“零信任”自从2010年被Forrester分析师约翰·金德维格正式提出到现在已有十年的历史,在这十年中“零信任”一直都是安全圈内众人不断争议和讨论的对象,有人说它将是网络安全发展的必然产物,也有人说这种理念难以实现。无论“零信任”如何饱受争议,但事实证明随着相关技术的发展它都已然成为当下企业最好的选择。

2019年,在工信部公开征求对《关于促进网络安全产业发展的指导意见(征求意见稿)》的意见中,“零信任安全”首次被列入网络安全需要突破的关键技术。同年,国家首次将零信任安全技术和5G、云安全等并列列为我国网络安全重点细分领域技术。由此可见,零信任安全同样引起了国家相关部门和业界的高度重视。

陈本峰认为:“想要实现零信任,就需要重新思考我们应该如何利用现有的基础设施,以更简单、更高效的方式设计具体实施方案,同时保证整个过程中不受任何阻碍。”针对零信任架构的3种具体实现方案,陈本峰为我们带来了详细的解读。

零信任架构就是在不可信的网络环境下重建信任,利用零信任概念和包含组件关系,制定工作流程规划和访问策略。零信任架构是基于零信任的企业网络安全策略原则,其目的是防止数据泄漏并限制内部横向移动。零信任架构的技术的本质是构建以身份为基石的业务动态可信访问控制机制。企业决定采用零信任作为网络安全基础,并基于零信任原则制定开发计划,然后部署此计划形成一个零信任环境供企业使用。

企业可以通过多种方式为工作流程制定ZTA。这些方法在使用组件和组织的策略规则的主要来源方面有所不同。每个方法都实现了零信任的7大原则(零信任安全十周年峰会|陈本峰受邀出席并解读《NIST零信任架构》),但可以使用一个或两个作为策略的主要驱动力。这些方法包括通过下一代防火墙增强身份治理驱动的逻辑微分段,以及基于网络的细分。

针对不同的用例可以选择不同的方法,很多组织为企业开发零信任产品时可能会发现其选择的用例和现有策略指向,某种方法会优胜于其他方法。这并不意味着其他方法无效,而是在具体的过程中其他方法难以实施,可能需要更基本的方法来更改企业当前业务流程的方式。

零信任架构(ZTA)的三大技术:“SIM”

2019年,美国国家标准委员会NIST对外正式发布了《零信任架构ZTA》白皮书,强调了零信任的安全理念,并介绍了实现零信任架构的三大技术“SIM”:

图: 零信任架构的三大技术

SDP 软件定义边界:

SDP即“软件定义边界”,是国际云安全联盟CSA于2014年提出的基于零信任(Zero Trust)理念的新一代网络安全模型。SDP 旨在使应用程序所有者能够在需要时部署安全边界,以便将服务与不安全的网络隔离开来。SDP 将物理设备替换为在应用程序所有者控制下运行的逻辑组件。SDP 仅在设备验证和身份验证后才允许访问企业应用基础架构。

SDP 的体系结构由两部分组成:SDP 主机和 SDP 控制器。SDP 主机可以发起连接或接受连接。这些操作通过安全控制通道与 SDP 控制器交互来管理(请参见下图)。因此,在 SDP 中,控制平面与数据平面分离以实现完全可扩展的系统。此外,为便于扩展与保证正常使用,所有组件都可以是多个实例的。

在使用中,每个服务器都隐藏在远程访问网关设备后面,在授权服务可见且允许访问之前用户必须对其进行身份验证。 SDP 采用分类网络中使用的逻辑模型,并将该模型整合到标准工作流程中。

1、SDP最小化攻击面降低安全风险;

2、SDP通过分离访问控制和数据信道,保护关键资产和基础架构,从而阻止潜在的基于网络的攻击;

3、SDP提供了整个集成的安全体系结构,这一体系结构是现有的安全设备难以实现的;

4、SDP提供了基于连接的安全架构,而不是基于IP的替代方案。因为整个IT环境爆炸式的增长,云环境中的边界缺失使得基于IP的安全性变得脆弱。

5、SDP允许预先审查控制所有连接,从哪些设备、哪些服务、哪些设施可以进行连接,所以它整个的安全性方面是比传统的架构是更有优势的。

IAM(增强的身份管理)

身份管理是大多数组织实现安全和IT运营策略的核心。它使企业可以自动访问越来越多的技术资产,同时管理潜在的安全和合规风险。身份管理为所有用户,应用程序和数据启用并保护数字身份。

开发ZTA的增强的身份管理方法将参与者的身份用作策略创建的关键组成部分。企业资源访问的主要要求基于授予给定主体的访问特权。通常使用开放式网络模型或具有访问者访问权限或网络上频繁使用非企业设备的企业网络找到针对企业的基于身份治理的增强方法。最初,所有具有资源访问权限的资产都将获得网络访问权限,这些权限仅限于具有适当访问权限的身份。自发布NIST SP 800-207(第二草稿)零信任架构以来,身份驱动的方法与资源门户网站模型配合的很好。身份和状态提供辅助支持数据以访问决策。其他模型也可以使用,具体取决于现有的策略。

身份管理可以帮助组织有效地解决复杂业务带来的挑战,并平衡四个关键目标:

1. 加强安全性并降低风险。

2. 改善合规性和审计绩效。

3. 提供快速,有效的业务访问。

图: 零信任身份与访问管理

微隔离是一种网络安全技术,它可以将数据中心在逻辑上划分为各个工作负载级别的不同安全段,然后定义安全控制并为每个唯一段提供服务。微隔离使IT人员可以使用网络虚拟化技术在数据中心内部部署灵活的安全策略,而不必安装多个物理防火墙。此外,微隔离可用于保护每个虚拟机(VM)在具有策略驱动的应用程序级安全控制的企业网络中。微隔离技术可以大大增强企业的抵御能力。

微隔离是一种在数据中心和云部署中创建安全区域的方法,该方法使企业组织可以分离工作负载并分别保护它们,使网络安全性更加精细,从而更加有效。如下为微隔离的几个好处:

2.改善横向运动的安全性

4.改善法规遵从性状况

网络安全多年来已经成为人们口中经久不衰的话题,从单一防护到零信任的发展,安全防御方式正在进一步提升。随着技术的不断发展,零信任理念也正在逐步将公共和私人网络的边界消除。不过,并非每个企业都拥有实施零信任网络的IT基础架构的知识、资源和时间。企业必须拥有大量的预算和人力来开发,构建和维护因地适宜的零信任架构。对于资源不足的小型企业来说,这也将成为一项重大的挑战。

免责声明：该文章系我网转载，旨在为读者提供更多新闻资讯。所涉内容不构成投资、消费建议，仅供读者参考。

京东上的所有商品信息、客户评价、商品咨询、网友讨论等内容，是京东重要的经营资源，未经许可，禁止非法转载使用。

注：本站商品信息均来自于合作方，其真实性、准确性和合法性由信息拥有者（合作方）负责。本站不提供任何保证，并不承担任何法律责任。

印刷版次不同，印刷时间和版次以实物为准。

京东价：京东价为商品的销售价，是您最终决定是否购买商品的依据。

划线价：商品展示的划横线价格为参考价，并非原价，该价格可能是品牌专柜标价、商品吊牌价或由品牌供应商提供的正品零售价（如厂商指导价、建议零售价等）或其他真实有依据的价格；由于地区、时间的差异性和市场行情波动，品牌专柜标价、商品吊牌价等可能会与您购物时展示的不一致，该价格仅供您参考。

折扣：如无特殊说明，折扣指销售商在原价、或划线价（如品牌专柜标价、商品吊牌价、厂商指导价、厂商建议零售价）等某一价格基础上计算出的优惠比例或优惠金额；如有疑问，您可在购买前联系销售商进行咨询。

异常问题：商品促销信息以商品详情页“促销”栏中的信息为准；商品的具体售价以订单结算页价格为准；如您发现活动商品售价或促销信息有异常，建议购买前先联系销售商咨询。

2021年有个经常碰到的词儿，那就是「零信任」。

业界关于零信任的探讨和认可也从不吝啬：

「无边界化时代的安全架构」

「在不可信网络中构建安全边界」

还有各类零信任研讨会、各大门派的「零信任」白皮书等等。从概念提出到逐步落地实践，「从不信任，永远验证」的零信任走了十年了，未来还将继续往前走。事实证明，赛博世界需要零信任，企业安全需要零信任。

尽管如此，仍旧有很多用户在困惑，零信任那么好，该怎么落地应用呢？只有大型企业才用得起零信任吗？……为帮助用户寻求到这些问题的答案，我们把负责零信任架构的工程师给抓来了。

企业对外发布业务时，业务系统直接暴露在互联网中，很容易被黑客攻击。尤其是在云计算、移动/远程办公常态化的今天，内外网界限模糊，即使是在内网发布的敏感系统，如OA、HR、CRM、ERP等，随着企业规模的扩大、员工角色及终端的多样性，其安全性也无法有效保障。

零信任可提供安全代理访问服务，用户能不能访问、能访问哪些业务系统都要经过零信任的策略控制，通过策略审核后才能访问业务系统。相当于对外隐藏了业务，极大地减少黑客的攻击。

Authorization）即单包授权，是SDP（软件定义边界）的核心功能。在启用SPA时，零信任代理网关会在SSL连接握手时进行认证授权，只有通过特定客户端（携带授信的SPA种子/握手口令的客户端）发送认证报文信息给服务器，服务器认证通过后，才能响应连接请求，从而实现真正的网络隐身。

▲SPA单包授权安全机制实现「网络隐身」

这就好比添加微信好友时，别人可以随意通过手机号、微信号、群聊等方式向你发起好友申请。现在，你把这些添加方式都关闭，只保留共同好友分享名片这一方式，共同好友就好比SPA种子，具备共同好友则默认此人是可信的，能放心通过。

通过SPA单包授权技术，保证了只有具备合法SPA种子的客户端才能与零信任代理网关建立连接实现对业务系统的访问。

终端动态环境检测和业务准入

解决了业务的隐身问题，访问业务的终端成了新的“暴露面”，终端感染恶意程序、异常登录、不授信的网络环境等等都可能威胁到终端要访问的业务系统的安全。因此，需要对终端设备进行持续的信任评估。

零信任提供全过程的终端环境动态检测与业务准入，对需要通过零信任来访问业务系统的终端启动上线准入功能，进行24小时动态安检，一旦发现终端不符合安全要求，则禁止登录。

同时，基于业务应用的不同敏感度，零信任可为用户设置不同的业务准入策略，比如访问高敏感应用，需要限定指定终端和指定的网络环境；访问中敏感应用，只需限定指定终端；访问一般敏感应用，可以不限制终端和网络环境。

▲终端环境动态检测与业务准入

业务动态准入是贯穿业务访问的全过程的，以确保终端环境只有处于指定安全级别时才能访问对应的业务系统，如果不满足要求，可以访问低敏感度的应用。既保障了敏感业务的安全性，也不影响用户访问一般敏感应用。

动态ACL（动态访问权限控制）是零信任信任评估理念落地的关键，只有实现了根据信任评估结果对访问权限进行动态调整，信任评估才有意义。当终端环境或访问行为不满足安全基线时，会自动收回对应权限。

零信任在静态权限配置基础上，基于环境、行为、身份等综合信息动态调整访问权限，以应对终端环境变化导致的异常访问。

当同样的终端和用户从指定网络环境切换到不授信的外部网络时，即可实时收回仅能在指定网络环境访问的高敏感应用访问权限，确保高敏感应用的安全。

相反，如果终端一开始不符合高敏感应用的访问要求，可以通过增强认证等方式提高信任等级从而获得高敏感应用访问权限。

▲零信任动态访问权限控制

作为一种全新的理念和架构，零信任在企业进行安全建设和访问控制上能起到很好的指导作用，实现对重要数据和核心应用的高强度安全保护。

零信任在缩小暴露面隐藏业务、终端动态安全检测、动态自适应认证、动态访问控制、分级保护业务、数据防泄密等方面具备优势，可覆盖多场景远程办公、内网权限控制、内外网统一访问控制、多云多数据中心安全访问等应用场景。

作为国内较早探索零信任应用的企业之一，深信服推出了零信任安全架构及相应的解决方案和产品，基于“以身份为中心，可信访问、智能权限、极简运维”的理念，通过新一代网络隐身、动态自适应认证、全周期终端环境检测、动态业务准入、动态访问控制、多源信任评估等核心能力，帮助用户实现流量身份化、权限智能化、访问控制动态化、运维管理极简化的新一代网络安全架构转型。

与其他同类方案相比，深信服零信任安全架构具备更轻量、易落地以及可持续成长的优势：

1. 更轻量：一套平台即可满足从接入安全到数据安全的多场景零信任安全建设需求。

2. 易落地：一体化交付、对现网改动小。同时，凭借长期在远程办公领域的积淀，深信服推出轻量易用的零信任远程办公解决方案——零信任“VPN”，助力用户快速实现零信任落地。

3. 可持续成长：可通过联动其他安全组件、桌面云等构建覆盖全场景、智能联动的完整零信任安全架构，保持安全能力持续深化，以应对日益复杂的安全需求，实现全面零信任。

目前，深信服零信任已在金融、运营商、互联网企业、大型制造业、教育、政府科研、企事业单位等各行各业落地实施，其轻量级、易落地、可持续成长的优势将被越来越多的用户认可。