零信任安全模型 - 下一代网络安全架构

2022 年 6 月 23 日
本文字数：2431 字
阅读完需：约 8 分钟

一、零信任背景

1994 年 4 月，Stephen Paul Marsh 在其斯特灵大学计算机安全专业的博士论文中提出了“零信任（zero trust）”一词。Marsh 的研究将“信任”视作可以用数学描述的有限事物，断言“信任”的概念超越了道德、伦理、合法性、正义和判断等人为因素。

2003 年的 Jericho Forum（英语：Jericho Forum）强调了为组织 IT 系统定义边界的挑战性，讨论了当时称为“去边界化”的趋势。

2009 年，Google 实施了一种名为 BeyondCorp（英语：BeyondCorp）的零信任架构。Forrester Research（英语：Forrester Research）的分析师 John Kindervag 在 2010 年使用术语“零信任模型”表示更严格的公司内部网络安全计划和访问控制。

2019 年，英国国家网络安全中心（英语：National Cyber Security Centre (United Kingdom)）（NCSC）建议网络架构师考虑对新增 IT 部署采用零信任措施，尤其是计划大量使用云服务时。

二、零信任概念

零信任是一种安全模型，基于访问主体身份、网络环境、终端状态等尽可能多的信任要素对所有用户进行持续验证和动态授权。

零信任与传统的安全模型存在很大不同，传统的安全模型通过“一次验证+静态授权”的方式评估实体风险，而零信任基于“持续验证+动态授权”的模式构筑企业的安全基石。

三、零信任核心原则

持续验证，永不信任，构建身份安全基石

零信任网络背后的理念是假设网络内部和外部都有攻击者，所以没有用户或机器应该被自动信任。

零信任对人、终端和应用进行统一身份化管理，建立以身份为中心的访问控制机制，在登录和建立连接后，经过一段时间就会超时，迫使用户和设备不断重新验证，以访问主体的身份、网络环境、终端状态等作为认证的动态考量因素，持续监测访问过程中的违规和异常行为，确保接入网络的用户和终端持续可信。

动态授权，精细访问控制，权限随需而动

零信任网络利用微分段，微分段是一种将安全边界划分为小区域的做法，以分别维护对网络各个部分的访问，同时亦可以将访问目标的权限细化到应用级、功能级、数据级，只对访问主体开放所需的应用、功能或数据，满足最小权限原则，极大收缩潜在攻击面。

同时安全控制策略基于访问主体、目标客体、环境属性（终端状态、网络风险、用户行为等）进行权限动态判定，实现应用、功能、数据等维度的精细和动态控制。

全局防御，网安协同联动，威胁快速处置

零信任通过对终端风险、用户行为异常、流量威胁、应用鉴权行为进行多方面评估，创建一条完整的信任链。

并对信任分低的用户或设备生成相应的处置策略，联动网络或安全设备进行威胁快速处置，为企业搭建一张“零信任+网安联动”的安全网络。

四、零信任架构

NIST 标准的发布，首次提出了零信任的官方标准定义以及实践技术架构，强调零信任是个安全理念而非技术，并指出目前实现零信任架构的三大技术“SIM”，即软件定义边界（SDP）、身份识别与访问管理（IAM）、微隔离（MSG）。

软件定义边界（SDP）

SDP 旨在使应用程序所有者能在需要时部署安全边界，以便将服务与不安全的网络隔离开。SDP 将物理设备替换为在应用程序所有者控制下运行的逻辑组件，仅在设备验证和身份验证后才允许访问企业应用基础架构。

从架构上讲，基于 SDP 的系统通常会实施控制层与数据层的分离，即控制流阶段，用户及其设备进行预认证来获取丰富的属性凭据作为身份主体，以此结合基于属性的预授权策略，映射得到仅供目标访问的特定设备和服务，从而可以直接建立相应安全连接。

身份识别与访问管理（IAM）

零信任强调基于身份的信任链条，即该身份在可信终端，该身份拥有权限才可对资源进行请求。传统的 IAM 系统可以协助解决身份唯一标识、身份属性、身份全生命周期管理的功能问题。

通过 IAM 将身份信息（身份吊销离职、身份过期、身份异常等）传递给零信任系统后，零信任系统可以通过 IAM 系统的身份信息来分配相应权限，而通过 IAM 系统对身份的唯一标识，可有利于零信任系统确认用户可信，通过唯一标识对用户身份建立起终端、资源的信任关系，并在发现风险时实施针对关键用户相关的访问连接进行阻断等控制。

微隔离（MSG）

微隔离本质上是一种网络安全隔离技术，能够在逻辑上将数据中心划分为不同的安全段，一直到各个工作负载级别，然后为每个独立的安全段定义访问控制策略。

它主要聚焦在云平台东西向流量的隔离，一是区别传统物理防火墙的隔离作用，二是更加贴近云计算环境中的真实需求。微隔离将网络边界安全理念发挥到极致，将网络边界分割到尽可能的小，能够很好的缓解传统边界安全理念下的边界过度信任带来的安全风险。

五、总结

通过零信任安全解决方案可实现权限、身份、资源的统一管理，实现终端、网络、服务器、应用的统一安全监控，零信任以持续验证、永不信任、动态授权、精细访问控制为核心原则，可解决企业有多分支机构、远程办公等复杂场景下的一系列信息安全隐患，确保企业数据、资产安全。

关于领创集团（Advance Intelligence Group）

领创集团成立于 2016 年，致力于通过科技创新的本地化应用，改造和重塑金融和零售行业，以多元化的业务布局打造一个服务于消费者、企业和商户的生态圈。集团旗下包含企业业务和消费者业务两大板块，企业业务包含 ADVANCE.AI 和 Ginee，分别为银行、金融、金融科技、零售和电商行业客户提供基于 AI 技术的数字身份验证、风险管理产品和全渠道电商服务解决方案；消费者业务 Atome Financial 包括亚洲领先的先享后付平台 Atome 和数字金融服务。2021 年 9 月，领创集团宣布完成超 4 亿美元 D 轮融资，融资完成后领创集团估值已超 20 亿美元，成为新加坡最大的独立科技创业公司之一。