零信任的出现，将网络防御的范围从广泛的网络边界转移到个人或小团体资源。它还代表了新一代网络安全保护理念，打破默认的“信任”，秉承“持续验证，永不信任”的原则，即默认不信任网络内外的任何人、设备或系统。基于身份认证和授权，重建访问控制的信任基础，确保可信的身份、可信的设备、可信的应用和可信的链路。本文涵盖零信任的起源与发展，以及零信任架构的三大技术，以帮助您更好地理解零信任。网络安全架构的传统概念是基于边界的安全架构。企业在构建网络安全体系时，首先寻找安全边界，将网络划分为不同的区域，如外部网络、内部网络、DMZ区域，然后在边界上部署防火墙和入侵者。检测、WAF等产品。这种网络安全架构假设或默认内部网络比外部网络更安全。在某种程度上，它预设了对内网人员、设备和系统的信任，而忽视了内网安全措施的加强。不法分子一旦突破企业边界安全防护进入内网，如同进入无人区，将带来严重后果。随着云计算、大数据、物联网、移动办公等新技术新业务的深度融合，网络安全边界逐渐变得更加模糊，传统的边界安全防护理念面临着巨大挑战。在此背景下，零信任架构（ZTA）应运而生。它打破了传统认证即信任、边界保护、静态访问控制、以网络为中心等保护思想，建立了一套以身份为中心、身份识别、持续认证、动态访问控制、授权、审计和监控为一体的体系。链，以最小化实时授权为核心，基于多维信任算法，在端认证动态安全架构。一、零信任发展史概述2004年，零信任最早的雏形起源于2004年成立的杰里科论坛。隐式信任网络位置，不能依赖静态防御。为了解决全球信息网格（GIG）中如何实时、动态地规划和重构网络的问题，美国国防信息系统局（DISA）发起了BlackCore项目，该项目将基于边界进行改造基于单一事物安全模型的安全模型，提出了软件定义边界（SDP）的概念，后来被云安全联盟（CSA）采纳。2010年，著名研究机构Forrester首席分析师John正式提出零信任一词，明确了零信任架构的概念。该模型改进了Jericho论坛上讨论的去边界概念，并提出了三个核心观点：不再有受信任或不受信任的网络；不再有受信任或不受信任的用户。2013年，国际云安全联盟成立了软件定义边界（SDP）工作组。作为新一代网络安全解决方案理念，SDP的整个中心思想是在移动和云时代用软件构建虚拟的企业边界，用基于身份的访问控制来应对粗糙的边界模糊。粒度控制问题，以达到保护企业数据安全的目的。2014年，谷歌基于其内部项目BeyondCorp的研究成果，先后发布了6篇相关论文，介绍零信任实施实践。BeyondCorp的安全接入方式是一个完全不信任的网络，采用零信任模型的安全机制，其设计理念是：所有网络都是不可信的；访问主要基于合法用户和受控设备；所有服务访问都必须经过认证，授权加密处理。2017年，Gartner在安全与风险管理峰会上发布了持续自适应风险与信任评估（ContinuousAdaptiveRiskandTrustAssessment，简称CARTA）模型，并提出零信任是实现CARTA雄心的第一步，并在随后两年发布了零信任网络接入（Zero-TrustNetworkAccess，ZTNA）市场指南（注：SDP被Gartner称为ZTNA）。CARTA是自适应安全架构的3.0版。它结合了零信任和攻击防护，强调通过持续的风险和信任评估来判断安全态势。没有绝对的安全和100%的信任，它在0和1之间寻求平衡。风险和信任的平衡。2018年，Forrester提出零信任扩展（ZTX）研究报告，将视角从网络扩展到用户、设备和工作负载，将能力从微隔离扩展到可视化、分析和自动化编排，提出身份不仅仅针对用户，包括IP地址、MAC地址、操作系统等。简而言之，任何具有身份的实体，包括用户、设备、云资产、网段，都必须在零信任架构下进行识别、认证和管理。NIST于2020年发布的《SP800-207:Zero Trust Architecture》标准对零信任架构ZTA的定义如下：利用零信任的企业网络安全规划，包括概念、想法和组件关系的集合，旨在消除在信息系统中实施精确访问策略的需要和服务的不确定性。该标准强调，零信任架构中的很多组件并不是新技术或新产品，而是按照零信任理念形成的面向用户、设备和应用的完整安全解决方案。2.新的网络安全规划方法——零信任架构（ZTA）随着“云、大、物、移”等新兴技术的兴起，网络现状越来越复杂，传统网络基于边界的安全规划方法已经不能满足要求。政企客户网络安全需求。因此，将零信任的概念与政企客户的网络及其业务状况相结合，一种新的网络安全规划方法——零信任架构（ZTA）应运而生。零信任架构作为一种企业网络安全规划，利用零信任的概念，包括其组件关系、工作流规划和访问策略，以数据保护为核心，横向扩展到政企网络中的所有资产。它不是单一的网络架构，而是一套网络基础设施设计和运营的指导原则，可用于改善敏感级别的安全状况。与边界模型的“信任但验证”不同，零信任的核心原则是“从不信任，始终验证”。传统网络安全侧重于边界防御，授权主体可以广泛访问内网资源。根据EvanGilman《Zero Trust Networks》的书，零信任网络建立在五个假设之上：应该始终假设网络充满威胁；内部威胁一直充斥着网络；不能仅通过网络位置来确认信任关系；所有设备、用户和网络流量都应该经过身份验证和授权；访问控制策略应该基于尽可能多的数据源和评估进行动态计算。3、零信任架构三大技术“SIM”NIST标准的发布，首次提出零信任的官方标准定义和实用技术框架，强调零信任是一个安全概念而不是一种技术，并指出了目前实现零信任架构的三种方式大技术“SIM”，即软件定义边界（SDP）、身份和访问管理（IAM）、微分段（MSG）。软件定义的边界(SDP)SDP旨在使应用程序所有者能够在需要时部署安全边界，以将服务与不安全的网络隔离开来。SDP将物理设备替换为在应用程序所有者控制下运行的逻辑组件，仅在设备验证和身份验证后才允许访问企业应用程序基础架构。从架构上看，基于SDP的系统通常会实现控制层和数据层的分离，即在控制流阶段，用户及其设备作为身份主体进行预认证以获得丰富的属性凭证，结合基于属性的预授权策略映射到特定的设备和服务上，这些设备和服务只能被目标访问，从而可以直接建立相应的安全连接。身份与访问管理（IAM）零信任强调基于身份的信任链，即身份在可信终端，身份有请求资源的权限。传统IAM系统可以帮助解决身份唯一标识、身份属性、身份生命周期管理等功能性问题。身份信息（身份撤销、身份过期、身份异常等）后，有利于零信任系统确认用户的可信度，通过唯一标识建立终端与资源之间的信任关系，实施控制，如发现风险时，阻断与关键用户相关的访问连接。微分段（MSG）微分段本质上是一种网络安全隔离技术，可以在逻辑上将数据中心划分为不同的安全段，细化到每个工作负载级别，然后为每个独立的安全段定义访问控制策略。主要针对云平台东西向流量的隔离。一是区别于传统物理防火墙的隔离效果，二是更贴近云计算环境的真实需求。微分段将网络边界安全概念发挥到极致，将网络边界划分得尽可能小，可以很好地缓解传统边界安全概念下对边界过度信任带来的安全风险。零信任安全模型之所以受到业界广泛关注，是因为在传统的安全架构设计中，边界保护无法保证内部系统的安全性能。尤其是随着5G、云计算等新兴技术的融合，边界的模糊化和访问路径的多样化加剧，使得传统的边界保护变得不可能。面对日益复杂的网络环境，基于风险持续预测、动态授权、最小化原则的“零信任”创新安全思维，契合数字新基建技术的特点。借助云、网络、安全、人工智能、大数据等技术发展，提升信息系统和网络整体安全成为升级网络安全保障体系的中流砥柱，推动零信任安全架构时代到来.
