2020年6月5日，零信任十周年峰會(huì)圓滿召開(kāi)，大會(huì)由云安全聯(lián)盟大中華區(qū)主辦，聯(lián)合國(guó)UN2020指導(dǎo)，聯(lián)軟科技等眾多網(wǎng)絡(luò)安全領(lǐng)域代表廠商共同承辦。

會(huì)議伊始，零信任之父John Kindervag為大會(huì)致賀詞，云安全聯(lián)盟大中華區(qū)主席兼研究院院長(zhǎng)李雨航在開(kāi)幕致辭中指出零信任在全球已經(jīng)成為網(wǎng)絡(luò)安全關(guān)鍵技術(shù)大趨勢(shì)，會(huì)上邀請(qǐng)了10多位零信任方面的專家、實(shí)踐者共同探討零信任十年的發(fā)展歷程與實(shí)踐。參會(huì)人數(shù)達(dá)10000+，受到多方關(guān)注，聯(lián)軟科技副總裁黃國(guó)忠分享了聯(lián)軟對(duì)于零信任的思考：

1993年，《紐約客》刊登了一則由自彼得·施泰納（Peter Steiner）創(chuàng)作的漫畫(huà)，“On the Internet, nobody knows you're a dog”，網(wǎng)絡(luò)的隱秘性和匿名性可見(jiàn)一斑，同時(shí)，作者也想強(qiáng)調(diào)網(wǎng)絡(luò)就是虛擬世界，和現(xiàn)實(shí)不一樣。

如今，我們的現(xiàn)實(shí)生活高度依賴網(wǎng)絡(luò)空間，據(jù)IDC預(yù)測(cè)，2020年，全球GDP的60%將是數(shù)字經(jīng)濟(jì)，不管是在線交易還是關(guān)鍵信息設(shè)施的訪問(wèn)還是無(wú)人駕駛，人們無(wú)時(shí)無(wú)刻不享受著信息化時(shí)代的便利，但是在網(wǎng)絡(luò)空間和物理空間深度融合、網(wǎng)絡(luò)威脅復(fù)雜的今天，如果做不到以下2點(diǎn)，后果將十分嚴(yán)重，甚至是災(zāi)難性：

1、正確的人或“物”：出于正確的原因，能夠在正確的時(shí)間、正確的地點(diǎn)從正確的設(shè)備中獲取到正確的資源（應(yīng)用、數(shù)據(jù)等）。

2、隨時(shí)識(shí)別異常行為和安全狀態(tài)、動(dòng)態(tài)調(diào)整訪問(wèn)策略。

為什么需要零信任？

早期的網(wǎng)絡(luò)是局限在一個(gè)物理范圍內(nèi)，用戶、服務(wù)器都在企業(yè)內(nèi)部，這些資源通過(guò)防火墻和互聯(lián)網(wǎng)連接，人們堅(jiān)信內(nèi)網(wǎng)是可信的，外網(wǎng)是不信任的。隨著云大物移的發(fā)展，用戶需要隨時(shí)隨地訪問(wèn)企業(yè)的數(shù)據(jù)，企業(yè)服務(wù)器很多不在自己的數(shù)據(jù)中心，而是部署在云端，聯(lián)網(wǎng)設(shè)備的海量化使得暴露面也在極度擴(kuò)大中。

數(shù)字經(jīng)濟(jì)、數(shù)字資產(chǎn)的價(jià)值越來(lái)越大，也吸引了更多的利益集團(tuán)和攻擊者，攻擊手段有傳統(tǒng)的設(shè)備接入、DDoS、暴力破解，夾雜著魚(yú)叉式釣魚(yú)攻擊、水坑攻擊、供應(yīng)鏈攻擊、APT攻擊等多種方式，網(wǎng)絡(luò)攻擊變得更加復(fù)雜化、組織化、高級(jí)化及有針對(duì)性，傳統(tǒng)的防火墻以及城堡式邊界防護(hù)等形式越來(lái)越無(wú)能為力，甚至在高級(jí)黑客的攻擊下形同虛設(shè)，內(nèi)網(wǎng)某臺(tái)機(jī)器一旦被突破，黑客往往采用橫向移動(dòng)的方法尋找有價(jià)值的資產(chǎn)，整個(gè)內(nèi)部網(wǎng)絡(luò)很容易暴露給黑客。與此同時(shí)，內(nèi)部人員的威脅和惡意行為也是很多安全事件的根源，企業(yè)內(nèi)部網(wǎng)絡(luò)中依然充滿著威脅。

網(wǎng)絡(luò)安全行業(yè)期待新的架構(gòu)，新的紀(jì)元，新的變革，需要新的邊界防護(hù)，這時(shí)候零信任應(yīng)運(yùn)而生。

零信任的發(fā)展史

2010年，F(xiàn)orrester 分析師約翰·金德維格正式提出零信任概念，自此零信任開(kāi)始嶄露頭角，特別是近兩年得到快速發(fā)展。2020年2月美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院發(fā)布SP800-207:Zero Trust Architecture 草案第二版本，代表著零信任已經(jīng)從理念走向工程實(shí)踐甚至標(biāo)準(zhǔn)化，在其發(fā)展完善的過(guò)程中，F(xiàn)orrester 、NIST、Google、Gartner、CSA等機(jī)構(gòu)都扮演了重要的角色，一步步將零信任推向成熟。

談零信任之前，我們先看看什么是信任，信任就是一方對(duì)另外一方行為的依賴，是一個(gè)受多方面因素影響，有時(shí)效性的動(dòng)態(tài)詞。Gartner在CARTA模型提出“我們不能追求零風(fēng)險(xiǎn)，信任和風(fēng)險(xiǎn)是相互相伴的，需要?jiǎng)討B(tài)調(diào)整”。零信任按照零的含義來(lái)講即為“不信任”，但是如果是這樣，之后的連接等關(guān)系便不能發(fā)生，所以說(shuō)零信任這樣一個(gè)抽象的詞，應(yīng)該指的是零網(wǎng)絡(luò)信任、零默認(rèn)信任、零特權(quán)，即使通過(guò)了最初的認(rèn)證，后期也要不斷校驗(yàn)，根據(jù)安全態(tài)勢(shì)和具體情況調(diào)整風(fēng)險(xiǎn)等級(jí)，這就是零信任的核心思想，在不可信的網(wǎng)絡(luò)中重構(gòu)安全體系，永遠(yuǎn)不信任，始終在校驗(yàn)。

總結(jié)：零信任是一種概念、模型、體系框架，安全訪問(wèn)資源的方式，有多種流派，內(nèi)涵和外延在不斷演進(jìn)中，它不是一種產(chǎn)品和技術(shù)，（點(diǎn)擊閱讀：一文讀懂零信任），也不是能解決所有安全問(wèn)題的銀彈，其主要價(jià)值是指導(dǎo)安全體系規(guī)劃建設(shè)，通過(guò)網(wǎng)絡(luò)訪問(wèn)方式的改變，減少暴露面和攻擊面，嚴(yán)格控制非授權(quán)訪問(wèn)。

如何通過(guò)SDP技術(shù)架構(gòu)實(shí)踐零信任理念

（1）軟件定義邊界

Gartner的報(bào)告里又將SDP稱為零信任網(wǎng)絡(luò)訪問(wèn)，在其2019的市場(chǎng)報(bào)告中指出，2023年，60%的VPN用戶將會(huì)被SDP取代，近期由于新冠疫情的影響，相關(guān)機(jī)構(gòu)預(yù)測(cè)，如果疫情持續(xù)下去，SDP與VPN的終決戰(zhàn)將會(huì)提前上演。

最早的時(shí)候，SDP是云安全聯(lián)盟在2013年提出的新一代網(wǎng)絡(luò)安全解決方案，在移動(dòng)+云時(shí)代，構(gòu)建起一個(gè)虛擬的企業(yè)邊界，利用基于身份的訪問(wèn)控制，來(lái)應(yīng)對(duì)邊界模糊化帶來(lái)的控制粒度粗、有效性差等問(wèn)題，以此達(dá)到保護(hù)企業(yè)數(shù)據(jù)安全的目的。Gartner在零信任網(wǎng)絡(luò)訪問(wèn)市場(chǎng)指南報(bào)告里則稱“SDP是圍繞某個(gè)應(yīng)用或一組應(yīng)用創(chuàng)建的基于身份和上下文的邏輯訪問(wèn)邊界。應(yīng)用是隱藏的，無(wú)法被發(fā)現(xiàn)，并且通過(guò)信任代理限制一組指定實(shí)體訪問(wèn)，在允許訪問(wèn)之前，代理會(huì)驗(yàn)證指定訪問(wèn)者的身份，上下文和策略合規(guī)性，這個(gè)機(jī)制將應(yīng)用資源從公共視野中消除，從而顯著減少攻擊面”。

SDP技術(shù)架構(gòu)分為三個(gè)部分：客戶端、控制器、網(wǎng)關(guān)。所有的客戶端在訪問(wèn)資源之前，都要和控制器通過(guò)SPA單包驗(yàn)證，含有雙方共同信息的秘密報(bào)文，通過(guò)UDP協(xié)議發(fā)給控制器，敲開(kāi)訪問(wèn)的大門(mén)，任何其他的包將會(huì)被丟掉，SDP控制器不做任何回應(yīng)，如果身份合法，會(huì)通知訪問(wèn)應(yīng)用網(wǎng)關(guān)，告知客戶端的相關(guān)信息和通信參數(shù)，之后客戶端和網(wǎng)關(guān)之前以同樣的流程進(jìn)行雙向驗(yàn)證，然后才能訪問(wèn)看到有權(quán)限的應(yīng)用資源。整個(gè)過(guò)程中，我們可以看到通過(guò)控制平面和數(shù)據(jù)平面的分離，受保護(hù)的資源是消失的， 所以SDP也被稱做“黑云”，將機(jī)密信息隱藏起來(lái)，不被授權(quán)外的人看到。常見(jiàn)的5種SDP部署模型中比較普遍的是客戶端——網(wǎng)關(guān)模型，我們所熟知的谷歌Beyond Corp便是其變種，而現(xiàn)在物聯(lián)網(wǎng)的發(fā)展中，有些企業(yè)是無(wú)法安裝Agent的,那么他們就需要網(wǎng)關(guān)——網(wǎng)關(guān)的交換模型，還有些企業(yè)在數(shù)據(jù)中心的服務(wù)器之間常通過(guò)API交換數(shù)據(jù)，這就需要采用服務(wù)器——服務(wù)器的模型，總的來(lái)說(shuō)，目前SDP有5種機(jī)制保障企業(yè)信息體系安全。

我們前面說(shuō)到當(dāng)內(nèi)外部的威脅層出不窮、傳統(tǒng)邊界防護(hù)的模式愈顯疲態(tài)，零信任理念誕生。通過(guò)我們剛才講到的SDP的技術(shù)架構(gòu)，可以看出SDP是嚴(yán)格遵守了零信任理念，以資源為中心進(jìn)行安全防護(hù)，以身份為基礎(chǔ)，先認(rèn)證后授權(quán)，關(guān)注保護(hù)面而不是攻擊面，將控制平面與數(shù)據(jù)平面分離，細(xì)粒度動(dòng)態(tài)自適應(yīng)訪問(wèn)控制體系，讓服務(wù)隱身并保障安全，強(qiáng)調(diào)網(wǎng)絡(luò)隱身而不是防御，從架構(gòu)設(shè)計(jì)上改變攻防極度不平衡狀況。同時(shí)，SDP是應(yīng)用級(jí)的準(zhǔn)入控制與微隔離，可以真正將安全融于業(yè)務(wù)，實(shí)現(xiàn)企業(yè)內(nèi)生安全體系。

（2）SDP如何打斷攻擊鏈

2019年RSA創(chuàng)新沙盒大賽中奪冠的以色列冠軍Axonius聚焦資產(chǎn)安全管理，提出一個(gè)概念：你無(wú)法保護(hù)你看不到的東西。而采用SDP的隱身技術(shù)，可以讓黑客無(wú)法攻擊其看不見(jiàn)的目標(biāo)。根據(jù)Kill Chain的七個(gè)步驟，攻擊者展開(kāi)攻擊的第一步要做偵查，SDP通過(guò)SPA單包授權(quán)，服務(wù)隱身等方式將我們的服務(wù)資源從公眾視野消失，將會(huì)極大收斂暴露面。這里要提一下，不管網(wǎng)絡(luò)安全技術(shù)如何發(fā)展，暴露面收斂依然是網(wǎng)絡(luò)安全的核心原則。SDP通過(guò)抗DOS Token 、流量加密、應(yīng)用分段與隔離、客戶端持續(xù)動(dòng)態(tài)設(shè)備驗(yàn)證、訪問(wèn)行為可視、實(shí)時(shí)事件響應(yīng)以及貫穿整個(gè)零信任模型的按需授權(quán)和最小權(quán)限原則可以有效限制攻擊者在行動(dòng)階段的活動(dòng),在多個(gè)環(huán)節(jié)打破攻擊鏈，極大提高攻擊者的成本。

SDP的應(yīng)用場(chǎng)景在除了我們剛提到的VPN外，還有生態(tài)合作伙伴的資源訪問(wèn)、企業(yè)上云、IaaS、SaaS、物聯(lián)網(wǎng)等多個(gè)場(chǎng)景。

零信任與聯(lián)軟產(chǎn)品淵源

●2004年，業(yè)界提出NAC（網(wǎng)絡(luò)準(zhǔn)入控制）技術(shù)，從網(wǎng)絡(luò)層實(shí)現(xiàn)資源的隔離；

●2006年聯(lián)軟在國(guó)內(nèi)首家推出基于NAC架構(gòu)的準(zhǔn)入控制產(chǎn)品，而SDP正是基于零信任思想的新一代應(yīng)用層隔離技術(shù)；

●2015年，聯(lián)軟發(fā)布企業(yè)移動(dòng)安全支撐平臺(tái)EMM，引入零信任思想；

●2016年，提出TDNA理念，強(qiáng)調(diào)通過(guò)架構(gòu)改變攻防不平衡、安全融入業(yè)務(wù)等核心原則，SDP就是從架構(gòu)上解決網(wǎng)絡(luò)攻防不平衡，這一點(diǎn)與TDNA不謀而合；

●2019年，聯(lián)軟科技發(fā)布軟件定義邊界UniSDP，探索零信任安全領(lǐng)域；

●2020年，聯(lián)軟發(fā)布了自適應(yīng)安全訪問(wèn)零信任解決方案。一個(gè)客戶端，一個(gè)界面，根據(jù)用戶在內(nèi)網(wǎng)還是外網(wǎng)，自適應(yīng)地安全訪問(wèn)數(shù)據(jù)中心、混合云、公有云下的各種資源。

零信任是一種以應(yīng)用（數(shù)據(jù)）為中心的端對(duì)端，細(xì)粒度的動(dòng)態(tài)訪問(wèn)控制架構(gòu)，端點(diǎn)的重要性不言而喻，而作為國(guó)內(nèi)終端安全管理和準(zhǔn)入控制領(lǐng)域的領(lǐng)導(dǎo)者，聯(lián)軟的方案升級(jí)到零信任體系也是必然趨勢(shì)。

零信任的展望與挑戰(zhàn)

如同我們所知道的，威脅不斷變化，安全工作永無(wú)止境。例如我們知道美國(guó)政府給重要單位倡導(dǎo)和建設(shè)了很多安全項(xiàng)目和工程，例如愛(ài)因斯坦工程、可信互聯(lián)網(wǎng)連接TIC、持續(xù)診斷和緩解CDM、高價(jià)值資產(chǎn)HVA等，充分顯示了對(duì)網(wǎng)絡(luò)安全的重視，但引人思考的是安全的盡頭在哪里？走在長(zhǎng)長(zhǎng)的黑暗隧道里，安全的光明出口是什么？零信任就是黑暗隧道里的光明，它以一個(gè)統(tǒng)一的視角幫助網(wǎng)絡(luò)安全建設(shè)者去看待和規(guī)劃網(wǎng)絡(luò)安全體系。有人想問(wèn)，既然零信任這么先進(jìn)，那傳統(tǒng)的安全防護(hù)體系還有用嗎？我們要知道，零信任要做的不是完全替代防火墻這些傳統(tǒng)技術(shù)，而是在原有基礎(chǔ)上，充分利用已有技術(shù)和設(shè)施，以新的理念和架構(gòu)，重新組合，幫助企業(yè)平滑過(guò)渡到零信任的體系建設(shè)。

在企業(yè)體系中，SIEM、SOC、SA等這些平臺(tái)通常拿來(lái)收集資產(chǎn)、威脅、數(shù)據(jù)等，但這些平臺(tái)往往缺乏業(yè)務(wù)和數(shù)據(jù)視角，很難做到統(tǒng)一策略的下發(fā)和決策。而零信任正是以業(yè)務(wù)安全訪問(wèn)為中心，如果將零信任與這些平臺(tái)結(jié)合起來(lái)，就可以做到網(wǎng)絡(luò)安全風(fēng)險(xiǎn)態(tài)勢(shì)整體感知和掌控，以及業(yè)務(wù)風(fēng)險(xiǎn)的安全管理控制。

最后想說(shuō)的是，零信任是一個(gè)美好的愿景，它不是一個(gè)結(jié)果，而是一個(gè)長(zhǎng)期的過(guò)程，需要分階段建設(shè)。每家企業(yè)的信息化規(guī)模、業(yè)務(wù)特點(diǎn)及面臨威脅、安全基礎(chǔ)和預(yù)算也不一樣，對(duì)零信任方案的需求也不同，不能一味求全求大，合適的就是最好的。

零信任架構(gòu)體系不光包含安全產(chǎn)品和技術(shù)本身、還涉及到信息基礎(chǔ)環(huán)境、端點(diǎn)、網(wǎng)絡(luò)、業(yè)務(wù)系統(tǒng)、應(yīng)用開(kāi)發(fā)、流程和策略等，整個(gè)體系是很難依靠單一廠商構(gòu)建起來(lái)的，只有形成標(biāo)準(zhǔn)化組件和建立開(kāi)放合作的機(jī)制，才能像汽車(chē)產(chǎn)業(yè)一樣做大做強(qiáng)，惠及用戶。

聯(lián)軟科技希望和用戶、安全廠商、應(yīng)用軟件開(kāi)發(fā)廠商、云安全廠商等共建零信任生態(tài)，一起構(gòu)建更加安全的網(wǎng)絡(luò)空間。