构成“零信任生态系统”的7个主要元素是什么？ – 作者:玉符IDaaS

如今，企业的业务和商业流程已不再局限于物理环境内，传统以网络边界为中心的防火墙式安全防护机制已无法满足企业的发展要求，企业需要转向构建一个以数据和身份为中心的、与当下数字化发展趋势更加相适应的安全防护机制。

在这样的大背景下，Forrester Research 的一位分析师于2010年正式提出了零信任的安全概念。最初，Forrester 一直着重于研究如何将传统的单一边界划分为一系列微边界或是网络分段，提倡通过加强细粒度授权和威胁管控来提升整体业务安全性。

随着时代的发展，业界逐渐开始将零信任与网络分段、以及加强网络分段的下一代防火墙技术联系起来。但是，零信任并不仅仅局限于网络分段，它是一个全新的安全理念，零信任的实现需要一系列复杂流程和技术的落地。因此，从 2018 年开始，Forrester 开始发布零信任拓展生态系统 Zero Trust eXtended (ZTX) 研究报告，并提出 7 个构成 ZTX 生态系统的主要元素，如下图所示:

下面我们详细聊聊这 7 个主要元素，全面揭秘零信任安全理念。

网络安全

网络安全能力，是零信任安全体系最为基础的能力要求。在ZTX模型中，需要重点关注的是如何实现网络隔离、网络分段和网络安全。简单来说，零信任中的网络安全能力可以理解为是支持微边界和网络分段的 NGFW（下一代防火墙）技术的产品能力，实现形式可以是硬件，也可以是虚拟化设备，或者是提供同等能力的软件形态。

数据安全

构建零信任架构的最终目的还是回归本源，聚焦于保护企业数据安全。在ZTX模型中，需要重点关注是如何实现数据分类、数据规划、数据隔离、数据加密和数据控制的。零信任数据安全保护聚焦数据本身，与数据位置无关。无论数据存储在终端、服务器、数据库、还是SaaS应用中，无论是企业内部数据还是外部数据，无论数据是流动状态还是静止状态，零信任架构都需要采用一定的技术手段对数据进行保护，防止数据泄露。

IDaaS（Identity as a Service) 是零信任架构实践的一种主要形式，根本出发点是为了保护企业数据的安全，目前主流方法是通过基于风险的动态权限管控，来实现对危险访问的屏蔽。企业的敏感业务数据信息应该被隔离或是自动标识，并在整个数据生命周期中被持续保护。

身份安全

据 Verizon 有关数据统计，80%的数据泄露是因为身份凭证被盗或泄露引发的。在传统的企业内部可信网络区域内，黑客一旦入侵，就犹入无人之境，可以对企业IT资源进行肆无忌惮地破坏。大多数应用系统和服务交互都与用户是相关联的，因此零信任最为重要的策略对象主体就是身份和账号。在ZTX模型中，主要关注点在于如何使用企业网络和业务基础架构的用户的安全，以及减少这些合法用户身份所带来的潜在威胁。

IDaaS是目前最为先进的身份与访问管理解决方案，其中提倡的最为前沿的实践就是通过一种自适应的、基于风险的评估来识别潜在威胁，并且这种评估机制会贯穿整个用户生命周期。企业IT可以设置风险容忍度，并且允许风险评估引擎根据上下文信号来判定某一特定认证事件的风险等级，并根据风险等级洞察自动唤起二次认证。当然，这种信任也不是绝对的：自适应认证机制会持续对上下文信号进行监测，一旦用户上下文的其中某一方面发生改变，就会对用户进行再次认证和授权验证。

工作负载/应用安全

在ZTX模型中，工作负载安全重点关注网络环境、应用和其他技术设备的安全保障能力。无论是在何种云环境中，工作负载（比如应用系统、虚拟机、容器、Serveless等）都非常容易受到攻击。

企业如果想要实现基于零信任的工作负载安全，首先要弄清楚企业内部的工作负载资产情况，构建工作负载、安全组、实例和防火墙的实时拓扑，零信任的自适应访问授权引擎会根据企业工作负载的变化自动调整，并强制执行授权策略。在产品和能力提供方面，零信任的工作负载安全主要通过基于身份的代理网关实现，用户只可以看见和访问被授权的工作负载，未经授权的则无法看见和访问，同时结合其他传统的安全手段，来强化应用和工作负载的安全。

设备安全

在ZTX模型中，设备安全的重点在于持续对每个访问企业资源的设备（包括移动设备）进行隔离，并采取相对应的安全防护和控制性措施。设备除了看得见的传统服务器、PC 和智能手机之外，还包括 IoT 设备、网络基础设施组件、工作负载等软设备形态。

在产品能力方面，零信任的设备安全主要通过对设备的安全性进行持续检查和发现来实现，一方面根据预先收集的设备类型对设备的内网访问行为进行允许、拒绝和限制等授权，另一方面持续监测设备，确保设备行为不会偏离策略，同时根据已建立的策略发出通知并启动设备修复。

可视化和分析

看不见或看不懂的东西是无法被保护的。

Forrester 提出的这个维度主要关注零信任技术是否提供有用的分析和数据支撑，并且尽可能消除应用系统和企业IT基础架构存在的死角。在不同的维度下，有不同的支撑和实现场景，企业需要在对客户、业务和技术等维度有综合考虑和认知的情况下，再去定义零信任产品的数据分析和可视化逻辑。

自动化和编排

零信任安全体系如果想要实现价值最大化，就需要与更广泛的 IT 环境进行集成，并且需要提升自身的事件响应速度和策略准确性，并自动分配任务。在ZTX模型中，重点关注的是技术如何实现基于零信任原则的自动化和编排，使企业能够针对不同类型的应用系统加强统一管理和控制。

通过自动化和编排，零信任可以将复杂和繁琐的安全性任务转化为自动执行、按计划执行或事件驱动的自定义工作流。比如，在 IDaaS 平台中，很多厂商提供的解决方案会将主身份源系统与其他身份源系统，以及下游应用系统进行关联，实现对零信任主要策略对象人员和身份账号的自动化联动管理，只要主身份源系统中人员身份信息有调整或变动，关联的其他系统中的人员身份信息也会进行相应的调整和更新，从而将企业IT管理人员从庞杂的账号管理工作中解放出来。

在日志管理和审计方面，IDaaS平台也可以通过算法和风险评估模型，来自动对危险事件进行预测和报警，同时也可以与第三方SIEM产品相结合，为企业客户提供更加完整的日志分析服务。更多 IDAAS、零信任相关场景功能可搜索玉符科技进行咨询。

Reference

https://mp.weixin.qq.com/s/IZ3BGi3rPwcBgsTlc_ILLg

https://www.proofpoint.com/us/blog/zero-trust-network-access/implementing-zero-trust-extended-ztx-framework-meta-networks

来源：freebuf.com 2020-08-25 11:04:15 by: 玉符IDaaS