作者：奇安信身份安全实验室
零信任安全（或零信任网络、零信任架构、零信任）最早由约翰.金德维格（John Kindervag）在2010年提出，约翰.金德维格当时是著名研究机构Forrester的首席分析师。如今8年过去了，零信任安全已逐步被业界所认可，各组织机构的CIO、CISO们也言必称零信任了，特别是2017年Google基于零信任构建的BeyondCorp项目成功完成，零信任俨然已成为安全界的新宠。
零信任安全正在对传统的基于边界的网络安全架构形成强有力的颠覆，甚至Forrester的分析师认为3年内零信任就将成为网络安全流行框架之一。
WHAT：零信任安全是什么？
传统的基于边界的网络安全架构某种程度上假设、或默认了内网是安全的，认为安全就是构筑企业的数字护城河，通过防火墙、WAF、IPS等边界安全产品/方案对企业网络出口进行重重防护而忽略企业内网的安全。
零信任安全针对传统边界安全架构思想进行了重新评估和审视，并对安全架构思路给出了新的建议，在《零信任网络》一书中，作者使用如下五句话对零信任安全进行了抽象概括：
- 应该始终假设网络充满威胁。
- 外部和内部威胁每时每刻都充斥着网络。
- 不能仅仅依靠网络位置来建立信任关系。
- 所有设备、用户和网络流量都应该被认证和授权。
- 访问控制策略应该是动态的基于尽量多的数据源进行计算和评估。
简而言之，零信任的核心思想就是：默认情况下不应该信任网络内部和外部的任何人/设备/系统，需要基于认证和授权重构访问控制的信任基础。零信任对访问控制进行了范式上的颠覆，引导安全体系架构从网络中心化走向身份中心化，其本质诉求是以身份为中心进行访问控制。
零信任安全所依赖的身份验证与访问控制能力通常由身份访问与管理系统（IAM）提供，现代身份管理平台是零信任安全的技术根基，因此，从技术方案层面来看，零信任安全是借助现代身份管理平台实现对人/设备/系统的全面、动态、智能的访问控制。
传统的静态、封闭的身份管理机制已经不能满足新技术环境的要求，无法支撑企业构建零信任安全的战略愿景。身份管理技术正在向现代身份管理的方向快速演进。敏捷、智能、安全，是现代身份管理技术的三大特点。现代智能身份管理平台，需要足够敏捷和灵活，可以支持更多新的场景和应用，从静态的访问控制策略演变为动态的访问控制策略，具备高级分析能力，能够应对外部攻击、内部威胁、身份欺诈等各种新的安全威胁。
WHY：为什么需要零信任安全？
前文提到，零信任安全的本质诉求是以身份为中心重构访问控制，因此，只要明白了现代身份管理平台在今天网络安全中的必要性，自然就明白了为什么需要零信任安全。
现今严峻的安全态势和数字化转型浪潮下的新安全需求都促使了身份与访问控制成为架构安全的第一道关口，零信任安全正是拥抱了这种技术趋势，从而成为网络安全发展的必然选择。
首先，从安全态势的角度来看，大数据时代网络安全威胁比以往任何时候都更加复杂和险恶，业界一致认为，目前网络安全架构的薄弱环节正是身份安全基础设施的缺失，有数据显示，部署了成熟IAM系统的企业，其安全事件下降了50%。
越来越多的企业业务应用构建在云端大数据平台中，使得云端平台存储了大量的高价值数据资源。业务和数据的集中造成了目标的集中和风险的集中，这自然成为黑产最主要的攻击和窃取目标。就在去年，发生了史上最大的用户数据泄露事件——美国三大征信机构之一，Equifax数据泄露事件，造成涉及美国1.43亿人的个人信息泄露，CEO引咎辞职。
根据《2018 insider threat report》显示，内部威胁是造成数据泄露的第二大原因。往往因为非授权访问、雇员犯错、外包员工犯错等等原因，导致 “合法用户”可以非法访问特定的业务和数据资源，造成组织内部数据泄漏。
造成数据泄露的第一大原因是外部黑客攻击，但是显然攻击者并没有什么非常高明的技术。根据美国最大的移动运营商Verizon报告分析指出，81%的黑客成功利用了偷来的口令或者弱口令，就轻而易举地获得了数据的访问权限，成功窃取数据。
其次，从企业数字化转型和IT环境的演变来看，云计算、移动互联的快速发展导致传统内外网边界模糊，企业无法基于传统的物理边界构筑安全基础设施，只能诉诸于更灵活的技术手段来对动态变化的人、终端、系统建立新的逻辑边界，通过对人、终端和系统都进行识别、访问控制、跟踪实现全面的身份化，这样身份就成为了网络安全新的边界，以身份为中心的零信任安全成为了网络安全发展的必然趋势。
WHO：谁对零信任安全负责？
零信任安全建设的关键抓手是现代身份管理平台在企业的落地及全面应用，其建设和运营需要企业各干系方积极参与，可能涉及到安全部门、IT技术服务部门和IT运营部门等。企业数字化转型的关键决策者应该将基于零信任的身份安全架构上升到战略层面，确定愿景和路线图，成立专门的组织（或虚拟组织）并指派具有足够权限的人作为负责人。
在零信任架构下，IAM是安全基础和核心架构，如果企业还是和以前一样，仅仅将IAM视为业务基础架构，势必导致IAM的建设和运维降级为普通的IT项目，难以发挥IAM及零信任安全在企业数字化转型过程中的安全支撑作用。根据企业的具体职责分工情况，零信任项目的负责人可能由首席信息官（CIO）、首席安全官（CSO）、甚至首席执行官（CEO）亲自担任，无论如何，关键点在于，此责任人必须在企业内拥有较高的权力，确保能推动各部门共同建设和发挥IAM的安全支撑作用。
从企业数字化转型的战略高度，确定IAM建设项目的愿景和路线图，并指派强有力的项目负责人，是零信任安全建设至关重要的关键环节。
WHEN：什么时候引入零信任安全？
零信任安全是在现今严峻的安全态势和数字化转型浪潮驱动下的新型安全架构，企业引入零信任安全的最佳时机需要和企业数字化转型进程保持相同的步伐，应将零信任安全作为企业数字化转型战略的一部分，在企业进行云迁移战略或建设大数据平台的时候同步规划。
企业进行全新的基础设施规划或迁移时，需要由内至外的基于零信任进行整体安全架构设计和规划，细致梳理人员、数据、系统、应用的逻辑边界及安全需求，制定符合企业安全策略的全面的应用级、功能接口级和数据级访问控制机制，切不可在基础设施建设完毕后再叠加零信任。
对于尚无基础设施转型计划的企业来说，实施部分零信任安全实践也未尝不可，但企业必须意识到，这个过程难以一蹴而就，毕竟Google建设BeyondCorp耗时也超过六年，一种可能的实施方案是基于现代身份管理平台建设应用级的访问控制，确保应用访问的身份识别、授权策略的统一。
零信任安全是一种架构理念，因此，企业何时、如何实施零信任安全并无放之四海而皆准的金科玉律，企业应该遵循零信任安全基本理念，结合现状，逐步规划实施零信任，当企业完成数字化转型之时，零信任安全也就水到渠成了。
HOW：如何实现零信任安全？
前文提到，从技术方案层面来看，零信任安全是借助现代身份管理平台实现对人/设备/系统的全面、动态、智能的访问控制，下面以360ID零信任身份安全解决方案为例，介绍零信任安全的关键实践，包括：
以身份为中心
通过手机即令牌的方式提供指纹识别、人脸识别等生物识别技术对用户进行身份确认，同时对用户智能手机终端进行病毒查杀、root/越狱检测，通过注册建立用户与设备的唯一绑定关系。确保只有同时满足合法的用户与可信的终端两个条件才能接入到业务系统。为了提高用户的使用便捷性，用户认证支持动态口令、二维码扫描、推送验证的多种身份认证方式。
业务安全访问
通过可信接入网关接管企业所有应用、资源、服务器的访问流量，将访问控制规则设定为只允许通过可信接入网关对应用进行访问，防止内网访问逃逸问题。所有的业务隐藏在可信接入网关之后，只有通过身份安全认证与终端可信检测的用户才可以访问业务系统。
动态访问控制
用户发起访问请求后，360ID智能身份平台基于多种源数据分析，包括安全策略、用户属性、环境属性、其他风险因子等，对此次访问进行授权判定，得到一个信任等级，最终根据评估得出的信任等级分配用户一个最小访问权限。
当然，如上几点关键实践离不开敏捷、智能、安全的现代身份管理技术的支撑，360企业安全集团基于强大的云计算和大数据计算技术和经验，利用360强大的安全积累，推出的360ID智能身份平台正是足以支撑零信任安全的现代身份管理平台。
结语：安全从0开始
数字化转型推动了大数据、云计算、物联网、人工智能为代表的新一代信息技术应用，也掀起了以现代身份管理平台为技术基础的零信任安全热潮，安全从0开始，让业界携手同行，基于身份构筑新的安全边界！
声明：本文来自奇安信身份安全实验室，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
