零信任安全从理论模型到实践落地
以零信任理念落地云原生安全
2021.02 /99以零信任理念落地云原生安全记者：云原生安全和云安全有什么不同？其自身有哪些安全特性？伍海桑：安全机制一直是跟随IT 基础设施和业务的演进而演进，来更好地为其提供服务，随着企业数字化转型，数据和业务上云，云安全就应运而生。
云安全的范围很广，包括访问和使用云系统、云应用全环节数据和业务的安全。
云原生安全这个概念是业界约定俗成的习惯称呼。
云计算许多新的技术形态是天然在云上诞生来促进满足弹性、迁移、灵活等云计算需求，一般而言，随着这些全新云计算技术形态而产生的安全，常称为云原生安全。
区别于传统安全产品云化成的云安全产品，以及云运营商为配套云服务所提供的安全产品，云原生安全“应云而生”，是基于云原生而生的“新安全”产品和服务，和云天生具有较好亲和力，利用云的固有优势，为云环境和云原生业务提供内建的安全防护。
一方面可以兼容容器（docker）、无服（serverless）等新形态并解决好其所面临的安全问题；另一方面，其具备自动化配置、自适应、弹性扩展、“开箱即用”、随时保持业务持续性、覆盖数据和业务全生命周期等特性。
记者：云原生安全的发展会给安全带来什么改变？志翔在云原生安全方面，有什么布局和落地案例？伍海桑：企业上云的趋势将持续并加速推进，云原生安全将成为企业上云中必不可少的关键配置,并且随着企业上云规模的扩大，和云上数据、业务、应用重要性的不断提升，将扮演着越来越重要的角色。
万变不离其宗，安全最终都是围绕要保护的对象来逐层构建一个防护体系。
云时代数据和业务处在安全的核心保护位置，围绕其由内至外展开的数据安全、应用安全、计算安全、网络安全等就组成了云安全体系，再细化到每一个层级又包含了工作负载安全、主机安全等很多细分领域，在技术手段上又有身份认证、入侵检测、安全运营、隔离等多种方式。
云原生安全已经走出了概念的阶段，云原生安全框架下多种安全技术、产品早已落地应用。
例如志翔的至明®智能主机安全响应系统，就是为企业的云上数据和业务构建安全可信办公环境。
“零信任”安全体系架构和实践
“零信任”安全体系架构和实践杭州美创科技有限公司柳遵梁在万物互联时代，全球数据量与日俱增，人们在探究数据价值的同时也打开了数据安全这个潘多拉魔盒。
一、为什么传统网络安全在数据安全时代开始失效？虽然已经部署了周全的网络安全措施，但数据安全事件依然不断发生。
步入数据安全时代，那些原先有效的安全措施开始失效甚至于无效，这个世界究竟发生了什么变化？1.日益普及的互联网业务互联网的飞速发展打破了常规的时间、空间限制，使我们可以服务的人群变得无限多。
当然，互联网带来无限多客户的同时也带来了无限多的黑客。
在海量的黑客面前，任何细微漏洞都可以被捕获，导致安全风险被无限放大。
特别是两个基本假设的成立让我们无所适从：（1）任何应用程序都会存在漏洞；（2）黑客总是比用户更早地发现漏洞。
2.肆意泛滥的社交网络伴随着移动互联网的兴起，社交网络有了新的颠覆性转变。
从电子邮件到QQ、微博、微信等，彻底打通了内外部网络，网络边界变得越来越模糊。
每个人在社交网络上都存在大量的“最熟悉的陌生人”，他们可以利用我们的信赖轻而易举地进入我们的网络。
3.无限提高的数据价值从网络安全到数据安全转变的根本原因是数据价值的无限提高。
在很多机构，数据已经成为其核心财富甚至是最大财富，甚至有“抢银行不如抢数据”的说法。
在数据财富无限快速放大的过程中，数据财富的管理并没有发生本质的变化，基本处于裸奔状态。
因此，那些缺乏保护的数据财富在不断诱惑企业的员工、合作伙伴犯错，不断诱惑黑客来攫取。
在现实生活中，我们不会把海量现金放在客厅、广场等公共场合，我们总是小心翼翼地为这些财富施加众多的保护措施，或者委托给更加专业的信用机构（如银行）进行保管。
然而，我们现在对于数据财富的处理方式，无异于是把它放在客厅里，甚至是广场上。
在数据世界里，我们尚未发现类似于银行之类的机构来保障我们的数据财富安全。
4.数字世界和现实世界的镜像随着数据价值的凸显，特别是人工智能的兴起，我们正在把现实社会发生的一切进行数字化和数据化。
网络安全零信任技术发展报告
前言随着全球数字化转型的逐渐深入，在“云大物移智工”等新技术发展支撑下，零信任从原型概念加速演进，成为新一代信息技术安全架构。
在过去的2019 年，国内零信任从概念走向落地，零信任安全架构以其兼容移动互联网、物联网、5G 等新兴应用场景，支持远程办公、多云环境、多分支机构、跨企业协同等复杂网络架构，受到各界青睐，从产品研制、解决方案到应用试点示范，到逐步探索完善适应不同场景的零信任应用实践。
进入2020 年以来，在“新基建”和疫情的双重刺激下，零信任作为一种可支撑未来发展的最佳业务安全防护方式，成为我国网络安全界的焦点。
本报告聚焦零信任发展，从技术、产业、应用和实践四个维度进行剖析：技术部分包含零信任安全架构定义和关键技术的最新研究成果；产业部分介绍了国内外产业发展、标准化等方面的最新进展；应用部分汇集远程办公、大数据中心、云计算、物联网和5G 应用等核心应用场景的零信任解决方案建议；实践部分聚焦零信任规划与部署，介绍零信任实施经验。
最后以零信任建议和展望总结全文，希望通过本书帮助更多的人理解和实践零信任，加快推进零信任创新发展，为以新基建为代表的数字化转型保驾护航。
一、零信任技术和产业发展现状 (1)（一）零信任核心原则 (2)（二）零信任安全架构及组件 (4)（三）零信任关键技术 (7)（四）国外产业发展及应用规划 (10)（五）国内零信任概念走向落地 (12)二、零信任应用场景 (14)（一）远程办公 (14)（二）大数据中心 (18)（三）云计算平台 (22)（四）物联网 (26)（五）5G 应用 (30)三、零信任实施建议 (34)（一）使用范围 (34)（二）实施规划 (38)（三）技术实现 (40)四、零信任思考和展望 (46)图1 零信任概念演进历程图 (2)图2 零信任架构总体框架图 (4)图3 基于零信任架构的远程办公安全参考架构 (18)图4 数据中心内部访问流程示意图 (21)图5 数据中心安全接入区案例示意图 (22)图6 基于零信任架构的云计算平台安全参考架构 (26)图7 基于设备指纹的物联边缘网关零信任方案示意图 (30)图8 零信任实施技术路线示意图 (41)表目录表1 零信任解决方案市场供应商分析 (11)表2 5G 架构下的主要对象 (31)表3 5G 架构下的风险来源 (31)表4 5G 架构下的攻击情况 (31)表5 5G 典型攻击行为案例 (32)一、零信任技术和产业发展现状近年来，中央地方高度重视新型基础设施建设（简称“新基建”），国家高层会议密集提及新基建，各省积极推动新基建项目集中开工。
零信任架构在企业网络安全中的实践
零信任架构在企业网络安全中的实践在当今数字化的商业环境中，企业面临着日益复杂和严峻的网络安全威胁。
传统的基于边界的网络安全模型已经难以应对这些挑战，零信任架构作为一种新兴的网络安全理念和架构模式，正逐渐成为企业保障网络安全的重要手段。
零信任架构的核心思想是“默认不信任，始终验证”，即不再默认信任企业内部和外部的任何访问请求，而是在每次访问时都进行严格的身份验证和授权。
这种理念的转变是对传统网络安全模型的重大突破，传统模型往往基于网络位置来判断信任与否，而零信任架构则完全摒弃了这种基于网络位置的信任假设。
那么，零信任架构在企业网络安全中的实践是怎样的呢？首先，身份和访问管理是零信任架构的基础。
企业需要建立一个强大的身份管理系统，确保每个用户的身份都能被准确识别和验证。
这包括采用多因素身份验证（MFA），如密码、指纹、令牌等多种方式的组合，以增加身份验证的可靠性。
同时，对用户的访问权限进行细粒度的划分，根据其工作职责和业务需求，仅授予其所需的最小权限。
其次，持续的信任评估和动态授权是零信任架构的关键。
企业要实时监测用户的行为、设备的状态、网络环境等因素，根据这些因素动态调整用户的访问权限。
例如，如果检测到用户的设备存在安全漏洞，或者其行为异常，如在短时间内尝试多次登录不同的系统，就应立即降低其访问权限甚至暂时禁止其访问。
再者，微隔离技术在零信任架构中也发挥着重要作用。
它将企业的网络细分为多个微分段，每个微分段都可以独立进行安全策略的配置和管理。
这样，即使某个微分段受到攻击，也能有效防止威胁在整个网络中扩散。
通过微隔离技术，企业可以更精确地控制网络流量，确保只有合法的访问请求能够在不同的微分段之间流通。
另外，数据保护是零信任架构的重要组成部分。
企业需要对数据进行分类和分级，根据数据的重要性和敏感性采取不同的保护措施。
对于敏感数据，应采用加密技术进行保护，确保即使数据被窃取，也无法被轻易解读。
同时，对数据的访问和使用进行严格的审计和监控，及时发现和防范数据泄露的风险。
零信任的价值和实践经验
零信任的价值和实践经验随着互联网的快速发展，在线互联和信息技术的迅速普及，网络安全问题已经成为了一个日益严重的问题。
在这种情况下，“零信任”成为了一种新的网络安全理念和实践方式。
通过本文，我将详细阐述“零信任”的价值和实践经验。
1. 零信任的价值- 改变传统的安全模式：传统的安全模式通常以企业内部为中心，只有授权的用户才能获得访问权限。
这种模式在今天的网络环境中很容易被攻击者破解，造成严重的安全漏洞。
而“零信任”模式则在用户凭证、应用程序和数据等方面采取了更加严密的控制，从而对安全形成了更为积极的保护。
- 全面防范各种攻击：采用“零信任”模式可以全面防范各种攻击，包括内部人员误操作、网络间谍攻击、公开云部署安全威胁等。
在这种模式下，所有的操作和访问都需要进行身份验证和访问控制，从而全面提升了安全性。
- 增强敏捷性和灵活性：采用“零信任”模式可以更加灵活地应对不同的网络环境，同时也可以增强企业的敏捷性。
在这种模式下，所有的用户、设备和数据都可以进行细粒度的控制和管理，从而提高了企业的网络安全水平。
2. 零信任的实践经验- 必须有清晰的安全策略：在实施“零信任”模式之前，企业必须有很清晰的安全策略，包括访问控制、身份验证、数据保护等方面的规定和措施。
这些策略必须明确、可执行和更新，以确保企业网络系统的安全性和稳定性。
- 实施访问控制和身份验证：访问控制和身份验证是“零信任”模式最核心的内容。
企业应该在用户、设备和应用程序等方面进行有效的身份验证，并且在访问控制方面采取了适当的策略和措施。
这样可以保证只有授权用户才能访问企业的数据和系统。
- 采用多层次的安全控制：在“零信任”模式下，企业可以采取多种不同的安全控制措施，包括网络隔离、数据加密、审计跟踪等。
这样可以形成多层次的安全控制，并且使攻击者无法轻易地进入企业的网络系统。
- 采用最新的安全技术：在实施“零信任”模式的过程中，企业应注意采用最新和最先进的安全技术和工具，包括人工智能、机器学习、行为分析等技术。
零信任安全
背景介绍
2014年，由云安全联盟CSA的SDP工作组提出的“软件定义边界“（SDP）技术架构标准，在全球成为一个被 广泛应用的零信任安全技术解决方案。SDP，全称Software Defined Perimeter，是通过软件定义的方式为企业 或者组织机构在互联上构建一个安全可信的虚拟边界。SDP打破了传统防火墙的物理边界局限，让企业服务器可 以在任何数据中心或者云上，办公设备也可以位于任何位置，顺应云大物移的时代趋势，成为企业上云、移动办 公、远程办公、物联安全、大数据安全的零信任安全最佳实践解决方案。
技术方案
零信任安全只是理念，企业实施零信任安全理念需要依靠技术方案才能将零信任真正落地。除了目前流行的 软件定义边界SDP技术方案外，在NIST《零信任架构标准》白皮书中列举了3个技术方案，可以归纳为“SIM”组 合：
1)SDP，软件定义边界;2)IAM，身份权限管理;3)MSG，微隔离。
零信任安全
零信任安全
计算机术语
01 背景介绍
03 技术方案
目录பைடு நூலகம்
02 安全理念 04 应用场景
零信任既不是技术也不是产品，而是一种安全理念。根据NIST《零信任架构标准》中的定义：
零信任（Zero Trust，ZT）提供了一系列概念和思想，在假定络环境已经被攻陷的前提下，当执行信息系统 和服务中的每次访问请求时，降低其决策准确度的不确定性。零信任架构（ZTA）则是一种企业络安全的规划， 它基于零信任理念，围绕其组件关系、工作流规划与访问策略构建而成。
2019年，在工信部发布的《关于促进络安全产业发展的指导意见(征求意见稿)》的意见中， “零信任安全” 被列入“着力突破络安全关键技术”之一。同年，中国信通院发布了《中国络安全产业白皮书》，报告中指出： “零信任已经从概念走向落地”。国家也首次将零信任安全技术和5G、云安全等并列列为我国络安全重点细分领 域技术。
零信任在企业落地中的最佳实践
信任是一个可以被恶意企图利用的危险漏洞
谁是VIP…VIP 在哪里…谁有权限接近VIP…
微边界控制策略
保护边界
边界监控
消毒液
避免接触和食用野生动物
勤洗手
酒精消毒
经常开窗通风
定期消毒
疫苗
加强锻炼，规律作息
少吃外卖
及时观察就医
与用户信息安全发展阶段对应
适应用户安全需求的各个阶段
Cortex ™ XSOAR
Cortex ™ XSOARAuto Focus Threat IntelligenceWild Fire Malware Analysis
Cortex ™ XDR
VM- Series NGFW
NGFW
Prisma ™ Saa S
Cortex ™ Data Lake
Cortex ™ XDR
安全威胁综合分析及自动化编排
FW 即平台
Prisma ™ Cloud公有云安全
FORRESTER WAVE™ZTX 生态提供者的领导者
“Palo Alto Networks 拥有最完善的零信任方案 … 在本地数据中心以及云环境里的任何位置为 客户交付零信任.”- TheForresterWave™: 零信任生态系统平台提供者,Q32020
完整落地方案和市场占有率最高综合评分
Thank you
零信任架构最佳实践
传统边界安全应对威胁思路
Untrusted
Trusted
恶意内部人员员工无意识社会工程
边界明确化
数字化转型颠覆了这一切用户业务体验：用户无论何时何地以何种方式接入网络，都能获得 无差异体验IT架构：资源逐渐在后台或云端集中，经过策略优化和安全过滤后 提供需要的用户和应用
零信任安全模型及其实施方法
零信任安全模型及其实施方法近年来，随着信息技术的迅猛发展和互联网的普及，网络安全问题日益凸显。
传统的安全模型已经无法满足当今复杂的网络环境下的安全需求。
在这种背景下，零信任安全模型应运而生。
本文将介绍零信任安全模型的概念及其实施方法。
一、零信任安全模型的概念零信任安全模型（Zero Trust Security Model）是一种基于“不信任”的安全理念，它认为网络中的任何主体都不应该被默认为可信任的。
传统的安全模型通常将内部网络视为可信任区域，而将外部网络视为不可信任区域。
然而，随着网络攻击手段的不断演进，外部威胁已经不再是唯一的安全威胁。
内部威胁、恶意软件和高级持续性威胁（APT）等新型攻击手段的出现，使得传统的安全模型变得不再适用。
零信任安全模型的核心思想是，不论是内部用户还是外部用户，都需要经过严格的身份验证和授权才能访问网络资源。
该模型通过将网络划分为多个安全域，并为每个用户或设备分配唯一的身份标识，实现了对网络中的每个主体进行细粒度的访问控制。
只有在通过身份验证和授权后，用户或设备才能获得访问权限。
二、零信任安全模型的实施方法1. 身份验证和授权零信任安全模型的核心在于身份验证和授权。
在实施零信任安全模型时，首先需要建立一个统一的身份验证系统，用于对用户或设备进行身份验证。
常见的身份验证方式包括用户名密码、双因素认证、生物特征识别等。
通过身份验证后，系统会为每个用户或设备分配唯一的身份标识。
在身份验证的基础上，需要建立一个细粒度的授权机制，用于对用户或设备进行访问控制。
授权机制可以根据用户的身份、角色、访问环境等信息来确定其访问权限，并对访问行为进行实时监控和审计。
2. 网络分段和隔离为了实现零信任安全模型，还需要对网络进行分段和隔离。
通过将网络划分为多个安全域，可以限制用户或设备的访问范围，减少潜在的攻击面。
网络分段可以通过虚拟局域网（VLAN）或软件定义网络（SDN）等技术来实现。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
防范动态威胁
• Expect and prepare for the worst 做好最坏打算
1个含义 零信任不是零访问，而是更安全访问被防护的资源
企业零信任之旅的六大收获
⚫ 降低风险
强化资产的发现，任何应用与服务都会被识别并给予 身份，对敏感信息的攻击途径会被分析，数据流图使 网络的透明度增加
⚫ 降低成本
道路目标 -- 记住你的北斗七星“1个理念，5项原则，1个含义”
1个理念
永不信任 始终验证
5项原则
A B C DE
• Assume nothing
不做任何假定
• eve nobody
不信任何人员
• Check everything all the time
随时检查一切
• Defeat Dynamic threats/risks
精细化实施，仅允许已 知流量或合法应用程序 连接
监视和维护
5
检查内外部所有日志
侧重零信任操作方面 检查记录所有流量 改进环境
案例：微软20年零信任之路-从无边界网络到零信任
2001
Anywhere Access/MSI 政府安全计 划源代码共 享基础设施
微软IT：2019年零信任新战略 – 目标与收益
对于数字化转型依赖软件与应用的组织机构，零信任 能很好地支持DevOps，使应用部署适配业务优先级 减低各组织部门之间的摩擦
B52常规轰炸机
安全从防弹衣走向隐身衣 漏洞仍存在，但很难发现 事件仍发生，但几率变小
B2隐身轰炸机
零信任战略核心 -- 以身份为边界（Identity based）
传统架构 ①先连接 ② 后认证 以网络为边界
零信任架构：1个标准（ZTA），3大技术（SIM）
NIST SP 800-207 Zero Trust Architecture （NIST 零信任架构草案第二版）
• 最小授权：缺省是无权 • 三个层面：数据、控制、管理 • 被保护资源：网络/数据/应用/系统/存储等 • 身份认证：支持人、设备等动态实时管理 • 防范和保护：防弹衣、双向防护 • 通信加密
“Strong identity + device health + least privilege user access verified with telemetry” “身份强认证+设备健康度+最小权限用户访问，由安全大脑验证”
✓ Assets are moved from the internal network to the internet… except for the most critical assets 从内网迁移到互联网的数字资产
将保护目标聚焦到负载与数据，通过策略与控制排除 不需要访问资源的用户/设备/应用，恶意行为被限制， 大大降低安全事件数量，企业有更多时间与资源来迅 速恢复少数的安全事件，降低业务成本
⚫ 业务敏捷
摈弃了静态边界防御的慢速与不方便的检查，安全不 再是业务的绊脚石，使业务能更快上线，用户的安全 体验更好，增加了业务的速度与敏捷性
CSA授权第三方机构提供服务，框架立足客户实际业务保障需求，对安全知识进行重构与梳理， 拥有系统性、战略级安全知识架构，提供综合性零信任战略咨询服务产品包，四大服务包，十一 类安全交付件。
Ⅰ 安全评估
(1) 业务场景诊断 (2) 技术安全诊断 (3) 职能安全诊断
Ⅱ安全战略规划
(4) 安全SP / BP (5) 安全效能提升
零信任安全从理论模型到实践落地
Zero Trust: From Theoretical Model to Practical Landing
道路起点：零信任落地是企业一把手工程，不是购买产品服务
安全理念
安全战略
安全架构
零信任在全球被全面拥抱；甲方、乙方、中立机构一起大规模落地实施；中国工信部确定零信任为安全关键技术
创建策略确定访问流程
根据业务需求记录流程， 从下一代防火墙开始制 定零信任架构
下一代防火墙充当分段 网关，在保护面周围创 建一个微边界。对任何 尝试访问保护表面内的 对象使用分段网关，强 制执行附加的检查和访 问控制层，一直到第七 层。
提前了解访问用户对象 /访问的应用程序/访问 原因/连接方式等，确 认合适控件保护该访问
零信任架构
① 先认证
② 后连接 以身份为边界
• 通过防火墙，VPN 、IDS/IPS等设备 建立企业的网络边界
• 构筑基于内网位置的信任体系，认为 网络内部的人员与设备是可信的
• 从不信任，始终验证 • 基 于 身 份 -- 人 、 设 备 、 应 用 等 • 看不见、拿不走、可追溯、能销毁 • 云管端、动静用、前中后 • 防范和保护：隐身与防弹并重 • 智能化和自适应
SDP
ZT-IAM
MSG
CSA零信任成熟度模型框架 ZT-CMM Framework
远程 办公
产业 互联网
工业 互联网
企业 上云
BYOD
业 务 场 景层
供应链
外部 协作
其它
身份
设备
网络
应用
技 术 安 全层
基础设施
数据
界定保护面
绘制交互流程
构建零信任环境 职 能 安 全层
创建零信任策略
监控及维护
CSA零信任战略咨询服务框架 ZT-SCS Framework
Ⅲ 安全解决方案
Ⅳ 知识转移
(6) 技术路标 (7) RFP服务 (8) 方案实施管理服务
(9) 安全技术培训 (10) 安全意识培训 (11) 中高级管理者安全培训
企业零信任实践之路的步骤（职能安全）
界定保护范围
1
确认保护面：关键数 据/应用程序/资产/ 服务（DAAS）
把控件移近保护面并 附上限制性的/精确 的/可理解的策略声 明
⚫ 安全合规
使安全审计师更容易看清网络，便于审计工作并减少 违规发现，其架构本身已经具有多项安全控制措施满 足合规条款，包括国际与行业安全标准及中国的等级 保护2.0等
⚫ 有效控制
在公有云，混合云，多云环境下把网络通信限制在有 身份被验证的负载中，防止包括云服务商管理员在内 的各方向攻击
⚫ 改善管理
创建微边界或分隔微 边界
记录业务流转
2
流转传输方式决定保 护方式
通过获得有关DAAS 相互依赖关系的上下 文信息，记录特定资 源的交互方式有助于 加强控制并提供有价 值的上下文信息，确 保最佳安全环境
降低对用户和业务运 营的干扰
构建 零信任环境
3
以保护面为中心自定义 并构建网络
创建 零信任安全策略
4