企业需要关注的零信任 24 问

一、零信任初探

Q1：大家都在讨论零信任，零信任到底是什么？

A：本质上，零信任既不是技术也不是产品，而是一种安全理念，“持续验证，永不信任”是其基本观点。零信任假定网络边界内外的任何访问主体（人/设备/应用），在未经过验证前都不予信任，需要基于持续的验证和授权建立动态访问信任，其本质是以身份为中心进行访问控制。零信任架构则是一种企业网络安全的规划，它基于零信任理念，围绕其组件关系、工作流规划与访问策略构建而成。

Q2：与传统的边界安全理念相比，零信任理念有什么优势？

A：零信任提供了增强安全机制，在新的架构模型下，可以区分恶意和非恶意的请求，明确人、终端、资源三者关系是否可信。相比于传统边界安全理念，有以下优势：安全可信度更高，信任链条环环相扣，如果状态发生改变，会更容易被发现；动态防护能力更强；支持全链路加密，分析能力增强、访问集中管控、资产管理方便等。

Q3：零信任会淘汰 VPN 吗？

A：实际上两者不是一个维度的概念，不过我们通常拿来作比较。现阶段零信任将和传统 VPN 并存，主要受限于机构进行零信任改造、升级的速度。从长远来看，零信任解决方案将会替代传统 VPN 的全部功能和适用场景，而部分传统 VPN 产品可能会根据零信任理念扩展升级成为零信任的核心组件，Gartner 预测到 2023 年将有 60%的 VPN 被零信任取代。

二、零信任技术解析

Q4：作为一种前沿的安全理念，零信任是通过什么技术实现的？

A：业内普遍认为软件定义边界（SDP）、身份识别与访问管理（IAM）、微隔离（MSG）是实现零信任的三大关键路径，围绕零信任的相关产品及解决方案也都基于此展开。Gartner 将 SDP 描述为软件定义的围绕某个应用或某一组应用创建的基于身份和上下文的逻辑访问边界，具备服务隐身、控制层与数据层分离、灵活可扩展架构的安全系统。IAM 将企业所有数字实体进行有效管理并通过唯一资源标识进行身份化处理，同时兼容现有的各类身份认证协议，能够灵活支持多因子认证和人机挑战的编排，并能够实现和传统 AD 域控打通或者替换，最终实现以身份为中心进行该身份的全生命周期的动态信任管理，并根据信任评估结果，判断当前身份是否可以访问数据资产。MSG 则是将数据中心的资源或服务按不同的工作负载角色在逻辑上细分为不同的安全段，并配合 SDP 为这些安全段定义相应的安全访问控制策略。

Q5：作为零信任的一种实现方式，SDP 具备哪些优势？

A：SDP 是在企业上云、远程办公、移动办公的大环境下设计出来的，是零信任安全理念具体落地的核心控制组件，具有以下五点优势：

• 最小化攻击面降低安全风险；

• 分离访问控制和数据信道,保护关键资产和基础架构，阻止潜在的基于网络的攻击；

• 提供了现有的安全设备难以实现的集成安全体系结构；

• 提供了基于连接的安全架构，而不是基于 IP 的替代方案；

• 允许预先审查控制所有连接,从哪些设备、哪些服务、哪些设施可以进行连接，安全性方面是比传统的架构更有优势。

Q6： 企业 IAM 在零信任架构中起到什么作用？

A：零信任的本质就是持续的身份鉴别与访问控制，企业 IAM 在整个零信任架构中，不仅要为各类用户、设备、应用、数据提供统一的、权威的身份鉴别服务；还需要具备整合企业或外部各种认证技术的能力，实现企业级的统一访问控制。因此，我们可以看出，IAM 是零信任架构中的一个重要组成部分，通过实施 IAM 项目，企业可以将原本分散的用户体系、认证体系整合起来，同时进一步加强用户在应用层面的最小化权限控制力度，为逐步实现零信任架构下的多层访问控制提供坚实的身份治理服务能力。

Q7： 零信任架构中的 IAM 与传统 IAM 相比，有哪些技术差异？

A：在 Gartner 关于构建敏捷和现代化身份基础设施的技术报告中对现代化 IAM 的定义：是一个全新的、动态的、智能的架构，通过不断增强的、先进的分析技术，演进以满足企业未来身份管理的基础设施。和传统的 IAM 相比，除了对用户身份的统一管理、认证和授权之外，现代化 IAM 还需要实现基于大数据和 AI 技术的风险动态感知与智能分析，对于用户访问的行为数据、用户的特征和权限数据，以及环境上下文数据进行分析，通过风险模型自动生成认证和授权策略。

Q8：实现零信任架构的关键能力是什么？

A：关键能力包括可信识别、持续信任评估、业务访问鉴权、网络访问权限控制和安全可视化能力。可信识别能力是零信任的基础能力，包括用户可信识别、受控设备可信识别和受控应用可信识别。通过可信的用户在可信的受控设备上使用可信的应用，对受保护资源进行可信的访问。在此能力基础上，依托持续信任评估能力，对访问主体的整个访问过程进行监控分析，对用户、受控设备和应用的可信度进行持续的信任评估，根据评估结果通过应用访问控制能力和网络访问控制能力进行动态的权限控制，并通过安全可视化能力将访问流量、路径和效果等直观呈现，为企业安全运营提供有力的决策支撑。

Q9：在零信任架构下，如何做到安全可视化的？

A：通过可视化技术将访问路径、访问流量、用户异常访问行为直观展示，也可以将在线设备状态、统计情况、策略执行情况、执行路径等可视化呈现，帮助安全运营人员更为直观、更为全面的了解访问主体的安全状态和行为，从而更快速、更精准的找到风险点，触发安全响应，支撑安全决策。

Q10：如果我的企业想要构建零信任体系，应该如何接入？

A：企业具体落地的时候，首先要围绕关键访问路径，做接入安全建设，做身份安全、细粒度的访问控制、安全链路。然后再根据企业的需求，围绕联动关键接入过程，做终端安全、网络安全、数据安全等，根据企业实际需求，投入不同关键的安全组件，极大降低企业的安全风险。

Q11：构建零信任架构需要遵循什么原则？

A：没有规矩，不成方圆。一般来说构建零信任有 6 个原则需要遵循：

• 任何访问主体（人/设备/应用等），在访问被允许之前，都必须要经过身份认证和授权，避免过度的信任；

• 访问主体对资源的访问权限是动态的，不是静止不变的；

• 分配访问权限时应遵循最小权限原则；

• 尽可能减少资源非必要的网络暴露，以减少攻击面；

• 尽可能确保所有的访问主体、资源、通信链路处于最安全状态；

• 尽可能多的和及时的获取可能影响授权的所有信息，并根据这些信息进行持续的信任评估和安全响应。

Q12：构建零信任架构，有哪些核心组件是必备的？

A：零信任作为新一代安全架构，必备的关键组件包括终端代理、身份认证、动态信任评估引擎、访问控制、安全访问网关等。

三、零信任部署应用

Q13：当前零信任具体应用场景有哪些？

A：零信任理念主要是以动态访问控制为核心的企业内部安全框架，可以非常灵活的应对多种安全场景，包括远程办公/运维场景、混合云业务场景、分支安全接入场景、应用数据安全调用场景、统一身份与业务集中管控场景等。

Q14：业务上云趋势下，零信任如何解决混合云业务场景下的安全问题？

A：在零信任安全架构下，通过零信任访问网关的隧道联通技术，将分散在不同环境的业务系统统一管理，同时，利用网关将业务系统的真实 IP、端口隐藏，保障了业务部署于任何环境下的访问安全性，有效防御数据泄露、数据丢失、DDoS 攻击、APT 攻击等安全威胁。同时，访问策略从以 IP 为中心转变为以身份为中心，访问鉴权不随策略的频繁变更而变更。同时，跨过混合云网络间的边界隔离，可以让用户灵活便捷且更为安全的访问处于不同云上的业务系统。

Q15：零信任安全架构如何确保分支安全接入场景的安全性和稳定性？

A：零信任具有灵活快速适配客户访问端和业务端多样性的特点，同时保障访问链路稳定性和安全性，可以解决很多问题，像企业分支/门店有接入总部、访问总部业务或者跟总部业务之间有数据交换面临的接入点种类数量多，攻击面广；业务类型多，访问协议多样；专线部署成本高，VPN 安全性和稳定性不能保证等等。

Q16：在远程/云办公这一新型高效办公场景下，零信任如何解决新安全风险的？

A：零信任远程办公安全高效在于遵循 “4T 原则”，即可信身份（Trusted identity）、可信设备（Trusted device）、可信应用（Trusted application）和可信链路（Trusted link），通过按需、动态的实时访问控制策略，对终端访问过程进行持续的权限控制和安全保护，包括病毒查杀、合规检测、安全加固、数据保护等，实现终端在任意网络环境中安全、稳定、高效的访问企业资源及数据。同时，终端一键授权登录和全球网路加速接入等功能的设置，帮助企业解决快捷登录和跨境跨运营商访问卡顿或延迟过高的问题，优化办公体验、提升建设收益。

Q17：在统一身份与业务集中管控场景中，零信任如何是实现安全性和便利性的统一？

A：基于零信任安全的统一身份管控解决方案，通过统一认证、统一身份管理、集中权限管理、集中业务管控、全面审计能力，帮助企业实现安全性与便利性的统一，从而确保企业业务的安全访问。方案将身份的外延扩展到包含人、设备、应用，在基于角色授权框架的基础上，结合上下文感知信息（身份安全变化、设备安全状态变化等），实现自适应的访问控制。同时，方案结合风控领域的积累，实现对于整体人、设备、访问风险的集中审计和智能评估，让安全可识可视。

Q18：在访问过程中，零信任是如何实现权限控制的？

A：零信任架构打破了传统基于网络区域位置的特权访问保护方式，重在持续识别企业用户中在网络访问过程中受到的安全威胁，保持访问行为的合理性，以不信任网络内外部任何人/设备/系统，基于访问关键对象的组合策略进行访问控制。针对不同的人员、应用清单、可访问的业务系统、网络环境等组合关系，细粒度下发不同的访问策略，保证核心资产对未经认证的访问主体不可见，只有访问权限和访问信任等级符合要求的访问主体才被允许对业务资产进行访问。通过对访问主体的逐层访问控制，不仅满足动态授权最小化原则，同时可以抵御攻击链各阶段攻击威胁。当企业发现安全风险，影响到访问过程涉及到的关键对象时，自身安全检测可以发起针对人、设备、访问权限的禁止阻断。

Q19：部署零信任架构的关键点是什么？

A：要从“身份”、“认证”、“权限”、“动态”、“访问控制”这几个方面去说。第一步，要实现数据的身份管理，借助敏感数据发现能力和数据分级分类的能力对数据进行标识，做到数据身份化；第二步，按照最小权限原则，构建身份和数据权限的映射关系；第三步，借助认证和权限的能力，采用数据授权与鉴权、数据操作审计、运维和测试数据脱敏、高敏感数据加密、数据水印等技术，防止在数据使用过程中出现数据泄露和篡改，通过基于数据标签、用户属性、数据属性等的访问控制，实现数据细粒度访问控制；第四步，根据主体的环境属性及安全状态动态调整访问权限。

Q20：未来零信任会成为企业安全防护的标准配置吗？

A：在企业的 IT 架构和管控方面，零信任和身份认证的重要性是越来越强。零信任的框架是在授权前对任何试图接入企业系统的人/事/物进行验证。云计算、移动互联的快速发展导致传统内外网边界模糊，企业无法基于传统的物理边界构筑安全基础设施，只能诉诸于更灵活的技术手段来对动态变化的人、终端、系统建立新的逻辑边界，通过对人、终端和系统都进行识别、访问控制、跟踪实现全面的身份化，以身份为中心的零信任安全成为了网络安全发展的必然趋势。

Q21：随着零信任的发展，零信任交付的趋势会是怎样的？

A：起步较早的外国市场，零信任商业化落地较为成熟，SECaaS（安全即服务）已成主流交付。国内已经有很多企业将零信任理念付诸实践，大多零信任产品交付模式上仍以解决方案为主，未来，我国零信任交付模式也有望逐渐向 SECaaS 转变。

四、腾讯零信任探索和实践

Q22：腾讯目前有哪些基于零信任的产品/方案？

A：腾讯从 16 年开始探索研究零信任，目前推出了零信任安全管理系统（腾讯 iOA），基于身份可信、设备可信、应用可信、链路可信的“4T”可信原则，持续验证，永不信任，对终端访问过程进行持续的权限控制和安全保护，降低企业不同业务场景的风险，实现终端在任意网络环境中安全、稳定、高效地访问企业资源及数据，已在政府、金融、医疗、交通等多个行业领域应用落地。同时，腾讯在零信任架构下，推出基于 SDP 安全架构的安全连接云服务，支持连接公有云应用及私有化应用，提供新一代的安全接入云服务。

Q23：腾讯 iOA 目前的进展和应用怎么样？

A：实践出真知，腾讯 iOA 已经过 7 万多员工的实践验证。在 2020 年新冠疫情期间，更是支撑了全网员工的工作，在满足信息互通、收发邮件、远程会议、流程审批、项目管理等基本办公需求基础上，同时实现远程无差别地访问 OA 站点和内部系统、开发运维、登录跳板机等。除了腾讯自身，iOA 还在慧择保险、中交建设集团、招商局集团、宝安区政府、四川人民医院等客户成功应用。

Q24：在完善零信任行业标准方面，腾讯做了哪些工作，取得了什么成果？

A：腾讯在安全运营中践行零信任安全理念，积极推动并参与行业标准制定，促进零信任产业规范化发展。

• 2019 年 7 月，腾讯牵头的“零信任安全技术参考框架”获 CCSA 行业标准立项；

• 2019 年 9 月，腾讯零信任安全研究成果入选《2019 年中国网络安全产业白皮书》；同月，腾讯发起的“服务访问过程持续保护参考框架” 获 ITU-T 国际标准立项；

• 2020 年 6 月，腾讯联合业界多家权威产学研用机构，在产业互联网发展联盟下成立国内首个零信任产业标准工作组，以“标准化”为纽带，致力为用户提供高质量的产品和服务；

• 2020 年 8 月，工作组在业界率先发布《零信任实战白皮书》；

• 2020 年 10 月，工作组发起零信任产品兼容性互认证计划，促进不同厂商间零信任相关产品的兼容性和互联互通；

• 2020 年 11 月，工作组推动“零信任系统技术规范”联盟标准研制工作；……

未来腾讯将继续以自身的技术和实践经验为基础，协同生态伙伴共同促进零信任产业规模化发展，为零信任在各行业领域的落地提供参考。

头图：Unsplash

作者：腾讯安全

原文：https://mp.weixin.qq.com/s/4kQ_YrH8SHtwtaywjaPtQQ

原文：企业需要关注的零信任 24 问

来源：云加社区 - 微信公众号 [ID：QcloudCommunity]

转载：著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。