网络安全架构零信任
技术研究报告
2020年9月
4
构
一、零信任将成为数字时代主流的网络安全架构
1.1 零信任是面向数字时代的新型安全防护理念
零信任是一种以资源保护为核心的网络安全范式。《零信任网络：在不可信网络中构建安全系统》 一书对零信任安全进行了简要归纳和概况：1）网络无时无刻不处于危险的环境中；2）网络中自始 至终都存在外部或内部威胁；3）网络位置不足以决定网络的可信程度；4）所有的设备、用户和网 络流量都应当经过认证和授权；5）安全策略必须是动态的，并基于尽可能多的数据源计算而来。 因此零信任安全的核心思想是默认情况下企业内部和外部的所有人、事、物都是不可信的，需要基 于认证和授权重构访问控制的信任基础。零信任的雏形最早源于 2004 年耶利哥论坛提出的去边界 化的安全理念，2010 年 Forrester 正式提出了“零信任”（Zero Trust，ZT）的术语。经过近十年的 探索，零信任的理论及实践不断完善，逐渐从概念发展成为主流的网络安全技术架构。 图 1：零信任概念演进历程图
数据来源：中国信通院，市场研究部
数字时代下，旧式边界安全防护逐渐失效。传统的安全防护是以边界为核心的，基于边界构建的网 络安全解决方案相当于为企业构建了一条护城河，通过防护墙、VPN、UTM 及入侵防御检测等安 全产品的组合将安全攻击阻挡在边界之外。这种建设方式一定程度上默认内网是安全的，而目前我 国多数政企仍然是围绕边界来构建安全防护体系，对于内网安全常常是缺失的，在日益频繁的网 络攻防对抗中也暴露出弊端。而云大物移智等新兴技术的应用使得 IT 基础架构发生根本性变化， 可扩展的混合 IT 环境已成为主流的系统运行环境，平台、业务、用户、终端呈现多样化趋势，传 统的物理网络安全边界消失，并带来了更多的安全风险，旧式的边界安全防护效果有限。面对日益 复杂的网络安全态势，零信任构建的新型网络安全架构被认为是数字时代下提升信息化系统和网 络整体安全性的有效方式，逐渐得到关注并应用，呈现出蓬勃发展的态势。
5
构
图 2：传统边界安全防护架构 图 3：云计算等新兴技术带来传统安全边界消失
数据来源：H3C，市场研究部 数据来源：TechTarget，市场研究部
1.2 “SIM”为零信任架构的三大关键技术
零信任的本质是以身份为中心进行动态访问控制。零信任对访问主体与访问客体之间的数据访问 和认证验证进行处理，其将一般的访问行为分解为作用于网络通信控制的控制平面及作用于应用 程序通信的数据平面。访问主体通过控制平面发起访问请求，经由信任评估引擎、访问控制引擎实 施身份认证及授权，获得许可后系统动态 数据平面，访问代理接受来自主体的数据，从而建立一 次可信的安全访问链接。过程中，信任评估引擎将持续进行信任评估工作，访问控制引擎对评估数 据进行零信任策略决策运算，来判断访问控制策略是否需要作出改变，若需要作出改变时，将及时 通过访问代理中断此前连接，从而有效实现对资源的保护。综上，可将零信任架构原则归纳为以下 五个： ?
将身份作为访问控制的基础：零信任架构对网络、设备、应用、用户等所有对象赋予数字身 份，基于身份来构建访问控制体系； ?
最小权限原则：零信任架构中强调资源按需分配使用，授予的是执行任务所需的最小特权， 并限制资源的可见性； ?
实时计算访问控制策略：零信任的授权决策根据访问主体的身份、权限等信息进行实时计算， 形成访问控制策略，一旦授权决策依据发生变化，将重新进行计算，必要时将即时变更授权 决策； ?
资源受控安全访问：零信任架构对所有业务场景及资源的每一个访问请求都进行强制身份识 别和授权判定，符合安全策略才予以放行，实现会话级别的细粒度访问控制，同时所有的访 问连接均须加密； ?
基于多源数据进行信任等级持续评估：零信任架构中访问主体的信任等级是根据实时多源数 据（如身份、权限、访问日志等）计算得出，人工智能技术提高了信任评估策略的计算效率， 实现零信任架构在安全性、可靠性、可用性及成本方面的综合平衡。
6
构
图 4：零信任架构总体框架图
数据来源：奇安信，NIST，市场研究部
“SIM”，即 SDP（软件定义边界）、IAM（身份与访问管理）、MSG（微隔离）是实现零信任 架构的三大关键技术。NIST（美国国家标准委员会）在 2019 年发布的《零信任架构 ZTA》白皮书 中，总结出实现零信任架构的三大核心技术“SIM”，分别是“S”，即 SDP（软件定义边界）； “I”，即 IAM（身份与访问管理）；“M”，即 MSG（微隔离）。 图 5：实现零信任架构的三大关键技术“SIM”
数据来源：云深互联，市场研究部
1） SDP（软件定义边界）
SDP 技术是通过软件的方式，在“移动+云”的背景下构建起虚拟 ，利用基于身份的访问控制及 完备的权限认证机制提供有效的隐身保护。SDP 是由云安全联盟（CSA）开发的一个安全框架，
7
构
其体系结构主要包括 SDP 客户端、SDP 控制器及 SDP 网关这三个组件，其中客户端主要负责验 证用户身份，将访问请求转发给网关，控制器负责身份认证及配置策略，管控全过程，网关主要保 护业务系统，防护各类网络攻击，只允许来自合法客户端的流量通过。SDP 可将所有应用程序隐 藏，访问者不知应用的具体位置，同时所有访问流量均通过加密方式传输，并在访问端与被访问端 之间点对点传输，其具备的持续认证、细粒度的上下文访问控制、信令分离等防御理念可有效解决 企业业务拓展中的安全问题，成为了零信任理念的最佳践行之一。 图 6：SDP 的组成架构
数据来源：Quadrant Knowledge Solutions，市场研究部
2）IAM（身份与访问管理）
全面身份化是零信任架构的基石，零信任所需的 IAM 技术通过围绕身份、权限、环境等信息进行 有效管控与治理，从而保证正确的身份在正确的访问环境下，基于正当理由访问正确的资源。随着 数字化转型的不断深入，业务的云化、终端的激增均使得企业 IT 环境变得更加复杂，传统静态且 封闭的身份与访问管理机制已不能适应这种变化，因此零信任中的 IAM 将更加敏捷、灵活且智能， 需要适应各种新兴的业务场景，能够采用动态的策略实现自主完善，可以不断调整以满足实际的安 全需求。
8
网络安全架构零信任技术研究报告
