零信任未来发展将呈现明显的“四化”特征，即应用零信任、传统网络安全产品零信任、零信任标准化信任技术协议和信任落地成熟度评估的零信任建模。本文主要探讨应用零信任的趋势分析。1、信息化发展阶段不同。自计算机问世以来，企业的信息化发展发生了翻天覆地的变化。业务需求不断涌现，企业应用也在不断丰富和成熟。在应用建设初期，企业不同部门设计开发了大量应用，如财务系统、人事系统、库存系统、办公系统等，用户群体的具体业务需求也带来了严重的问题对企业的信息化管理。随着企业应用的爆发式发展，结合应用技术的革新，企业应用为用户提供便捷的体验，企业应用格局逐渐形成以应用门户为主、专业应用为辅的应用格局。面对日益复杂的应用场景，企业IT管理者的应用构建思路已经完成了从无序到有序的转变。分歧依然存在，应用建设标准没有固化统一。2、当前应用安全体系的局限性IT信息化帮助企业提高运营效率，而应用的广泛使用也给企业信息安全带来了诸多威胁。企业信息安全建设与信息化建设同步。安全、传输安全、系统安全等方面已形成成熟的安全技术和产品，覆盖应用使用全过程。应用程序从应用程序开发者和企业IT管理员的角度实现了不同的安全保护功能。应用开发者以应用功能的实现为主要任务，通过统一的身份管理、PKI证书、SSL加密等方式，在用户认证、数据传输等方面为应用提供基本的安全保障。企业IT管理员严守内联网的安全边界。尽管他们已经部署了各种安全产品，但他们更喜欢全网被动防御的安全框架。各个安全产品相互独立，无法为IT管理者提供应用访问安全的完整视图，全局访问控制的整体效果大打折扣，业务应用风险依然较高。一个风险点的突破，将大范围影响IT信息安全。(1)网络防御设备Firewall、IPS、IDS等产品都是针对网络流量的检测，很容易被非法攻击绕过，无法检测和跟踪加密流量。(2)杀毒软件，无论是终端杀毒软件还是服务器端杀毒软件，都依赖于特征库的不断更新，而特征库本身只能对已发现的病毒作出响应，无法检测未发现的病毒病毒，这仍然是一种被动防御。（3）WEB应用防火墙（WAF）WAF是一种基于应用层的安全防护产品。通过特征提取和块检索技术进行特征匹配，可以防范常见的网站漏洞攻击，但仍是一种被动防御方式。可以处理已知的漏洞和攻击。同时，使用WAF也有缺点。在对访问请求进行特征匹配时，由于特征库匹配规划的限制，存在漏报和误报的情况。3、应用发展新形势企业的应用需求不断增加，应用的使用场景随着新技术的出现变得多样化。不同行业的厂商也为各自领域的应用开发、部署和接入提供业务和安全服务。深入的研究和支持。业务平台、API网关、IDaaS等产品的出现，为应用构建提供了标准化的选择；云计算、大数据、物联网、人工智能等技术的发展，打破了企业固有的IDC建设模式，应用去中心化部署在不同的公有云、私有云和传统IDC机房，大量标准化的SaaS应用也成为企业的选择；在4G/5G网络全覆盖的移动互联网发展趋势下，应用的移动使用已经深入人心。传统的IT建设方式似乎无法保护日益模糊的边界。传统应用技术的发展以建立业务和安全标准为导向，致力于通过技术建立应用开发和管理规范，通过不同维度的安全产品的堆叠和部署，建立统一的安全边界。长期实践表明，标准的制定方式不能完全适应应用发展的新形势。标准化的实现需要企业投入过多的成本，降低了应用开发的灵活性，不能完全避免应用的个性化，厌倦了应对各种安全风险。未来应用的开发要保持灵活性和适当的标准化，避免对前期应用进行大改造；同时，需要新的安全架构来解决新形势下的应用安全问题，加强安全能力的联动，降低单一安全风险的风险。影响范围提高了应用程序的整体安全强度。4.应用零信任趋势应适当释放，而不是不断创造应用建设标准。在减少应用改造的基础上，依然保持良好的应用体验。通过应用安全架构的创新，可以提供未来的应用构建。持续安全护航。自零信任概念提出以来，经过长期的发展和实践，零信任架构理论趋于完善，得到了安全厂商、企业CTO和应用开发者的广泛认可，趋势是：对应用程序的零信任逐渐清晰起来。零信任理念坚持“从不信任，持续验证”的原则。应用程序的所有请求流量都由零信任应用程序网关代理。只有信任评估结果可信的账户、设备和网络的流量才能正常访问应用。系统实现了应用全流程安全因素的聚合和动态评估，限制了应用的风险暴露，降低了攻击的威胁范围。零信任架构不需要修改大量的应用程序。根据应用的实际需要，提供了代理（Agent）、客户端、集成SDK三种实现方式。在零信任安全的基础上，最好的用户体验。(1)服务隐藏在传统的边界保护理念中，应用需要在网络边界暴露服务端口，从而为不法分子提供可攻击的目标。零信任采用单包认证（SPA），业务服务端口对外界不可见，非法攻击将失去攻击入口，从而保护应用安全。(2)零信任认证授权。传统的周界防护是基于已知风险的被动防护，大大增加了攻击者突破周界防御的难度。然而，应用漏洞、系统漏洞、0day漏洞、病毒等层出不穷，甚至内部人员无意识的行为都会导致安全边界被突破。零信任网络不再设置可信网络边界，采用主动防御方式。只有通过信任评估为合法的请求才允许访问业务服务，并持续进行动态验证，使非法攻击无法渗透到业务服务中。(3)邻近网关相对于传统网络边界定义的内网可信区域，零信任框架将内网服务识别为不可信，通过邻近网关微隔离内网服务服务器。只有身份和权限才能访问受信任的授权业务服务资源，实现应用服务之间的零信任。(4)基于信任评估的访问控制传统的安全保护机制相互独立，无法为应用提供全面的安全访问控制。零信任信任评估机制将综合安全评估与用户环境、网络、角色权限、用户行为等综合因素相结合，根据应用安全需求提供与风险评估结果一致的访问权限。零信任访问控制并没有消除传统的安全措施，而是在零信任架构的基础上结合利用传统的安全措施，形成从环境、角色、权限、网络到数据的全方位纵深安全防御体系。
