零信任安全

零信任安全是什么

传统上机构(及一般企业网络)都专注于边界防御，授权主体可广泛访问内网资源。零信任网络建立在五在近几年来的互联网发展中，网络安全事件频频发生，原有的概念“数据中心内部的系统和网络流量是可信的”这一假设是不可取的。计算机信任的特征具有如下几个方面的特征：

(1)一个实体所拥有的信任表征其可依赖程度；

(2)实体的历史行为记录将会反映该实体的信任程度；

(3)信任在可信度评估中，近期的信任值更可信；

(4)实体的信任不满足对称性，即实体A对实体B可信，但实体B对实体A不一定可信；

(5)实体间的交互安全性问题可依赖于实体间的信任程度进行评估。

而根据Evan Gilman《ZeroTrust Networks》书中所述，与边界模型的“信任但验证”不同，零信任的核心原则是“从不信任、始终验证”。零信任网络的概念建立在以下5个基本假定之上：

(1)网络环境一直存在着各类威胁因素；

(2)网络环境中的威胁不仅仅来自于外部，甚至内部威胁造成的危害更大；

(3)传统基于IP地址的位置信息条件不足以认定该访问请求安全；

(4)传统的聚焦于访问主体身份的认证不足以认定该访问请求安全，即访问主体所使用的设备、所处的真实地理位置等也需作为认证条件；

(5)访问控制策略的评判依据需根据实际应用场景，详细列举影响因子，设定各影响影子比重，实现个性化、动态化策略制定。

零信任既不是技术也不是产品，而是-种安全理念。根据NIST《零信任架构标准》中的定义:零信任(Zero Trust，ZT)提供了一系列概念和思想，在假定网络环境已经被攻陷的前提下，当执行信息系统和服务中的每次访问请求时，降低其决策准确.度的不确定性。零信任架构(ZTA) 则是一种企业网络安全的规划，它基于零信任理念，围绕其组件关系、工作流规划与访问策略构建而成。

零信任安全架构与传统网络安全架构

在传统的网络环境中，根据网络资源本身的敏感性与保密级别将资源部署在拥有不同信任等级的网络区域，如开放区域、隔离区域、可信区域等，每个网络区域使用防火墙进行访问隔离，常见的传统网络安全架构如图所示。在传统的网络环境中，每个被划分的网络区域在边界安全设备的保护下控制着外部人员或设备的访问，处于可信区及以内区域往往是内部网络和本地服务器所在区域。在“零信任”概念之前，我们均认为内部网络安全的，从内部网络转发的任意流量均为可信，从而默认允许通过安全认证，自由访问资源，现代网络攻击技术的一个重要组成部分“回连攻击技术”便发生在此时，被赋予一定可信度的内部网络主机暴露在具有一定危险性攻击环境中。

零信任安全

在零信任安全架构中，假设所有网络区域都是具有危险性的，位于任何网络区域中的设备、设备间的通信、资源的访问主体均是不可信的。零信任网络有3个关键组件：访问主体/应用程序认证、设备认证和信任。对于资源访问主体的安全性考察，在传统安全架构中是有认证机制的，且作为安全访问控制的必要检测对象。而对于网络设备的安全认证，通常出现在特殊网络区域如VPN网关所在的隔离区，不具有普遍安全性考察，因此不符合零信任网络原则。将零信任网络原则运用到传统网络安全架构中，得到的零信任网络安全架构如图所示^[1]。

零信任安全

零信任安全的起源

传统边界安全理念先天能力存在不足，新技术新应用又带来了全新的安全挑战，在这样的背景下，零信任的最早雏形源于2004年成立的耶利哥论坛(Jericho Forum )，其成立的使命正是为了定义无边界趋势下的网络安全问题并寻求解决方案，提出要限制基于网络位置的隐式信任；美国国防信息系统局(DISA)为了解决GIG(全球信息栅格，是美军信息化作战规划中极其重要且宏大的基础设施)中，如何实时、动态地对网络进行规划和重构的问题，发起了BlackCore项目，将基于边界的安全模型转换为基于单个事物安全性的模型，并提出了SDP(Software Defned Perimeter)的概念，该概念后来被云安全联盟(Cloud Security Alliance)采纳。2010年，由著名研究机构Forrester的首席分析师John Kindervag最早提出了零信任(Zero Trust)的概念，并由Google在BeyondCorp项目中率先得到了应用，很好的解决了边界安全理念难以应对的安全问题^[2]。

零信任安全

零信任理念的基本假设

a)内部威胁不可避免；

b)从空间上，资源访问的过程中涉及到的所有对象(用户、终端设备、应用、网络、资源等)默认都不信任，其安全不再由网络位置决定；

c)从时间上，每个对象的安全性是动态变化的(非全时段不变的)

零信任安全的基本原则

a)任何访问主体(人/设备/应用等)，在访问被允许之前，都必须要经过身份认证和授权，避免过度的信任；

b)访问主体对资源的访问权限是动态的(非静止不变的)；

c)分配访问权限时应遵循最小权限原则；

d)尽可能减少资源非必要的网络暴露，以减少攻击面；

e)尽可能确保所有的访问主体、资源、通信链路处于最安全状态；

f)尽可能多的和及时的获取可能影响授权的所有信息，并根据这些信息进行持续的信任评估和安全响应。

零信任安全三大技术

零信任的三大技术路径：SDP、IAM、MSG^[3]

零信任是一种理念，而不是一种技术。因此，没有单一的产品或解决方案能够使企业独自实现零信任。但是，业内普遍认为软件定义边界(SDP)、身份识别与访问管理(IAM)、微隔离(MSG)是实现零信任的三大技术路径。

(1)软件定义边界(SDP)软件定义边界(SDP)由云安全联盟(CSA)于2013年提出，用应用管理者可控的逻辑组件取代了物理设备，只有在设备证实和身份认证之后，SDP才提供对认证基础设施的访问，SDP使得应用所有者部署的边界可以保持传统模型中对于外部用户的不可见性和不可访问性，该边界可以部署在可以访问的任意位置，如网络上，云中，托管中心中，私有企业网络上，或者同时部署在这些位置。零信任安全

(2)身份识别与访问管理(IAM)身份识别与访问管理(IAM)具有单点登录、认证管理、基于策略的集中式授权以及审计、动态授权等功能。它决定了谁可以访问，如何进行访问，访问后可以执行哪些操作等。IAM涉及四个领域的内容：包括身份治理与管理IGA、访问管理AM、特权访问管理PAM及认证权鉴。1)身份治理与管理IGA用于跨企业不同应用和系统上提供统一的用户的数字身份认证及访问控制权限的管理，涉及到的关键能力包括数字身份的生命周期管理、权限管理、角色和组织架构管理、访问控制请求、交互流程的处理、日志审计和分析报告。2)访问管理AM，由访问控制引擎来实现业务的访问控制，包括统一集中认证、单点登录、会话管理和授权的策略的执行。3)特权访问管理PAM保障特权人员对关键资产设备的安全管理，国内一般叫堡垒机、4A。4)认证权鉴包含支持的认证凭证及支持的认证方式，如静态口令、Token、生物特征的验证方式。

零信任安全

(3)微隔离技术：微隔离是细粒度更小的网络隔离技术，能够应对传统环境、虚拟化环境、混合云环境、容器环境下对于东西向流量隔离的需求，重点用于阻止攻击者进入企业数据中心网络内部后的横向平移。

零信任安全

零信任安全体系架构

(1)根据中国信通院《数字化时代零信任安全蓝皮报告》^[4]，基于零信任基本原则，企业可建设或改造已有网络安全体系以实现零信任安全架构，利用零信任安全架构为IT系统提供持续的安全保障。架构如图所示，由零信任核心逻辑组件和内部或外部数据源组成。基于零信任安全理念的逻辑架构核心逻辑组件主要分为三部分:

策略引擎:该组件负责信任评估，通过收集和分析参与对象和行为等多源信息，对访问主体进行持续的信任评估。

控制引擎:该组件作为策略控制点，依赖策略引擎的信任评估结果，持续判定授权策略。

安全代理:该组件作为策略执行点，为授予权限的访问主体，建立其访问主体和被访问资源之间的安全通道。在实际架构中，该逻辑组件可能由两个不同的组件构成:客户端(如用户终端设备上的代理插件等)和资源侧网关(如Web网关、API网关等)，或单个代理组件。

零信任架构除了核心逻辑组件，还包括内部和外部信任源，与策略引擎协同，将收集并分析参与对象和其行为的安全信息，传递给策略引擎，为其进行信任评估提供依据。信任源主要包括:CDM(连续诊断和缓解系统)、行业合规系统、威胁情报源、数据访问策略、PKI(企业公共秘钥基础设施)、ID管理系统、网络和系统活动日志、安全事件管理系统等。

零信任安全

(2)NIST特别出版物SP800-207《零信任架构》中定义了如图所示的零信任体系架构。无论用户拥有何种级别的操作权限，使用何种终端进行操作，以及终端位于什么位置，一切针对企业资源的访问请求和请求者都被认为是不可信的。只有经过策略决策点的判定为可信的请求者和对应请求才被认为可信，并允许其访问所请求的企业资源。

策略执行点负责启用、监控和最终结束访问主体与企业资源之间的连接。在接收到访问请求后，策略执行点将请求转发至策略决策点。策略决策点中的策略引擎使用企业安全策略以及来自外部源的输入进行信任计算，根据信任计算结果最终决定是否授予特定访问主体对资源的访问权限。而策略管理器执行策略引擎的决定，进行主体与资源之间的通信路径的建立和/或切断。具体的方式是生成针对具体会话的身份验证令牌或凭证，以及发出与策略执行点相关的指令。如果会话被授权并且请求通过身份验证，策略管理器将配置策略执行点来允许会话启动。

策略引擎进行信任计算使用的外部源主要来自两部分：1)数据访问策略、公钥基础设施和身份管理系统组成的身份安全基础设施，该平台为访问控制提供所需的基础数据来源，保障零信任架构实现对人、设备和系统进行全面的、动态的、智能的访问控制；2)其他安全分析平台，如持续诊断和缓解系统、行业合规系统、威胁情报提供系统、活动日志以及安全信息和事件管理系统等，共同为零信任提供资产状态、规范性要求、运行环境安全风险、威胁情报等数据，并综合大量的日志信息为零信任提供实现持续动态评估的综合数据支撑。

零信任安全

零信任安全典型场景

零信任安全架构针对远程办公场景，不再采用持续强化边界思维，不区分内外网，针对核心业务和数据资产，梳理访问这些资产的各种访问路径和场景，在人员、设备和业务之间构建一张虚拟的基于身份的边界，针对各种场景构建一体化的零信任动态访问控制体系。

目前大数据中心访问中东西向流量大幅度增加，而传统的安全产品基本都是南北向业务模型基础上进行研发设计的，在大数据中心内部部署使用时，出现诸如部署困难、运算开销太大，策略管理不灵活的问题。零信任架构通过微隔离等技术，实现环境隔离、域间隔离、端到端隔离，根据环境变化自动调整策略。

企业可通过梳理云平台内部资源，建立微隔离机制，实现零信任安全架构。在通过分析内部人员的访问路径、外部人员访问通道、外部应用调用、外部数据服务平台对接通道等确定其暴露面以后，可部署相应访问代理，在可信访问控制台的控制下，基于微服务管理平台等建立动态的虚拟身份边界，并通过计算身份感知等安全信息分析平台数据，建立最小访问权限动态访问控制体系^[5]。

零信任安全标准

2014年，国际云安全联盟CSA的SDP工作组发布了《SDP Specifcation1.0》(SDP标准规范1.0)，描述了SDP协议架构、工作流、协议实现、SDP应用等内容。2019年，由中国云安全联盟(C--CSA)秘书处组织CSA大中华区SDP工作组专家进行了中文版本翻译。

2019年7月，腾讯联合CNCERT、中国移动设计院、奇虎科技、天融信等产学研机构，发起CCSA《零信任安全技术参考框架》行业标准立项，率先推进国内的零信任标准研制工作，该标准主要解决零信任网络安全技术的标准化、规范化等问题，帮助用户基于标准化的方式来评估其安全态势，重构网络与安全应用。

2019年9月，在瑞士日内瓦举办的ITU-T(国际电信联盟通信标准化组织)SG17安全研究组全体会议上，由腾讯、CNCERT、中国移动设计院主导的“服务访问过程持续保护参考框架”国际标准成功立项。

2019年9月，美国国家标准技术研究所(NIST)发布了《零信任架构》草案(《NIST.SP.800--207-draft-Zero Trust Architecture》)；2020年2月，NIST对《零信任架构》的草案进行了修订；8月11日，标准正式发布。该标准介绍了零信任的基本概念、体系架构的逻辑组件、部署场景、零信任与与现有联邦指南的可能交互等内容。

2020年，奇安信公司牵头在全国信息安全技术标准化委员(TC260)申请的《信息安全技术零信任参考体系架构》标准在WG4工作组立项，该标准主要致力于提出可信的零信任架构，从概念模型开始，确定零信任原则和技术框架，包括零信任架构的体系、组件和基本工作流程等内容^[2]。

参考资料：

[1]张梦娜. 基于零信任的云计算UCON访问控制模型研究[D].东华大学，2021.

[2] 腾讯安全：零信任实战白皮书(88页).pdf

[3] 研报计算机行业深度报告零信任网络安全理念的重塑-2020092327页.pdf

[4] 中国信通院：数字化时代零信任安全蓝皮报告(2021年)(60页).pdf

[5] 谷正川. 面向零信任的MQTT安全关键技术研究[D].战略支援部队信息工程大学，2020.