BeyondCorp是谷歌採用的一種基於上下文的安全訪問方法 ，可供員工從任意網絡快速而方便地切入工作。那麼，該如何著手實現適合自家公司的BeyondCorp最佳實踐呢？前不久，谷歌安全工程師在官方博客上公佈了其零信任網絡的做法：
一、瞭解你的人員和設備
從需權限的公司網絡(通常基於VPN技術)轉型成零信任網絡的第一步，就是要了解公司的人員與設備情況。當網絡不再提供訪問公司重要信息所需的信任時，谷歌選擇根據手中掌握的員工及其設備的信息來決定是否允許訪問。如果缺乏員工及其設備的可靠實時數據，便無法做出明智的決策。
為實現這一點，谷歌在員工端重構了工作角色層次結構，重新劃定了工作分類以便更準確地捕捉員工的日常實際工作，核定各職能角色所需的訪問類型。
該過程需要答出一些很難回答但非常合理的問題，比如：
誰需要查看內部漏洞信息？
誰需要訪問源代碼？
誰需要跟蹤客戶關係？
理清這些需要對現有工作作出調整，有時候要簡化和合並職能類似的現有角色。有時候則需要調整工作分類，確保捕捉到同一工作角色下執行不同任務的各組員工之間的差異。
除此之外，還需要準確及時地掌握所有用戶設備的信息。谷歌的訪問機制下，設備與人同樣重要。受感染設備不應獲得信任。
二、維護統一的記錄清單
剛開始的時候，谷歌有各種各樣的系統來跟蹤並維護其設備清單——資產管理工具、DHCP服務器、無線訪問日誌、技術支持系統等等，但都不夠全面。最終，谷歌設置了元清單服務，從這些系統中吸納數據，再關聯整合成一份統一的設備清單，避免了記錄衝突和重複現象。
創建該主清單服務花費了谷歌大量的時間精力，但總算能整編起谷歌的眾多設備，更加全面細緻地瞭解設備的當前狀態了。由此，也就能根據設備狀態，基於其所安裝的軟件、補丁情況和其他特徵進行信任評估了。
三、後續建議
從谷歌的經驗和最佳實踐中還可得出以下幾條關於後續工作的建議：
-
瞭解公司內部在用哪些App
決定或調整訪問這些服務的安全策略
瞭解公司員工及其工作內容
決定誰有權訪問什麼東西
設置基於身份的訪問控制(例如 Identity-Aware Proxy)
閱讀更多 安全牛 的文章
