什麽是零信任

零信任的(de)概念最早是在2010年(nián)由當時(shí)的(de)Forrester分析師(shī)John Kindervag提出。零信任承認了在分布式網絡環境下(xià)傳統邊界安全架構的(de)不足，認為(wèi)主機(jī)無論處于網絡什麽位置，都(dōu)應當被視(shì)為(wèi)互聯網主機(jī)，它們所在的(de)網絡，無論是互聯網還(hái)是內(nèi)部網絡，都(dōu)必須被視(shì)為(wèi)充滿威脅的(de)危險網絡。

零信任的(de)核心思想是：默認情況下(xià)，企業(yè)內(nèi)外(wài)部的(de)任何人(rén)、事(shì)、物(wù)均不可信，應在授權前對(duì)任何試圖接入網絡和(hé)訪問(wèn)網絡資源的(de)人(rén)、事(shì)、物(wù)進行驗證。

零信任網絡的(de)核心原則包含以下(xià)五個(gè)方面：

身(shēn)份是訪問(wèn)控制的(de)基礎

信任來(lái)自(zì)于端到端所有(yǒu)對(duì)象的(de)身(shēn)份，基于身(shēn)份而非網絡位置構建訪問(wèn)控制。

最小(xiǎo)權限原則

資源可見和(hé)訪問(wèn)按需分配，僅授予執行任務所需的(de)最小(xiǎo)特權。

實時(shí)計(jì)算(suàn)訪問(wèn)控制策略

根據主客體(tǐ)信任評估和(hé)訪問(wèn)需求進行策略計(jì)算(suàn)，并持續評估以保證策略實時(shí)變更。

資源受控安全訪問(wèn)

所有(yǒu)業(yè)務場(chǎng)景下(xià)全部資源基于單個(gè)訪問(wèn)請求連接，進行強制身(shēn)份識别和(hé)授權、鑒權和(hé)通(tōng)道(dào)加密。

基于多源數據進行信任等級持續評估

包括身(shēn)份、訪問(wèn)上(shàng)下(xià)文(wén)等的(de)實時(shí)多源數據的(de)多樣性和(hé)可靠性，提升信任評估策略計(jì)算(suàn)能力。

零信任主張安全體(tǐ)系架構從(cóng)網絡中心化(huà)轉變為(wèi)身(shēn)份中心化(huà)，所有(yǒu)的(de)訪問(wèn)行為(wèi)都(dōu)需要以身(shēn)份為(wèi)中心進行細粒度的(de)自(zì)适應訪問(wèn)控制。

企業(yè)不應該默認信任網絡內(nèi)部或外(wài)部的(de)任何人(rén)、設備、系統和(hé)應用，而是應該基于認證和(hé)授權重構訪問(wèn)控制的(de)信任基礎，并且基于盡可能多的(de)數據源對(duì)訪問(wèn)者進行持續的(de)可信度評估，根據評估結果動态地(dì)調整授權和(hé)訪問(wèn)控制策略。

零信任架構的(de)支撐系統稱為(wèi)控制平面，其他(tā)部分稱為(wèi)數據平面，數據平面包含所有(yǒu)應用程序、防火牆、代理(lǐ)服務器(qì)、路(lù)由器(qì)，以及它們直接處理(lǐ)網絡上(shàng)的(de)所有(yǒu)流量，數據平面由控制平面指揮和(hé)配置。

訪問(wèn)受保護資源的(de)請求首選經過控制平面處理(lǐ)，包括設備、用戶的(de)身(shēn)份認證和(hé)授權，細粒度的(de)訪問(wèn)控制策略也在這(zhè)一層進行，控制平面可以基于組織中的(de)角色、時(shí)間(jiān)或者設備類型進行授權。

一旦控制平面完成檢查，确定該請求具備合法的(de)授權，它就會動态配置數據平面，接收來(lái)自(zì)該客戶端(且僅限該客戶端)的(de)訪問(wèn)流量。

此外(wài)，控制平面還(hái)能夠為(wèi)訪問(wèn)請求者和(hé)被訪問(wèn)資源協調加密訪問(wèn)的(de)具體(tǐ)參數，包括一次性臨時(shí)憑證、秘鑰和(hé)臨時(shí)端口号等。

信域與零信任的(de)關系

信域安全雲網遵循零信任安全原則設計(jì)，是零信任網絡的(de)一種簡單、快速的(de)實現(xiàn)方案。

繹雲認為(wèi)，企業(yè)落地(dì)零信任的(de)本質就是從(cóng)傳統邊界型IP網絡升級為(wèi)分布式ID網絡（身(shēn)份網絡），無論是網絡訪問(wèn)控制還(hái)是基于網絡的(de)行為(wèi)分析，都(dōu)不再依賴IP地(dì)址，而是始終聚焦身(shēn)份。

零信任實際就是對(duì)IP地(dì)址不再信任，在一個(gè)快速變化(huà)、全球分布的(de)網絡中，IP地(dì)址本身(shēn)既無法代表個(gè)人(rén)也沒有(yǒu)安全狀态的(de)內(nèi)涵，以IP地(dì)址為(wèi)要素進行訪問(wèn)控制或行為(wèi)研判已經沒有(yǒu)任何意義，因此要把訪問(wèn)控制的(de)核心要素從(cóng)IP地(dì)址轉變為(wèi)實體(tǐ)身(shēn)份。

零信任的(de)核心變革就是讓企業(yè)網從(cóng)IP網絡升級到ID網絡。

信域安全雲網的(de)點對(duì)點雲化(huà)網格架構、網絡數據包的(de)身(shēn)份化(huà)、基于身(shēn)份的(de)分布式訪問(wèn)控制引擎等特性為(wèi)企業(yè)提供了一個(gè)天然的(de)零信任網絡環境，讓企業(yè)落地(dì)零信任變得更加容易。

信域安全雲網實現(xiàn)零信任網絡的(de)核心原則的(de)方法如下(xià)：

原則1： 身(shēn)份是訪問(wèn)控制的(de)基礎

傳統邊界網絡模型裏，網絡訪問(wèn)控制基于IP地(dì)址設計(jì)和(hé)執行。但(dàn)在分布式企業(yè)裏，網絡變得越來(lái)越碎片化(huà)，員(yuán)工(gōng)可能從(cóng)任意位置接入并訪問(wèn)業(yè)務資源。網絡IP地(dì)址隻能代表網絡位置，并不能代表人(rén)或者終端，在分布式網絡裏繼續使用傳統邊界網絡模型必然會讓安全策略越來(lái)越偏離對(duì)人(rén)或者終端的(de)控制，帶來(lái)大量的(de)隐含信任漏洞以及安全運維工(gōng)作(zuò)量。

大多企業(yè)都(dōu)已具備統一身(shēn)份管理(lǐ)系統，無論是使用AD/LDAP、釘釘或者企業(yè)微(wēi)信等，企業(yè)的(de)每一個(gè)員(yuán)工(gōng)都(dōu)具備唯一的(de)數字身(shēn)份。在企業(yè)落地(dì)零信任并非是要再重新建立一套新的(de)身(shēn)份體(tǐ)系，而是要将企業(yè)已有(yǒu)的(de)統一身(shēn)份應用到網絡訪問(wèn)控制上(shàng)。

信域安全雲網将企業(yè)的(de)統一身(shēn)份植入到每一個(gè)網絡數據包裏，從(cóng)網絡底層實現(xiàn)了身(shēn)份化(huà)，同時(shí)采用基于身(shēn)份的(de)分布式訪問(wèn)控制引擎，不再依賴IP地(dì)址，而是基于企業(yè)的(de)統一身(shēn)份進行全網的(de)網絡訪問(wèn)控制。

原則2： 最小(xiǎo)權限原則

信域安全雲網将企業(yè)業(yè)務資源都(dōu)隐藏在業(yè)務局域網中，對(duì)外(wài)不開(kāi)放(fàng)任何IP地(dì)址和(hé)端口，避免了來(lái)自(zì)不可信網絡的(de)直接訪問(wèn)。所有(yǒu)業(yè)務訪問(wèn)需要經過信域網關代理(lǐ)轉發，信域網關隻接受來(lái)自(zì)信域客戶端發過來(lái)的(de)UDP網絡數據包，不主動對(duì)任何數據包進行回應，對(duì)每一個(gè)數據包進行身(shēn)份校(xiào)驗，如果校(xiào)驗失敗則立即丢棄。

授權策略基于帳号、終端、客戶端應用程序、業(yè)務資源、服務端口、應用層URI或指令集設計(jì)，并根據對(duì)用戶、終端的(de)可信研判結果，動态的(de)調整細粒度控制策略，實現(xiàn)持續地(dì)最小(xiǎo)授權。

原則3： 實時(shí)計(jì)算(suàn)訪問(wèn)控制策略

信域的(de)細粒度訪問(wèn)控制策略通(tōng)過計(jì)算(suàn)生(shēng)成，管理(lǐ)員(yuán)通(tōng)過業(yè)務語言基于帳号、終端、業(yè)務的(de)屬性集中地(dì)配置授權策略，信域根據企業(yè)随時(shí)變化(huà)的(de)帳号、終端和(hé)業(yè)務現(xiàn)狀，實時(shí)地(dì)生(shēng)成細粒度的(de)訪問(wèn)控制策略，并将細粒度訪問(wèn)控制策略同步到每一個(gè)信域客戶端和(hé)信域網關上(shàng)分布式執行。

信域智能分析平台，利用終端環境數據、用戶業(yè)務訪問(wèn)的(de)行為(wèi)數據，實時(shí)地(dì)對(duì)終端用戶進行可信分析，根據可信分析結果實時(shí)地(dì)調整細粒度訪問(wèn)控制策略。

原則4： 資源受控安全訪問(wèn)

信域采用分布式訪問(wèn)控制引擎，細粒度的(de)訪問(wèn)控制策略在信域客戶端與信域網關上(shàng)同時(shí)執行，對(duì)每一個(gè)訪問(wèn)數據包進行認證和(hé)鑒權，執行逐包加密，逐包認證的(de)強制管控策略。

如果用戶或者終端無權訪問(wèn)業(yè)務資源，則終端無法發出訪問(wèn)此業(yè)務資源的(de)任何數據包，網關也不對(duì)來(lái)自(zì)此終端的(de)業(yè)務訪問(wèn)數據包進行解密和(hé)轉發；如果終端用戶有(yǒu)權訪問(wèn)，則信域客戶端将帳号和(hé)終端的(de)身(shēn)份信息植入到數據包裏，加密後發送到對(duì)端信域網關，網關在收到數據包後對(duì)數據包進行身(shēn)份校(xiào)驗、解密和(hé)轉發。

原則5： 基于多源數據進行信任等級持續評估

信域智能分析平台采集全網身(shēn)份化(huà)的(de)網絡流量數據與終端環境數據，并利用AI技(jì)術對(duì)訪問(wèn)主客體(tǐ)進行安全建模，對(duì)人(rén)和(hé)終端進行可信分析，對(duì)業(yè)務訪問(wèn)行為(wèi)和(hé)敏感數據訪問(wèn)行為(wèi)進行威脅研判，并根據檢測和(hé)分析結果動态調整訪問(wèn)權限，實時(shí)處置異常或惡意的(de)帳号和(hé)終端。