背景介绍

随着云计算、大数据、移动互联网、物联网、5G等新技术的崛起，传统的网络安全架构难以适应时代发展的需求。网络环境日趋复杂，边界逐渐模糊化，传统的网络安全架构难以适应时代的发展需求，网络环境中用户、设备、应用以及IT资源之间的连接被暴露在高风险环境中。 当业务与信息化发展融合越紧密，其暴露的风险面就越广，人员通过网络访问后台应用系统，如果单纯依靠传统的安全产品，是无法保证访问主体（包括用户、设备、应用）的身份是可信的。网络世界充斥着更多的不确定性、不可预见性，在不可靠网络中我们需要寻找可靠的支撑点，在不可靠网络中构建安全体系。

相关政策

2019年

工业和信息化部起草了《关于促进网络安全产业发展的指导意见(征求意见稿)》

查看更多

2013年

国际云安全联盟（CSA）发布 SDP标准规范1.0

查看更多

2019年

国际云安全联盟（CSA）发布SDP标准规范2.0

查看更多

2020年

美国国家标准与技术研究院（NIST）发布零信任架构标准草案白皮书第二版

查看更多

2020年

云安全联盟（CSA）发布《SDP实现等保2.0合规技术指南白皮书》

查看更多

2019年

中国信息通信研究院发布《中国网络安全产业白皮书》

查看更多

2019年

云安全联盟（CSA）发布《SDP架构指南》

查看更多

2010年

云安全联盟（CSA）发布《软件定义边界和零信任》

查看更多

发展趋势

标准体系逐渐完善

近年来，零信任安全相关标准得到了快速发展，2013年，国际云安全联盟（CSA）发布 SDP标准规范1.0；2017年，国际云安全联盟（CSA）发布《SDP帮助企业安全迁移上云》 ；2019年，工业和信息化部起草了《关于促进网络安全产业发展的指导意见(征求意见稿)》，将“着力突破网络安全技术”作为主要任务之一，并提到“零信任安全”； 中国信息通信研究院发布《中国网络安全产业白皮书》，指出零信任已从概念走向落地；2019年5月，国际云安全联盟（CSA）发布《SDP架构指南》；2020年2月，美国国家标准与技术研究院（NIST）发布零信任架构标准草案白皮书第二版，对零信任安全理念和逻辑架构做了标准定义。未来零信任安全相关的行业标准、联盟标准以及国家相关标准将会进一步完善和发展，零信任安全产业将更趋规范化。

构建以身份为基础的安全体系架构

目前，大多企业的网络安全建设，仍是采用的传统的网络安全架构模式，基于边界的防护。然后，物理安全边界天然有局限性，企业要上云，就不能将公有云装入自己的防火墙；企业发展移动办公，防火墙无法覆盖外部的各个角落；企业要拥抱大数据，就不可避免的要与合作伙伴交换数据。传统安全边界模型在新技术的发展趋势下逐步瓦解，也逐渐成为了企业发展的障碍。企业需要建设新的安全体系架构。零信任体系架构打破了传统的安全边界，不再默认企业内网的就是安全、可控的，而是始终验证用户的身份、设备的合法性和权限，动态授予用户最小访问权限。

需求分析

资源访问权限难以控制

合法身份权限被盗用或滥用。 合法身份权限被不经意误用。 权限管理分散，存在断点或盲区。

隐式的网络信任区过大

内网人员通过网络能够访问到大量非执行业务所需的资源。 l同网络隔离区域内的应用系统众多，且皆网络可达。 l同网络隔离区域内的微服务众多，且皆网络可达。

技术体系

零信任体系架构可以分为1个中心，3个支撑系统和4个执行点。零信任体系控制策略中心是大脑，做所有的策略维护控制，接入检控、应用检控、数据检控、运维检控作为执行点把大脑的安全访问策略落实成规则，可以把四个执行点统一为检控，主要的功能就是检查控制，引导所有的数据流按照预先设定的路径去进行访问。所以的数据流通过这些执行规则，才能真正做到安全的一种监控和防控。大脑、执行点以及支持系统，可以使零信任架构发挥出更好的能力。

整体体系架构的思路设计，一是防止未授权的访问操作发生。二是执行尽可能细粒度的访问控制。