零信任安全技术发展研究及政策建议

摘自：《网络安全技术和产业动态》2020年第3期，总第3期。

中国网络安全产业联盟（CCIA）主办，绿盟科技集团股份有限公司供稿。

    零信任（Zero Trust）是一组安全理念。核心思想是默认不信任何人和设备，经过验证后才能获得信任，允许访问资源和应用。零信任的理念包括，先认证再访问、最小权限、访问行为持续评估、多因素风险确认、根据风险动态调整访问控制等原则。

    零信任架构（Zero Trust Architecture，ZTA）是一种新的网络安全架构模式。传统的安全架构注重边界防护，在边界部署防火墙或入侵防护系统等设备，默认内网是安全的，安全防护上没有边界严格。而“云大物移智”等新兴技术广泛采用，出现了很多新场景，网络边界变得模糊，带来了更多的安全风险。零信任在这样的背景下提出，不以内网和外网的位置为访问依据，目的是解决传统架构在新场景下的，避免安全事件的发生。

一、技术发展情况

零信任，最早美国一家咨询机构的分析师在2010年提出，从提出到现在经历10年时间，其概念的内涵持续演进。2011年至2015年，谷歌开展了“BeyondCorp”的内部项目，应用零信任理念，陆续发布了6篇相关论文。零信任概念得到广泛接受和认可。2014年，云安全联盟（Cloud Security Alliance，CSA）发布基于零信任理念的软件定义边界（SDP），进一步推动零信任技术的发展。2019年，美国国家标准与技术研究院（NIST）发布了《零信任架构》特别出版物的草案，标志着零信任走向了标准制定层面。

零信任的理念和架构，随着部署实践和IT环境的变化而发展。实现零信任架构，需要多个安全组件协调配合工作，完成身份认证，授权，终端安全评估，风险持续评估，自动化安全响应。普遍认为零信任架构主要普遍认为零信任架构主要有以下三种模式：

• 基于身份增强治理的零信任架构

• 基于网络基础架构和软件定义边界（SDP）的架构

• 基于微隔离的架构

    零信任的安全架构可以很好地兼容云计算、大数据、物联网等各类新兴应用场景，支持远程办公、多云环境、多分支机构、跨企业协同等复杂网络架构。

二、发展难点分析

    零信任安全技术发展的难点，主要在于部署层面。从产品角度来看，不同品牌的产品之间的互操作性较差，不容易搭建在一起组成零信任架构。零信任架构除了上文提到的三种主流架构，还有多个变种，每种部署架构，也需要部署多个组件。对于厂商而言，除了少数综合性厂商，能覆盖零信任涉及的领域，否则很难由一家公司提供所有的组件。因此，不同厂商的产品互操作性就尤为重要。如果不同品牌的产品，可以方便的对接，那么用户就可以根据性价比，使用习惯等采购不同的组件，组合在一起来构建完整的零信任安全体系，不必限定在有限范围的提供商内。

三、产业落地情况

    零信任开始在产业落地。海外尤其是美国，零信任起步较早，已初具规模。大型互联网公司，网安全公司以及一些创业公司都推出了产品和方案。海外零信任已经进入规模化产业发展阶段。

    我国安全厂商积极在零信任领域布局。大型互联网企业，腾讯从自身内部项目孵化产品进入市场，阿里巴巴通过并购进入。绿盟科技、奇安信、启明星辰、深信服等厂商始终关注国际网络安全技术发展趋势，均推出了相应的零信任整体解决方案。山石网科、云深互联等新兴厂商也积极推动SDP、微隔离等零信任安全技术方案的落地应用。

从使用者角度看，对企业而言，零信任架构的建设，是个复杂的大工程。零信任架构涉及到终端，用户，应用，数据等多个系统，需要部署新的产品，梳理当前的应用访问流程以及策略等，工作量繁重。从现有的架构向零信任迁移，比重新搭建一套全新的系统，所面临的挑战还要大。尽管企业意识到，零信任架构和现在的架构相比，有着明显的优势，但是现在的架构也能用起来，远程办公用VPN也能基本满足，这些降低了企业在建设零信任的意愿。

    针对零信任安全技术发展难点，建议国家和主管部门机构，对网络安全企业和政府企业单位，在标准和政策两方面引导。在标准层面，推动零信任安全技术的标准化、规范化。引导企业开发具有开放的，能够互相适配的模块化安全产品，产品认证上增加零信任认证机制。

    在政策层面，鼓励和引导政府和企业采用零信任。在“新基建”的政策背景下，鼓励政府和企业在5G、工业互联网、大数据中心等信息基础设施建设上，优先采用零信任架构。对现有的IT环境，鼓励向零信任架构迁移，提高整体安全性。