什麽是零信任

零信任的概念最早是在2010年由當時(shí)的Forrester分析師(shī)John Kindervag提出。零信任承認了在分布式網絡環境下傳統邊界安全架構的不足，認為(wèi)主機無論處于網絡什麽位置，都應當被視(shì)為(wèi)互聯網主機，它們所在的網絡，無論是互聯網還(hái)是內(nèi)部網絡，都必須被視(shì)為(wèi)充滿威脅的危險網絡。

零信任的核心思想是：默認情況下，企業內(nèi)外部的任何人(rén)、事、物均不可(kě)信，應在授權前對任何試圖接入網絡和(hé)訪問網絡資源的人(rén)、事、物進行(xíng)驗證。

零信任網絡的核心原則包含以下五個(gè)方面：

身份是訪問控制(zhì)的基礎

信任來(lái)自于端到端所有(yǒu)對象的身份，基于身份而非網絡位置構建訪問控制(zhì)。

最小(xiǎo)權限原則

資源可(kě)見和(hé)訪問按需分配，僅授予執行(xíng)任務所需的最小(xiǎo)特權。

實時(shí)計(jì)算(suàn)訪問控制(zhì)策略

根據主客體(tǐ)信任評估和(hé)訪問需求進行(xíng)策略計(jì)算(suàn)，并持續評估以保證策略實時(shí)變更。

資源受控安全訪問

所有(yǒu)業務場(chǎng)景下全部資源基于單個(gè)訪問請(qǐng)求連接，進行(xíng)強制(zhì)身份識别和(hé)授權、鑒權和(hé)通(tōng)道(dào)加密。

基于多(duō)源數(shù)據進行(xíng)信任等級持續評估

包括身份、訪問上(shàng)下文等的實時(shí)多(duō)源數(shù)據的多(duō)樣性和(hé)可(kě)靠性，提升信任評估策略計(jì)算(suàn)能力。

零信任主張安全體(tǐ)系架構從網絡中心化轉變為(wèi)身份中心化，所有(yǒu)的訪問行(xíng)為(wèi)都需要以身份為(wèi)中心進行(xíng)細粒度的自适應訪問控制(zhì)。

企業不應該默認信任網絡內(nèi)部或外部的任何人(rén)、設備、系統和(hé)應用，而是應該基于認證和(hé)授權重構訪問控制(zhì)的信任基礎，并且基于盡可(kě)能多(duō)的數(shù)據源對訪問者進行(xíng)持續的可(kě)信度評估，根據評估結果動态地調整授權和(hé)訪問控制(zhì)策略。

零信任架構的支撐系統稱為(wèi)控制(zhì)平面，其他部分稱為(wèi)數(shù)據平面，數(shù)據平面包含所有(yǒu)應用程序、防火(huǒ)牆、代理(lǐ)服務器(qì)、路由器(qì)，以及它們直接處理(lǐ)網絡上(shàng)的所有(yǒu)流量，數(shù)據平面由控制(zhì)平面指揮和(hé)配置。

訪問受保護資源的請(qǐng)求首選經過控制(zhì)平面處理(lǐ)，包括設備、用戶的身份認證和(hé)授權，細粒度的訪問控制(zhì)策略也在這一層進行(xíng)，控制(zhì)平面可(kě)以基于組織中的角色、時(shí)間(jiān)或者設備類型進行(xíng)授權。

一旦控制(zhì)平面完成檢查，确定該請(qǐng)求具備合法的授權，它就會(huì)動态配置數(shù)據平面，接收來(lái)自該客戶端(且僅限該客戶端)的訪問流量。

此外，控制(zhì)平面還(hái)能夠為(wèi)訪問請(qǐng)求者和(hé)被訪問資源協調加密訪問的具體(tǐ)參數(shù)，包括一次性臨時(shí)憑證、秘鑰和(hé)臨時(shí)端口号等。

信域與零信任的關系

信域安全雲網遵循零信任安全原則設計(jì)，是零信任網絡的一種簡單、快速的實現方案。

繹雲認為(wèi)，企業落地零信任的本質就是從傳統邊界型IP網絡升級為(wèi)分布式ID網絡（身份網絡），無論是網絡訪問控制(zhì)還(hái)是基于網絡的行(xíng)為(wèi)分析，都不再依賴IP地址，而是始終聚焦身份。

零信任實際就是對IP地址不再信任，在一個(gè)快速變化、全球分布的網絡中，IP地址本身既無法代表個(gè)人(rén)也沒有(yǒu)安全狀态的內(nèi)涵，以IP地址為(wèi)要素進行(xíng)訪問控制(zhì)或行(xíng)為(wèi)研判已經沒有(yǒu)任何意義，因此要把訪問控制(zhì)的核心要素從IP地址轉變為(wèi)實體(tǐ)身份。

零信任的核心變革就是讓企業網從IP網絡升級到ID網絡。

信域安全雲網的點對點雲化網格架構、網絡數(shù)據包的身份化、基于身份的分布式訪問控制(zhì)引擎等特性為(wèi)企業提供了一個(gè)天然的零信任網絡環境，讓企業落地零信任變得(de)更加容易。

信域安全雲網實現零信任網絡的核心原則的方法如下：

原則1： 身份是訪問控制(zhì)的基礎

傳統邊界網絡模型裏，網絡訪問控制(zhì)基于IP地址設計(jì)和(hé)執行(xíng)。但(dàn)在分布式企業裏，網絡變得(de)越來(lái)越碎片化，員工可(kě)能從任意位置接入并訪問業務資源。網絡IP地址隻能代表網絡位置，并不能代表人(rén)或者終端，在分布式網絡裏繼續使用傳統邊界網絡模型必然會(huì)讓安全策略越來(lái)越偏離對人(rén)或者終端的控制(zhì)，帶來(lái)大(dà)量的隐含信任漏洞以及安全運維工作(zuò)量。

大(dà)多(duō)企業都已具備統一身份管理(lǐ)系統，無論是使用AD/LDAP、釘釘或者企業微信等，企業的每一個(gè)員工都具備唯一的數(shù)字身份。在企業落地零信任并非是要再重新建立一套新的身份體(tǐ)系，而是要将企業已有(yǒu)的統一身份應用到網絡訪問控制(zhì)上(shàng)。

信域安全雲網将企業的統一身份植入到每一個(gè)網絡數(shù)據包裏，從網絡底層實現了身份化，同時(shí)采用基于身份的分布式訪問控制(zhì)引擎，不再依賴IP地址，而是基于企業的統一身份進行(xíng)全網的網絡訪問控制(zhì)。

原則2： 最小(xiǎo)權限原則

信域安全雲網将企業業務資源都隐藏在業務局域網中，對外不開(kāi)放任何IP地址和(hé)端口，避免了來(lái)自不可(kě)信網絡的直接訪問。所有(yǒu)業務訪問需要經過信域網關代理(lǐ)轉發，信域網關隻接受來(lái)自信域客戶端發過來(lái)的UDP網絡數(shù)據包，不主動對任何數(shù)據包進行(xíng)回應，對每一個(gè)數(shù)據包進行(xíng)身份校(xiào)驗，如果校(xiào)驗失敗則立即丢棄。

授權策略基于帳号、終端、客戶端應用程序、業務資源、服務端口、應用層URI或指令集設計(jì)，并根據對用戶、終端的可(kě)信研判結果，動态的調整細粒度控制(zhì)策略，實現持續地最小(xiǎo)授權。

原則3： 實時(shí)計(jì)算(suàn)訪問控制(zhì)策略

信域的細粒度訪問控制(zhì)策略通(tōng)過計(jì)算(suàn)生(shēng)成，管理(lǐ)員通(tōng)過業務語言基于帳号、終端、業務的屬性集中地配置授權策略，信域根據企業随時(shí)變化的帳号、終端和(hé)業務現狀，實時(shí)地生(shēng)成細粒度的訪問控制(zhì)策略，并将細粒度訪問控制(zhì)策略同步到每一個(gè)信域客戶端和(hé)信域網關上(shàng)分布式執行(xíng)。

信域智能分析平台，利用終端環境數(shù)據、用戶業務訪問的行(xíng)為(wèi)數(shù)據，實時(shí)地對終端用戶進行(xíng)可(kě)信分析，根據可(kě)信分析結果實時(shí)地調整細粒度訪問控制(zhì)策略。

原則4： 資源受控安全訪問

信域采用分布式訪問控制(zhì)引擎，細粒度的訪問控制(zhì)策略在信域客戶端與信域網關上(shàng)同時(shí)執行(xíng)，對每一個(gè)訪問數(shù)據包進行(xíng)認證和(hé)鑒權，執行(xíng)逐包加密，逐包認證的強制(zhì)管控策略。

如果用戶或者終端無權訪問業務資源，則終端無法發出訪問此業務資源的任何數(shù)據包，網關也不對來(lái)自此終端的業務訪問數(shù)據包進行(xíng)解密和(hé)轉發；如果終端用戶有(yǒu)權訪問，則信域客戶端将帳号和(hé)終端的身份信息植入到數(shù)據包裏，加密後發送到對端信域網關，網關在收到數(shù)據包後對數(shù)據包進行(xíng)身份校(xiào)驗、解密和(hé)轉發。

原則5： 基于多(duō)源數(shù)據進行(xíng)信任等級持續評估

信域智能分析平台采集全網身份化的網絡流量數(shù)據與終端環境數(shù)據，并利用AI技(jì)術(shù)對訪問主客體(tǐ)進行(xíng)安全建模，對人(rén)和(hé)終端進行(xíng)可(kě)信分析，對業務訪問行(xíng)為(wèi)和(hé)敏感數(shù)據訪問行(xíng)為(wèi)進行(xíng)威脅研判，并根據檢測和(hé)分析結果動态調整訪問權限，實時(shí)處置異常或惡意的帳号和(hé)終端。