目錄

零信任理論所需技術

零信任落地所需技術

零信任網絡的技術難點

零信任網絡控制平面

如何突破零信任的挑戰

零信任遷移中的另一項挑戰，是讓員工具備該新理念的思維方式

---

BeyondCorp: 谷歌零信任安全模型

零信任理論所需技術

在各種各樣的現有技術和監管過程支撐之下，零信任方法才得以完成保護企業IT環境的使命。它需要企業根據用戶、用戶所處位置、上下文信息和其他數據等條件，利用微隔離和細粒度邊界規則，來確定是否信任請求企業特定范圍訪問權的用戶/主機/應用。

• 首先，要弄清楚用戶身份，確保用戶真的是他/她所聲稱的那個人；
• 然后，要保證用戶所用終端是安全終端，或者該終端處在安全狀態；
• 最后，還要有個信任策略，指定哪些人能訪問哪些東西。

零信任依靠多因子身份認證、身份與訪問管理(IAM)、編排、分析、加密、安全評級和文件系統權限等技術來做上述工作。?最小權限原則也是零信任倚賴的監管策略之一，也就是只賦予用戶完成特定工作所需的最小訪問權限。

基本上，零信任就是公司企業收回安全戰場控制權，在各部門應用網絡分隔和下一代防火墻，控制網絡接入的身份、對象、地點和時間，是從內而外地施行控制，而不是由外而內。現今的大部分IT場景中，零信任不僅僅是技術，還有關思維和過程。

零信任落地所需技術

目前市場上，“零信任”產品的技術實現方法不同，但是他們提供的價值主觀是相同的，例如：
國內某零信任安全能力平臺認為“零信任“落地至少需要具備以下幾種技術：

最小權限訪問
基于可信的終端、應用、身份、流量、上下文信息，進行細粒度的風險度量和授權，實現動態訪問控制。

終端數據隔離
防護邊界延伸到終端，企業應用運行在終端沙盒中，有效防止數據泄露。

應用資產隱藏
所有的訪問需要通過分布式代理網關接入，應用資產不直接暴露在互聯網上，大大減少被攻擊面。

零信任網絡的技術難點

按目前零信任網絡的發展來看，零信任網絡還有很多不足。比如BGP、身份和訪問管理（IAM）服務等路由協議之間缺乏集成。路由如果足夠智能，可以將具有子IP地址的源設備存儲在一個子IP網絡中，并通過IP地址和應用程序將數據包發送到目標子IP網絡。 此外，雖然現在IAM可以用于網絡，但它并不用于確定數據包是如何路由的。下圖說明了零信任網絡正在將路由器的路由表與目錄的AAA策略結合起來，以允許或拒絕一個包從源到目的地的轉發。與目前的二進制規則相比，更精細的規則可以應用到路由中，后者可以提高網絡性能和安全控制。

零信任網絡控制平面

為了使IP路由與目錄一起工作并實施零信任網絡策略，網絡必須能夠保持狀態。盡管防火墻和其他安全設備保持狀態，但迄今為止的IP網絡是無狀態的。原本路由器無狀態是為了保持它們的簡單和快速，但現在通過在路由器中添加狀態，可以添加額外的服務，使路由更加動態、智能和安全。多年來網絡流量的增長迅速，讓路由器不堪重負，所以創建能夠快速處理數據包的路由器尤為重要。

現在的網絡需要基于邊緣、分布和核心的體系結構，其中路由是在分發層進行的，交換在邊緣和核心中完成。隨著路由器從專用設備轉向在網絡邊緣運行的軟件，在路由中增加額外安全和智能的限制或可被解除。如果將網絡比作道路系統，路面的各種車輛是IP包，路邊的房屋是設備或系統。今天任何人都可以離開自己的房子，通過各種路線（網絡）開車（IP包）到你家門口。他（或她）可能沒有鑰匙進入你的家，但他（或她）可以藏起來，等待進入的機會，就如同網絡病毒一樣等待機會侵入你的電腦系統。然而在一個零信任的世界里，任何人想去你家（訪問設備或系統）必須事先和你預約（上報身份信息、設備、系統信息等），并得到同意后才能拜訪。 零信任網絡是數字虛擬世界中必要的安全保障。

如何突破零信任的挑戰

部分企業的IT部門已經實現了零信任的很多方面。他們通常已經部署了多因子身份驗證、IAM和權限管理。其環境中也越來越多地實現了微分隔。但建立零信任環境不僅僅是實現這些單個技術，而是應用這些技術來施行“無法證明可被信任即無法獲得權限”的理念。企業得從戰略上確定哪些技術有助實現這一理念，然后再去買入這些技術。

在技術的應用上最忌諱病急亂投醫，與其期待亂買來的藥能治好病，不如先好好診斷診斷，弄清楚自身情況再采用相應的技術。轉向零信任模型不是一朝一夕之功，也不是件容易的事兒，尤其是在有不適應該新模型的遺留系統的時候。 很多公司都在向云端遷移，這是個全新的環境，很適合應用零信任模型，可以從云端開始零信任旅程。公司企業，尤其是有著復雜IT環境和大量遺留系統的大型企業，應將零信任遷移看做是多階段跨年度的一項工程。

零信任遷移中的另一項挑戰，是讓員工具備該新理念的思維方式

比較不幸的是，大多數企業IT專家接受的教育或培訓讓他們默認企業環境是可信的，他們被教導得想當然地認為防火墻能將壞人擋在外面。人們需要調整自己的思維模式，要清楚當前態勢下壞人可能早就在自家環境中了。

公司企業還需認識到，零信任與其他成功的IT或安全原則一樣，需要長期堅守，不斷維護，而且零信任工作中的某些部分會更具挑戰性。 從傳統企業網絡遷移至BeyondCorp前，谷歌花費兩年時間來創建用戶和設備信任庫，這是一個比較漫長的過程。谷歌實行BeyondCorp計劃離不開高層的支持，盡管該類型網絡維護成本較低，但對預算要求頗高。比如說，微分區工作中，安全/IT團隊就必須確保配置修改是恰當的，并更新不停改變的IP數據以保證員工工作或企業交易所需訪問不被中斷。否則，企業可能會面臨工作阻塞問題。

很多公司都會想，遭遇惡意軟件導致業務中斷，和配置錯誤導致停工一天，本質上都不是什么好事。微分隔方法所需的持續維護可能會帶來很多臨時應急的措施，或許會讓網絡更加脆弱。?在遺留系統和現有環境中整體應用零信任模型所導致的復雜性，表明公司企業真的沒有做好完全實現該模型的準備。

因此，公司企業最好是從設計上就打造零信任，而不是在原有基礎上修修補補。 換句話說，應將零信任模型作為公司整體數字轉型戰略的一部分，實現那些有助于在云遷移過程中達成零信任的技術，淘汰掉那些老舊的遺留系統。而且，CISO、CIO和其他高管應參與進轉向零信任的過程中，這樣他們才能安排過程中各項事務的優先級，確定哪些動作應盡快完成，而哪些部分可以先等等。

零信任遷移基本等同基礎設施轉型。信息安全并沒有跟上數字轉型/現代化環境的腳步。但企業必須轉換安全管理的方式。想要整體安全，想要有安全準備度，就需要換一種思維方式。 無論是BeyondCorp還是其他零信任網絡架構，都提供了一種新的安全模式，設備和用戶只能獲得經過驗證的資源，如此企業才構建了更為安全的環境。

總結

以上是生活随笔為你收集整理的零信任技术进阶篇（关键技术及挑战、BeyondCorp安全模型）的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。