作为一种新兴的安全理念和技术，经过近十年的发展，零信任正从实践走向应用。随着零信任从概念架构到实际落地的不断突破，如何加快构建零信任安全体系，用零信任解决方案保障万千行业的数字化转型，成为业界普遍关注的焦点。在最近对SafetyBull的研究中，我们也对此进行了观察和思考。图1零信任技术应用发展从零信任国际的发展历程来看，零信任在2017年之前仍然经历了一段漫长的磨合期；快速地;从2021年开始，零信任相关技术的成熟度将大幅提升。一、零信任的实践与应用GoogleBeyondCorp是基于零信任理念，经过数年的探索和实践，从零开始设计和构建零信任模型的早期实践。其实践的基本思想是对访问主体、客体、访问权限进行细粒度的关联和控制。核心组件包括设备、用户、应用程序、工作流和网络。其中，网络分为特权网络和非特权网络。在非特权网络中，主要通过访问代理（GFE）提供集中的粗粒度策略执行机制，GFE的能力逐渐扩展，包括认证、授权、审计等。与BeyondCorp相比，DISA（美国国防信息系统局）的零信任战略实践环境更为复杂，其目标是从分权部门的独立安全建设转变为统一的安全防护架构。据最新消息，DISA战略将于2022年1月启动，启动前需要一年多时间进行项目评估和架构规划。其过程在时间轴上如图2所示：图2DISA零信任战略推进路线2020年10月，零信任参考框架在DISA的JITC（JointInteroperabilityTestCommand）实验室构建和测试，其目标是开发与供应商无关的解决方案。此次验证也为后续的战略规划和方案建设奠定了信心和基础。在此验证之前，NIST下属的NCCoE（国家网络安全卓越中心）于2020年3月发布了《实现零信任架构》项目规范（草案），同样旨在通过商业产品构建零信任架构。在架构设计中，定义了零信任架构的七大支柱要素，即：用户、设备、网络/环境、应用/工作负载、数据、可视化/分析、自动化和编排，并为这些要素匹配特定的能力和关键技术.2021年10月，基于零信任架构，进一步提出建设方案——Thunderdome，并确定通过SASE重构实施零信任策略。最后，根据确定的方案制定具体的项目实施方案。图3美国从零信任实践到应用发展的五个阶段在Thunderdome计划实施的同时，美国管理和预算办公室（OMB）也发布了官方版本《联邦政府零信任战略》，明确了5个核心美国“民间机构”零信任架构支柱，进一步从管理、技术、架构、基础设施选型等维度提出具体要求。OMB和DISA的零信任战略规划流程看起来很像，但是OMB的建设速度要比DISA快很多。不过，DISA为从互操作性验证到项目实施的每个阶段都预留了一段过渡期，整个过程显得更加谨慎。总结美国从实践到DISA重构的转化过程，经历了技术实践、互操作性验证、架构规划、技术方案、实施计划五个阶段。如果说早期的BeyondCorp是一种实践，那么今天DISA和OMB的零信任策略承载着重要的安全任务，有技术标准、架构验证、统筹规划、落地应用。这在一定程度上标志着零信任已经从实践走向应用。二、我国零信任应用观察在国内，“替代VPN”曾被认为是零信任的重要使命之一。但VPN的初衷是建立一个用于远程访问的专用网络，而零信任的初衷是一种数据保护的安全范式，旨在防止数据泄露，限制内部横向移动。使用VPN来满足云时代海量远程访问的安全接入需求是很牵强的，但VPN暴露的安全风险确实是推动零信任发展的重要力量之一，推动SDP网关向成为替代企业远程办公计划的重要解决方案。我们看到，保障零信任行业应用的相关配套标准已经开始出现。中国电子标准化协会牵头的和中国城市轨道交通协会牵头的《城市轨道交通云平台网络安全技术规范》都给出了采用零信任概念时的技术要求和逻辑框架供参考，强调无论是人还是人、设备、应用和数据都需要身份识别、访问认证和动态授权。同时，商业秘密行业也在践行零信任，以进一步提升证书体系的安全性。在重要的访问控制环节，以零信任的理念改造传统数字证书的分发和授权。零信任的概念也进一步加强了对传统安全产品的赋能：（1）在用户识别能力方面，零信任赋能以IAM为代表的身份和访问安全技术，用户认证需求驱动权限管理和权限管理成为更重要的能力单位。(2)在网络和通信安全方面，以SDP为中心的访问控制方案已经成为网络远程访问安全的重要组成部分。完全非特权访问还有待验证。（3）在终端安全方面，除了网络接入侧的强验证外，零信任还进一步推动安全引擎、沙箱、虚拟空间等技术在终端安全中的应用，拓展终端基线检测、入侵检测/保护、审计和其他安全管理功能。这不仅极大地辅助了大量分散部署终端的风险管理，也有助于XDR提升其快速检测-响应能力。（4）在数据安全方面，零信任的概念融合了传统的数据安全访问和控制能力，可以很好的应对云平台大数据的碎片化管理；针对移动端和远程端的数据泄露，通过终端的虚拟空间技术也得到了很好的拓展；另外，对于数据中心的数据安全，网络侧的数据管控会更合适，但是从访问控制和部署的角度来看，它的解决方案和远程办公的零信任解决方案是不一样的。也是异曲同工的地方。(5)在零信任理念的影响下，应用交付和WEBVPN设备相较于传统的应用交付也有了很多改进：在部署方案上访问控制和策略管理逐渐分离，在部署方案上增强多因素认证产品设计为完善权限管理策略，特别是针对API访问无处不在的安全风险，涌现出一波专业的API安全防护能力，提升运行时应用的自我防护能力。零信任的概念使用户、终端、网络、数据和应用的安全能力发生了诸多变化。但是，从系统建设的角度来看，目前国内的应用还非常有限：（1）零信任架构是一个集成了众多安全能力，严重依赖组件的综合解决方案。但在需求端，企业在采购零信任解决方案时更愿意选择不受供应商限制的解决方案。（2）从供给端来看，现阶段零信任解决方案多以厂商为主，大部分主要由其擅长领域的能力提供。支持企业开展零信任全球战略规划难度加大。（3）目前业界缺乏对零信任解决方案组合的互操作性评估。同时，还需要更多的实践来验证业界现有的零信任建设框架。
