網路攻擊與防禦實務
關於以零信任思維為基礎的存取控制，正確的說明是下列何者？
- A不因位於公司內部網路就給予信任，每次要求都確認使用者與裝置的狀態，只允許必要最小限度的存取
- B把公司內部網路視為安全並讓通訊自由流動，只以邊界的防火牆與VPN防止來自外部的入侵
- C一度登入成功的使用者與裝置是可信任的，之後不需確認就能自由存取所有系統
查看答案與解析
正確答案：A. 不因位於公司內部網路就給予信任，每次要求都確認使用者與裝置的狀態，只允許必要最小限度的存取
傳統的邊界防禦把公司內部網路視為可信任的內側，在邊界防止來自外部的入侵。隨著雲端與遠距工作讓要保護的對象擴展到公司外部，加上進入邊界內側的攻擊者能自由行動的問題，不以網路位置給予信任的零信任思維逐漸普及。美國NIST在2020年公布的SP 800-207中，提出了不依網路位置默認信任、對資源的存取按每次要求授權、依據使用者與裝置狀態等的動態政策判斷等原則。常以「永不信任，始終驗證（Never trust, always verify）」來表達。
- A. 正確。不是以網路位置，而是以每次要求的確認來判斷信任。
- B. 這是邊界防禦的思維。一旦被攻入內側，攻擊者就能自由行動。
- C. 一次驗證就廣泛信任，與零信任相反。應按每次要求只允許必要最小限度的存取。