零信任

本文约需 2 分钟阅读

零信任是一种无论访问来自网络内部还是外部都不予信任并加以验证的安全模型。传统的边界型安全以「内部网络是安全的」为前提，而零信任则以「什么都不信任，始终验证 (Never Trust, Always Verify)」为基本原则。随着远程办公的普及和云服务的扩展，进入 2020 年代后，「边界内部是安全的」这一前提本身已从企业的安全设计中被剔除。不过，这需要把全公司的认证、终端管理和网络一并改造，因此现实情况是：许多组织虽然提出了零信任的方向，却仍在分阶段迁移的途中。

历史背景

零信任的概念由 Forrester Research 的分析师约翰·金德瓦格 (John Kindervag) 于 2010 年提出。当时边界型安全 (城堡与护城河模型) 是主流，但内部作案以及 APT (Advanced Persistent Threat) 造成的边界突破接连发生，使「内部是安全的」这一前提的局限性显露无遗。 2020 年新冠疫情期间远程办公迅速扩大，企业内部网络的边界本身变得模糊，零信任的采用随之加速。 2021 年，美国政府发布行政命令，要求联邦机构引入零信任。

基本原则

零信任的核心在于三条原则。第一，对所有资源的访问无论位置或网络如何，都需要进行身份验证和授权。第二，基于最小权限原则，仅向用户和设备授予必要的最低限度的访问权限。第三，检查并记录所有流量，检测异常行为。借助这些原则，可以有效防止来自内部的威胁和横向移动 (lateral movement)。

现场使用案例

企业转向零信任通常很难在一年内完成，一般会作为跨年度的计划分阶段推进。常见的顺序是：先把用于接入内部网络的 VPN 替换为 ZTNA (Zero Trust Network Access)，将授权收敛到每一次访问的判断上，然后再推进把内网细分的微分段。若顺序颠倒，则「进入边界之内就能广泛活动」的状态依然保留，只是内部多了一些隔断，相对于运维成本所能获得的效果往往很有限。个人使用时思路也相同：不以「我在这个网络里所以安全」为依据，而是每次都根据认证与终端状态来判断，这种习惯就最接近零信任的思想。

架构概念图

实务中的实践与陷阱

在引入零信任时常见的误解是「只要购买产品就能实现」这种想法。零信任并非某个特定产品，而是一种安全设计思想，需要组合多因素认证、微分段、持续监控等多种技术来实现。零信任的理念在个人层面也同样适用。为所有服务设置各自独立的强密码，并启用两步验证，正是「始终验证」原则的个人版本。通过为每个服务生成不同的随机密码，并使用 VPN 加密通信，即使在个人层面也能构建类似零信任的安全态势。