什么是零信任

零信任的概念最早是在2010年由當(dāng)時(shí)的Forrester分析師John Kindervag提出。零信任承認(rèn)了在分布式網(wǎng)絡(luò)環(huán)境下傳統(tǒng)邊界安全架構(gòu)的不足，認(rèn)為主機(jī)無(wú)論處于網(wǎng)絡(luò)什么位置，都應(yīng)當(dāng)被視為互聯(lián)網(wǎng)主機(jī)，它們所在的網(wǎng)絡(luò)，無(wú)論是互聯(lián)網(wǎng)還是內(nèi)部網(wǎng)絡(luò)，都必須被視為充滿威脅的危險(xiǎn)網(wǎng)絡(luò)。

零信任的核心思想是：默認(rèn)情況下，企業(yè)內(nèi)外部的任何人、事、物均不可信，應(yīng)在授權(quán)前對(duì)任何試圖接入網(wǎng)絡(luò)和訪問(wèn)網(wǎng)絡(luò)資源的人、事、物進(jìn)行驗(yàn)證。

零信任網(wǎng)絡(luò)的核心原則包含以下五個(gè)方面：

身份是訪問(wèn)控制的基礎(chǔ)

信任來(lái)自于端到端所有對(duì)象的身份，基于身份而非網(wǎng)絡(luò)位置構(gòu)建訪問(wèn)控制。

最小權(quán)限原則

資源可見(jiàn)和訪問(wèn)按需分配，僅授予執(zhí)行任務(wù)所需的最小特權(quán)。

實(shí)時(shí)計(jì)算訪問(wèn)控制策略

根據(jù)主客體信任評(píng)估和訪問(wèn)需求進(jìn)行策略計(jì)算，并持續(xù)評(píng)估以保證策略實(shí)時(shí)變更。

資源受控安全訪問(wèn)

所有業(yè)務(wù)場(chǎng)景下全部資源基于單個(gè)訪問(wèn)請(qǐng)求連接，進(jìn)行強(qiáng)制身份識(shí)別和授權(quán)、鑒權(quán)和通道加密。

基于多源數(shù)據(jù)進(jìn)行信任等級(jí)持續(xù)評(píng)估

包括身份、訪問(wèn)上下文等的實(shí)時(shí)多源數(shù)據(jù)的多樣性和可靠性，提升信任評(píng)估策略計(jì)算能力。

零信任主張安全體系架構(gòu)從網(wǎng)絡(luò)中心化轉(zhuǎn)變?yōu)樯矸葜行幕?，所有的訪問(wèn)行為都需要以身份為中心進(jìn)行細(xì)粒度的自適應(yīng)訪問(wèn)控制。

企業(yè)不應(yīng)該默認(rèn)信任網(wǎng)絡(luò)內(nèi)部或外部的任何人、設(shè)備、系統(tǒng)和應(yīng)用，而是應(yīng)該基于認(rèn)證和授權(quán)重構(gòu)訪問(wèn)控制的信任基礎(chǔ)，并且基于盡可能多的數(shù)據(jù)源對(duì)訪問(wèn)者進(jìn)行持續(xù)的可信度評(píng)估，根據(jù)評(píng)估結(jié)果動(dòng)態(tài)地調(diào)整授權(quán)和訪問(wèn)控制策略。

零信任架構(gòu)的支撐系統(tǒng)稱為控制平面，其他部分稱為數(shù)據(jù)平面，數(shù)據(jù)平面包含所有應(yīng)用程序、防火墻、代理服務(wù)器、路由器，以及它們直接處理網(wǎng)絡(luò)上的所有流量，數(shù)據(jù)平面由控制平面指揮和配置。

訪問(wèn)受保護(hù)資源的請(qǐng)求首選經(jīng)過(guò)控制平面處理，包括設(shè)備、用戶的身份認(rèn)證和授權(quán)，細(xì)粒度的訪問(wèn)控制策略也在這一層進(jìn)行，控制平面可以基于組織中的角色、時(shí)間或者設(shè)備類型進(jìn)行授權(quán)。

一旦控制平面完成檢查，確定該請(qǐng)求具備合法的授權(quán)，它就會(huì)動(dòng)態(tài)配置數(shù)據(jù)平面，接收來(lái)自該客戶端(且僅限該客戶端)的訪問(wèn)流量。

此外，控制平面還能夠?yàn)樵L問(wèn)請(qǐng)求者和被訪問(wèn)資源協(xié)調(diào)加密訪問(wèn)的具體參數(shù)，包括一次性臨時(shí)憑證、秘鑰和臨時(shí)端口號(hào)等。

信域與零信任的關(guān)系

信域安全云網(wǎng)遵循零信任安全原則設(shè)計(jì)，是零信任網(wǎng)絡(luò)的一種簡(jiǎn)單、快速的實(shí)現(xiàn)方案。

繹云認(rèn)為，企業(yè)落地零信任的本質(zhì)就是從傳統(tǒng)邊界型IP網(wǎng)絡(luò)升級(jí)為分布式ID網(wǎng)絡(luò)（身份網(wǎng)絡(luò)），無(wú)論是網(wǎng)絡(luò)訪問(wèn)控制還是基于網(wǎng)絡(luò)的行為分析，都不再依賴IP地址，而是始終聚焦身份。

零信任實(shí)際就是對(duì)IP地址不再信任，在一個(gè)快速變化、全球分布的網(wǎng)絡(luò)中，IP地址本身既無(wú)法代表個(gè)人也沒(méi)有安全狀態(tài)的內(nèi)涵，以IP地址為要素進(jìn)行訪問(wèn)控制或行為研判已經(jīng)沒(méi)有任何意義，因此要把訪問(wèn)控制的核心要素從IP地址轉(zhuǎn)變?yōu)閷?shí)體身份。

零信任的核心變革就是讓企業(yè)網(wǎng)從IP網(wǎng)絡(luò)升級(jí)到ID網(wǎng)絡(luò)。

信域安全云網(wǎng)的點(diǎn)對(duì)點(diǎn)云化網(wǎng)格架構(gòu)、網(wǎng)絡(luò)數(shù)據(jù)包的身份化、基于身份的分布式訪問(wèn)控制引擎等特性為企業(yè)提供了一個(gè)天然的零信任網(wǎng)絡(luò)環(huán)境，讓企業(yè)落地零信任變得更加容易。

信域安全云網(wǎng)實(shí)現(xiàn)零信任網(wǎng)絡(luò)的核心原則的方法如下：

原則1： 身份是訪問(wèn)控制的基礎(chǔ)

傳統(tǒng)邊界網(wǎng)絡(luò)模型里，網(wǎng)絡(luò)訪問(wèn)控制基于IP地址設(shè)計(jì)和執(zhí)行。但在分布式企業(yè)里，網(wǎng)絡(luò)變得越來(lái)越碎片化，員工可能從任意位置接入并訪問(wèn)業(yè)務(wù)資源。網(wǎng)絡(luò)IP地址只能代表網(wǎng)絡(luò)位置，并不能代表人或者終端，在分布式網(wǎng)絡(luò)里繼續(xù)使用傳統(tǒng)邊界網(wǎng)絡(luò)模型必然會(huì)讓安全策略越來(lái)越偏離對(duì)人或者終端的控制，帶來(lái)大量的隱含信任漏洞以及安全運(yùn)維工作量。

大多企業(yè)都已具備統(tǒng)一身份管理系統(tǒng)，無(wú)論是使用AD/LDAP、釘釘或者企業(yè)微信等，企業(yè)的每一個(gè)員工都具備唯一的數(shù)字身份。在企業(yè)落地零信任并非是要再重新建立一套新的身份體系，而是要將企業(yè)已有的統(tǒng)一身份應(yīng)用到網(wǎng)絡(luò)訪問(wèn)控制上。

信域安全云網(wǎng)將企業(yè)的統(tǒng)一身份植入到每一個(gè)網(wǎng)絡(luò)數(shù)據(jù)包里，從網(wǎng)絡(luò)底層實(shí)現(xiàn)了身份化，同時(shí)采用基于身份的分布式訪問(wèn)控制引擎，不再依賴IP地址，而是基于企業(yè)的統(tǒng)一身份進(jìn)行全網(wǎng)的網(wǎng)絡(luò)訪問(wèn)控制。

原則2： 最小權(quán)限原則

信域安全云網(wǎng)將企業(yè)業(yè)務(wù)資源都隱藏在業(yè)務(wù)局域網(wǎng)中，對(duì)外不開(kāi)放任何IP地址和端口，避免了來(lái)自不可信網(wǎng)絡(luò)的直接訪問(wèn)。所有業(yè)務(wù)訪問(wèn)需要經(jīng)過(guò)信域網(wǎng)關(guān)代理轉(zhuǎn)發(fā)，信域網(wǎng)關(guān)只接受來(lái)自信域客戶端發(fā)過(guò)來(lái)的UDP網(wǎng)絡(luò)數(shù)據(jù)包，不主動(dòng)對(duì)任何數(shù)據(jù)包進(jìn)行回應(yīng)，對(duì)每一個(gè)數(shù)據(jù)包進(jìn)行身份校驗(yàn)，如果校驗(yàn)失敗則立即丟棄。

授權(quán)策略基于帳號(hào)、終端、客戶端應(yīng)用程序、業(yè)務(wù)資源、服務(wù)端口、應(yīng)用層URI或指令集設(shè)計(jì)，并根據(jù)對(duì)用戶、終端的可信研判結(jié)果，動(dòng)態(tài)的調(diào)整細(xì)粒度控制策略，實(shí)現(xiàn)持續(xù)地最小授權(quán)。

原則3： 實(shí)時(shí)計(jì)算訪問(wèn)控制策略

信域的細(xì)粒度訪問(wèn)控制策略通過(guò)計(jì)算生成，管理員通過(guò)業(yè)務(wù)語(yǔ)言基于帳號(hào)、終端、業(yè)務(wù)的屬性集中地配置授權(quán)策略，信域根據(jù)企業(yè)隨時(shí)變化的帳號(hào)、終端和業(yè)務(wù)現(xiàn)狀，實(shí)時(shí)地生成細(xì)粒度的訪問(wèn)控制策略，并將細(xì)粒度訪問(wèn)控制策略同步到每一個(gè)信域客戶端和信域網(wǎng)關(guān)上分布式執(zhí)行。

信域智能分析平臺(tái)，利用終端環(huán)境數(shù)據(jù)、用戶業(yè)務(wù)訪問(wèn)的行為數(shù)據(jù)，實(shí)時(shí)地對(duì)終端用戶進(jìn)行可信分析，根據(jù)可信分析結(jié)果實(shí)時(shí)地調(diào)整細(xì)粒度訪問(wèn)控制策略。

原則4： 資源受控安全訪問(wèn)

信域采用分布式訪問(wèn)控制引擎，細(xì)粒度的訪問(wèn)控制策略在信域客戶端與信域網(wǎng)關(guān)上同時(shí)執(zhí)行，對(duì)每一個(gè)訪問(wèn)數(shù)據(jù)包進(jìn)行認(rèn)證和鑒權(quán)，執(zhí)行逐包加密，逐包認(rèn)證的強(qiáng)制管控策略。

如果用戶或者終端無(wú)權(quán)訪問(wèn)業(yè)務(wù)資源，則終端無(wú)法發(fā)出訪問(wèn)此業(yè)務(wù)資源的任何數(shù)據(jù)包，網(wǎng)關(guān)也不對(duì)來(lái)自此終端的業(yè)務(wù)訪問(wèn)數(shù)據(jù)包進(jìn)行解密和轉(zhuǎn)發(fā)；如果終端用戶有權(quán)訪問(wèn)，則信域客戶端將帳號(hào)和終端的身份信息植入到數(shù)據(jù)包里，加密后發(fā)送到對(duì)端信域網(wǎng)關(guān)，網(wǎng)關(guān)在收到數(shù)據(jù)包后對(duì)數(shù)據(jù)包進(jìn)行身份校驗(yàn)、解密和轉(zhuǎn)發(fā)。

原則5： 基于多源數(shù)據(jù)進(jìn)行信任等級(jí)持續(xù)評(píng)估

信域智能分析平臺(tái)采集全網(wǎng)身份化的網(wǎng)絡(luò)流量數(shù)據(jù)與終端環(huán)境數(shù)據(jù)，并利用AI技術(shù)對(duì)訪問(wèn)主客體進(jìn)行安全建模，對(duì)人和終端進(jìn)行可信分析，對(duì)業(yè)務(wù)訪問(wèn)行為和敏感數(shù)據(jù)訪問(wèn)行為進(jìn)行威脅研判，并根據(jù)檢測(cè)和分析結(jié)果動(dòng)態(tài)調(diào)整訪問(wèn)權(quán)限，實(shí)時(shí)處置異?；驉阂獾膸ぬ?hào)和終端。