2020年6月5日，零信任十周年峰會(huì )圓滿(mǎn)召開(kāi)，大會(huì )由云安全聯(lián)盟大中華區主辦，聯(lián)合國UN2020指導，聯(lián)軟科技等眾多網(wǎng)絡(luò )安全領(lǐng)域代表廠(chǎng)商共同承辦。

會(huì )議伊始，零信任之父John Kindervag為大會(huì )致賀詞，云安全聯(lián)盟大中華區主席兼研究院院長(cháng)李雨航在開(kāi)幕致辭中指出零信任在全球已經(jīng)成為網(wǎng)絡(luò )安全關(guān)鍵技術(shù)大趨勢，會(huì )上邀請了10多位零信任方面的專(zhuān)家、實(shí)踐者共同探討零信任十年的發(fā)展歷程與實(shí)踐。參會(huì )人數達10000+，受到多方關(guān)注，聯(lián)軟科技副總裁黃國忠分享了聯(lián)軟對于零信任的思考：

1993年，《紐約客》刊登了一則由自彼得·施泰納（Peter Steiner）創(chuàng )作的漫畫(huà)，“On the Internet, nobody knows you're a dog”，網(wǎng)絡(luò )的隱秘性和匿名性可見(jiàn)一斑，同時(shí)，作者也想強調網(wǎng)絡(luò )就是虛擬世界，和現實(shí)不一樣。

如今，我們的現實(shí)生活高度依賴(lài)網(wǎng)絡(luò )空間，據IDC預測，2020年，全球GDP的60%將是數字經(jīng)濟，不管是在線(xiàn)交易還是關(guān)鍵信息設施的訪(fǎng)問(wèn)還是無(wú)人駕駛，人們無(wú)時(shí)無(wú)刻不享受著(zhù)信息化時(shí)代的便利，但是在網(wǎng)絡(luò )空間和物理空間深度融合、網(wǎng)絡(luò )威脅復雜的今天，如果做不到以下2點(diǎn)，后果將十分嚴重，甚至是災難性：

1、正確的人或“物”：出于正確的原因，能夠在正確的時(shí)間、正確的地點(diǎn)從正確的設備中獲取到正確的資源（應用、數據等）。

2、隨時(shí)識別異常行為和安全狀態(tài)、動(dòng)態(tài)調整訪(fǎng)問(wèn)策略。

為什么需要零信任？

早期的網(wǎng)絡(luò )是局限在一個(gè)物理范圍內，用戶(hù)、服務(wù)器都在企業(yè)內部，這些資源通過(guò)防火墻和互聯(lián)網(wǎng)連接，人們堅信內網(wǎng)是可信的，外網(wǎng)是不信任的。隨著(zhù)云大物移的發(fā)展，用戶(hù)需要隨時(shí)隨地訪(fǎng)問(wèn)企業(yè)的數據，企業(yè)服務(wù)器很多不在自己的數據中心，而是部署在云端，聯(lián)網(wǎng)設備的海量化使得暴露面也在極度擴大中。

數字經(jīng)濟、數字資產(chǎn)的價(jià)值越來(lái)越大，也吸引了更多的利益集團和攻擊者，攻擊手段有傳統的設備接入、DDoS、暴力破解，夾雜著(zhù)魚(yú)叉式釣魚(yú)攻擊、水坑攻擊、供應鏈攻擊、APT攻擊等多種方式，網(wǎng)絡(luò )攻擊變得更加復雜化、組織化、高級化及有針對性，傳統的防火墻以及城堡式邊界防護等形式越來(lái)越無(wú)能為力，甚至在高級黑客的攻擊下形同虛設，內網(wǎng)某臺機器一旦被突破，黑客往往采用橫向移動(dòng)的方法尋找有價(jià)值的資產(chǎn)，整個(gè)內部網(wǎng)絡(luò )很容易暴露給黑客。與此同時(shí)，內部人員的威脅和惡意行為也是很多安全事件的根源，企業(yè)內部網(wǎng)絡(luò )中依然充滿(mǎn)著(zhù)威脅。

網(wǎng)絡(luò )安全行業(yè)期待新的架構，新的紀元，新的變革，需要新的邊界防護，這時(shí)候零信任應運而生。

零信任的發(fā)展史

2010年，Forrester 分析師約翰·金德維格正式提出零信任概念，自此零信任開(kāi)始嶄露頭角，特別是近兩年得到快速發(fā)展。2020年2月美國國家標準與技術(shù)研究院發(fā)布SP800-207:Zero Trust Architecture 草案第二版本，代表著(zhù)零信任已經(jīng)從理念走向工程實(shí)踐甚至標準化，在其發(fā)展完善的過(guò)程中，Forrester 、NIST、Google、Gartner、CSA等機構都扮演了重要的角色，一步步將零信任推向成熟。

談零信任之前，我們先看看什么是信任，信任就是一方對另外一方行為的依賴(lài)，是一個(gè)受多方面因素影響，有時(shí)效性的動(dòng)態(tài)詞。Gartner在CARTA模型提出“我們不能追求零風(fēng)險，信任和風(fēng)險是相互相伴的，需要動(dòng)態(tài)調整”。零信任按照零的含義來(lái)講即為“不信任”，但是如果是這樣，之后的連接等關(guān)系便不能發(fā)生，所以說(shuō)零信任這樣一個(gè)抽象的詞，應該指的是零網(wǎng)絡(luò )信任、零默認信任、零特權，即使通過(guò)了最初的認證，后期也要不斷校驗，根據安全態(tài)勢和具體情況調整風(fēng)險等級，這就是零信任的核心思想，在不可信的網(wǎng)絡(luò )中重構安全體系，永遠不信任，始終在校驗。

總結：零信任是一種概念、模型、體系框架，安全訪(fǎng)問(wèn)資源的方式，有多種流派，內涵和外延在不斷演進(jìn)中，它不是一種產(chǎn)品和技術(shù)，（點(diǎn)擊閱讀：一文讀懂零信任），也不是能解決所有安全問(wèn)題的銀彈，其主要價(jià)值是指導安全體系規劃建設，通過(guò)網(wǎng)絡(luò )訪(fǎng)問(wèn)方式的改變，減少暴露面和攻擊面，嚴格控制非授權訪(fǎng)問(wèn)。

如何通過(guò)SDP技術(shù)架構實(shí)踐零信任理念

（1）軟件定義邊界

Gartner的報告里又將SDP稱(chēng)為零信任網(wǎng)絡(luò )訪(fǎng)問(wèn)，在其2019的市場(chǎng)報告中指出，2023年，60%的VPN用戶(hù)將會(huì )被SDP取代，近期由于新冠疫情的影響，相關(guān)機構預測，如果疫情持續下去，SDP與VPN的終決戰將會(huì )提前上演。

最早的時(shí)候，SDP是云安全聯(lián)盟在2013年提出的新一代網(wǎng)絡(luò )安全解決方案，在移動(dòng)+云時(shí)代，構建起一個(gè)虛擬的企業(yè)邊界，利用基于身份的訪(fǎng)問(wèn)控制，來(lái)應對邊界模糊化帶來(lái)的控制粒度粗、有效性差等問(wèn)題，以此達到保護企業(yè)數據安全的目的。Gartner在零信任網(wǎng)絡(luò )訪(fǎng)問(wèn)市場(chǎng)指南報告里則稱(chēng)“SDP是圍繞某個(gè)應用或一組應用創(chuàng )建的基于身份和上下文的邏輯訪(fǎng)問(wèn)邊界。應用是隱藏的，無(wú)法被發(fā)現，并且通過(guò)信任代理限制一組指定實(shí)體訪(fǎng)問(wèn)，在允許訪(fǎng)問(wèn)之前，代理會(huì )驗證指定訪(fǎng)問(wèn)者的身份，上下文和策略合規性，這個(gè)機制將應用資源從公共視野中消除，從而顯著(zhù)減少攻擊面”。

SDP技術(shù)架構分為三個(gè)部分：客戶(hù)端、控制器、網(wǎng)關(guān)。所有的客戶(hù)端在訪(fǎng)問(wèn)資源之前，都要和控制器通過(guò)SPA單包驗證，含有雙方共同信息的秘密報文，通過(guò)UDP協(xié)議發(fā)給控制器，敲開(kāi)訪(fǎng)問(wèn)的大門(mén)，任何其他的包將會(huì )被丟掉，SDP控制器不做任何回應，如果身份合法，會(huì )通知訪(fǎng)問(wèn)應用網(wǎng)關(guān)，告知客戶(hù)端的相關(guān)信息和通信參數，之后客戶(hù)端和網(wǎng)關(guān)之前以同樣的流程進(jìn)行雙向驗證，然后才能訪(fǎng)問(wèn)看到有權限的應用資源。整個(gè)過(guò)程中，我們可以看到通過(guò)控制平面和數據平面的分離，受保護的資源是消失的， 所以SDP也被稱(chēng)做“黑云”，將機密信息隱藏起來(lái)，不被授權外的人看到。常見(jiàn)的5種SDP部署模型中比較普遍的是客戶(hù)端——網(wǎng)關(guān)模型，我們所熟知的谷歌Beyond Corp便是其變種，而現在物聯(lián)網(wǎng)的發(fā)展中，有些企業(yè)是無(wú)法安裝Agent的,那么他們就需要網(wǎng)關(guān)——網(wǎng)關(guān)的交換模型，還有些企業(yè)在數據中心的服務(wù)器之間常通過(guò)API交換數據，這就需要采用服務(wù)器——服務(wù)器的模型，總的來(lái)說(shuō)，目前SDP有5種機制保障企業(yè)信息體系安全。

我們前面說(shuō)到當內外部的威脅層出不窮、傳統邊界防護的模式愈顯疲態(tài)，零信任理念誕生。通過(guò)我們剛才講到的SDP的技術(shù)架構，可以看出SDP是嚴格遵守了零信任理念，以資源為中心進(jìn)行安全防護，以身份為基礎，先認證后授權，關(guān)注保護面而不是攻擊面，將控制平面與數據平面分離，細粒度動(dòng)態(tài)自適應訪(fǎng)問(wèn)控制體系，讓服務(wù)隱身并保障安全，強調網(wǎng)絡(luò )隱身而不是防御，從架構設計上改變攻防極度不平衡狀況。同時(shí)，SDP是應用級的準入控制與微隔離，可以真正將安全融于業(yè)務(wù)，實(shí)現企業(yè)內生安全體系。

（2）SDP如何打斷攻擊鏈

2019年RSA創(chuàng )新沙盒大賽中奪冠的以色列冠軍Axonius聚焦資產(chǎn)安全管理，提出一個(gè)概念：你無(wú)法保護你看不到的東西。而采用SDP的隱身技術(shù)，可以讓黑客無(wú)法攻擊其看不見(jiàn)的目標。根據Kill Chain的七個(gè)步驟，攻擊者展開(kāi)攻擊的第一步要做偵查，SDP通過(guò)SPA單包授權，服務(wù)隱身等方式將我們的服務(wù)資源從公眾視野消失，將會(huì )極大收斂暴露面。這里要提一下，不管網(wǎng)絡(luò )安全技術(shù)如何發(fā)展，暴露面收斂依然是網(wǎng)絡(luò )安全的核心原則。SDP通過(guò)抗DOS Token 、流量加密、應用分段與隔離、客戶(hù)端持續動(dòng)態(tài)設備驗證、訪(fǎng)問(wèn)行為可視、實(shí)時(shí)事件響應以及貫穿整個(gè)零信任模型的按需授權和最小權限原則可以有效限制攻擊者在行動(dòng)階段的活動(dòng),在多個(gè)環(huán)節打破攻擊鏈，極大提高攻擊者的成本。

SDP的應用場(chǎng)景在除了我們剛提到的VPN外，還有生態(tài)合作伙伴的資源訪(fǎng)問(wèn)、企業(yè)上云、IaaS、SaaS、物聯(lián)網(wǎng)等多個(gè)場(chǎng)景。

零信任與聯(lián)軟產(chǎn)品淵源

●2004年，業(yè)界提出NAC（網(wǎng)絡(luò )準入控制）技術(shù)，從網(wǎng)絡(luò )層實(shí)現資源的隔離；

●2006年聯(lián)軟在國內首家推出基于NAC架構的準入控制產(chǎn)品，而SDP正是基于零信任思想的新一代應用層隔離技術(shù)；

●2015年，聯(lián)軟發(fā)布企業(yè)移動(dòng)安全支撐平臺EMM，引入零信任思想；

●2016年，提出TDNA理念，強調通過(guò)架構改變攻防不平衡、安全融入業(yè)務(wù)等核心原則，SDP就是從架構上解決網(wǎng)絡(luò )攻防不平衡，這一點(diǎn)與TDNA不謀而合；

●2019年，聯(lián)軟科技發(fā)布軟件定義邊界UniSDP，探索零信任安全領(lǐng)域；

●2020年，聯(lián)軟發(fā)布了自適應安全訪(fǎng)問(wèn)零信任解決方案。一個(gè)客戶(hù)端，一個(gè)界面，根據用戶(hù)在內網(wǎng)還是外網(wǎng)，自適應地安全訪(fǎng)問(wèn)數據中心、混合云、公有云下的各種資源。

零信任是一種以應用（數據）為中心的端對端，細粒度的動(dòng)態(tài)訪(fǎng)問(wèn)控制架構，端點(diǎn)的重要性不言而喻，而作為國內終端安全管理和準入控制領(lǐng)域的領(lǐng)導者，聯(lián)軟的方案升級到零信任體系也是必然趨勢。

零信任的展望與挑戰

如同我們所知道的，威脅不斷變化，安全工作永無(wú)止境。例如我們知道美國政府給重要單位倡導和建設了很多安全項目和工程，例如愛(ài)因斯坦工程、可信互聯(lián)網(wǎng)連接TIC、持續診斷和緩解CDM、高價(jià)值資產(chǎn)HVA等，充分顯示了對網(wǎng)絡(luò )安全的重視，但引人思考的是安全的盡頭在哪里？走在長(cháng)長(cháng)的黑暗隧道里，安全的光明出口是什么？零信任就是黑暗隧道里的光明，它以一個(gè)統一的視角幫助網(wǎng)絡(luò )安全建設者去看待和規劃網(wǎng)絡(luò )安全體系。有人想問(wèn)，既然零信任這么先進(jìn)，那傳統的安全防護體系還有用嗎？我們要知道，零信任要做的不是完全替代防火墻這些傳統技術(shù)，而是在原有基礎上，充分利用已有技術(shù)和設施，以新的理念和架構，重新組合，幫助企業(yè)平滑過(guò)渡到零信任的體系建設。

在企業(yè)體系中，SIEM、SOC、SA等這些平臺通常拿來(lái)收集資產(chǎn)、威脅、數據等，但這些平臺往往缺乏業(yè)務(wù)和數據視角，很難做到統一策略的下發(fā)和決策。而零信任正是以業(yè)務(wù)安全訪(fǎng)問(wèn)為中心，如果將零信任與這些平臺結合起來(lái)，就可以做到網(wǎng)絡(luò )安全風(fēng)險態(tài)勢整體感知和掌控，以及業(yè)務(wù)風(fēng)險的安全管理控制。

最后想說(shuō)的是，零信任是一個(gè)美好的愿景，它不是一個(gè)結果，而是一個(gè)長(cháng)期的過(guò)程，需要分階段建設。每家企業(yè)的信息化規模、業(yè)務(wù)特點(diǎn)及面臨威脅、安全基礎和預算也不一樣，對零信任方案的需求也不同，不能一味求全求大，合適的就是最好的。

零信任架構體系不光包含安全產(chǎn)品和技術(shù)本身、還涉及到信息基礎環(huán)境、端點(diǎn)、網(wǎng)絡(luò )、業(yè)務(wù)系統、應用開(kāi)發(fā)、流程和策略等，整個(gè)體系是很難依靠單一廠(chǎng)商構建起來(lái)的，只有形成標準化組件和建立開(kāi)放合作的機制，才能像汽車(chē)產(chǎn)業(yè)一樣做大做強，惠及用戶(hù)。

聯(lián)軟科技希望和用戶(hù)、安全廠(chǎng)商、應用軟件開(kāi)發(fā)廠(chǎng)商、云安全廠(chǎng)商等共建零信任生態(tài)，一起構建更加安全的網(wǎng)絡(luò )空間。