什么是零信任

零信任的概念最早是在2010年由當時的Forrester分析師John Kindervag提出。零信任承認了在分布式網(wǎng)絡環(huán)境下傳統(tǒng)邊界安全架構的不足，認為主機無論處于網(wǎng)絡什么位置，都應當被視為互聯(lián)網(wǎng)主機，它們所在的網(wǎng)絡，無論是互聯(lián)網(wǎng)還是內(nèi)部網(wǎng)絡，都必須被視為充滿威脅的危險網(wǎng)絡。

零信任的核心思想是：默認情況下，企業(yè)內(nèi)外部的任何人、事、物均不可信，應在授權前對任何試圖接入網(wǎng)絡和訪問網(wǎng)絡資源的人、事、物進行驗證。

零信任網(wǎng)絡的核心原則包含以下五個方面：

身份是訪問控制的基礎

信任來自于端到端所有對象的身份，基于身份而非網(wǎng)絡位置構建訪問控制。

最小權限原則

資源可見和訪問按需分配，僅授予執(zhí)行任務所需的最小特權。

實時計算訪問控制策略

根據(jù)主客體信任評估和訪問需求進行策略計算，并持續(xù)評估以保證策略實時變更。

資源受控安全訪問

所有業(yè)務場景下全部資源基于單個訪問請求連接，進行強制身份識別和授權、鑒權和通道加密。

基于多源數(shù)據(jù)進行信任等級持續(xù)評估

包括身份、訪問上下文等的實時多源數(shù)據(jù)的多樣性和可靠性，提升信任評估策略計算能力。

零信任主張安全體系架構從網(wǎng)絡中心化轉(zhuǎn)變?yōu)樯矸葜行幕?，所有的訪問行為都需要以身份為中心進行細粒度的自適應訪問控制。

企業(yè)不應該默認信任網(wǎng)絡內(nèi)部或外部的任何人、設備、系統(tǒng)和應用，而是應該基于認證和授權重構訪問控制的信任基礎，并且基于盡可能多的數(shù)據(jù)源對訪問者進行持續(xù)的可信度評估，根據(jù)評估結果動態(tài)地調(diào)整授權和訪問控制策略。

零信任架構的支撐系統(tǒng)稱為控制平面，其他部分稱為數(shù)據(jù)平面，數(shù)據(jù)平面包含所有應用程序、防火墻、代理服務器、路由器，以及它們直接處理網(wǎng)絡上的所有流量，數(shù)據(jù)平面由控制平面指揮和配置。

訪問受保護資源的請求首選經(jīng)過控制平面處理，包括設備、用戶的身份認證和授權，細粒度的訪問控制策略也在這一層進行，控制平面可以基于組織中的角色、時間或者設備類型進行授權。

一旦控制平面完成檢查，確定該請求具備合法的授權，它就會動態(tài)配置數(shù)據(jù)平面，接收來自該客戶端(且僅限該客戶端)的訪問流量。

此外，控制平面還能夠為訪問請求者和被訪問資源協(xié)調(diào)加密訪問的具體參數(shù)，包括一次性臨時憑證、秘鑰和臨時端口號等。

信域與零信任的關系

信域安全云網(wǎng)遵循零信任安全原則設計，是零信任網(wǎng)絡的一種簡單、快速的實現(xiàn)方案。

繹云認為，企業(yè)落地零信任的本質(zhì)就是從傳統(tǒng)邊界型IP網(wǎng)絡升級為分布式ID網(wǎng)絡（身份網(wǎng)絡），無論是網(wǎng)絡訪問控制還是基于網(wǎng)絡的行為分析，都不再依賴IP地址，而是始終聚焦身份。

零信任實際就是對IP地址不再信任，在一個快速變化、全球分布的網(wǎng)絡中，IP地址本身既無法代表個人也沒有安全狀態(tài)的內(nèi)涵，以IP地址為要素進行訪問控制或行為研判已經(jīng)沒有任何意義，因此要把訪問控制的核心要素從IP地址轉(zhuǎn)變?yōu)閷嶓w身份。

零信任的核心變革就是讓企業(yè)網(wǎng)從IP網(wǎng)絡升級到ID網(wǎng)絡。

信域安全云網(wǎng)的點對點云化網(wǎng)格架構、網(wǎng)絡數(shù)據(jù)包的身份化、基于身份的分布式訪問控制引擎等特性為企業(yè)提供了一個天然的零信任網(wǎng)絡環(huán)境，讓企業(yè)落地零信任變得更加容易。

信域安全云網(wǎng)實現(xiàn)零信任網(wǎng)絡的核心原則的方法如下：

原則1： 身份是訪問控制的基礎

傳統(tǒng)邊界網(wǎng)絡模型里，網(wǎng)絡訪問控制基于IP地址設計和執(zhí)行。但在分布式企業(yè)里，網(wǎng)絡變得越來越碎片化，員工可能從任意位置接入并訪問業(yè)務資源。網(wǎng)絡IP地址只能代表網(wǎng)絡位置，并不能代表人或者終端，在分布式網(wǎng)絡里繼續(xù)使用傳統(tǒng)邊界網(wǎng)絡模型必然會讓安全策略越來越偏離對人或者終端的控制，帶來大量的隱含信任漏洞以及安全運維工作量。

大多企業(yè)都已具備統(tǒng)一身份管理系統(tǒng)，無論是使用AD/LDAP、釘釘或者企業(yè)微信等，企業(yè)的每一個員工都具備唯一的數(shù)字身份。在企業(yè)落地零信任并非是要再重新建立一套新的身份體系，而是要將企業(yè)已有的統(tǒng)一身份應用到網(wǎng)絡訪問控制上。

信域安全云網(wǎng)將企業(yè)的統(tǒng)一身份植入到每一個網(wǎng)絡數(shù)據(jù)包里，從網(wǎng)絡底層實現(xiàn)了身份化，同時采用基于身份的分布式訪問控制引擎，不再依賴IP地址，而是基于企業(yè)的統(tǒng)一身份進行全網(wǎng)的網(wǎng)絡訪問控制。

原則2： 最小權限原則

信域安全云網(wǎng)將企業(yè)業(yè)務資源都隱藏在業(yè)務局域網(wǎng)中，對外不開放任何IP地址和端口，避免了來自不可信網(wǎng)絡的直接訪問。所有業(yè)務訪問需要經(jīng)過信域網(wǎng)關代理轉(zhuǎn)發(fā)，信域網(wǎng)關只接受來自信域客戶端發(fā)過來的UDP網(wǎng)絡數(shù)據(jù)包，不主動對任何數(shù)據(jù)包進行回應，對每一個數(shù)據(jù)包進行身份校驗，如果校驗失敗則立即丟棄。

授權策略基于帳號、終端、客戶端應用程序、業(yè)務資源、服務端口、應用層URI或指令集設計，并根據(jù)對用戶、終端的可信研判結果，動態(tài)的調(diào)整細粒度控制策略，實現(xiàn)持續(xù)地最小授權。

原則3： 實時計算訪問控制策略

信域的細粒度訪問控制策略通過計算生成，管理員通過業(yè)務語言基于帳號、終端、業(yè)務的屬性集中地配置授權策略，信域根據(jù)企業(yè)隨時變化的帳號、終端和業(yè)務現(xiàn)狀，實時地生成細粒度的訪問控制策略，并將細粒度訪問控制策略同步到每一個信域客戶端和信域網(wǎng)關上分布式執(zhí)行。

信域智能分析平臺，利用終端環(huán)境數(shù)據(jù)、用戶業(yè)務訪問的行為數(shù)據(jù)，實時地對終端用戶進行可信分析，根據(jù)可信分析結果實時地調(diào)整細粒度訪問控制策略。

原則4： 資源受控安全訪問

信域采用分布式訪問控制引擎，細粒度的訪問控制策略在信域客戶端與信域網(wǎng)關上同時執(zhí)行，對每一個訪問數(shù)據(jù)包進行認證和鑒權，執(zhí)行逐包加密，逐包認證的強制管控策略。

如果用戶或者終端無權訪問業(yè)務資源，則終端無法發(fā)出訪問此業(yè)務資源的任何數(shù)據(jù)包，網(wǎng)關也不對來自此終端的業(yè)務訪問數(shù)據(jù)包進行解密和轉(zhuǎn)發(fā)；如果終端用戶有權訪問，則信域客戶端將帳號和終端的身份信息植入到數(shù)據(jù)包里，加密后發(fā)送到對端信域網(wǎng)關，網(wǎng)關在收到數(shù)據(jù)包后對數(shù)據(jù)包進行身份校驗、解密和轉(zhuǎn)發(fā)。

原則5： 基于多源數(shù)據(jù)進行信任等級持續(xù)評估

信域智能分析平臺采集全網(wǎng)身份化的網(wǎng)絡流量數(shù)據(jù)與終端環(huán)境數(shù)據(jù)，并利用AI技術對訪問主客體進行安全建模，對人和終端進行可信分析，對業(yè)務訪問行為和敏感數(shù)據(jù)訪問行為進行威脅研判，并根據(jù)檢測和分析結果動態(tài)調(diào)整訪問權限，實時處置異?；驉阂獾膸ぬ柡徒K端。