总被误解的“零信任”，有哪些关键技术？

2010年，零信任安全的概念最早由 Forrester 的首席分析师约翰.金德维( John Kindervag )提出。这一概念受到了当时的技术支持，然而网络供应商却过分热心地追捧，并将其运用于技术营销。

玩流行词的后果是，每个供应商都说他们的小部件或产品是“零信任”的，组织变得更加怀疑、疲惫和困惑。此外，传统IT和安全领域之外的商业领袖和受众认为，这个概念意味着不信任自己的员工，这引起了很差的共鸣。

实际上，零信任对访问控制进行了范式上的颠覆，引导安全体系架构从「网络中心化」走向「身份中心化」，其本质诉求是以身份为中心进行访问控制。

“零信任”这个总是被误解的概念，究竟是什么，而不是什么呢？你又可以应用“零信任”技术为你的组织做些什么呢？

01

零信任技术

零信任的主要思想——默认企业内、外部的任何人、事均不可信，对任何试图接入网络或访问网络资源的人、事、物进行持续验证，打破了边界化的网络防御思路，是一种更适应新需求的理念。

零信任的兴起不能简单看做某种技术、产品的扩展，而是对固有安全思路改变。在产业端，随着谷歌等公司在零信任上的进展，2019-2020 年，NIST 在 5 个月内连续发布两版《零信任架构》标准草案，意味着零信任正向标准化进展。

从技术视角划分，零信任的主流技术分为三种：即 SIM：S 为 SDP（Software Defined Perimeter, 软件定义边界）、I 为 IAM（Identity and Access Management，身份识别与访问管理系统），M 为 MSG（Micro-Segmentation，微隔离）。

软件定义边界（SDP）

软件定义边界（SDP）是被云安全联盟采纳并推崇的一种方案。这种方案还有一个更为形象的别名——“黑云”。

之所以被称为黑云，和其预期达到的效果有关。SDP 可以为企业建立虚拟边界，利用基于身份的访问控制和权限认证机制，让企业应用和服务“隐身”。当黑客试图进行攻击时，会发现看不到目标而无法攻击，只有获得权限的业务人员可以正常访问。

根据云安全联盟的定义，SDP 的主要组件包括发起主机（客户端），接受主机（服务端）和 SDP 控制器，客户端和服务端都会连接到这些控制器。二者间的连接通过 SDP 控制器与安全控制信道的交互来管理。

身份识别与访问管理（IAM）

身份识别与访问管理（IAM）是网络安全领域中的一个细分方向。IAM 产品可以定义和管理用户的角色和访问权限，即决定了谁可以访问，如何访问，访问后可以执行哪些操作。

IAM 的核心主要几个方向：
认证：通过确认实体（包含人与设备等）的身份，建立信任，其中包括多因素认证等。
访问控制：确定实体通过认证之后，匹配怎样的权限，访问怎样的系统。
身份治理：对实体在整个生命周期内（如员工入职、转正、调岗、离职等身份变更过程）进行身份管理，匹配正确的权限。
特权身份管理：是对管理员等权限较高的账户等进行进一步管理。

微隔离（MSG)

微隔离通过细粒度的策略控制，可以灵活地实现业务系统内外部主机与主机的隔离，让东西向流量可视可控，从而更加有效地防御黑客或病毒持续性大面积的渗透和破坏。当前微隔离方案主要有三种技术路线，分别是云原生微隔离、API 对接微隔离以及主机代理微隔离，其中主机代理微隔离更加适应新兴技术不断更迭及应用带来的多变的用户业务环境。

02

以身份为中心

零信任的提出，最主要的原因是为了解决传统上仅基于边界管控的粒度过粗、无法细化相关权限的问题。但在目前中国信息安全的大环境下，其实早就已经存在很多类零信任的实践，比如在企业内部使用的各种堡垒机、云端身份认证、VPN 等。

可以认为，零信任的本质应该是提出一个统一的治理框架，整合上述这些分散、无组织的甚至是凌乱、无序的认证、授权和资源访问控制应用或装置，最终可能演化成一套完整的标准和落地方案，包括各种访问控制策略标准、授权策略标准、参与对象标准和 API 标准等等。

零信任对访问控制进行了范式上的颠覆，引导安全体系架构从「网络中心化」走向「身份中心化」，其本质诉求是以身份为中心进行访问控制。Authing 正是「零信任」安全体系下身份安全基础设施的产品实现。

关于 Authing

Authing 是国内首款以开发者为中心的全场景身份云产品，为企业和开发者提供完善安全的用户认证和访问管理服务。作为云原生架构下的身份云产品，Authing 在产品创建初期，目标就是服务亿级的企业和个人开发者客户，轻量级、易部署、低消耗、技术栈成熟，运维易的云原生技术产品架构，成为了 Authing 的首选。

点击此处了解更多行业身份管理

「解决方案」以及「最佳实践案例」