內的連線體驗。這樣一來，就能在園區使用者人數較少的情況下推行多項設定，並從中汲取經驗。」

[ 參考 Microsoft 工程師在實作零信任網路期間所汲取的經驗，及其採用的最佳做法 。
了解 Microsoft 領導階層從公司內部的零信任網路部署作業中汲取到哪些心得 。
閱讀 Brian Fielder 的案例，以探索 Microsoft 如何使用零信任策略來協助員工安全地在家工作。]

管理企業中的零信任網路

Microsoft 零信任網路首席專案經理 Mildred Jammer 表示：Microsoft 的整體營運體系中存在著相當程度的複雜性；Microsoft 網路涵蓋超過 100 萬部裝置，負責支援 200,000 萬名以上的員工和合作夥伴，個個皆需運用高度策略化的規劃方法，才能順利移轉至零信任環境。

Jammer 說道：「牽涉的範圍非常廣，因此需要考量各種不同的環境。可想而知，本團隊決定將規劃視為第一要務。」而她的工作重點，在於統整 Microsoft 內的人員和功能小組，以確保零信任網路計畫能得到應有的重視。

零信任網路期望透過三大目標來降低 Microsoft 所承受的風險，包括：要求裝置透過驗證取得網路存取權限、實現支援裝置隔離和區段的網路基礎架構，以及設計專屬系統，繼而在判定裝置遭受攻擊或竄改時強化回應動作。

Jammer 表示：「零信任網路涉及的層面，已超越 Microsoft 網路團隊的範疇。」

Jammer 也提到，Microsoft 的許多業務小組可能不太了解何謂零信任網路，或認為其重要性不如自身支援的計畫。

Jammer 補充：「雖然本團隊將零信任網路視為重點項目，其他業務小組也有專屬的優先要務，且未將零信任列入考量。如需同時推行兩者，勢必會產生衝突，而我們必須加以管理。」

她認為，與其強行要求對方配合，不如先行溝通，若能提高 Microsoft 各界的合作意願，即可確保每個人的需求皆獲得滿足。

Jammer 指出，將高階目標劃分為易於達成的小型目標，可協助員工和合作夥伴了解零信任網路的實用性，這樣一來，她的團隊就能設立符合現況的期望。她表示：「舉例來說，我們與安全性團隊共同合作，將減輕風險目標劃分為多個具體風險和成果。我們開發許多解決方案來實現成果，並將具備共通性的項目分門別類。如果業務優先要務和我們的成果有所衝突，我們也能視需求來進一步予以細分。」

Jammer 提到，以零信任網路的部署為例，她的團隊原先有意推動全球部署，並一舉涵蓋有線和無線網路。

她表示：「我們原本計畫推動完整部署，但很快就發現此舉將對開發人員和基礎架構形成干擾。因此，我們將計畫予以細分，先在無線網路中實作多項變更，以實現網際網路優先態勢，再回頭解決有線網路的部分。為了盡可能縮小影響層面，並識別最佳做法，我們採用階段式部署搭配環形模式，先從規模較小、易於掌握且可密切反映目標族群的範圍著手。在累積更多的經驗和信心後，再擴大部署範圍，以實作至規模較大的族群中。」

Jammer 認為，使用明確且易於達成的目標不僅有助於完成工作，還能找出大型目標可能面臨的難題。

Jammer 指出：「將大型目標拆解為更具彈性的程序，即可讓無法在短期內實現的項目浮上檯面。畢竟，與其表示無法淘汰企業內部網路基礎架構，告知特定應用程式無法透過重構轉型為網際網路導向應用程式，似乎更加具體且可行。」

實現零信任網路

Microsoft 零信任首席 IT 企業架構設計師 David Lef 認為：在即時網路環境中實作零信任網路，是一項極富挑戰性的工作。

Lef 表示：「零信任的重點在於降低風險，但在此同時，還需盡可能減輕對使用者體驗和生產力造成的影響。畢竟，使用者和員工需要使用該網路完成工作。因此，其現有狀態下的某些部分，勢必得繼續保持運作。」

對此，Lef 補充了幾個範例，包括印表機無法支援網際網路連線、物聯網裝置需要手動設定，以及簡單的裝置無法支援動態主機設定通訊協定 (DHCP) 等。他解釋：「我們需要在網路上隔離這些項目，同時解決已準備好採用零信任的專案，並於事後回來處理這些項目。」

Lef 的團隊積極建立網路存取權限、實作原則、區隔網路，並將 Microsoft 業務小組、地區和團隊逐一上線至零信任網路模式中。儘管零信任網路為實現零信任模式的重要關鍵，企業整體的協同合作和採用情況也有著同等重要性。

Lef 指出：「我們花費許多心力觀察活動，並與當地的 IT 代表溝通各個實作階段的詳細資訊和挑戰。此外，我們也建立專屬的部署計畫，以協助員工和合作夥伴在無需大肆修改的情況下，自然而然地採用新的網路設計和使用模式。」

Lef 和 Suver 共同討論在遠端工作期間，Microsoft 應如何協助員工保有生產力。

Lef 表示，所屬團隊為合作夥伴和供應商提供最佳做法，以協助對方建置支援零信任的產品和解決方案。

Lef 說道：「讓舊有技術符合零信任規範絕非易事。我們期望在企業中盡可能採用專為零信任網路打造的解決方案。除了網路之外，舉凡身分識別、裝置、應用程式、資料和基礎架構等項目，都與零信任模式息息相關。而在組織內，上述所有項目必須各就各位，才能讓零信任模式順利運作。」

綜觀全局

Soumya Subramanian 於 Microsoft 企業基礎架構服務的合作夥伴公司擔任總經理一職，她認為，應結合多個工作流，以配合零信任網路部署所要求的大小和規模。

 組織著手評估所欲實現的零信任規模時，也應同時思考其他網路現代化計畫，並考量是否要結合兩者以建構更完整的方案，或讓兩者各自運作。
– 企業基礎架構服務合作夥伴公司總經理 Soumya Subramanian

Subramanian 指出：「我們已備妥一個工作流，可用來將其餘應用程式從企業網路移轉至雲端。此外，受到疫情影響，我們需要加速推動長期的遠端連線計畫，並藉此重新評估零信任模式下的遠端存取技術。舉例來說，如果將大量的應用程式從企業網路移至雲端，即可減少 VPN 的流量和使用量。因此，您需要考慮在零信任網路範圍中使用替代的遠端連線解決方案 (例如安全存取服務邊緣 (SASE)、虛擬桌面和應用程式代理服務等)，不能只顧及建築內的使用者體驗。」

Subramanian 提到，當中涉及的心力，需視組織用來加速零信任部署作業的網路自動化和資料收集工具流而定。

她也表示：「我們著手整合相關心力，以透過自動化方式來大規模管理專為零信任打造的網路設計和原則。正因如此，我們不僅更趨資料導向，還能確立明確的目標和重大成果，繼而連結這些彼此相依的工作流程。」

Subramanian 認為：「組織著手評估所欲實現的零信任規模時，也應同時思考其他網路現代化計畫，並考量是否要結合兩者以建構更完整的方案，或讓兩者各自運作。」

欲了解更多原文內容，請至微軟資安部落格參考更多。