如今，企业的业务和业务流程不再局限于物理环境。传统的以网络边界为中心的防火墙式安全防护机制已经不能满足企业的发展需求。企业需要转向构建以数据和身份为中心的更符合当前数字化发展趋势的中央安全保护机制。在此背景下，ForresterResearch的一位分析师在2010年正式提出了零信任的安全概念。最初，Forrester一直专注于如何将传统的单一边界划分为一系列微边界或网段，提倡整体业务的提升通过加强细粒度授权和威胁控制来提高安全性。随着时代的发展，业界逐渐开始将零信任与网络分段和加强网络分段的下一代防火墙技术联系起来。然而，零信任并不局限于网络分段。这是一个全新的安全概念。零信任的实现需要一系列复杂的流程和技术的实施。因此，从2018年开始，Forrester开始发布零信任扩展生态系统ZeroTrusteXtended（ZTX）研究报告，并提出了构成ZTX生态系统的7个主要元素，如下图所示：下面我们来谈谈这7个主要元素detail元素，充分揭示零信任安全的概念。网络安全网络安全能力是零信任安全体系最基本的能力需求。在ZTX模型中，需要重点关注的是如何实现网络隔离、网络分段和网络安全。简单来说，零信任下的网络安全能力可以理解为支持微边界和网络分段的NGFW（NextGenerationFirewall）技术的产品能力。实现形式可以是硬件或虚拟化设备，也可以提供同等能力的软件形式。数据安全构建零信任架构的最终目的是回归本源，专注于保护企业数据安全。在ZTX模型中，需要重点关注如何实现数据分类、数据规划、数据隔离、数据加密和数据控制。零信任数据安全保护的重点是数据本身，与数据所在的位置无关。无论数据是存储在终端、服务器、数据库还是SaaS应用，无论是内部数据还是外部数据，无论数据处于流动状态还是静止状态，零信任架构都需要通过一定的技术手段来实现保护数据，防止数据让路。IDaaS（IdentityasaService）是零信任架构实践的一种主要形式。根本出发点是保护企业数据安全。目前主流的方法是通过基于风险的动态权限控制来实现对危险访问的屏蔽。企业的敏感业务数据信息应该被隔离或自动识别，并在整个数据生命周期中得到持续保护。身份安全根据Verizon的统计，80%的数据泄露是由身份凭证被盗或泄露引起的。在企业内部传统的可信网络区域，一旦黑客入侵，仍是无人区，可以肆无忌惮地破坏企业的IT资源。大多数应用系统和服务交互都与用户相关联，因此零信任最重要的策略对象主体是身份和账户。在ZTX模型中，主要关注的是使用企业网络和业务基础设施的用户的安全，以及减少这些合法用户身份带来的潜在威胁。IDaaS是目前最先进的身份和访问管理解决方案，倡导的最前沿实践是通过自适应的、基于风险的评估来识别潜在威胁，这种评估机制将贯穿整个用户生命周期。企业IT可以设置风险承受等级，让风险评估引擎根据上下文信号判断特定认证事件的风险等级，并根据风险等级洞察自动唤起二次认证。当然，这种信任不是绝对的：自适应认证机制会持续监测上下文信号，一旦用户上下文的任何方面发生变化，就会重新对用户进行认证和授权。工作负载/应用安全在ZTX模型中，工作负载安全侧重于网络环境、应用等技术设备的安全保障能力。无论处于何种云环境中，工作负载（如应用系统、虚拟机、容器、Serveless等）都非常容易受到攻击。企业要想实现基于零信任的工作负载安全，首先要摸清企业内部的工作负载资产，构建工作负载、安全组、实例和防火墙的实时拓扑。零信任的自适应访问授权引擎将自动适应工作负载的变化并强制执行授权策略。在产品和能力提供方面，零信任工作负载安全主要通过基于身份的代理网关来实现。用户只能查看和访问授权的工作负载，未经授权的人无法查看和访问它们。结合其他传统安全手段来加强应用程序和工作负载的安全性。设备安全在ZTX模型中，设备安全的重点是不断隔离每一个访问企业资源的设备（包括移动设备），并采取相应的安全保护和控制措施。除了可见的传统服务器、PC和智能手机，设备还包括物联网设备、网络基础设施组件、??工作负载和其他软设备形式。在产品能力方面，零信任设备安全主要通过对设备安全性的持续检测和发现来实现。一方面，它根据预先收集的设备类型，对设备的内网访问行为进行授权、拒绝和限制。一方面对设备进行持续监控，确保设备行为不偏离策略，同时根据既定策略发出通知并启动设备修复。无法保护无法看到或理解的可视化和分析。Forrester提出的这个维度主要关注零信任技术是否提供了有用的分析和数据支持，并尽可能消除了应用系统和企业IT基础设施中的死角。在不同的维度，有不同的支持和实施场景。企业需要在客户、业务、技术维度综合考虑和理解后，定义零信任产品的数据分析和可视化逻辑。自动化编排的零信任安全系统若想实现价值最大化，需要与更广泛的IT环境融合，需要提高自身的事件响应速度和策略准确性，自动分配任务。在ZTX模型中，重点关注技术如何基于零信任原则实现自动化和编排，使企业能够加强对不同类型应用系统的统一管控。通过自动化和编排，零信任可以将复杂而乏味的安全任务转变为自动化、计划好的或事件驱动的自定义工作流。例如，在IDaaS平台中，很多厂商提供的解决方案都会将主身份源系统与其他身份源系统、下游应用系统进行关联，实现主零信任策略对象人员和身份账户的自动联动管理。如果身份源系统中的人员身份信息发生调整或变化，其他关联系统中的人员身份信息也将随之调整和更新，从而将企业IT管理者从复杂的账户管理工作中解放出来。在日志管理和审计方面，IDaaS平台还可以通过算法和风险评估模型自动预测和报警危险事件。也可与第三方SIEM产品结合，为企业客户提供更完善的日志分析服务。更多IDAAS和零信任相关场景功能，可搜索御付科技咨询。
