中國信息安全 - 專題·原創 | 從量變到質變，零信任的明道優術歷程－鑽石舞台

掃碼訂閱《中國信息安全》雜誌

權威刊物重要平台關鍵渠道

郵發代號 2-786

文│志翔科技高級副總裁伍海桑

在信息技術演進的時間軸上，零信任概念的歷史不算長。隨着網絡和服務模式的逐漸成熟，用戶開始關注更加安全有效地獲取信息、數據和服務，因此安全被逐步提上設計者的日程。作為新一代的網絡安全防護理念，零信任是隨着業務演進而逐步進化出來的一個理念。

一、零信任概念的發展

零信任的概念最早可以追溯到美國國防部在 21世紀初提出的「黑核」(Black core) 理念，認為安全模型應該從基於邊界逐步演進到基於單次交易。零信任作為專業術語，在 2010 年由 Forrester 分析師最早正式提出，他總結了傳統網絡架構中隱含式信任的潛在風險，認為安全會跟隨服務模式而變化，在去邊界化的時代，安全會基於零信任的原則來演進。

2014 年，谷歌對外公開了其內部項目零信任安全模型 BeyondCorp 的研究成果，項目當時的主要目的是提高內部員工的生產效率，不區分公司內外網並逐漸淘汰虛擬專用網絡（VPN），推行員工隨處可訪問公司內部應用和數據的零信任模式。

其後幾年，「去邊界化」和「零信任接入」迅速演進。2020 年爆發的全球新冠疫情，更是極大地促進了「隨時、隨地、遠程、安全」的網絡服務和應用需求，催生了零信任相關標準和實踐的進一步完善。2020 年 8 月 12 日，美國國家標準與技術研究院發布《零信任架構》正式版，是迄今為止最為權威的零信任架構標準。2020 年底，谷歌發布了 BeyondCorp Enterprise，與 2014 年的 BeyondCorp相比，BeyondCorp 的企業版開始對外提供谷歌的零信任能力，是谷歌雲的對外商用平台，為其全球雲租戶提供端到端的零信任平台。

2021 年 9 月 7 日，美國政府管理和預算辦公室（OMB）發布了《聯邦零信任戰略》，該戰略遵循和支持美國政府第 14028 號《改善國家網絡安全》行政令，其目的是逐步基於零信任原則改變民用機構的企業安全架構。這份戰略明確要求政府各級機構在 2024 年 9 月底之前實現包括身份、設備、網絡、應用、數據等在內的五大「具體零信任安全目標」，並確保將這些目標添加至機構實施計劃當中。

時至今日，零信任作為新一代的網絡安全防護理念，已經得到了各界的高度肯定。而撥開風口上的泡沫，有關零信任的分析和解構也相當充分，標準和實踐不斷演進。

二、對零信任概念的思考

在比較權威和技術的出版物中，零信任被公認為是一種理念、原則、新模式、思維方式 , 甚至一種安全框架範式。這些詞都是框架性的，而不是針對某個技術和網元的具體定義。可以說，零信任實際上不是某個具體的產品或平台，而是一種安全框架。零信任對廠商和業界來說，不是一個「結果驅動」的事物，例如安全廠商喜歡描述銷售了多少零信任，零信任市場份額有多大等。

當零信任作為定語時，修飾其後的具體名詞才具有實踐意義。首先，零信任架構（ZTA）首當其衝，它指基於零信任理念和原則，面向企業網絡各部件關係、工作流規劃和訪問策略的企業信息安全架構。其次，零信任網絡訪問則是一個更具體的場景描述，指的是應用零信任原則的網絡和業務訪問方式與流程。

如果說零信任是「道」，那麼在零信任範式下進行的架構變革，就走向了「術」。在操作層面上，「術」是最好理解的。各種對零信任能力的解讀和總結有很多，筆者認為零信任能力主要包含兩方面內容，安全權限需以身份為基礎，而且須顯式方可授予；持續、動態、自適應。

第一條涉及以身份為核心來改變應用實現架構，目前業界對此沒有太多異議。《聯邦零信任戰略》提出的五大目標，第一個目標就在身份領域。對於第二條的這些關鍵詞解讀，以社交工具舉例，無論是發消息還是支付，「你是誰」是辨別權限的標準，「你是誰」包括了賬號、手機號、手機設備等幾類信息，這些信息組合起來就構成了一個用戶的身份和安全態勢。在使用小程序、服務號、換手機、換網絡的時候，每次都要重新校驗和授權，體現了「身份」是訪問服務的基礎。

用支付場景舉例可簡單說明顯式授權的必要性。每次支付行為，都要輸入密碼或指紋，這些權限不會因為手機不變、商家不變、用戶不變而默認地賦予使用者，這就是「必須顯式」授權。異常的大額支付、異常地點的交易以及其他的可疑行為等，則必須持續監控，並且動態地提權或降權來保證安全。最後，零信任也要考慮到用戶體驗，因此小額免密就是系統為用戶開放的一種自適應便利性。

要真正用好零信任理念來服務新場景新應用，我們必須清楚地認識以下幾點。首先，零信任不是某個產品或方案，而是一種安全框架範式。其次，既然是框架，顯然零信任不是靈丹妙藥，不能瞬間實現藥到病除。最後，零信任框架在起步時，是新瓶裝舊酒，這個框架下的安全機制，如終端安全、身份認證、授權接入、微隔離、可視化、應用程序編程接口（API）安全等大多是已有的機制，在這些已有機制的基礎上，在雲服務和雲生態的推動下，零信任框架逐漸演進出原生態的「新酒」。

三、零信任落地的趨勢分析

零信任自提出以來，曾經在冷板凳上呆了好幾年，在過去兩年也經歷了一段過度營銷。作為安全框架，零信任衍生的架構和產品，大體上也遵循安全機制與其服務的 IT 設施和業務的關係來發展。時至今日，隨着標準和實踐不斷演進，零信任已經從概念邁向實際落地階段。

信息安全一直是跟隨其服務的對象而發展。過去幾十年，促進信息安全發展的幾個因素，包括了IT 基礎架構和技術的發展，行業的信息化和數字化進程，以及作為高科技本身的安全技術自身的發展。

近二十年來，在 IT 基礎架構和技術發展中，虛擬化和雲計算對科技行業基礎設施的影響是顛覆性的，這些技術成為現代數據中心和業務建設的主流方式。2014 年，美國的軟件即服務（SaaS）業務標誌性地首次超越基礎設施即服務（IaaS）業務，其後，亞馬遜、微軟、谷歌和 IBM 帶領的美國公有雲 SaaS 業務，從此一飛沖天。雲計算的迅猛發展帶來了對雲安全的新需求，也催生了「去邊界」和「以身份為基石」的潮流。以往基於物理防火牆的安全邊界，隨着雲業務的靈活開展，不得不逐漸讓位於隱形的「邊界」，也就是用戶的身份權限，而雲與生俱來的聯邦屬性也讓身份管理和聚合走到了新高度。

傳統物理邊界變得模糊後，安全的邊界也不再是數據中心邊緣和企業網邊緣的某個盒子。在雲計算時代，應該基於以數據為中心的原則來部署安全，關心的問題是：是誰，以及能訪問什麼業務和數據，應該授予何種訪問權限，為什麼需要這些權限，在授權範圍訪問是如何進行的等，而不再是「業務在哪裡」和「邊界在哪裡」。換句話說，傳統安全邊界變成了無處不在的邊界能力——動態創建、策略強化、權限管控、安全訪問。以身份為基石的架構體系，會成為業界主流；以身份為中心進行訪問控制的零信任安全，必將得到越來越多行業客戶的認可與肯定。

不同行業的信息化、數字化進程千差萬別，帶來不同階段的安全需求。互聯網行業天然是雲計算上半場的主力玩家，因此，零信任技術體系在電商、社交、移動支付等新興商業領域最早應用和完善。國內外互聯網企業，如谷歌、臉書、阿里、騰訊，不但接受「動態認證」「最小化權限管理」「事中轉事前」等安全理念，並且積極擁抱和創造。傳統行業如石油電力、機械生產、智能製造等，隨着數字化改造的逐步完成，將成為雲計算下半場的主力。這些行業的安全體系如工控安全、工業物聯網安全等，都會站在零信任的肩膀上繼續發展。

信息安全技術本身是構築在數學和信息學基礎上的高科技，安全與威脅，既是對立事物，也在互相促進，在摩爾定律的激勵下不斷自我更新、交替前進。例如，新的加密算法，基於大數據分析技術做用戶及實體行為分析（UEBA），利用沙箱技術來識別惡意代碼和異常行為，利用機器學習和人工智能技術還原攻擊鏈，這些技術的發展都讓「持續」「動態」「自適應」這些零信任的基礎理念變得可能。

我國信息安全產業起點不算高，雖然增長迅速，但和發達國家相比差距仍然明顯。雲計算帶來的信息安全下半場競爭，我國可能會在零信任領域真正追上並領跑。大型公有雲運營商中，全球規模最大的八家都在中國和美國。中國在移動支付和社交網絡方面的發展世界領先，為零信任理念在特定領域的率先落地提供了沃土。而在數據安全和隱私保護方面，中國和歐洲一起走到了合規監管的最前列，合規的動力也必然帶來零信任在網絡安全各個環節的落地實施。

四、零信任戰略判斷和踐行

零信任相關的機制和標準，涵蓋從雲到邊、端的各種場景，包括遠程辦公、業務訪問、分支安全接入、數據交換、大數據中心、雲平台、物聯網等。作為新安全範式，對安全廠商和用戶，如何真正落地零信任？

空講概念不如枚舉場景，場景是決定如何實施零信任的最重要考量，拋開場景來談零信任的框架只會是空中樓閣。前文談到的美國《聯邦零信任戰略》，列舉的五大場景目標，就是身份、設備、網絡、應用和數據，並對每個場景都提出了相關的實現機制基線。

新冠疫情給全世界都帶來了遠程辦公的剛需，也帶來了對零信任關注的升溫。

目前，VPN 幾乎是所有 IT 人員解決遠程接入需求的第一選項，但是在超大規模和應用精細化的要求下，VPN 表現的捉襟見肘。儘管 VPN 一定程度上滿足了遠程接入需求，但其「接入即安全」的模式，往往給予過多的隱含權限，這正好是零信任原則的對立面，所以，取代 VPN 成為零信任應用最經典的場景之一。但更重要的是，企業的安全機制需要的是平穩過渡，客戶絕不會接受立刻關閉VPN。因此，零信任落地的正確路線是「大膽假設，小心求證」。

從 2014 年創立以來，志翔科技就以「無邊界安全」和「零信任原則」作為產品和方案的理念基礎，把握去邊界化的趨勢，在特定場景中實現零信任機制。針對企業的現實情況和需求，志翔結合自身產品能力，找到與企業現有 VPN 形成最佳補充的場景來入手。例如，企業用戶如何安全訪問企業應用，即零信任網絡接入；企業工作負載之間的精細化保護等。

企業客戶首先會關注自己的數字資產和業務如何管理，後疫情時代則更關注如何遠程安全的訪問這些業務。志翔與客戶共同探索出的方法，是逐步建立身份化的體系，然後從大顆粒開始，通過諸如志翔「至安盾」零信任網關等形式，建立不影響當前業務管控的基本框架，再基於行為做精細化管控和持續優化。在服務端逐步引入基於用戶身份的微隔離比如志翔「至明」安全探針等，對服務器、虛擬機、容器等工作負載進行更精細化的監測、保護以及安全可視化。在設備側通過引入主機安全管理，保證設備的安全基線合規並檢測響應安全事件。

當然，挑戰永遠存在。接入側的場景非常複雜，用戶行為差異化很明顯，需要不斷積累場景才能提升產品通用性。服務側的穩定性和業務敏捷是一對矛盾體，如何隔離和協調異種工作負載等都是難題。可以說，零信任承擔的責任，對安全而言就是演進的大挑戰。無論政策、標準、運維、安全可視化和安全管理，還是南北向和東西向的網絡、基礎架構、身份安全、數據安全等，零信任面臨的機遇和挑戰並存共生，這也恰是其魅力所在。

（本文刊登於《中國信息安全》雜誌2022年第2期）