零信任不是一种产品或服务，当然也不仅仅是一个流行语。相反，它是一种特定的网络安全防御方法。顾名思义，它不是“先验证，再信任”，而是“从不信任，始终验证”。从本质上讲，零信任是通过限制对数据的访问来保护数据。企业不会自动信任任何人或任何事物，无论是否在网络范围内。零信任方法要求每个试图连接到企业应用程序或系统的人、设备、帐户等在授予访问权限之前都经过身份验证。但是，这个功能不是已经存在于网络安全系统的设计中了吗？零信任只是在此之上添加某些额外的控制吗？事实上，零信任框架包括许多企业广泛使用的数据保护技术。但零信任代表了如何思考网络安全防御的一个明确支点。这种方法不仅可以保护整个企业，而且可以将保护范围扩展到组织内外的每个网络、系统、用户和设备。强身份、多因素身份验证、可信端点、网络分段、访问控制和用户归属来分离和规范敏感数据和系统访问，使零信任成为可能。简而言之，零信任是一种思考网络安全的新方式，可帮助组织在当今不断变化的威胁环境中保护其数据、客户和自身的竞争优势。在企业高管已经感受到保护企业系统和数据的压力之际，对网络安全的信任度为零。投资者和“数据主体”（客户和消费者）也坚持要求更好的数据安全。当一些数据和应用程序在本地而一些在云端时，安全问题会变得更加复杂，从员工到承包商和合作伙伴的每个人都可以在这些应用程序的多个位置使用各种设备进行访问。同时，政府和行业法规也在提高对重要数据的保护要求，而零信任可以帮助企业满足这些合规要求。零信任网络安全技术幸运的是，零信任背后的技术正在迅速发展，使该方法在今天更加实用。没有单一的方法来实施零信任网络安全框架，也不是只有一种技术。相反，需要多种技术，以便只有经过安全身份验证的用户和设备才能访问目标应用程序和数据。例如，根据“最小特权”原则授予访问权限，仅向用户提供他们完成工作所需的数据。这包括实施过期权限和一次性使用凭据，这些凭据在不再需要访问后会自动撤销。此外，还会持续检查和记录流量，并限制访问范围，以防止系统和网络之间未经授权的数据横向移动。零信任框架使用多种安全技术来增加对敏感数据和系统的访问粒度。例如，身份和访问管理（IAM）；基于角色的访问控制（RBAC）；网络访问控制(NAC)、多因素身份验证(MFA)、加密、策略实施引擎、策略编排、日志记录、分析以及评分和文件系统权限。同样重要的是，技术标准和协议可用于支持零信任方法。云安全联盟(CSA)开发了一种称为软件定义边界(SDP)的安全框架，该框架已应用于一些零信任计划。互联网工程任务组(IETF)通过批准主机身份协议(HIP)为零信任安全模型做出了贡献，它代表了OSI堆栈中的一个新的安全网络层。在这些先进技术的基础上，许多供应商逐渐将零信任解决方案推向市场。基于这些技术、标准和协议，组织可以使用三种不同的方法来实现零信任安全：网络微分段，将网络描述为小颗粒节点，一直到设备或应用程序。安全协议和服务交付模型是为每个单独的细分市场设计的。SDP，基于“需要知道”的策略，在授予对应用程序基础设施的访问权限之前验证设备的状态和身份。一个零信任代理，充当客户端和服务器之间的中继，有助于防止攻击者闯入专用网络。在特定情况下哪种方法最好取决于哪些应用程序受到保护、您当前的基础设施是什么以及您是在新建环境还是遗留环境中进行保护，以及其他因素。在IT中采用零信任：构建零信任环境的五个步骤构建零信任框架并不一定意味着需要进行完整的技术转型。通过使用下面这些循序渐进的方法，组织可以以受控的迭代方式进行，从而帮助实现最佳结果，同时将对用户和操作系统的干扰降到最低。(1)界定保护面的范围。在零信任环境下，企业不会关注攻击面，而只关注保护面，关注对企业最有价值的关键数据、应用、资产和服务（DAAS）。保护信用卡信息、受保护的健康信息(PHI)、个人身份信息(PII)、知识产权(IP)、应用程序（现成或定制软件）等表面；SCADA控制、销售点终端、医疗设备、制造资产和IoT设备等资产以及DNS、DHCP和ActiveDirectory等服务。一旦定义了保护表面，就可以将控件移动到尽可能靠近它的位置，并附加限制性、精确和易于理解的策略声明，从而创建一个微边界（或单独的微边界）。(2)记录交易流量，流量在网络中传输的方式决定了它如何受到保护。因此，获取有关DAAS相互依赖性的上下文信息非常重要。记录特定资源的交互方式有助于正确实施控制并提供有价值的上下文信息，确保最佳网络安全环境，同时最大限度地减少对用户和业务运营的干扰。(3)构建零信任IT网络。零信任网络是完全可定制的，而不仅仅是通用设计。该架构主要围绕保护表面而构建。一旦定义了保护面并根据业务需求记录了流程，就可以从下一代防火墙开始制定零信任架构。下一代防火墙充当分段网关，在保护表面周围创建微边界。使用分段网关来尝试访问保护表面内的对象，可以强制执行额外的检查和访问控制层，一直到第七层。(4)创建零信任安全策略。网络建成后，需要创建零信任策略来确定访问流。谁在访问谁，正在访问哪些应用程序，为什么要访问它，这些应用程序首选如何连接，以及可以使用哪些控制来保护该访问，所有这些都需要提前知道。使用这种精细级别的策略实施，您可以确保只允许已知流量或合法应用程序连接。(5)监控和维护网络。最后一步包括检查所有内部和外部日志，并重点关注零信任的操作方面。由于零信任是一个迭代过程，检查和记录所有流量将大有裨益，为如何随着时间的推移改进网络提供有价值的参考。其他注意事项和最佳实践以下是考虑采用零信任安全模型的组织的一些其他注意事项：在选择架构或技术之前，请确保您已制定正确的策略。零信任以数据为中心，因此重要的是要考虑数据位于何处、谁需要访问以及可以使用什么方法来保护它。Forrester建议将数据分为三类（公共、内部和机密），分成具有微边界的“块”。从小事做起，积累经验。对整个企业实施零信任的规模和范围可能是巨大的。例如，Google花了七年时间才实施了BeyondCorp项目。考虑用户体验。零信任框架不必破坏员工的正常工作流程，即使他们（及其设备）正在接受访问验证审查。有些进程在后台发生，用户可能根本看不到。对用户和设备身份验证实施强有力的措施。零信任的基础是，在完全验证可以访问内部资源之前，任何人、任何设备都不能被信任。因此，基于强身份、严格身份验证和非持久权限的企业级IAM系统是零信任框架的关键构建块。将零信任框架纳入数字化转型项目。重新设计工作流程时，也可以转换安全模型。现在是采用零信任安全模型的最佳时机。技术已经成熟，协议和标准已经建立，对新安全方法的需求不容忽视。
