1。背景零信任因其“永不信任，持续验证”的特点一度被认为是网络安全领域最重要、最前沿的一个概念[8]。根据NIST专刊800-207《零信任架构》（正式版）（以下简称《零信任架构》）可以定义为一套以信任动态评估为前提，以资源保护为核心，不断迭代优化。在学习《零信任架构》之前，首先需要了解零信任的概念和标准《零信任架构》的时代背景。1.1零信任背景随着“云化、大转移、物智化”技术的发展和产业数字化转型，传统安全防御理念的“边界”概念逐渐模糊，传统安全防御模式越来越不足以应对威胁。越来越多来自企业内部“可信任”人员和设备的威胁和APT攻击，让企业的“内网”充满了风险。传统静态的“隐式信任”模型亟待重构和创新。零信任的概念就是在这样的背景下应运而生的。零信任最早的雏形起源于2004年的杰里科论坛，在此期间只提出了模糊的概念，具体概念由时任Forrester首席分析师的JohnKindervag于2010年首次提出[1,2].2018年，Forrester提出零信任扩展（ZTX）研究报告，拓宽了零信任的应用视野。2020年2月，美国国家标准技术研究院NISTSP800-207：零信任架构草案第二版发布，成为全球首个由零信任架构相关研究机构发布的官方标准参考[1]。我国的零信任发展形势也紧跟国际形势。2020年6月，腾讯联合零信任领域的16家机构和企业，共同成立“零信任行业标准工作组”。同年8月正式发布国内首份基于攻防实践总结的零信任安全白皮书《零信任实战白皮书》。2020年9月，由腾讯牵头的《服务访问过程持续保护参考框架》国际标准立项立项，也成为首个国际零信任安全技术标准。零信任已经成为我国网络安全发展中最重要、最前沿的领域之一[3]。1.2NISTSpecialPublication800-207零信任架构零信任已经发展了10多年。在此期间，不同的机构发展出不同的体系结构，形成了所谓的“8所学校”。它是第一个由研究机构发布的基于文档的零信任架构设计详细指南[2]。NISTSP800-207《零信任架构》正式版分为7个部分，分别是总体介绍、零信任基本概念介绍、零信任架构逻辑组件、部署场景/用例、零信任架构相关安全威胁，零信任架构和现有的联邦指导的交互和（项目）迁移到零信任架构[4]。该标准发布的背景是NCCoE《实施零信任架构》项目的实施，该项目非常重视零信任架构实施的目标，期望在实现安全性的同时保证用户体验[5]。不难看出，《零信任架构》的提议本着为企业安全服务的宗旨，希望将零信任架构应用到商业产品中，树立零信任实施范例。因此，《零信任架构》不仅包含了零信任架构的抽象定义，还给出了大量应用零信任提升企业信息安全的通用部署模型和用例[4]。出于学习的目的，本报告主要关注《零信任架构》的“核心技术”，即零信任相关的基本概念和实现零信任架构的三大技术，而不太关注企业实施零信任和迁移的相关指导。2.零信任的基本概念2.1零信任的原则《零信任架构》总结了零信任的七大原则。本节首先强调零信任是一套网络安全范式，其目的是将网络防御的重心从静态的、基于边界的转移到基于用户、设备和资源的基础上，并利用零信任原则来规划企业设施和工作流程的基础[4]。零信任七大原则主要集中在定义企业资源划分、消除隐性信任、基于连接的身份认证与授权、非静态访问权限策略、企业应监控和衡量资产完整性和安全态势、持续实施整个过程，企业在网络安全问题上的自主权增加了。2.2零信任视角下的网络《零信任架构》基于所有网络都采用零信任架构，提出了6个网络连通性的基本假设，要求企业实施零信任遵循2.1中的零信任原则和这些假设。这六个基本假设围绕不可信任人员、不可信任设备、不可信任资源（源）、不可信任服务、不可信任本地连接、需要保持安全态势进行资源传输这六点，详细说明了零信任在网络中的重要性。网络实施。核心思想是去除隐含的信任。事实上，整本书《零信任架构》始终围绕着这个核心思想，从原理、架构理论到实现指导。3、实现零信任架构的三大技术“SIM”。事实上，《零信任架构》在这部分首先定义了零信任架构部署（一种理想模型）的逻辑组件。该模型如图1所示，后续所有的架构方案、部署方案、信任算法、网络组件均基于该模型进行设计。该逻辑组件主要包括策略引擎PE、策略管理器PA、策略执行点PEP、持续诊断和缓解系统CDMS、行业合规系统、威胁情报源、网络和系统行为日志、数据访问策略、（企业）公钥基础设施PKI，身份管理系统IDMS，安全信息和事件管理系统SIEMS。其中最重要的是PE配合PA作为策略决策点PDP和策略执行点PEP。这些逻辑组件相互作用，为实现“零信任”访问提供基础。图1零信任架构部署的逻辑组件及其关系《零信任架构》提出了实现零信任架构的三大技术“SIM”，即软件定义边界SDP、身份和访问管理IAM、微隔离MSG。SDP有CSA颁发的《SDP标准规范》为标准；IAM拥有ISO/IEC29760系列标准、ISO/IEC29146:2016标准和ISO/IEC29115:2013标准等；也将微隔离列入鼓励深化技术产品应用的行列。3.1基于软件定义边界SDP实现零信任架构2013年国际云安全联盟（CSA）成立SDP工作组，2014年发布《SDP标准规范》1.0版本，2022年4月CSA发布《SDP标准规范》的2.0版本。《SDP标准规范》中对SDP的定义是一种旨在使应用程序所有者能够部署安全边界以在需要时将服务与不安全网络隔离的技术，如图2《SDP标准规范》中定义的SDP架构组成结构。而《零信任架构》对使用软件定义边界SDP方式的解释是为了实现顶层网络的零信任，同时也强调可以在更底层的ISO网络协议栈中实现。实际上，SDP实现了在应用所有者控制下运行的逻辑组件，只有在设备验证和身份验证同时通过的情况下，才允许后续访问企业资源架构，以应对“可信”模糊边界下的粒度控制以确保企业数据安全。图2《SDP标准规范》中定义的SDP架构组成结构3.2基于增强身份治理IGN的零信任架构实现接下来介绍一下身份和访问管理（IAM）。严格来说，身份管理本身也是访问管理的一部分。访问管理通过对象的标识和授权来控制对信息资源的访问。然而，在实践中，实现身份认证和实体认证的身份管理系统往往被视为分离的功能过程，因此，身份管理和访问管理通常与访问管理系统一起统称为身份和访问管理[6]。针对身份管理和访问管理问题，产生了一系列国际标准：ISO/IEC29146:2016定义了身份管理和访问管理的关系（图3），ISO/IEC29760定义了身份管理，而ISO/IEC29146定义了访问管理（图4），相关的实体认证保证在ISO/IEC29115:2013[6]中也有详细定义。身份治理是指通过一定的机制对企业内不同身份主体的行为进行规范、约束和引导，以实现组织目标的治理模型。《零信任框架》这部分解释了相关概念，强调“身份”是访问控制的基础。信任值的取值应该来源于端到端对象的“身份”，访问控制的构建需要基于“身份”，而不是网络位置（比如获取的内外网传统网络边界划分后）。由此不难看出，《零信任架构》强调基于“身份”的访问控制，实际上体现了零信任的核心变化：打破边界，将企业的“IP网络”升级为“ID网络”。图3ISO/IEC29146:2016定义的身份管理和访问管理的关系图4ISO/IEC29146定义的访问管理参考架构3.3基于微隔离MSG的零信任架构微隔离MSG是一种新兴的网络安全Technology，《零信任架构》将微分段定义为企业将单个或一组资源放置在由网关安全组件保护的专用网段上。百度百科对微分段的定义是将一个非结构化、无边界的网络划分成逻辑上很小的网段，保证每个网段上只有一个计算资源，所有需要进出这个微网段的流量都需要经过访问控制设备。[7]总的来说，微隔离本质上是一种隔离技术。该技术实现了将企业数据中心逻辑划分为多个控制段，细化到每个工作负载，对每个控制段进行控制。为每个网段配置访问控制策略，达到隔离的目的。《零信任架构》强调，解决方案最关键的部分是PEP组件的管理，以及按需响应和重新配置以应对不断变化的情况。我认为微隔离比技术更重要，将微单元划分并单独隔离的想法，但高昂的管理成本和难以适应快速变化的环境仍然是这项新兴技术的一大挑战。（本文部分内容翻译自NISTSP800-207(final)，零信任架构）参考[1]零信任安全架构的诞生，https://baijiahao.baidu.com/s?id=1735694428166577246.[2]零信任的历史与演变，https://baijiahao.baidu.com/s?id=1743099719081480169.[3]百度百科：零信任，https://baike.baidu.com/item/%E9%9B%B6%E4%BF%A1%E4%BB%BB.[4]NISTSP800-207(final)，零信任架构[S].[5]NISTNCCoE发布《实施零信任架构》正式版，https://baijiahao.baidu.com/s?id=1683491312237273425.[6]谢宗孝，龚希杰。浅析身份与访问管理（IAM）及其国际标准[J]．中国质量与标准导报，2019(10)：14-17.[7]百度百科：微隔离，https://baike.baidu.com/item/%E5%BE%AE%E9%9A%94%E7%A6%BB/61814283.[8]A.怀尔德。零信任：从不信任，永远验证[C]。2021年网络态势感知国际会议。数据分析和评估(Cyber??SA)。2021年，第1-4页。
