在萬物互聯(lián)時代，全球數(shù)據(jù)量與日俱增，人們在探究數(shù)據(jù)價值的同時也打開了數(shù)據(jù)安全這個潘多拉魔盒。

一、為什么傳統(tǒng)網(wǎng)絡(luò)安全在數(shù)據(jù)安全時代開始失效?

雖然已經(jīng)部署了周全的網(wǎng)絡(luò)安全措施，但數(shù)據(jù)安全事件依然不斷發(fā)生。步入數(shù)據(jù)安全時代，那些原先有效的安全措施開始失效甚至于無效，這個世界究竟發(fā)生了什么變化?

1. 日益普及的互聯(lián)網(wǎng)業(yè)務(wù)

互聯(lián)網(wǎng)的飛速發(fā)展打破了常規(guī)的時間、空間限制，使我們可以服務(wù)的人群變得無限多。當(dāng)然，互聯(lián)網(wǎng)帶來無限多客戶的同時也帶來了無限多的黑客。在海量的黑客面前，任何細微漏洞都可以被捕獲，導(dǎo)致安全風(fēng)險被無限放大。特別是兩個基本假設(shè)的成立讓我們無所適從：

• 任何應(yīng)用程序都會存在漏洞;
• 黑客總是比用戶更早地發(fā)現(xiàn)漏洞。

2. 肆意泛濫的社交網(wǎng)絡(luò)

伴隨著移動互聯(lián)網(wǎng)的興起，社交網(wǎng)絡(luò)有了新的顛覆性轉(zhuǎn)變。從電子郵件到QQ、微博、微信等，徹底打通了內(nèi)外部網(wǎng)絡(luò)，網(wǎng)絡(luò)邊界變得越來越模糊。每個人在社交網(wǎng)絡(luò)上都存在大量的“最熟悉的陌生人”，他們可以利用我們的信賴輕而易舉地進入我們的網(wǎng)絡(luò)。

3. 無限提高的數(shù)據(jù)價值

從網(wǎng)絡(luò)安全到數(shù)據(jù)安全轉(zhuǎn)變的根本原因是數(shù)據(jù)價值的無限提高。在很多機構(gòu)，數(shù)據(jù)已經(jīng)成為其核心財富甚至是最大財富，甚至有“搶銀行不如搶數(shù)據(jù)”的說法。在數(shù)據(jù)財富無限快速放大的過程中，數(shù)據(jù)財富的管理并沒有發(fā)生本質(zhì)的變化，基本處于裸奔狀態(tài)。因此，那些缺乏保護的數(shù)據(jù)財富在不斷誘惑企業(yè)的員工、合作伙伴犯錯，不斷誘惑黑客來攫取。

在現(xiàn)實生活中，我們不會把海量現(xiàn)金放在客廳、廣場等公共場合，我們總是小心翼翼地為這些財富施加眾多的保護措施，或者委托給更加專業(yè)的信用機構(gòu)(如銀行)進行保管。然而，我們現(xiàn)在對于數(shù)據(jù)財富的處理方式，無異于是把它放在客廳里，甚至是廣場上。在數(shù)據(jù)世界里，我們尚未發(fā)現(xiàn)類似于銀行之類的機構(gòu)來保障我們的數(shù)據(jù)財富安全。

4. 數(shù)字世界和現(xiàn)實世界的鏡像

隨著數(shù)據(jù)價值的凸顯，特別是人工智能的興起，我們正在把現(xiàn)實社會發(fā)生的一切進行數(shù)字化和數(shù)據(jù)化。可以預(yù)見，在不遠的將來，數(shù)據(jù)世界很快就會成為現(xiàn)實世界的一個投影或鏡像，現(xiàn)實生活中的搶劫、殺人等犯罪行為會映射為數(shù)字世界中的“數(shù)據(jù)破壞”。

二、從可信任驗證體系走向“零信任”安全體系

1. 可信任驗證和零信任體系并存的生活

人們大部分時間生活在可信任驗證體系中，每個人可以自由處理自身擁有的財富以及其他物資。比如：我花錢買了個茶杯，可以用來喝茶，也可以用來喝咖啡，或者把它閑置起來，或者干脆作為垃圾處理掉，我擁有處理這個茶杯的權(quán)利。在大部分生活場景下，我們都采用類似方式來處理財富、物資甚至關(guān)系。

但是，當(dāng)財富或者物資的影響力大到一定程度時，我們往往需要采用另一種形式來處理。比如：價值連城的古董，雖然你花錢購買了它，但是你并沒有權(quán)利隨意將它打碎;山林綠化，雖然山和林都是你的，但是你并沒有自由砍伐權(quán)。可見，當(dāng)涉及到大宗利益和公共利益的時候，往往是另一種機制在發(fā)揮作用：零信任機制。比如戰(zhàn)略情報、重大選舉、法律規(guī)章制訂、多重鑒權(quán)(權(quán)限審批)等，都是基于零信任體系的運行機制，其前提假設(shè)就是沒有人可以被天然信任。

2. 傳統(tǒng)IT系統(tǒng)中的可信任驗證體系

傳統(tǒng)IT系統(tǒng)(如操作系統(tǒng)、數(shù)據(jù)庫以及其他各類信息化系統(tǒng))幾乎都嚴(yán)格遵循了類似生活中可信任驗證的安全設(shè)計理念：每個人對于自己所擁有的一切具有任意處置權(quán)。比如：在Oracle數(shù)據(jù)庫中，Schema賬戶對于存儲在Schema下的所有對象擁有任意處置權(quán)，可以任意查詢、更新、刪除和清除。DBA賬戶作為整個數(shù)據(jù)庫的擁有者，對數(shù)據(jù)庫的所有對象具有任意處置權(quán)。

這種處置理論看似正確，細思極恐，你會發(fā)現(xiàn)這種處置方式非常“荒唐”，在很大程度上依賴于人性，即遵紀(jì)守法的自覺性等。DBA只是一個管理數(shù)據(jù)庫的人，而不是處置數(shù)據(jù)的人。正如一個倉庫管理員，僅僅只是負責(zé)倉庫的清潔、溫濕度、安全等事宜，而對于倉庫中的谷物、物資等并不具有處置權(quán)。而Schema賬戶則類似于一個倉庫，數(shù)據(jù)和代碼只是需要一個倉庫存放而已，倉庫管理員不應(yīng)該對放置在倉庫中的物資具有任意處置權(quán)。

雖然這套基于傳統(tǒng)賬戶的安全體系在相對可信任的內(nèi)網(wǎng)環(huán)境具有很好的生存空間，但是在本質(zhì)上存在著概念混淆。這套體系很容易混淆了賬戶和身份的區(qū)別，賬戶只是信息系統(tǒng)的一個登錄憑證和引用憑證，而身份則是現(xiàn)實生活中的人，兩者之間基本上是割裂的。在真實的數(shù)據(jù)庫實踐中，賬戶更多的僅僅是作為數(shù)據(jù)庫對象存儲的容器，而不是作為身份。這種混淆最終使生活中可信任驗證體系中的核心身份模糊化。現(xiàn)代網(wǎng)絡(luò)環(huán)境中的身份安全性越來越差，這種模糊性最終導(dǎo)致了傳統(tǒng)網(wǎng)絡(luò)安全體系的不可延續(xù)。

3. 走向零信任安全體系

走向零信任安全體系主要受到兩個方面的推動：

• 互聯(lián)網(wǎng)、移動互聯(lián)網(wǎng)和社交網(wǎng)絡(luò)已經(jīng)把世界上的每一個人都聯(lián)系在一起，突破了時間和空間的限制，網(wǎng)絡(luò)邊界變得越來越模糊，實際上已經(jīng)不存在安全的網(wǎng)絡(luò)。因此，以賬戶為基礎(chǔ)的安全體系無以為繼，需要把賬戶轉(zhuǎn)變?yōu)樯矸莶趴梢栽谶@種網(wǎng)絡(luò)中安全生存。
• 現(xiàn)實生活中涉及巨大價值或巨大公共利益時，往往通過零信任體系而不是通過可信任體系來解決。數(shù)據(jù)的價值今非昔比，近幾年其價值在不斷放大，數(shù)據(jù)的托管性和多面性總會涉及眾多的公共利益。參照現(xiàn)實模型，零信任安全體系可以作為最恰當(dāng)?shù)臄?shù)據(jù)安全體系架構(gòu)。

三、“零信任”安全體系的基本原則

當(dāng)數(shù)據(jù)構(gòu)成我們的財富和核心競爭力時，傳統(tǒng)的可信任體系面臨巨大挑戰(zhàn)，無法滿足用戶數(shù)據(jù)安全的需求。我們需要構(gòu)建零信任體系，以管理戰(zhàn)略情報的思維來管理數(shù)據(jù)。

零信任安全(或零信任網(wǎng)絡(luò)、零信任架構(gòu)、零信任)最早由約翰·金德維格(John Kindervag)在2010年提出。而美創(chuàng)科技也在2010年并行地提出了零信任安全體系并加以實踐，是全球最早的零信任安全體系架構(gòu)構(gòu)建者和實踐者。美創(chuàng)科技在多年的零信任實踐中形成了系列的零信任安全體系的基本原則和實踐原則。

在零信任安全體系構(gòu)建中，美創(chuàng)科技遵循四個基本原則：

1. 燈下黑

不會被發(fā)現(xiàn)就意味著不會被攻擊，縱然我們的業(yè)務(wù)和系統(tǒng)充滿著各種各樣的安全漏洞。比如隱形戰(zhàn)機的速度慢、防御差，但是受到攻擊的幾率不高。燈下黑放棄了傳統(tǒng)的對抗思路，讓我們在黑客掃蕩式的互聯(lián)網(wǎng)攻擊中免疫。

2. 與狼共舞、帶毒生存

在網(wǎng)絡(luò)邊界模糊的今天，假定我們的網(wǎng)絡(luò)總是被攻破，網(wǎng)絡(luò)內(nèi)部總是會存在“壞人”，我們需要在一個充滿“壞人”的網(wǎng)絡(luò)環(huán)境中確保關(guān)鍵資產(chǎn)不會受到破壞和泄露，確保關(guān)鍵業(yè)務(wù)不會受到影響。

3. 不阻斷、無安全

入侵者或破壞者往往只需幾秒到幾分鐘就可以對關(guān)鍵資產(chǎn)和關(guān)鍵業(yè)務(wù)造成破壞和影響。除了極個別專業(yè)機構(gòu)之外，絕大部分機構(gòu)都無法對入侵做出快速響應(yīng)。即使機構(gòu)具有這個快速響應(yīng)能力，其巨大的快速響應(yīng)成本也是絕大部分機構(gòu)所無法承受的。我們需要在事件發(fā)生之前阻斷事件的發(fā)生，在無須部署快速響應(yīng)能力之下做到最大安全。

4. 知白守黑

如何識別“壞人”一直是傳統(tǒng)網(wǎng)絡(luò)安全的核心命題，我們通過日積月累的“壞人庫”來勾畫各種“壞人”的特征。遺憾的是海量的“壞人”特征依然無法更好地幫助我們識別出可能的“壞人”。知白守黑從另一個角度去看待“壞人”，我們不去勾畫“壞人”的特征，而是去勾畫“好人”的特征，不符合“好人”特征的就是“壞人”。從業(yè)務(wù)的角度來看，“壞人”的特征是無法窮盡的，而“好人”的特征在特定場景下是可以窮盡的，知白守黑可以更好地保障數(shù)據(jù)安全和業(yè)務(wù)安全。

四、“零信任”安全體系的實踐原則

1. 從保護目標(biāo)開始，知道保護什么才談得上安全

很難想象，在連保護目標(biāo)都不知道的情況下如何保證安全性。當(dāng)你不知道保護目標(biāo)的時候或者保護目標(biāo)雖然知道但是不可描述的時候，你只能竭力去識別可能的“壞人”，你只能進行面面俱到的通用防護，或者對于臆想中的攻擊進行場景式防御。

數(shù)據(jù)安全不同于網(wǎng)絡(luò)安全，它定義了一個明確的保護目標(biāo)：數(shù)據(jù)。每一份數(shù)據(jù)都有其固有的特征和行為，我們可以圍繞著這些固有的特征和行為來構(gòu)建保護和防御體系。

2. 保護要由內(nèi)而外，不是由外而內(nèi)

當(dāng)我們明確定義了數(shù)據(jù)是保護目標(biāo)時，由內(nèi)而外的保護就成為我們自然的選擇。越靠近數(shù)據(jù)的地方，保護措施就越健壯，這是一個常識性認知。由內(nèi)而外的層層保護都本著相同的目的——更加有效地保護數(shù)據(jù)安全。

3. 以身份為基礎(chǔ)而不是以賬戶為基礎(chǔ)

定義數(shù)據(jù)本身訪問的時候，并非以賬戶為基礎(chǔ)。賬戶僅僅是一個信息化符號，是訪問數(shù)據(jù)庫、業(yè)務(wù)、操作系統(tǒng)等的一個憑證，但并非是訪問數(shù)據(jù)的憑證。我們總是盡可能以接近于人的真實身份來定義數(shù)據(jù)的訪問，定義某個人或者某個身份可以訪問特定的數(shù)據(jù)。或者定義特定的數(shù)據(jù)可以被特定的代表身份的規(guī)則所訪問。

4. 知白守黑，從正常行為和特征來推斷安全

當(dāng)我們明確了保護目標(biāo)的數(shù)據(jù)時，發(fā)現(xiàn)訪問數(shù)據(jù)的正常行為是可以被定義和窮盡的。因此，所有在窮盡的訪問定義列表之外的訪問都是不合規(guī)、不安全的。而且，通過對于歷史訪問行為的學(xué)習(xí)，可以刻畫出正常訪問的特征，不符合正常訪問特征的訪問行為都是不合規(guī)的、不安全的。

5. 消除特權(quán)賬戶

消除特權(quán)賬戶是零信任安全體系建設(shè)的前提條件。引進多方聯(lián)動監(jiān)督制約機制，是零信任安全的基礎(chǔ)實踐。