零信任从理论模型到实践落地
零信任安全从理论模型到实践落地
精细化实施，仅允许已 知流量或合法应用程序 连接
监视和维护
5
检查内外部所有日志
侧重零信任操作方面 检查记录所有流量 改进环境
案例：微软20年零信任之路-从无边界网络到零信任
2001
Anywhere Access/MSI 政府安全计 划源代码共 享基础设施
微软IT：2019年零信任新战略 – 目标与收益
迁移设备和用户到相应的网络隔断
• Grant bare minimum access and permissions
授予最低限度的访问权限
• All the applications and services apply Zero Trust principles
使所有应用和服务采用零信任原则
• Require applications and services to provide their health certificate
要求应用和服务提供各自的健康证书
CSA零信任成熟度模型-技术安全：身份、设备、网络、应用
微软IT：2019年零信任新战略 – 保护范围
以零信任理念落地云原生安全
2021.02 /99以零信任理念落地云原生安全记者：云原生安全和云安全有什么不同？其自身有哪些安全特性？伍海桑：安全机制一直是跟随IT 基础设施和业务的演进而演进，来更好地为其提供服务，随着企业数字化转型，数据和业务上云，云安全就应运而生。
云安全的范围很广，包括访问和使用云系统、云应用全环节数据和业务的安全。
云原生安全这个概念是业界约定俗成的习惯称呼。
云计算许多新的技术形态是天然在云上诞生来促进满足弹性、迁移、灵活等云计算需求，一般而言，随着这些全新云计算技术形态而产生的安全，常称为云原生安全。
区别于传统安全产品云化成的云安全产品，以及云运营商为配套云服务所提供的安全产品，云原生安全“应云而生”，是基于云原生而生的“新安全”产品和服务，和云天生具有较好亲和力，利用云的固有优势，为云环境和云原生业务提供内建的安全防护。
一方面可以兼容容器（docker）、无服（serverless）等新形态并解决好其所面临的安全问题；另一方面，其具备自动化配置、自适应、弹性扩展、“开箱即用”、随时保持业务持续性、覆盖数据和业务全生命周期等特性。
记者：云原生安全的发展会给安全带来什么改变？志翔在云原生安全方面，有什么布局和落地案例？伍海桑：企业上云的趋势将持续并加速推进，云原生安全将成为企业上云中必不可少的关键配置,并且随着企业上云规模的扩大，和云上数据、业务、应用重要性的不断提升，将扮演着越来越重要的角色。
万变不离其宗，安全最终都是围绕要保护的对象来逐层构建一个防护体系。
云时代数据和业务处在安全的核心保护位置，围绕其由内至外展开的数据安全、应用安全、计算安全、网络安全等就组成了云安全体系，再细化到每一个层级又包含了工作负载安全、主机安全等很多细分领域，在技术手段上又有身份认证、入侵检测、安全运营、隔离等多种方式。
云原生安全已经走出了概念的阶段，云原生安全框架下多种安全技术、产品早已落地应用。
例如志翔的至明®智能主机安全响应系统，就是为企业的云上数据和业务构建安全可信办公环境。
零信任安全趋势分析
网络安全之零信任安全趋势分析一、零信任将成为数字时代主流的网络安全架构1.1 零信任是面向数字时代的新型安全防护理念零信任是一种以资源保护为核心的网络安全范式。
零信任安全：1）网络无时无刻不处于危险的环境中；2）网络中自始至终都存在外部或内部威胁；3）网络位置不足以决定网络的可信程度；4）所有的设备、用户和网络流量都应当经过认证和授权；5）安全策略必须是动态的，并基于尽可能多的数据源计算而来。
因此零信任安全的核心思想是默认情况下企业内部和外部的所有人、事、物都是不可信的，需要基于认证和授权重构访问控制的信任基础。
零信任的雏形最早源于 2004年耶利哥论坛提出的去边界化的安全理念，2010年 Forrester正式提出了“零信任”（Zero Trust，ZT）的术语。
经过近十年的探索，零信任的理论及实践不断完善，逐渐从概念发展成为主流的网络安全技术架构。
数字时代下，旧式边界安全防护逐渐失效。
传统的安全防护是以边界为核心的，基于边界构建的网络安全解决方案相当于为企业构建了一条护城河，通过防护墙、VPN、UTM及入侵防御检测等安全产品的组合将安全攻击阻挡在边界之外。
这种建设方式一定程度上默认内网是安全的，而目前我国多数政企仍然是围绕边界来构建安全防护体系，对于内网安全常常是缺失的，在日益频繁的网络攻防对抗中也暴露出弊端。
而云大物移智等新兴技术的应用使得 IT基础架构发生根本性变化，可扩展的混合IT 环境已成为主流的系统运行环境，平台、业务、用户、终端呈现多样化趋势，传统的物理网络安全边界消失，并带来了更多的安全风险，旧式的边界安全防护效果有限。
面对日益复杂的网络安全态势，零信任构建的新型网络安全架构被认为是数字时代下提升信息化系统和网络整体安全性的有效方式，逐渐得到关注并应用，呈现出蓬勃发展的态势。
图 1：传统边界安全防护架构图 2：云计算等新兴技术带来传统安全边界消失1.2 “SIM”为零信任架构的三大关键技术零信任的本质是以身份为中心进行动态访问控制。
零信任能力成熟度模型解读
■伊元嘉2022年8月25日，以“开放、创新、融合、共赢”为主题的2022年算网融合产业发展峰会在京成功召开。
在“零信任产业发展论坛”上，北京邮电大学网络空间安全学院执行院长李小勇解读了零信任能力成熟度模型。
零信任总体发展背景如今，全球各国都在加速零信任网络安全战略布局，根据知名身份和访问管理厂商Okta的研究《2021零信任安全态势》显示，82%的欧洲企业增加了零信任安全预算。
2021年7月，工信部出台《网络安全产业高质量发展三年行动计划（2021-2023年）（征求意见稿）》，做出“加快开展零信任网络安全体系研发”和“推动零信任技术应用”的部署安排。
我国逐步推进零信任相关研究与试点实验项目落地。
在战略层面，零信任发展的政策布局逐步形成，零信任规模化部署实践不断加快。
在产业层面，在电信、金融、能源等行业中形成了一些零信任应用示范，不断优化网络安全产品升级。
在技术层面，将重塑现有网络安全架构和网络安全设施，深刻改变关键基础设施的部署与应用模式。
零信任重建安全管理和访问控制机制，引导安全体系架构从网络中心化走向数字身份化，其本质诉求是以身份为中心进行访问控制。
默认情况下不应该信任网络内部和外部的任何人、设备、系统，需要基于认证和授权重构访问控制的信任基础。
零信任秉承“永不信任，始终验证”的理念，网络安全架构以资源保护为核心，建设动态数字身份信任机制，可持续评估人、终端、业务、环境等风险，形成自适应全生命周期安全闭环管理模式。
零信任价值矩阵的核心要素包括：身份安全、网络安全、数据安全、应用安全、基础设施、安全管理。
零信任能力成熟度模型解析零信任安全要求涵盖实施、网络、管理、应用等多个方式，涉及包括能源、医疗、金融等多个重点行业关键信息基础设施的建设与运营，切实满足了数字化转型下的网络防御需求。
但零信任部署不是一蹴而就，需分步骤、分阶段、分场景规划方案和能力建设。
围绕零信任架构安全、产品安全、用户安全等多视角综合考虑，零信任能力成熟度纵向分为五大阶段成熟度等级。
介绍零信任安全理念
介绍零信任安全理念
零信任安全理念，也称为"Zero Trust"安全模型，是一种基于
网络安全的理论和实践框架。
其基本原则是：不相信任何内部或外部网络中的用户、设备和应用程序，而是要求对每个请求和活动进行验证和授权。
零信任安全理念认为，传统的网络安全模型（如边界防御）已经过时，无法有效应对不断演变的网络威胁和攻击。
相反，零信任安全模型提倡细粒度的访问控制和认证，无论用户是在内部网络还是在外部网络上工作。
在零信任安全模型中，所有用户、设备和应用程序都被视为潜在的不可信任的，需要透过多重身份验证（MFA）来验证其
身份。
任何访问请求都需要经过具有上下文感知策略和行为分析的访问控制系统进行验证和授权。
这意味着用户需要在每次访问资源时进行身份验证，即使用户已在网络中进行了身份验证。
此外，零信任安全模型还强调了实时的威胁检测和防御。
通过监控和分析用户行为、设备配置和网络流量等信息，可以及时发现和响应潜在的安全威胁。
这也意味着企业需要不断更新和改进其安全策略和技术，以适应新兴的网络威胁和攻击手段。
总的来说，零信任安全理念提供了一种全新的网络安全模型，强调了对用户访问和活动的实时验证和授权。
它不再依赖传统的边界防御，而是以用户为中心，保护企业的敏感数据和资源。
这种安全模型适应了现代云计算、移动设备和物联网等新技术
的崛起，为企业提供了更强大、更灵活和更安全的网络安全防护。
深信服基于零信任的精益信任解决方案
深信服基于零信任的精益信任解决⽅案随着⽹络、终端、云计算等基础设施的发展，以及移动办公软件的兴起，远程移动办公（后⽂简称移动办公）已被⼴泛应⽤。
据研究报告显⽰，国内移动办公软件的累计注册⼈数，在两年前就已经达到2.4亿，⽽本次疫情，也间接推动了移动办公在各⾏业的应⽤。
随着5G时代的到来，将进⼀步改善移动办公的短板，丰富移动办公的功能和价值。
⼀项新技术的应⽤和推⼴，在带来⾰新和便捷的同时，也常常会带来⽹络安全的新威胁和新挑战，移动办公也不例外。
在移动办公常态化的现在，有哪些新增的安全威胁和挑战呢？企业⼜应如何有效应对？边界⽡解，暴露⾯增加，移动办公安全的信任缺失深信服安全专家分析，移动办公的安全威胁和挑战主要有以下四点：1、⽹络边界⽡解带来的信任缺失传统的企业⽹络，有着清晰的内外⽹之分，⽽传统安全建设，正是基于清晰的边界划分进⾏防护⼯作的部署。
但是，在移动办公的⼤潮下，访问企业数字化资源的员⼯，不再是来⾃同⼀个园区、⼤楼，⽽是从世界各地的任⼀位置、任⼀⽹络进⾏访问接⼊。
因此，这种清晰的边界，以及依附着边界的信任关系逐渐⽡解。
这样的情形下，⽹络边界变得模糊，信任关系⽡解，基于传统边界的安全建设思路逐渐失效。
移动办公需要另⼀种⽅式，来重新定义新的安全基线，重构移动办公中的信任关系。
2、风险暴露⾯不断增加的挑战为了满⾜移动办公需求，企业需要将原本只对内⽹⽤户开放的业务系统，通过端⼝映射、业务发布、接⼝调⽤，甚⾄远程桌⾯等⽅式向公⽹提供访问。
⼀个个业务系统对应着⼀个个的访问接⼝，同时也意味着⼀个个⾯向不可信环境的通道。
因此，在⼤规模移动办公时代，需要有更安全、更易⽤的⼿段来满⾜移动办公的安全需求。
3、数据复杂使⽤场景带来的数据安全挑战移动办公中，⽤户通过移动终端、个⼈PC，甚⾄公⽤PC访问企业的重要数据和业务。
传统⽅式中，数据即使在传输过程加密，最终仍然会落到⽤户的终端上。
⽽⽤户后续如何利⽤这些数据、⽂件，或者通过各种途径将数据、⽂件外发共享，企业⽆从得知也⽆从控制。
网络安全零信任技术发展报告
前言随着全球数字化转型的逐渐深入，在“云大物移智工”等新技术发展支撑下，零信任从原型概念加速演进，成为新一代信息技术安全架构。
在过去的2019 年，国内零信任从概念走向落地，零信任安全架构以其兼容移动互联网、物联网、5G 等新兴应用场景，支持远程办公、多云环境、多分支机构、跨企业协同等复杂网络架构，受到各界青睐，从产品研制、解决方案到应用试点示范，到逐步探索完善适应不同场景的零信任应用实践。
进入2020 年以来，在“新基建”和疫情的双重刺激下，零信任作为一种可支撑未来发展的最佳业务安全防护方式，成为我国网络安全界的焦点。
本报告聚焦零信任发展，从技术、产业、应用和实践四个维度进行剖析：技术部分包含零信任安全架构定义和关键技术的最新研究成果；产业部分介绍了国内外产业发展、标准化等方面的最新进展；应用部分汇集远程办公、大数据中心、云计算、物联网和5G 应用等核心应用场景的零信任解决方案建议；实践部分聚焦零信任规划与部署，介绍零信任实施经验。
最后以零信任建议和展望总结全文，希望通过本书帮助更多的人理解和实践零信任，加快推进零信任创新发展，为以新基建为代表的数字化转型保驾护航。
一、零信任技术和产业发展现状 (1)（一）零信任核心原则 (2)（二）零信任安全架构及组件 (4)（三）零信任关键技术 (7)（四）国外产业发展及应用规划 (10)（五）国内零信任概念走向落地 (12)二、零信任应用场景 (14)（一）远程办公 (14)（二）大数据中心 (18)（三）云计算平台 (22)（四）物联网 (26)（五）5G 应用 (30)三、零信任实施建议 (34)（一）使用范围 (34)（二）实施规划 (38)（三）技术实现 (40)四、零信任思考和展望 (46)图1 零信任概念演进历程图 (2)图2 零信任架构总体框架图 (4)图3 基于零信任架构的远程办公安全参考架构 (18)图4 数据中心内部访问流程示意图 (21)图5 数据中心安全接入区案例示意图 (22)图6 基于零信任架构的云计算平台安全参考架构 (26)图7 基于设备指纹的物联边缘网关零信任方案示意图 (30)图8 零信任实施技术路线示意图 (41)表目录表1 零信任解决方案市场供应商分析 (11)表2 5G 架构下的主要对象 (31)表3 5G 架构下的风险来源 (31)表4 5G 架构下的攻击情况 (31)表5 5G 典型攻击行为案例 (32)一、零信任技术和产业发展现状近年来，中央地方高度重视新型基础设施建设（简称“新基建”），国家高层会议密集提及新基建，各省积极推动新基建项目集中开工。
基于“零信任”模型的安全网络构建
科技与创新┃Science and Technology &Innovation文章编号：2095-6835（2021）09-0072-02基于“零信任”模型的安全网络构建孙梅梅，朱彦斐，刘刚（山东电子职业技术学院，山东济南250200）近年来，互联网技术的飞速发展打破了常规的时空限制，其尝试把现实社会发生的一切变得数字化和数据化，伴随着人工智能的兴起，在大量黑客面前，任何细微漏洞都可以被捕获，导致安全风险被无限放大。
这使人们不得不对传统的网络安全架构进行升级和改造，由传统的模型转变为新的安全防护模型，即“零信任”模型。
1“零信任”模型是什么“零信任”即企业网络不自动信任任何内部或者外部节点，对任何试图进入企业网络的人、事、物都要进行验证，简言之，“零信任”的策略就是不相信任何人。
随着网络的安全性越来越受到关注，防火墙的引入是为了在互联网内部以及公共和私人网络之间建立边界，然后在企业内部添加额外的防火墙以进一步分割网络，“零信任”模型是将分段一直进行到网络边缘上的每个用户、设备、服务和应用程序。
用户、设备或应用程序创建的每个会话在允许通信之前必须经过身份验证、授权和账户认证，这也是“零信任”原则的体现，即“Trust no-one.Verify everything”。
“零信任”网络在网络边缘强制实施安全策略，并在源头遏制恶意流量。
在《零信任网络：在不可信网络中构建安全系统》一书中，零信任网络被描述为建立在以下5个断言上：①网络无时无刻不处于危险的环境中；②网络中始终存在着外部或内部的威胁；③网络位置不足以决定其可信程度；④所有的用户、设备和网络流量都应当经过认证和授权；⑤安全策略必须是动态，并给予尽可能多的数据源计算而来的。
以上断言很好地阐述了“零信任”的理念，也总结了“零信任”的几个原则：验证用户、验证设备、合理的访问规则与权限控制，以及配套的动态机制。
零信任网络架构如图1所示。
2传统的基于区域的安全模型“零信任”模型与传统的基于区域的安全模型是不同的。
零信任安全数字时代主流的安全架构
目录一、零信任将成为数字时代主流的网络安全架构 (5)1.1 零信任是面向数字时代的新型安全防护理念 (5)1.2 “SIM”为零信任架构的三大关键技术 (6)1.3 零信任安全应用场景丰富 (10)二、零信任已从概念走向落地，迎来强劲风口 (11)2.1 中美双双加码零信任安全 (11)2.2 零信任安全正在普及应用 (13)2.3 海外零信任产业已初具规模，国内即将步入建设高峰 (15)三、投资建议 (16)3.1 奇安信：网络信息安全龙头，专注于新型安全领域 (16)3.2 美亚柏科：国内电子数据取证行业龙头，大数据智能化、网络安全专家 (18)3.3深信服：领先的信息安全企业，从零信任到精益信任 (20)3.4启明星辰：老牌网络安全龙头，零信任管控平台为多种应用场景提供安全保障 (21)3.5安恒信息：网络安全后起之秀，新兴安全业务发展迅速 (22)3.6绿盟科技：领先的网络安全解决方案供应商，产品逐步向零信任安全架构迁移 (23)3.7南洋股份：国内防火墙龙头企业，持续推动零信任安全理念的落地实践 (24)3.8山石网科：边界安全领域领导厂商 (25)3.9格尔软件：国内PKI领先企业 (27)图表目录图1：零信任概念演进历程图 (5)图2：传统边界安全防护架构 (6)图3：云计算等新兴技术带来传统安全边界消失 (6)图4：零信任架构总体框架图 (7)图5：实现零信任架构的三大关键技术“SIM” (7)图6：SDP的组成架构 (8)图7：零信任身份与访问管理 (9)图8：基于零信任架构的远程办公安全参考架构 (10)图9：数据中心安全接入区案例示意图 (10)图10：基于零信任架构的云计算平台安全参考架构 (10)图11：零信任架构适应各类功能场景 (11)图12：基于零信任架构的远程办公安全参考架构 (12)图13：面对当前安全访问挑战所需的安全措施 (13)图14：采纳零信任安全模型的组织比例 (13)图15：受访者看重的零信任优点 (14)图16：零信任主要的应用领域 (14)图17：零信任迁移方法 (14)图18：零信任扩展的生态系统平台提供商（2019Q4） (16)图19：奇安信协同联动防护体系 (17)图20：奇安信零信任安全解决方案 (17)图21：奇安信零信任安全解决方案与参考架构的关系 (17)图22：奇安信零信任远程访问解决方案架构 (18)图23：美亚柏科“四大产品”及“四大服务” (18)图24：美亚柏科城市大脑逻辑架构 (19)图25：深信服主营业务 (20)图26：深信服精益信任解决方案架构 (21)图27：深信服精益信任动态访问控制 (21)图28：启明星辰全流程安全产品布局 (21)图29：启明星辰零信任体系架构 (22)图30：零信任管控平台典型应用场景 (22)图31：安恒信息产品体系全线概览图 (22)图32：安恒信息依托零信任体系确保云上业务的接入访问可信 (23)图33：绿盟科技安全产品线 (23)图34：绿盟科技安全运营架构 (23)图35：绿盟科技零信任安全解决方案 (24)图36：绿盟科技零信任网络访问控制 (24)图37：天融信以下一代防火墙为基础的安全防御体系 (25)图38：天融信工控主机卫士系统 (25)图39：山石网科主要产品及服务矩阵 (26)图40：山石云.格主要功能 (26)图41：格尔软件PKI系统架构 (27)表1：微隔离三大技术路线 (9)表2：美国各组织发布的零信任相关报告 (12)表3：我国零信任相关政策及标准 (13)表4：海外零信任解决方案市场供应商分析 (15)表5：重大会议上提及“新基建”情况 (19)表6：零信任与VPN在通用办公场景的对比 (24)表7：公司非公开发行预案募投项目一览 (27)一、零信任将成为数字时代主流的网络安全架构1.1 零信任是面向数字时代的新型安全防护理念零信任是一种以资源保护为核心的网络安全范式。
云安全联盟大中华区会员手册说明书
会员手册云安全联盟大中华区PART 01 /PART 02 /PART 03 /PART 04 /PART 05/2009CSA正式成立，发布了全球首个全面的云安全最佳实践《云计算关键领域安全指南》发布云安全领域黄金标准云控制矩阵CCM，推出云计算安全知识认证CCSK201020112013美国白宫在CSA峰会上宣布了美国联邦政府云计算战略推出全球权威云安全评估认证CSA STAR2015在中国推出C S A C-STAR认证发布云安全系统专家认证CCSSP201720192020推出CSA GDPR首席认证审计师课程，受欧盟国家认可发布零信任专家认证CZTP，推出针对企业的GDPR合规自检和第三方认证于2016年在中国香港注册成立，聚焦信息技术领域的基础标准和安全标准研究及产业最佳实践，牵引与推动中国与国际标准的接轨，打造国际技术与标准的联接器。
CSA 大中华区单位会员包括北京大学、复旦大学、华为、中兴、腾讯、浪潮、OPPO、深信服、360、奇安信、绿盟科技、启明星辰、安恒信息、天融信、中国工商银行、国家电网、数字认证、金山云、观安信息、UCloud等150多家知名高校和企业，个人会员1万多名，已成为构建中国数字安全生态的重要力量。
云安全联盟大中华区Cloud Security Alliance Greater China Region( CSA GCR )云安全联盟Cloud Security Alliance ( CSA )于2009年在美国注册成立，是数字安全领域中立权威的国际非营利组织，致力于国际云计算安全和下一代新兴信息技术安全的前沿研究和全面发展。
CSA在全球设立四大区，包括美洲区、欧非区、亚太区和大中华区，现有600多家单位会员，10万多名个人会员。
联盟顾问美国联邦原CIOTonyScott俄罗斯国家杜马安全和反腐败委员会第一副主席ErnestValeyev联合国副秘书长FabrizioHochschild联合国科学和技术发展委员会主席PeterMajor挪威工程院院士欧盟首席大数据科学家容淳铭院士加拿大皇家及工程院两院院士数据安全专家杨恩辉院士图灵奖获得者现代密码学之父WhitfieldDiffie零信任之父JohnKindervag中国友谊促进会理事长公安部原副部长陈智敏360集团董事长周鸿祎中国科学院院士中国数据安全专家郑建华院士中国科学院院士中国AI安全专家何积丰院士联盟主席 李雨航现任云安全联盟大中华区主席兼研究院院长，联合国工业发展组织安全专家，中科院云计算安全首席科学家/Fellow研究员，西安交大Fellow教授，原华为首席网络安全专家，微软全球首席安全架构师，IBM全球服务首席技术架构师。
浅谈零信任身份认证在企业的发展
浅谈零信任身份认证在企业的发展作者：李江鑫刘廷峰张晓韬来源：《科技资讯》2021年第13期摘要：身份认证是企业信息化、数字化发展中的重要基础能力，而大、云、物、移、智、链等技术的发展引发企业变革，同时对传统身份认证提出新的挑战。
对于企业而言，云端架构使得企业面临更大的风险，一旦储存的数据泄露或遭到攻击，将对企业造成难以估量的损失。
该文结合传统身份认证技术的发展与企业面临的形势，尝试提出基于零信任身份认证在企业应用落地的一种思路与方法。
关键词：身份认证零信任安全权限中图分类号：TP393.08 文献标识码：A文章编号：1672-3791（2021）05（a）-0028-04Abstract： Identity authentication is an important basic capability in the development of enterprise informatization and digitalization. The development of big data，cloud computing，internet of things，mobile internet，artificial intelligence， blockchain and other technologies has triggered enterprise reforms， and at the same time poses new challenges to traditional identity authentication. Especially for enterprises， more and more business applications begin to rely on the cloud to build， making the data resources stored on the cloud platform become increasingly large. Once the stored data is leaked or attacked， it will cause immeasurable losses to the enterprise. This paper combines the development of traditional identity authentication technology with the forms faced by enterprises， and tries to put forward an idea and method based on the application of zero-trust identity authentication in enterprises.Key Words： Identity authentication; Zero trust; Security; Authority随着大、云、物、移、智、链（大数据、云计算、物联网、移动互联网、人工智能、区块链）等技术的飞速发展，企业迎来了变革的新机遇，也面临着新的难题。
零信任架构在企业网络安全中的实践
零信任架构在企业网络安全中的实践在当今数字化的商业环境中，企业面临着日益复杂和严峻的网络安全威胁。
传统的基于边界的网络安全模型已经难以应对这些挑战，零信任架构作为一种新兴的网络安全理念和架构模式，正逐渐成为企业保障网络安全的重要手段。
零信任架构的核心思想是“默认不信任，始终验证”，即不再默认信任企业内部和外部的任何访问请求，而是在每次访问时都进行严格的身份验证和授权。
这种理念的转变是对传统网络安全模型的重大突破，传统模型往往基于网络位置来判断信任与否，而零信任架构则完全摒弃了这种基于网络位置的信任假设。
那么，零信任架构在企业网络安全中的实践是怎样的呢？首先，身份和访问管理是零信任架构的基础。
企业需要建立一个强大的身份管理系统，确保每个用户的身份都能被准确识别和验证。
这包括采用多因素身份验证（MFA），如密码、指纹、令牌等多种方式的组合，以增加身份验证的可靠性。
同时，对用户的访问权限进行细粒度的划分，根据其工作职责和业务需求，仅授予其所需的最小权限。
其次，持续的信任评估和动态授权是零信任架构的关键。
企业要实时监测用户的行为、设备的状态、网络环境等因素，根据这些因素动态调整用户的访问权限。
例如，如果检测到用户的设备存在安全漏洞，或者其行为异常，如在短时间内尝试多次登录不同的系统，就应立即降低其访问权限甚至暂时禁止其访问。
再者，微隔离技术在零信任架构中也发挥着重要作用。
它将企业的网络细分为多个微分段，每个微分段都可以独立进行安全策略的配置和管理。
这样，即使某个微分段受到攻击，也能有效防止威胁在整个网络中扩散。
通过微隔离技术，企业可以更精确地控制网络流量，确保只有合法的访问请求能够在不同的微分段之间流通。
另外，数据保护是零信任架构的重要组成部分。
企业需要对数据进行分类和分级，根据数据的重要性和敏感性采取不同的保护措施。
对于敏感数据，应采用加密技术进行保护，确保即使数据被窃取，也无法被轻易解读。
同时，对数据的访问和使用进行严格的审计和监控，及时发现和防范数据泄露的风险。
零信任安全
背景介绍
2014年，由云安全联盟CSA的SDP工作组提出的“软件定义边界“（SDP）技术架构标准，在全球成为一个被 广泛应用的零信任安全技术解决方案。SDP，全称Software Defined Perimeter，是通过软件定义的方式为企业 或者组织机构在互联上构建一个安全可信的虚拟边界。SDP打破了传统防火墙的物理边界局限，让企业服务器可 以在任何数据中心或者云上，办公设备也可以位于任何位置，顺应云大物移的时代趋势，成为企业上云、移动办 公、远程办公、物联安全、大数据安全的零信任安全最佳实践解决方案。
技术方案
零信任安全只是理念，企业实施零信任安全理念需要依靠技术方案才能将零信任真正落地。除了目前流行的 软件定义边界SDP技术方案外，在NIST《零信任架构标准》白皮书中列举了3个技术方案，可以归纳为“SIM”组 合：
1)SDP，软件定义边界;2)IAM，身份权限管理;3)MSG，微隔离。
零信任安全
零信任安全
计算机术语
01 背景介绍
03 技术方案
目录பைடு நூலகம்
02 安全理念 04 应用场景
零信任既不是技术也不是产品，而是一种安全理念。根据NIST《零信任架构标准》中的定义：
零信任（Zero Trust，ZT）提供了一系列概念和思想，在假定络环境已经被攻陷的前提下，当执行信息系统 和服务中的每次访问请求时，降低其决策准确度的不确定性。零信任架构（ZTA）则是一种企业络安全的规划， 它基于零信任理念，围绕其组件关系、工作流规划与访问策略构建而成。
2019年，在工信部发布的《关于促进络安全产业发展的指导意见(征求意见稿)》的意见中， “零信任安全” 被列入“着力突破络安全关键技术”之一。同年，中国信通院发布了《中国络安全产业白皮书》，报告中指出： “零信任已经从概念走向落地”。国家也首次将零信任安全技术和5G、云安全等并列列为我国络安全重点细分领 域技术。
商业银行零信任安全架构研究
INFORMATION云计算、大数据、移动互联网等新技术的发展，催生出移动办公、业务上云、外部生态对接等新场景，也带来商业银行IT技术架构的变革。
传统安全架构以边界为中心进行安全防护，为解决新场景提出的数据开放和共享问题，需开启更多的边界策略，导致管理复杂度增加，同时带来新的安全问题。
在这种背景下，不再仅依赖网络位置，而是通过持续度量身份来动态构筑安全边界的零信任安全架构理念脱颖而出。
为了更好地构建企业IT安全防护体系，有效支撑数字化生态银行战略目标，上海浦东发展银行（以下简称“浦发银行”）参考国际及国内零信任架构理论和实践，开展了零信任安全新架构课题研究，从理论模型、规划设计、实践验证的角度全面研究了零信任架构的可行性。
一、研究背景近年来，随着科技的不断创新与发展，企业业务、数据与外部的深入交互使网络边界逐渐模糊，仅依赖网络层策略难以解决数据泄露等安全风险。
外部攻击和内部威胁是造成企业数据泄露的两大主因。
外部攻击的一般途径是通过社会工程学对目标人员实施攻击并获得初始控制权，然后通过在目标网络横向平移或PowerShell 后门的方式完成攻击；内部威胁往往是因为企业员工或运维人员拥有特定业务和数据的合法访问权限，一旦出现凭证丢失、权限滥用或非授权访问等问题，会导致企业数据的泄漏。
仅通过开启防火墙、入侵防御系统等方式无法解决内部威胁问题。
传统的网络安全架构围绕网络边界布防，假设或默认了内网比外网更安全，在某种程度上预设了对内网中的人、设备和系统的信任。
攻击者一旦突破网络安全边界进入内网，默认信任极有可能成为攻击者手中的有力武器。
零信任的本质是在访问主体和客体之间构建以身份为基石的动态可信访问控制体系，围绕着以身份为基石、业务安全访问、持续信任评估和动态访问控制四大关键能力，对默认不可信的访问主体的所有访问请求进行加密、认证和强制授权，基于各种数据源进行持续信任评估，最终在访问主体和访问客体之间建立一种动态信任关系，并根据信任的程度授予访问权限。
面向零信任环境的新一代电力数据安全防护技术
面向零信任环境的新一代电力数据安全防护技术摘要：能源网络的建立促进了海量终端的有效衔接，为能量流和信息流之间的有效互动提供了有力保障。
但是，由于信息交换时效性的增加，电力信息网络的界限将日趋模糊不清。
由于信息系统规模的急剧增长，数据交换显得越来越频繁，信息系统的工作环境显得越来越复杂，对运营数据交互的安全性提出了更高的要求。
本文首先对能源信息网络的安全风险进行了详细分析，然后系统阐述了量子密钥分发的能源数据保护和能源终端的数据保护进行了综合分析。
关键词：零信任环境；电力数据安全；区块链；防护技术引言：为了应对多环节的安全防护需求，电力行业正在致力于研究在零信任环境中保护信息网络的技术。
在安全访问方面，从传统的基于物理位置的安全访问模型正逐渐转化为面向认证者的安全验证机制。
在信息传输加密过程中，采用数学计算的密钥协商模式逐渐被采用物理特性的密钥安全分配模式所替代。
在信息安全方面,通过区块链技术以去中心化的方法进行不可伪造和交互式数据，并结合密码学以保持高度信息安全。
目前国内密码学、量子安全技术、区块链等新型的信息安全通讯技术，正逐渐趋于实用化。
1.电力信息网络安全风险分析电力公司的管理指令和管理信息是通过专网传输的，但是渗透和防护技术的快速变化使得网络上形成了“物理隔离”的防线，操作指令可以被恶意修改或个人数据可能会被拦截和窃取，并且越来越容易受到威胁。
另一方面，“互联网+”模式的快速发展，形成了“云、大、物、移、智”技术融合的新型产业体系。
数据已成为使公司能够提供准确营销和服务的重要资源。
这一点非常重要，直接影响到企业的核心竞争力。
一旦第三方收集能源企业的劳动数据，将对国计民生、公共利益乃至国家安全造成严重危害。
保护信息交互免受第三方攻击的问题越来越受到关注。
能源公司使用信息技术来精确指导和控制业务运营，并依靠内部和外部网络来实现系统之间的信息交换。
如图1所示，能源信息网络按照网络类型可以分为外部网络、边界网络和内部网络[1]。
VPN将死 零信任已来
■ 云南 张锐
VPN自
来为远程
提供了连
网络的安全通道。
但随着企
到更灵活、
的零信任
架，VPN面临被替代的可能。
许多人认为，
适合当今的数字业务世界。
VPN是
也有部分安全厂商开始对零信任开展研究实践。
入了大量人力和物力用于建立和加强传统网络安全体系的企业，
安全模型能否做到将所有人（无论是企业高管还是普通员工，或是第三方供应商）都视为同等信任？这是个不小的挑
如何开展零信任安全模型
第一个也是最重要的建议是从小处开始，逐渐积累
改造之后，
工拿起笔记本电脑时，
备需要得到管理员的明确授权。
为了访问网络，
要连接到中心网关，
网关部署了适当的身份和访问管理策略。
如今零信任已经不再是一个概念，
在得到了落地应用。
而这一过程——在企业级解决方案问世之前，
年的时间。
供应商正围绕两个方向进行整合。
零信任应用_SDP技术应用场景与方案落地
平台，以及通过使用它们创建的应用程序；④保持良好的访问控制，知道谁在访问平台以及他们被允许执行哪些活动。
⑤实施安全数据实践，以了解关键数据所在的位置，使用低代码和无代码平台创建的应用程序是否包含敏感数据。
⑥了解托管低代码/无代码平台的位置。
这些平台是否托管在AWS、Google或Microsoft Azure等超大规模全球云服务提供商的云平台中?或者它们是否托管在内部部署数据中心中，仅限于没有物理和逻辑访问控制?考虑企业的安全文化也很重要。
虽然平台用户可能不是行业的开发人员或安全专家，但他们应该了解正在使用和创建的低代码和无代码平台和应用程序的安全影响。
正如更多的权力伴随着更大的责任，这句话也适用于低代码和无代码平台。
■吕蕴藉基于软件定义边界（Software Defined Perimeter，SDP）是在网络边界模糊和消失趋势下给业务资源提供的隐身衣，使网络黑客看不到目标而无法发动攻击。
随着移动业务快速扩展，物联网、车联网、智慧城市的持续发展，资产防护的安全边界越来越不清晰，传统的边界防护架构越来越显得力不从心。
边界安全主要存在的问题有如下几点：黑客可以轻松劫持边界内的设备并从内部攻击企业随着自带设备（BYOD）、外包人员、合作伙伴的增多，以及边界内部设备不确定因素的增加，导致安全漏洞不断增多。
企业的业务资源除了部署在传统数据中心，也在不断向外部云资源扩展，如PaaS，IaaS，SaaS。
因此，边界安全网络设备在拓扑上并不能很好地保护企业应用基础设施。
边界内部设备不断增长，移动终端、远程办公、企业业务在内网和公有云同时部署，这样的趋势已经破坏了企业使用的传统安全模型。
因此需要一种新方法，能够对边界不清晰的网络业务场景进行更好的安全保护。
SDP的防护架构，以软件定义边界，将网络空间的网络元素身份化，通过身份定义访问边界，是零信任落地实现的一种重要方式。
SDP旨在使应用程序所有者能够在需要时部署边界，以便将业务和服务与不安全的网络隔离开来。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
监视和维护
5
检查内外部所有日志 侧重零信任操作方面 检查记录所有流量 改进环境
零信任之路-从无边界网络到零信任
2001
Anywhere Access/MSI 政府安全计 划源代码共 享基础设施
零信任新战略– 目标与收益
“Strong identity + device health + least privilege user access verified with telemetry” “身份强认证+设备健康度+最小权限用户访问，由安全大脑验证”
Ⅲ 安全解决方案
Ⅳ 知识转移
(6) 技术路标 (7) RFP服务 (8) 方案实施管理服务
(9) 安全技术培训 (10) 安全意识培训 (11) 中高级管理者安全培训
企业零信任实践之路的步骤（职能安全）
界定保护范围
1
确认保护面：关键数 据/应用程序/资产/ 服务（DAAS） 把控件移近保护面并 附上限制性的/精确 的/可理解的策略声 明
• 构筑基于内网位置的信任体系，认为 网络内部的人员与设备是可 信的
• 从不信任，始终验证 • 基于身份 -- 人、设备、应用等 • 看不见、拿不走、可追 溯、 能 销毁 • 云管端、动静用、前中后 • 防范和保护：隐身与防弹并重 • 智能化和自适应
零信任架构：1个标准（ZTA），3大技术（SIM）
B52常规轰炸机
安全从防弹衣走向隐身衣 漏洞仍存在，但很难发现 事件仍发生，但几率变小
B2隐身轰炸机
零信任战略核心 -- 以身份为边界（Identity based）
传统架构
①先连接 ② 后认证 以网络为边界
零信任架构
① 先认证
② 后连接 以身份为边界
• 通过防火墙， VPN 、IDS/IPS等设备 建立企业的网络边界
✓ Assets are moved from the internal network to the internet… except for the most critical assets 从内网 迁移到互联网的数字资产
NIST SP 800-207 Zero Trust Architecture （NIST 零信任架构草案第二版）
• 最小授权：缺省是无权 • 三个层面：数据、控制、管理 • 被保护资源：网络/数据/应用/系统/存储等 • 身份认证：支持人、设备等动态实时管理 • 防范和保护：防弹衣、双向防护 • 通信加密
将保护目标聚焦到负载与数据，通过策略与控制排除 不需要访问资源的用户/设备/应用，恶意行为被限制， 大大降低安全事件数量，企业有更多时间与资源来迅 速恢复少数的安全事件，降低业务成本
业务敏捷
摈弃了静态边界防御的慢速与不方便的检查，安全不 再是业务的绊脚石，使业务能更快上线，用户的安全 体验更好，增加了业务的速度与敏捷性
创建微边界或分隔微 边界
记录业务流转
2
流转传输方式决定保 护方式
通过获得有关DAAS 相互依赖关系的上下 文信息，记录特定资 源的交互方式有助于 加强控制并提供有价 值的上下文信息，确 保最佳安全环境
降低对用户和业务运 营的干扰
构建 零信 任环境
3
以保护面为中心自定义
并构建网络
根据业务需求记录流程， 从下一代防火墙开始制 定零信任架构
防范动态威胁
• Expect and prepare for the worst 做好最坏打算
1个含义 零信任不是零访问，而是更安全访问被防护的资源
企业零信任之旅的六大收获
降低风险
强化资产的发现，任何应用与服务都会被识别并给予 身份，对敏感信息的攻击途径会被分析，数据流图使 网络的透明度增加
降低成本
安全合规
使安全审计师更容易看清网络，便于审计工作并减少 违规发现，其架构本身已经具有多项安全控制措施满 足合规条款，包括国际与行业安全标准及中国的等级 保护2.0等
有效控制
在公有云，混合云，多云环境下把网络通信限制在有 身份被验证的负载中，防止包括云服务商管理员在内 的各方向攻击
改善管理
对于数字化转型依赖软件与应用的组织机构，零信任 能很好地支持DevOps，使应用部署适配业务优先级 减低各组织部门之间的摩擦
道路目标 -- 记住你的北斗七星“1个理念，5项原则，1个含义”
1个理念 永不信任 始终验证
5项原则
A B C DE
• Assume nothing
不做任何假定
• Believe nobody
不信任何人员
• Check everything all the time
随时检查一切
• Defeat Dynamic threats/risks
零信任 | 从理论模型到实践落地
Zero Trust: From Theoretical Model to Practical Landing
道路起点：零信任落地是企业一把手工程，不是购买产品服务
安 全 理念
安 全 战略
安 全 架构
零信任在全球被全面拥抱；甲方、乙方、中立机构一起大规模落地实施；中国工信部确定零信任为安全关键技术
SDP
ZT-IAM
MSG
CSA零信任成熟度模型框架 ZT-CMM Framework
远程 办公
产业 互联网
工业 场 景层
供应链
外部 协作
其它
身份
设备
网络
应用
技 术 安 全层
基础设施
数据
界定保护面
绘制交互流程
构建零信任环境 职 能 安 全层
创建零信任策略
监控及维护
CSA零信任战略咨询服务框架 ZT-SCS Framework
下一代防火墙充当分段 网关，在保护面周围创 建一个微边界。对任何 尝试访问保护表面内的 对象使用分段网关，强 制执行附加的检查和访 问控制层，一直到第七 层。
创建 零信任安 全策略
4
创建策略确定访问流程
提前了解访问用户对象 /访问的应用程序/访问 原因/连接方式等，确 认合适控件保护该访问
精细化实施，仅允许已 知流量或合法应用程序 连接
CSA授权第三方机构提供服务，框架立足客户实际业务保障需求，对安全知识进行重构与梳理， 拥有系统性、战略级安全知识架构，提供综合性零信任战略咨询服务产品包，四大服务包，十一 类安全交付件。
Ⅰ 安全评估
(1) 业务场景诊断 (2) 技术安全诊断 (3) 职能安全诊断
Ⅱ安全战略规划
(4) 安全SP / BP (5) 安全效能提升