一文看懂零信任(起源、发展、价值、实现.docxVIP

一文看懂零信任(起源、发展、价值、实现. ) 零信任的起源 传统安全 常见的有以下几类： 基础防火墙 FW/NGFW 类 IDS 入侵检测 IPS 入侵防御 UTM 类安全设备 WAF 应用防火墙 发生变革 现有 TCP/IP 协议和互联网是为互联互通而设计， 没有考虑太多的安全控制。 任何主机之间可以相互通信，黑客可以探测互联网络中的任意目标。 而在现实中，我们要约见相关的人或去某些单位不但要认证身份，甚至需要提前预 约和审批。 即使有了防火墙将外网的攻击进行阻挡，整个内网的机器之间也是可以相互访问。 零信任的出现，主要基于两项原因： 1. 云大物移智技术的发展和数字化转型让边界更加模糊，传统城堡式防御模型面 临巨大挑战 ，甚至不再奏效。 2. 内部人员的威胁和 APT 攻击让内网和互联网一样充满风险，默认和静态的信任 模型需要革新。 零信任的发展 发展历程 主要流派 为了实现零信任(Zero Trust) ，不同机构发布、定义、开发出了不同的架构， 也称之为不同的流派。下面让我们探索一下 8 个最出名的流派： 流派一： Forrester 最早提出零信任一词的是咨询机构 Forrester 的分析员约翰·金德维格( John Kindervag )。 他提到了三个核心观点： 1. 不再以一个清晰的边界来划分信任或不信任的设备 2. 不再有信任或不信任的网络 3. 不再有信任或不信任的用户 然而在提出该概念后不久，金德维格便离职了... 随后由 Forrester 的另一位分析师查斯·坎宁安( Chase Cunningham )继续探究 零信任的可能性，并于 2018 年提出了 ZTX (零信任扩展)架构。 该架构有三个重点： 1. 范围从网络扩展到设备、用户和工作负载 2. 能力从微隔离扩展到可视化与分析、自动化与编排 3. 身份不仅仅针对用户，还包括 IP 地址、 MAC 地址、操作系统等 流派二： Google BeyondCorp BeyondCorp 是中国做零信任网络安全的机构最为熟悉的边界安全安全模型 ，也 是零信任在中国真正的起源。 其六篇论文指引着全中国的 IT 运维人员对自身的安全服务架构进行了下一代网络 安全的调整。 架构图 ▼ 流派三： Google BeyondProd 正如边界安全模型不再适合最终用户一样， BeyondCorp 也不再适用于微服务。 Google 在论文中提到：“此模型的关键假设已不再成立：边界不再仅仅是企业 [数据中心] 的物理位置，并且边界内的区域不再是托管微服务的安全可靠之 处。” 因此， 基于微服务防护的 BeyondProd 诞生了。 BeyondProd 的设计原则有以下五点： 1. 服务到服务不可信 2. 服务实现全链路鉴权 3. 服务全链路加密 4. ALTS 提供服务关系建立 5. Titan 提供硬件信任根 架构图 ▼ 流派四：微软 Microsoft 365 零信任实践 使用基于 Azure AD 有条件访问的 Microsoft 365 零信任网络，有条件访问和 Azure Active Directory Identity Protection 可基于用户、设备、位置和每次资 源请求的对话风险等信息做出动态访问控制决策。 把经过验证的并与 Windows 设备安全状态相关的运行时信号和用户对话和身份的 信任度结合起来，以实现最佳的安全状态。 全景图 ▼ 流派五： Gartner CARTA Gartner 的 CARTA (持续自适应风险与信任评估)模型将零信任和攻击防护相结 合，形成了持续的风险和信任评估。 因为它过于庞大及复杂 ，在发布 2 年后被 ZTNA 所取代。 模型图 ▼ 流派六： Gartner ZTNA Gartner 于 2019 年 4 月 29 日发布了一篇名为《Market Guide for Zero Trust Network Access》(零信任网络访问 ZTNA 市场指南)的行业报告。 该报告中为零信任网络访问(ZTNA)做了市场定义： 也称为软件定义边界 (SDP) ，是围绕某个应用或一组应用创建的基于身份和上下文的逻辑访问边界。 应用是隐藏的，无法被发现，并且通过信息代理限制一组指定实体访问。在允许访 问之前，代理会验证指定访问者的身份、上下文的策略合规性。 这个机制将把应用资源从公共视野中消除 ，从而显著减少攻击面。 该报告也做了以下预测： 2022 年 ：面向生态系统合作伙伴开放的 80%的新数字业务应用程序将通过零信 任网络访问进行访问。 2023 年：60%的企业将淘汰大部分 VPN (远程访问虚拟专用网络)，转而使用 零信任网络访问。 40%的企业将采用零信任网络访问用于报告中描述的其