连载：零信任的最后一公里（一）

1. 背景

零信任概念在全球安全行业已经持续热闹了好几年，而且有愈演愈烈的趋势，零信任作为网络安全的一个新兴理念，逐渐被行业和市场广为接受，并逐步在实战中发挥重要作用。

国内加入零信任俱乐部的厂商也越来越多，有传统大厂，也有创业新贵。有来自密码和加密领域的，有来自堡垒机、4A、IAM、身份管理、身份认证领域的，还有做VPN的，甚至做UTM的厂商，现在纷纷转投零信任的怀抱。

窃以为，零信任的提出源于IT基础架构的演化：移动终端、IOT设备、远程办公、SaaS应用、分布式数据中心、分支机构、合作伙伴等等，这些新型IT基础设施和IT场景的出现，对传统企业的IT组网和IT架构提出了严峻的挑战，如何解决新形势下IT组网问题？如何解决业务在各种场景下的访问问题？如何解决业务被安全的访问问题？这些构成了今天大家看到的零信任甚至是SASE的基本问题领域。

新的企业IT组网问题已经交给SD-WAN去解决了，而企业边界消失带来的安全问题该如何解决？检测派提出了纵深防御、XDR、威胁情报、欺骗诱捕等相关的理念和举措，管控派则提出了ZTNA、IAM、SDP等一系列体系和方案。

2. 零信任概念架构

关于零信任架构，相信很多人从Gartner报告或各厂家的相关解决方案中都看到过，零信任所秉承的从不信任、最小权限、持续验证等理念早已耳熟能详，这里简单画个示意图：

图1：零信任概念架构

3. 零信任最后一公里：从业务逻辑到数据的访问（右侧零信任）

个人认为零信任架构从逻辑上可划分为两个阶段：

1）左侧零信任：访问主体（人或应用等），基于不同角色和权限，利用不同的资源（PC、移动、IOT等），在不同的环境下（本地/远程/云端、总部/分支机构/合作伙伴、时间、连接方式、终端环境等环境因素）基于最小权限对业务实现动态安全访问，并持续验证；

2）右侧零信任：以上述为前提，在不同业务逻辑下，对业务数据实现动态安全访问，并持续验证，即零信任的最后一公里，也称作“精细化动态马赛克技术”。

图二：零信任的最后一公里

1）关于访问深度

过去几年，大多数厂商和用户把关注点放在左侧零信任，左侧零信任方案大多关注人、边界、应用之间的访问关系，也就是访问控制到达“应用”这个深度，最近随着《数据安全法》、《个人信息保护法》（草案）、人行《个人金融信息保护技术规范》、《金融数据安全数据安全分级指南》等法律法规和行业规范的出台，尤其是数据安全领域的崛起，零信任逐渐将视角向右侧偏移，开始聚焦数据，并尝试从应用和业务角度控制数据的访问粒度；

2）关于访问粒度

与传统IT视角的数据访问控制不同（数据库防火墙、数据脱敏、数据库审计等），应用视角将数据访问的控制粒度变得更细，但精细化程度仍然不够，构成应用的若干个业务逻辑单元才是最细粒度的控制器，只有从业务上下文才能精确定义数据的访问规则，实现更细粒度的数据访问控制，因此，“基于业务逻辑对于数据的动态安全访问”才是零信任最后一公里的核心。增补了最后一公里，才谈得上实现完整的ABAC模型。

注意：这里是“业务逻辑（Business Logic）”或“业务上下文（Business Context）”，不是“应用（Application）”，是指构成应用的若干个业务逻辑单元（Business Logic Unit，BLU）。

图三：基于业务逻辑的数据访问控制（逻辑架构）

4. 核心理念

理念1：零信任最后一公里，将视角从业务安全访问进一步右移至数据安全访问（深度）；

理念2：零信任最后一公里，将访问粒度从应用层面进一步细化至业务逻辑层面（粒度）；

理念3：数据和业务是相伴而生的，数据只有在业务视角之下才具备实际意义，抛开业务单纯看数据治理、数据安全和数据访问无异于盲人摸象；

零信任的最后一公里，不仅仅是访问深度的问题，更是访问粒度的问题。

很多人会问，上述理论有实际需求场景么？具体该如何落地呢？且听下回分解：敏感数据访问控制。

 

（未完待续）

原文始发于微信公众号（白日放歌须纵9）：连载：零信任的最后一公里（一）