了解零信任安全体系，看这一张图就够了！

如果加星标，可以及时收到推送

锐安全第248篇原创文章，

本文1628字，阅读时长4分钟

上篇《零信任的科技树，到底是如何被一步一步点亮的？》写了零信任科技树14年点亮的过程，有朋友说看不到树，这里先补个“零信任科技树”：

图：零信任发展的科技树

对于了解零信任的人来说，好像我们更容易忽略它的“成长经历”，但是对于不了解零信任的人来说，好像我们更想知道它从哪来？它是谁？它将到哪儿去？

我们知道零信任理论的提出是2010年，但是我们可能不太清楚，零信任为什么会诞生？

【1】菲利普·卡明斯问题

2010年，Forrester之所以会提出“信息安全的零信任模型（Zero Trust Model Of Information Security）”，是因为他们发现不断变化的威胁环境，会打破传统的信任模式。

这里通过“菲利普·卡明斯问题（The Philip Cummings Problem）”，即美国历史上最著名的一起“网络犯罪分子与内部人员联手的窃密事件”，引出了“信任模式崩塌”的问题。

在1999年到2002年期间，TCI公司的客服员工卡明斯和他的外部犯罪同伙共窃取了大约3万个身份，导致270万美元的损失。

这场犯罪令人震惊的是即使卡明斯于2000年离职，犯罪行为也持续了数年，受害者并不知道网络犯罪分子已经渗透到他们的网络中且财务影响巨大。

最终，卡明斯被判处14年监禁和100万美元罚款，是美国历史上最大的身份盗窃案。卡明斯和他的犯罪同伙针对的是包含个人身份信息的特定系统，而不仅仅是任何有漏洞的IT系统。

鉴于卡明斯的情况，显然信息安全领域有根本性的东西出了问题。尽管我们有大量的控制措施，攻击者仍不断开发出新的威胁来突破我们的防线。Forrester的研究表明，一个新的威胁环境正在出现，有组织的犯罪甚至国家正在发起更具针对性、更重大的攻击。

零信任模型就是基于这个新的威胁环境产生的背景而提出的。

【2】零信任是什么？

知道了零信任从哪里来，现在要聊一下：零信任是谁？

美国国家标准与技术研究院NIST在《零信任架构》白皮书中定义了“零信任”和“零信任架构（ZTA）”:

零信任(Zero Trust)提供了一系列概念和思想，在假定网络环境已经被攻陷的前提下，当执行信息系统和服务中的每次访问请求时，降低其决策准确度的不确定性。零信任架构(ZTA)则是一种企业网络安全的规划，它基于零信任理念，围绕其组件关系、工作流规划与访问策略构建而成。因此，零信任企业是作为零信任架构规划的产物，对企业的网络基础设施(物理和虚拟的)及运营策略的改造。

国外知名IT咨询机构Gartner定义了“零信任网络访问（ZTNA）”:

零信任网络访问(Zero Trust Network Accees，ZTNA)也称为软件定义边界(SDP),是围绕某个应用或一组应用创建的基于身份和上下文的逻辑访问边界。应用是隐藏的，无法被发现，并且通过信任代理限制一组指定实体访问。在允许访问之前，代理会验证访问者的身份、上下文和策略合规性。这个机制将把应用资源从公共视野中消除，从而显著减少攻击面。

埃文·吉尔曼和道格·巴斯著的《零信任网络：在不可信网络中构建安全系统》一书中定义了“零信任网络”：

零信任模型旨在解决“基于网络边界建立信任”这种理念本身固有的问题。零信任模型没有基于网络位置建立信任，而是在不依赖网络传输层物理安全机制的前提下，有效地保护网络通信和业务访问。

国家标准化管理委员会的《GB/T 43696-2024 零信任参考体系架构》里对零信任的定义是这样的：

一种以资源保护为核心的网络安全理念。该理念认为主体访问资源时,无论主体和资源是否可信,主体和资源之间的信任关系都需要通过持续状态感知与动态信任评估,从零开始进行构建,以实施端到端安全的访问控制。

【3】零信任体系架构

了解了定义，我们就想知道，发展到今天，一个完整的零信任体系到底长什么样？这里，锐安全设计了一个零信任体系架构图：

图；锐安全零信任体系架构（ZTSA）

图上最下面一行是零信任的核心思想，最上面一行是零信任的目的，通过这个，就可以得出零信任的一个本质性的定义：

基于“持续验证、永不信任”思想，用以解决“内部威胁”造成的泄密问题的一种架构和方法。

左边是Forrester和DoD定义的零信任的七大“核心能力”，这七大能力支持了中间的“零信任模式”、产生了“关键技术”、最终支实现了零信任的“应用场景”。右面的“攻击者视图”是零信任体系面临的挑战，即用零信任依然很难解决的安全问题。

恭喜你，又看完了一篇文章。从今天起，和我一起洞察安全本质！这里是锐安全，今天就到这里，咱们下周四再见！

您的安全架构航海之旅到了这里：

点击文末【阅读原文】,看到一个完整的安全系统

end

如果你对本文有任何建议,

欢迎联系我改进；

如果本文对你有任何帮助，

欢迎分享、点赞和在看

如果心生欢喜，不如做个长期朋友：）

参考资料：

[1]John Kindervag.No More Chewy Centers: Introducing The Zero Trust Model Of Information Security，2010-09-17. https://media.paloaltonetworks.com/documents/Forrester-No-More-Chewy-Centers.pdf

[2][美]埃文·吉尔曼 道格·巴斯.零信任网络：在不可信网络中构建安全系统，中国工信出版社 人民邮电出版社,2019年8月。

[3]陈本峰 贾良珏 魏小强 董雁超.零信任安全从入门到精通，2024年1月. 中国工信出版社 电子工业出版社

[4]Paloalto.John Kindervag.https://www.paloaltonetworks.com/blog/author/john-kindervag/

[5]Embrace proactive security with Zero Trust .https://www.microsoft.com/en-us/security/business/zero-trust#:~:text=Zero%20Trust%20defined%20Instead%20of%20assuming%20everything%20behind,Trust%20teaches%20us%20to%20%E2%80%9Cnever%20trust%2C%20always%20verify.%E2%80%9D

[6]锐安全.做为五大安全架构之首的零信任，到底能解决什么问题？,https://mp.weixin.qq.com/s/_zD4PVYCI-WLL2ti9dwBZg

[7]锐安全.零信任的科技树，到底是如何被一步一步点亮的？,https://mp.weixin.qq.com/s/S6GgJvNNuZ02okccB1QtTg

[8]Google.BeyondCorp-A New Approach to Enterprise Security,2014

[9]A New Approach to Enterprise Security.https://www.beyondcorp.com/

[10]CSA.SDP标准规范1.0,2014-04

[11]Forrester.The Zero Trust eXtended (ZTX) Ecosystem,2018-01-19

[12]Gartner.Zero Trust Is an Initial Step on the Roadmap to CARTA,2018-12

[13]Gartner.Market Guide for Zero Trust Network Access,2020-06-08

[14]奇安信 Gartner.零信任架构及解决方案,2019

[15]NIST.NIST SP800-207 Zero Trust Architecture,2019-09

[16]奇安信.由奇安信牵头的零信任国家标准编制工作正式启动,2020-10-22.https://www.qianxin.com/news/detail?news_id=754

[17]奇安信.信息安全技术 零信任参考体系架构,2024-04

[18]雷达通信电子战.美“国防部数字现代化战略”报告(附下载) ,2019-07-25.https://www.sohu.com/a/329339096_695278

[19]DOD.Zero Trust Reference ArchitectureV2.0,2022-07

[20]DOD.DoD Zero Trust strategy,2022-11

[21]DOD.Department of Defense Zero Trust Overlays

题图：

题图创作者：晓兵与AI小助手

算法提供：SDXL

原文始发于微信公众号（锐安全）：了解零信任安全体系，看这一张图就够了！