登录
零信任综述（上）——理念篇
2020.08.27
8095
一、 新变化 新挑战 新规则
随着新的技术发展，我们的网络空间已经发生了巨大的变化，从传统的网络边界已经发展到了无界化。
新的技术如云计算、移动互联、物联网等，带来新变化、没边界、移动化、动态化、实时性以及多样性；大数据、AI、5G、区块链、量子技术等改变了生产力和生产关系，提高了生产效率，进而影响人们的生活和社会活动。
自带设备BYOD、远程办公/在家办公WFX改变了工作方式，混淆了工作生活界限；员工、合同工、合作伙伴等都会需要随时随地在任何设备上访问使用，增加了便捷性，提高了生产率，但同时也带来了新的安全风险。
图1 网络安全发展变化
全新的变化，带来全新的挑战
全新的挑战，需要全新的规则
二、解决之道 -- 零信任
全球已经全面拥抱零信任；中国工信部确定零信任为安全关键技术；甲方、乙方、中立机构等一起推动大规模实施落地。
2.1. 零信任安全理念
零信任是一种安全理念，强调“永不信任，始终验证”；对于“零信任”来说Cyber安全无时限，危险来自每时每刻 ；Cyber安全无边界，威胁来自各个方面 ；Cyber安全不取决于位置/部门，无法决定可信度 ；所有人/物/端/网/信息/供应链均需认证授权（动态安全策略）。
2.2. 零信任安全战略
零信任是最高的安全战略，而不是某一种单一产品；作为安全战略，需要团队自上而下推动 ；不仅要从文化上，组织架构上以及流程上，而且需要与技术一起，共同驱动，确保安全的执行 ；并且在流程上充分赋能发挥其优势，起到响应的作用。
2.3. 零信任安全架构和技术
目前，零信任有一个标准（美国国家技术标准局NIST制定的ZTA）和3种在业界具有重要影响力的技术SIM（SDP、ZT-IAM、MSG）以及一些其它技术：
三、零信任发展历程
Gartner预测：2022年将有80%面向生态合作伙伴的新数字业务应用采用零信任网络访问。2023年将有60%的企业从远程访问VPN向零信任网络架构转型。而零信任的发展其实从2001年已经开始萌芽，而后逐步演化和发展，直到2010年Forrester 分析师John Kindervag以“永不信任，始终验证”思想提出零信任模型Zero Trust Model TRUST MODE，“零信任”的概念被正式提及。 
图2 “零信任”发展历程
图4 《零信任安全架构标准》
图5 《关于促进网络安全产业发展的指导意见》
2019年《中国网络安全产业白皮书》：零信任已经从概念走向落地。
图6《中国网络安全产业白皮书》
图7 Gartner零信任行业报告
预测在2022年：面向生态系统合作伙伴开放的80%的新业务应用将通过零信任网络访问ZTNA进行访问。
2023年：60%的企业将淘汰大部分远程访问虚拟专用网络（VPN)，转而使用零信任网络访问ZTNA。
图8 Gartner零信任行业预测
Gartner报告发布零信任安全产品全球代表产商：包括微软、谷歌、思科、赛门铁克等国际巨头公司，云安全联盟CSA大中华区会员单位云深互联入选。
图9 Gartner发布零信任安全产品全球代表商
七、零信任理念 -- 永不信任 始终验证
零信任不是零访问/零使用，而是从零开始，建立信任！Leveraging Zero Trust to Enable Trust！
零信任有5项原则 ，概括为ABCDE，即
零信任安全的保护对象又可以有下面这些资源、层次和方面：
图10 零信任保护层级和对象
八、零信任价值
零信任安全能带来什么价值，这是大家最关心的点；零信任安全的价值体现在以下六个方面：
企业面临诸多风险，零信任战略与实施可以帮助企业降低运营风险。运营风险来源于企业所拥有的数字资产的潜在损失，零信任模式恰恰强化数字资产的发现，要求对企业的任何应用与服务等数字资产都进行识别并给予身份。零信任战略规划与架构设计会对敏感信息的攻击途径进行分析，输出数据流图使得网络的透明度大大增加，从而使得运营风险能够得到识别，企业可以采取风险管理手段进行有效的管控。零信任的“永不信任，始终验证”思路和机制大大增加了攻击者的难度，不论是较难防的APT高级持续威胁还是内鬼管理员，因此有效地降低了总体安全风险。
零信任模式将保护资源的目标聚焦到负载与数据，通过策略与控制排除不需要访问资源的用户、设备与应用，使得恶意行为受到限制，缩小被攻击面，大大降低了安全事件的数量，使得企业能够节约时间与人力资源来迅速恢复少数的安全事件。另外零信任使得目标对攻击者不可见或很难被发现，这样目标所在的系统或应用存在一些漏洞也不会被利用，企业消耗在漏洞与补丁管理的成本也大大降低。总体来讲，实施零信任的企业所降低的成本可能会足以弥补其对零信任的投入。
零信任摈弃了静态边界防御的慢速与不方便的检查，安全不再是业务的绊脚石，业务能更快上线或更快地让用户使用到，给用户带来更好的安全体验。在以往实施了零信任解决方案的企业中，员工与合作伙伴可以在互联网上随时随地、无缝直连各种企业应用，不需要通过企业网络关卡（如VPN）的静态检测，提升了用户处理业务的速度与敏捷性。不少部署了零信任解决方案的先行企业首先是为了让员工们有更方便的在线工作方式，安全却成了附属奖励品。
零信任的动态防御思路与新出台的重要安全法律、法规、标准的动态防御思路不谋而合，例如等保2.0、数据安全与个人信息保护法、GDPR、FedRAMP等。零信任IAM与SDP解决方案与这些条款高度吻合，架构本身已经具有多项安全控制措施满足合规条款，能够充分减少审计师的违规发现（Findings），同时，零信任网络架构使安全审计师们更容易看清网络，让合规审计工作更加容易进行，可以说零信任是满足安全合规的有效措施与手段。
在实施零信任的企业中，IT部门可以获得对企业资源更有效的控制，不论资源是分布在企业内部各部门，还是在公有云、混合云，多云环境中。零信任架构本身支持企业网、云计算、物联网等多种应用场景，把网络通信限制在有身份被验证的负载中，不论零信任IAM体系是私有部署还是云中部署，它都在企业IT的掌控之下，并可以与MSG微隔离一起用来防御包括云服务商管理员在内的恶意行为。
对于那些在数字化转型过程中依赖软件与应用的组织机构，零信任不仅通过可视可控使各部门的负载与应用便于被管理，而且还由于零信任能很好地支持DevOps模式，使应用部署能更好地适配业务的优先级，并减少各组织部门之间的工作摩擦。可以说，零信任是安全保障企业数字化转型、打造可持续数字化竞争力的一次最关键范式迁移，也是“安全优先”倒逼IT改革和业务创新的根本性行动。
随着新的技术发展，我们的网络空间已经发生了巨大的变化，从传统的网络边界已经发展到了无界化。
新的技术如云计算、移动互联、物联网等，带来新变化、没边界、移动化、动态化、实时性以及多样性；大数据、AI、5G、区块链、量子技术等改变了生产力和生产关系，提高了生产效率，进而影响人们的生活和社会活动。
自带设备BYOD、远程办公/在家办公WFX改变了工作方式，混淆了工作生活界限；员工、合同工、合作伙伴等都会需要随时随地在任何设备上访问使用，增加了便捷性，提高了生产率，但同时也带来了新的安全风险。
图1 网络安全发展变化
- 无边界：空间、时间等的无界化，打破了传统的网络边界和区域防护
- 不确定：人员、设备、应用等的不确定性带来安全策略和安全防护的挑战
- 威胁：种类多、变化多、动态化、攻击面大、危害大、目标明确、组织严密、手段先进、隐蔽性好等，使得堵不胜堵、防不胜防
全新的挑战，需要全新的规则
- 全新理念/战略/架构：面对新变化带来的新挑战，传统的安全理念、战略和架构，已无法应对，需要全新的安全理念、战略和架构，建立新规则，以应对全新的变化和挑战。
- 以安全的方式访问资源：安全不是没有访问和使用，而是更安全地访问需要被防护的数字资源。安全的目标也从来不是把企业的安全事件降为零，而是为了让企业能更好地平衡安全与业务，在数字化转型中，安全与发展双轮驱动不致掉队。
- 动态/自适应/持续：面对不断变化的新挑战，需要动态、实时、持续不断的进行安全防护，不仅要应对现有威胁，而且要自适应式的防范未来风险。
- Who, When, Where, How, What： 需要考虑什么人、在什么时间、什么地点、使用什么应用、在什么设备的什么系统上以何种方式访问和使用对象等以应对风险和威胁
- Asset oriented, cloud native, mobile first，Human Element centric：安全防护需要以被保护资源为基本根源、云为先、移动第一和人中心的原则，综合防护，不仅仅是被动的防堵，而且更要主动的保护。
二、解决之道 -- 零信任
全球已经全面拥抱零信任；中国工信部确定零信任为安全关键技术；甲方、乙方、中立机构等一起推动大规模实施落地。
2.1. 零信任安全理念
零信任是一种安全理念，强调“永不信任，始终验证”；对于“零信任”来说Cyber安全无时限，危险来自每时每刻 ；Cyber安全无边界，威胁来自各个方面 ；Cyber安全不取决于位置/部门，无法决定可信度 ；所有人/物/端/网/信息/供应链均需认证授权（动态安全策略）。
2.2. 零信任安全战略
零信任是最高的安全战略，而不是某一种单一产品；作为安全战略，需要团队自上而下推动 ；不仅要从文化上，组织架构上以及流程上，而且需要与技术一起，共同驱动，确保安全的执行 ；并且在流程上充分赋能发挥其优势，起到响应的作用。
2.3. 零信任安全架构和技术
目前，零信任有一个标准（美国国家技术标准局NIST制定的ZTA）和3种在业界具有重要影响力的技术SIM（SDP、ZT-IAM、MSG）以及一些其它技术：
- NIST 制定的零信任架构标准ZTA
- CSA制定的软件定义边界SDP技术
- 零信任增强型现代身份管理体系ZT-IAM技术
- 微隔离MSG技术
Gartner预测：2022年将有80%面向生态合作伙伴的新数字业务应用采用零信任网络访问。2023年将有60%的企业从远程访问VPN向零信任网络架构转型。而零信任的发展其实从2001年已经开始萌芽，而后逐步演化和发展，直到2010年Forrester 分析师John Kindervag以“永不信任，始终验证”思想提出零信任模型Zero Trust Model TRUST MODE，“零信任”的概念被正式提及。
图2 “零信任”发展历程
2001年：微软首席IAM架构师李雨航主导设计微软源代码共享基础设施MSI（MicroSoft Source code sharing Infrastructure），通过以IAM/AD可信身份管理、PKI智能卡多因素认证校验、IPSec网络细隔离、DAS动态授权等技术，在不可信的互联网上部署了高度安全可信网络解决方案Direct Access，将合作伙伴通过VPN、防火墙、DMZ访问源代码并调测的方式改为通过互联网随时随地按需直连；Direct Access是零信任的萌芽。
2004年：中央情报局CTO Bob Flores带领技术团队开始建立CIA与国防部BlackCore内部高度安全网络(CSA SDP前身), 将基于边界的安全模型转变为基于单个事务安全性的模型 。
Jericho Forum引入De-perimeterization 概念，探讨无边界的网络安全架构和解决方案，提出要建立基于网络位置的隐式信任 。
2007年：在RSA大会上，微软CEO比尔盖茨与CTO克莱格蒙迪发表微软Anywhere Access战略，将微软内部的零信任前身Direct Access无边界网络贡献给业界和客户， 全球首席安全架构师李雨航等打造的这个战略与解决方案通过可信用户身份、可信设备身份、访问控制/策略控制器、动态加密隔离等技术，使微软内部企业网无缝延申到外部互联网，员工可以随时随地使用公司资源，不再需要VPN、防火墙、Remote Access 。
2010年：Forrester 分析师John Kindervag以“永不信任，始终验证”思想提出零信任模型Zero Trust Model TRUST MODE，零信任概念开始得到业界关注；John也因此被称为“零信任之父”。
2013年：云安全联盟CSA提出SDP软件定义边界，成为零信任的第一个解决方案，由组长Bob Flores（原美国CIA的CTO）、成员Larry等，制定编写并发布SDP Spec 1.0等研究成果，并提出零信任的ABCDE原则，RSA安全大会上CSA SDP挑战赛从未被黑客攻破；Bob被称为“SDP之父”。
Tony Scott 在VMWare担任CIO期间，主导了微隔离MSG(Micro Segmentation)设计并在其后担任美国联邦CIO期间应用于联邦政府实践；Tony被业界称为“MSG之父”。
2014年：谷歌进行了基于零信任模型的内部企业解决方案BeyondCorp部署和6篇相关论文发布，介绍零信任落地实践，成为经典的甲方零信任实践案例并获业界认可和众多效仿 。
2019年：Scott Rose主导并由Larry等众多专家参与制定编写并发布了NIST sp 800-207 ZTA 零信任架构草案， 被业界认为是零信任架构的标准，并于2020年8月正式发布。
2020年：CSA大中华区李雨航、Larry等研究院专家引领企业零信任战略发展方向， CSA大中华区SDP 和 IAM 工作组等相继建立并研究发布白皮书，指南与标准等；在联合国UN2020指导下，成功举办“零信任十周年：耕耘零信任 收获在安全！”峰会，邀请到网信办原副主任/公安部原副部长陈智敏、工信部原副部长杨学山、中国工程院院士倪光南、邬江兴和“零信任ZT之父”John、“微隔离MSG之父”Tony、“软件定义边界SDP之父”Bob 等专家都分别发表了演讲和贺词，在业界引起轰动。
2004年：中央情报局CTO Bob Flores带领技术团队开始建立CIA与国防部BlackCore内部高度安全网络(CSA SDP前身), 将基于边界的安全模型转变为基于单个事务安全性的模型 。
Jericho Forum引入De-perimeterization 概念，探讨无边界的网络安全架构和解决方案，提出要建立基于网络位置的隐式信任 。
2007年：在RSA大会上，微软CEO比尔盖茨与CTO克莱格蒙迪发表微软Anywhere Access战略，将微软内部的零信任前身Direct Access无边界网络贡献给业界和客户， 全球首席安全架构师李雨航等打造的这个战略与解决方案通过可信用户身份、可信设备身份、访问控制/策略控制器、动态加密隔离等技术，使微软内部企业网无缝延申到外部互联网，员工可以随时随地使用公司资源，不再需要VPN、防火墙、Remote Access 。
2010年：Forrester 分析师John Kindervag以“永不信任，始终验证”思想提出零信任模型Zero Trust Model TRUST MODE，零信任概念开始得到业界关注；John也因此被称为“零信任之父”。
2013年：云安全联盟CSA提出SDP软件定义边界，成为零信任的第一个解决方案，由组长Bob Flores（原美国CIA的CTO）、成员Larry等，制定编写并发布SDP Spec 1.0等研究成果，并提出零信任的ABCDE原则，RSA安全大会上CSA SDP挑战赛从未被黑客攻破；Bob被称为“SDP之父”。
Tony Scott 在VMWare担任CIO期间，主导了微隔离MSG(Micro Segmentation)设计并在其后担任美国联邦CIO期间应用于联邦政府实践；Tony被业界称为“MSG之父”。
2014年：谷歌进行了基于零信任模型的内部企业解决方案BeyondCorp部署和6篇相关论文发布，介绍零信任落地实践，成为经典的甲方零信任实践案例并获业界认可和众多效仿 。
2019年：Scott Rose主导并由Larry等众多专家参与制定编写并发布了NIST sp 800-207 ZTA 零信任架构草案， 被业界认为是零信任架构的标准，并于2020年8月正式发布。
2020年：CSA大中华区李雨航、Larry等研究院专家引领企业零信任战略发展方向， CSA大中华区SDP 和 IAM 工作组等相继建立并研究发布白皮书，指南与标准等；在联合国UN2020指导下，成功举办“零信任十周年：耕耘零信任 收获在安全！”峰会，邀请到网信办原副主任/公安部原副部长陈智敏、工信部原副部长杨学山、中国工程院院士倪光南、邬江兴和“零信任ZT之父”John、“微隔离MSG之父”Tony、“软件定义边界SDP之父”Bob 等专家都分别发表了演讲和贺词，在业界引起轰动。
四、零信任安全成为美国国家级网络安全战略
零信任的发展，在全球得到了广泛的认可，在美国零信任安全成为了国家级网络安全战略。2019年7月美国国防部2019-2023年《数字现代化战略》，将零信任安全列为优先发展技术。
图3 《数字现代化战略》
2019年9月美国国家标准研究院NIST发布《零信任安全架构标准》草案，该草案瞄准的是零信任架构的落地实践，希望实现安全性与用户体验的兼得。
图4 《零信任安全架构标准》
五、中国零信任发展现状
零信任在国内起步较晚，但近几年重视程度越来越高。2019年9月工信部《关于促进网络安全产业发展的指导意见》：2025年网络安全规模超过2000亿，“零信任安全”为“网络安全关键技术”。
零信任在国内起步较晚，但近几年重视程度越来越高。2019年9月工信部《关于促进网络安全产业发展的指导意见》：2025年网络安全规模超过2000亿，“零信任安全”为“网络安全关键技术”。
图5 《关于促进网络安全产业发展的指导意见》
2019年《中国网络安全产业白皮书》：零信任已经从概念走向落地。
图6《中国网络安全产业白皮书》
六、Gartner发布零信任行业报告及行业预测
Cartner在2019年4月也发布了有关零信任的行业市场预测报告。
Cartner在2019年4月也发布了有关零信任的行业市场预测报告。
图7 Gartner零信任行业报告
图8 Gartner零信任行业预测
Gartner报告发布零信任安全产品全球代表产商：包括微软、谷歌、思科、赛门铁克等国际巨头公司，云安全联盟CSA大中华区会员单位云深互联入选。
图9 Gartner发布零信任安全产品全球代表商
七、零信任理念 -- 永不信任 始终验证
- Assume nothing 不做任何假定
- Believe nobody 不相信任何人
- Check everything 随时检查一切
- Defeat Dynamic risks 防范动态威胁
- Expect/prepare for the worst 做最坏打算
- 零信任可以保护网络、基础设施、设备、系统、应用、数据、业务等
- 零信任可以被应用于多层次多环节
- 零信任可以适用于企业内部，云和混合场景
图10 零信任保护层级和对象
八、零信任价值
零信任安全能带来什么价值，这是大家最关心的点；零信任安全的价值体现在以下六个方面：
·管控风险
·降低成本
·业务敏捷
·安全合规
·有效控制
·改善管理
会员
活动
研究
教育认证
评估认证
关于我们
联系我们
微信号：csagcr
手机：19925407556
邮箱：info@c-csa.cn
手机：19925407556
邮箱：info@c-csa.cn