零信任從實踐到落地應用的觀察與思考
發(fā)布時間 2022-04-14作為一種新興安全理念和技術，零信任經過近十年的發(fā)展，正在從實踐邁向落地應用。隨著零信任從理念架構到落地實踐的不斷突破，如何加速構建零信任安全體系，用零信任解決方案保障千行百業(yè)的數字化轉型成為目前行業(yè)普遍關注的焦點。
從零信任國際發(fā)展歷程中看到，2017年前零信任還是歷經了一段長時間的慢跑；2017年后陸續(xù)提出了一系列的技術標準和架構，其節(jié)奏逐漸變快；從2021年開始，零信任相關技術的成熟度明顯提升。
1、零信任的實踐與應用
Google BeyondCorp是零信任的一個早期實踐，其是基于理念從零開始設計和構建零信任模型，歷經了數年的探索和實踐。其實踐的基本思想是將訪問主體、客體、及訪問權限進行了細粒度關聯和控制，核心組件包括設備、用戶、應用和工作流、網絡。其中，將網絡劃分了特權網絡和非特權網絡，在非特權網絡主要通過訪問代理（GFE）提供集中化的粗粒度的策略強制執(zhí)行機制，陸續(xù)對GFE能力進行擴展，包括認證、授權、審計等。
相比BeyondCorp，DISA（美國國防信息系統(tǒng)局）零信任戰(zhàn)略實踐的環(huán)境更復雜，其目標是從分散的各部門獨立的安全建設向統(tǒng)一安全防護架構改造。根據最新消息，DISA戰(zhàn)略于2022年1月份開始啟動，啟動前用一年多的時間進行方案評估和架構規(guī)劃。其過程從時間軸上如圖所示：
2020年10月，零信任參考框架在DISA的JITC（聯合互操作性測試指令）實驗室進行構建并測試，其目標是開發(fā)出一個不受供應商限制的解決方案。這一驗證也為后續(xù)的戰(zhàn)略計劃和方案建設奠定了信心和基礎。該驗證之前， NIST下屬的 NCCoE（國家網絡安全卓越中心）在2020年03月發(fā)布過《實現零信任架構》項目說明書（草案）,也是旨在通過商用產品構建零信任架構。
在架構設計中，定義了零信任架構的7個支柱性性元素，分別是：用戶、設備、網絡/環(huán)境、應用/工作負載、數據、可視化/分析、自動化與編排，并對這些元素匹配了具體的能力和關鍵技術。2021年10月份基于零信任架構進一步提出了構建方案—Thunderdome，確定通過SASE重構來實施零信任戰(zhàn)略。最后，根據確定的方案制定出項目具體的實施計劃。
Thunderdome方案實施的同時，美國管理和預算辦公室（OMB）也發(fā)布了《聯邦政府零信任戰(zhàn)略》正式版，明確了美國“民用機構”零信任架構的五個核心支柱，進一步從管理、技術、架構、基礎設施選用維度提出了具體要求。OMB與DISA零信任戰(zhàn)略規(guī)劃的過程看上去非常相似，但OMB的建設速度相對DISA又加快了很多。而DISA從互操作驗證到項目落地實施每個階段都保留了一段過渡時間，整個過程看上去更謹慎些。
總結美國從實踐到DISA重構轉型的過程，其中經歷了技術實踐、互操作性驗證、架構規(guī)劃、技術方案、實施計劃5個階段。如果說早期BeyondCorp是實踐，那么今天DISA和OMB的零信任戰(zhàn)略則承載了重要安全任務并且有技術標準、有架構驗證、有全局規(guī)劃及妥善計劃的落地應用。這在一定程度上標志著零信任從實踐走向了應用。
2、我國零信任應用的觀察
在國內，“替代VPN”一度被認為是零信任的重要使命之一。但VPN最初的使命是為遠程訪問建立專用網絡，而零信任的初衷是數據保護的一種安全范式，旨在防止數據泄露和限制內部橫向移動。用VPN應對云時代海量遠程接入的安全訪問需求原本也很牽強，但VPN持續(xù)暴露的安全風險，確實是助力零信任發(fā)展的重要力量之一，并且推動SDP網關成為替代企業(yè)遠程辦公的重要解決方案。
我們看到，保障零信任行業(yè)應用的相關配套標準已經開始出現。中國電子標準化協(xié)會主導的《零信任技術規(guī)范》、中國城市軌道交通協(xié)會主導的《城市軌道交通云平臺網絡安全技術規(guī)范》，均給出了采用零信任理念時強訪問控制的技術要求及可參考的邏輯架構，強調不管是人、設備、應用還是數據都要進行身份標識、訪問認證和動態(tài)授權。同時，商密行業(yè)為進一步增強了證書體系的安全性也在踐行零信任，在重要的訪問控制環(huán)節(jié)結合零信任理念對傳統(tǒng)數字證書的分發(fā)、授權進行改造。
零信任理念對傳統(tǒng)安全產品的賦能也再進一步加強：
（1）在用戶識別能力方面，零信任賦能了IAM為代表的身份與訪問安全技術，對用戶認證的需求又驅動了權限管理和特權管理成為更加重要的能力單元。
（2）在網絡與通信安全方面，以SDP為中心的訪問控制方案已成為網絡遠程接入安全的重要組成，但目前企業(yè)方面還是處于嘗試狀態(tài)，如何更好地進行持續(xù)風險評估，以及是否可以完全無特權訪問還待驗證。
（3）在終端安全方面，除了網絡接入側強驗證，零信任也進一步推進了安全引擎、沙盒、虛擬空間等技術在終端安全上的應用，擴展了終端基線檢測、入侵檢測/防護、審計等安全管理能力。這不僅對大量的、分散部署的終端風險管理的助力很大，也將幫助XDR提高快速檢測-響應能力。
（4）在數據安全方面，零信任理念整合了傳統(tǒng)數據安全的訪問和管控能力，能很好應對云平臺上大數據的碎片化管理問題；對移動和遠程終端上的數據泄露問題，通過終端的虛擬空間技術也得到了很好的擴展；另外，對數據中心的數據安全問題，在網絡側進行數據管控會更適合，但從訪問控制和部署角度看，其方案與遠程辦公的零信任方案又有異途同歸之處。
（5）在零信任理念的影響下，應用交付、WEB VPN類設備相比傳統(tǒng)的應用交付也做了很多改進：部署方案上訪問控制和策略管理在逐漸分離，產品設計上在增強多因素認證以改進權限管理策略，特別是在應對API訪問泛在化的安全風險中涌現了一波專業(yè)API安全防護能力，提升了運行時應用自我防護能力。
零信任理念讓用戶、終端、網絡、數據、應用五個方面安全能力都有了諸多改變，但是從系統(tǒng)化的建設角度看，國內目前的應用還很有限：
（1）零信任架構是一種集成了諸多安全能力的綜合性解決方案，對組件的依賴性大。但需求側，企業(yè)在零信任方案采購中更愿意選擇不受供應商限制的解決方案。
（2）從供給側來看，目前階段零信任方案還多由廠商主導，多以其擅長領域的能力提供為主，支撐企業(yè)進行零信任全局戰(zhàn)略規(guī)劃的難度較大。
（3）目前行業(yè)缺乏零信任方案組合的互操作性評估。同時對行業(yè)現有的零信任構建框架，需要更多的實踐去驗證。
