消除迷茫：解迷零信任

虽然许多安全厂商使用“零信任”这样的名词，但这个词所代表的意义却不尽相同，围绕零信任概念的解释、炒作和困惑很多，当然误解也很多。

一个较为客观中立的概念是NIST的特别出版物800-207中所描述的，零信任“不是一个单一的架构，而是一套工作流、系统设计和操作的指导原则。”NIST将这些原则称为零信任的“原则”。

零信任的技术原则

零信任是一种基于一个简单前提的网络安全模型：默认情况下，任何东西都不能被信任，除非证明可被信任。

零信任模型颠覆了基于网络位置或IP地址的“隐含信任”概念，要对每次交互进行评估，并明确身份和上下文，才能够“信任”。

具体而言，当用户或设备请求访问资源时，必须先对其进行验证，然后才能授予访问权限。验证基于用户和设备的身份以及上下文和其他属性，如时间和日期、地理位置和设备安全态势等。

经过验证后，根据最小特权原则授予访问权限，即只授予所访问资源的权限。如，如果用户请求访问CRM，验证通过后CRM的访问权限是该用户被授予的唯一访问权限，在网络上看不到任何其他可访问资源。不仅如此，信任状态也在持续地被重新评估。如，用户或设备的属性发生变化，验证可能会被撤销，访问可能会被移除。

三个缩写词：ZTA、ZTNA、ZTE

零信任给人带来迷茫的一个主要原因是各种缩写词，但实际上不同的缩写词侧重点也有所不同。

• ZTA(零信任访问)主要是为了了解和控制，谁在访问你的网络，以及他在网络中做了什么。基于角色的访问控制是访问管理的关键组成部分。ZTA使用最小访问策略覆盖用户终端，即授予用户所需的最低网络访问级别。
• ZTNA(零信任网络访问)是一种控制应用程序访问的方法，无论用户或应用程序位于何处。与科学不同的是，ZTNA将零信任模型扩展到了网络之外，并通过网络隐身来减少攻击面。
• ZTE(零信任边缘)是Forrester描述的一种架构，与Gartner主推的SASE非常相似，基于零信任的理念融合了网络和安全。

ZTE VS. SASE

虽然两者均是从边缘侧出发，融合了网络和安全，但两者最大的区别是，ZTE是安全先行，且本地和云端都做安全。SASE则是网络和安全同行，且只能由云端来提供安全。

边缘环境包括了广域网、多云、数据中心、物联网(IoT)、家庭和远程工作空间等，比传统的互联网环境更具动态性和分散性，安全风险也随之加剧。因此，安全访问服务边缘(SASE)被吹捧为将安全性扩展到传统数据中心之外的最佳方式。其通过ZTNA的方式访问云，再通过云交付的服务将网络和安全功能与广域网(WAN)功能结合在一起。

SASE的问题在于，安全性只能通过云来提供，这对于具有混合IT体系结构的组织来说价值有限，因为这些组织即需要访问云资源也需要访问本地资源。

组织需要采取一种系统化的方法来取代对网络边缘和远程用户的隐性信任，在整个组织内实现网络和安全的一致融合。与SASE不同，ZTE包括了本地和云端，其重要的构件如下：

• 软件定义的广域网(SD-WAN)，可安全连接到各种环境
• 下一代防火墙(NGFW)
• 云提供的安全性，可安全连接远程用户
• ZTNA用于安全的应用程序访问

ZTE有助于混合IT环境下的，网络上的所有人、所有地点、所有资产的保护，对于在本地和云同时工作的组织来说，它是一种可靠的零信任战略。

零信任理念

零信任是一种理念，并非一套固定的产品架构，因此可以根据自身的情况来分配预算，从不同的切入点实施零信任：

• 微隔离。每个设备都被分配到适当的网络区域。分配原则可能基于多种因素，例如设备类型、功能和网络内的用途等。基于云的SASE解决方案很难在本地提供这种级别的控制。
• 身份安全。使用身份验证、授权和帐户服务、访问管理和单点登录(SSO)，识别用户在组织中的角色并应用最少访问策略。
• 基于防火墙的ZTNA。无论用户是访问云资源还是本地资源，基于防火墙的ZTNA解决方案都有效。重要的是，ZTNA具有普适性，本地用户和远程用户均适用。此外，如果科学和ZTNA具有相同的agent，则可以简化科学的迁移。(Tailscale就是典型的例子)

最在理念的层面上，零信任的安全模型很简单，即“持续验证和最小权限”。困难在于，实现这一目标需要多种产品的有机、协调组合，而不是一堆产品的简单堆砌。

因此，不要听信某些供应商的暗示，零信任绝不是个“一劳永逸”的项目，而是一个基于持续验证、最小化权限的理念，以改善整体安全态势的过程。