随着云计算、大数据、物联网等新兴技术的不断兴起，传统边界逐渐消失。而当前新基建的不断推进，更是加速了“无边界”的进化过程，传统的安全防护理念应对安全风险暴露出越来越多的问题，零信任的出现为我们提供了新的安全思路，深度契合当下的网络安全环境。“零信任”已经成为网络安全的最新流行语之一。

什么是零信任？

零信任既不是技术也不是产品，而是一种安全理念。根据NIST《零信任架构标准》中的定义：零信任（Zero Trust，ZT）提供了一系列概念和思想，在假定网络环境已经被攻陷的前提下，当执行信息系统和服务中的每次访问请求时，降低其决策准确度的不确定性，顾名思义，零信任在默认情况下不信任企业边界内外的所有实体。

零信任的核心思想

严格来说，“零信任”并不能算是一种全新的安全理念，早在2004年，国外就已经有了零信任的雏形；在国内，同时期江民在KV系列产品中也已经应用了契合零信任雏形的身份验证与访问授权监管体系。

零信任的核心是“从来不信任，始终在验证”，其本质诉求是以身份为中心进行访问控制，基于认证和授权重构访问控制的信任基础，在事前准入、事中控制、事后审计三个环节都进行严格管控，如网络中的账号、IP地址、物理位置等均不能作为可信的凭证。信任问题是网络安全的核心问题，零信任对访问控制进行了方式上的颠覆，升级为基于可信身份和可信行为的动态信任边界。

零信任发展史

众所周知，零信任并不是一个全新的事物，来看看零信任的前世今生。

2004年

零信任的最早雏形源于2004年成立的耶利哥论坛，提出要限制基于网络位置的隐式信任，并且不能依赖静态防御。

2010年

“零信任之父”John Kindervag正式提出了零信任这个术语，明确了零信任架构的理念。

2013年

国际云安全联盟成立软件定义边界（SDP）工作组。利用基于身份的访问控制，来对终端安全进行实时监控，以保护企业数据安全。

2017年

Gartner在安全与风险管理峰会上发布持续自适应风险与信任评估（Continuous Adaptive Risk and Trust Assessment，CARTA）模型，并提出零信任是实现CARTA宏图的初始步骤，后续两年又发布了ZTNA市场指南（注：SDP被Gartner称为ZTNA）。

2019年

工信部公开征求对《关于促进网络安全产业发展的指导意见(征求意见稿)》中，将零信任列入网络安全需要突破的关键技术。

2020年

NIST发布的《SP800-207:Zero Trust Architecture》标准对零信任架构ZTA进行定义，该标准强调零信任架构中的众多组件并不是新的技术或产品，而是按照零信任理念形成的一个面向用户、设备和应用的完整安全解决方案。

零信任架构

零信任架构是具备以身份为中心、最小权限原则、持续信任评估和动态访问控制等关键能力的新型网络安全体系，基于业务场景的主体、环境、访问上下文等多维因素，对信任进行持续评估，并通过风险判定调整信任等级，形成具备较强风险应对能力的动态自适应的安全闭环。

以身份为中心

基于身份构建访问控制体系，默认在任何网络环境中以身份信息作为信任依据，经过多重验证与授权才能获得访问系统的单次通道。

最小权限原则

最小权限原则是构建零信任架构所不可或缺的安全策略之一，对用户授权最小限度开放，能够应对凭证窃取、越权访问等威胁。

持续信任评估

持续信任评估是零信任架构从零开始构建信任的关键手段，用户需要通过持续的信任评估和算法，结合上下文环境进行风险判定，实时调整动态信任。

动态访问控制

动态访问控制是零信任架构的安全闭环能力的重要体现。基于信任等级实现主体与客体的分级的业务访问，实时获取信任等级，当出现信任风险时，对访问权限进行实时干预并评估是否需要对主体进行降级。

江民科技积极拥抱零信任，旗下的“赤豹网络智能防护系统”通过对设备进行持续的信任校验，结合信任评估提供的丰富上下文信息，实现全天候不间断安全防护，结合智能幻影攻击欺骗诱捕技术，快速进行攻击检测与响应，从脆弱性、异常行为、威胁行为多维度对设备进行安全评价，有效发现未知威胁，准确发现内部失陷终端，为企业的安全运营提供强有力的决策及安全支撑，保障企业架构更加安全。

今天的分享就到这里啦

下期我们来聊聊“钓鱼网站”

来源：freebuf.com 2021-07-27 14:30:53 by: 江民安全实验室