雖然許多安全廠商使用“零信任”這樣的名詞，但這個(gè)詞所代表的意義卻不盡相同，圍繞零信任概念的解釋、炒作和困惑很多，當(dāng)然誤解也很多。

一個(gè)較為客觀中立的概念是NIST的特別出版物800-207中所描述的，零信任“不是一個(gè)單一的架構(gòu)，而是一套工作流、系統(tǒng)設(shè)計(jì)和操作的指導(dǎo)原則。”NIST將這些原則稱為零信任的“原則”。

零信任的技術(shù)原則

零信任是一種基于一個(gè)簡單前提的網(wǎng)絡(luò)安全模型：默認(rèn)情況下，任何東西都不能被信任，除非證明可被信任。

零信任模型顛覆了基于網(wǎng)絡(luò)位置或IP地址的“隱含信任”概念，要對每次交互進(jìn)行評估，并明確身份和上下文，才能夠“信任”。

具體而言，當(dāng)用戶或設(shè)備請求訪問資源時(shí)，必須先對其進(jìn)行驗(yàn)證，然后才能授予訪問權(quán)限。驗(yàn)證基于用戶和設(shè)備的身份以及上下文和其他屬性，如時(shí)間和日期、地理位置和設(shè)備安全態(tài)勢等。

經(jīng)過驗(yàn)證后，根據(jù)最小特權(quán)原則授予訪問權(quán)限，即只授予所訪問資源的權(quán)限。如，如果用戶請求訪問CRM，驗(yàn)證通過后CRM的訪問權(quán)限是該用戶被授予的唯一訪問權(quán)限，在網(wǎng)絡(luò)上看不到任何其他可訪問資源。不僅如此，信任狀態(tài)也在持續(xù)地被重新評估。如，用戶或設(shè)備的屬性發(fā)生變化，驗(yàn)證可能會被撤銷，訪問可能會被移除。

三個(gè)縮寫詞：ZTA、ZTNA、ZTE

零信任給人帶來迷茫的一個(gè)主要原因是各種縮寫詞，但實(shí)際上不同的縮寫詞側(cè)重點(diǎn)也有所不同。

• ZTA(零信任訪問)主要是為了了解和控制，誰在訪問你的網(wǎng)絡(luò)，以及他在網(wǎng)絡(luò)中做了什么。基于角色的訪問控制是訪問管理的關(guān)鍵組成部分。ZTA使用最小訪問策略覆蓋用戶終端，即授予用戶所需的最低網(wǎng)絡(luò)訪問級別。
• ZTNA(零信任網(wǎng)絡(luò)訪問)是一種控制應(yīng)用程序訪問的方法，無論用戶或應(yīng)用程序位于何處。與VPN不同的是，ZTNA將零信任模型擴(kuò)展到了網(wǎng)絡(luò)之外，并通過網(wǎng)絡(luò)隱身來減少攻擊面。
• ZTE(零信任邊緣)是Forrester描述的一種架構(gòu)，與Gartner主推的SASE非常相似，基于零信任的理念融合了網(wǎng)絡(luò)和安全。

ZTE VS. SASE

雖然兩者均是從邊緣側(cè)出發(fā)，融合了網(wǎng)絡(luò)和安全，但兩者最大的區(qū)別是，ZTE是安全先行，且本地和云端都做安全。SASE則是網(wǎng)絡(luò)和安全同行，且只能由云端來提供安全。

邊緣環(huán)境包括了廣域網(wǎng)、多云、數(shù)據(jù)中心、物聯(lián)網(wǎng)(IoT)、家庭和遠(yuǎn)程工作空間等，比傳統(tǒng)的互聯(lián)網(wǎng)環(huán)境更具動態(tài)性和分散性，安全風(fēng)險(xiǎn)也隨之加劇。因此，安全訪問服務(wù)邊緣(SASE)被吹捧為將安全性擴(kuò)展到傳統(tǒng)數(shù)據(jù)中心之外的最佳方式。其通過ZTNA的方式訪問云，再通過云交付的服務(wù)將網(wǎng)絡(luò)和安全功能與廣域網(wǎng)(WAN)功能結(jié)合在一起。

SASE的問題在于，安全性只能通過云來提供，這對于具有混合IT體系結(jié)構(gòu)的組織來說價(jià)值有限，因?yàn)檫@些組織即需要訪問云資源也需要訪問本地資源。

組織需要采取一種系統(tǒng)化的方法來取代對網(wǎng)絡(luò)邊緣和遠(yuǎn)程用戶的隱性信任，在整個(gè)組織內(nèi)實(shí)現(xiàn)網(wǎng)絡(luò)和安全的一致融合。與SASE不同，ZTE包括了本地和云端，其重要的構(gòu)件如下：

• 軟件定義的廣域網(wǎng)(SD-WAN)，可安全連接到各種環(huán)境
• 下一代防火墻(NGFW)
• 云提供的安全性，可安全連接遠(yuǎn)程用戶
• ZTNA用于安全的應(yīng)用程序訪問

ZTE有助于混合IT環(huán)境下的，網(wǎng)絡(luò)上的所有人、所有地點(diǎn)、所有資產(chǎn)的保護(hù)，對于在本地和云同時(shí)工作的組織來說，它是一種可靠的零信任戰(zhàn)略。

零信任理念

零信任是一種理念，并非一套固定的產(chǎn)品架構(gòu)，因此可以根據(jù)自身的情況來分配預(yù)算，從不同的切入點(diǎn)實(shí)施零信任：

• 微隔離。每個(gè)設(shè)備都被分配到適當(dāng)?shù)木W(wǎng)絡(luò)區(qū)域。分配原則可能基于多種因素，例如設(shè)備類型、功能和網(wǎng)絡(luò)內(nèi)的用途等。基于云的SASE解決方案很難在本地提供這種級別的控制。
• 身份安全。使用身份驗(yàn)證、授權(quán)和帳戶服務(wù)、訪問管理和單點(diǎn)登錄(SSO)，識別用戶在組織中的角色并應(yīng)用最少訪問策略。
• 基于防火墻的ZTNA。無論用戶是訪問云資源還是本地資源，基于防火墻的ZTNA解決方案都有效。重要的是，ZTNA具有普適性，本地用戶和遠(yuǎn)程用戶均適用。此外，如果VPN和ZTNA具有相同的agent，則可以簡化VPN的遷移。(Tailscale就是典型的例子)

最在理念的層面上，零信任的安全模型很簡單，即“持續(xù)驗(yàn)證和最小權(quán)限”。困難在于，實(shí)現(xiàn)這一目標(biāo)需要多種產(chǎn)品的有機(jī)、協(xié)調(diào)組合，而不是一堆產(chǎn)品的簡單堆砌。

因此，不要聽信某些供應(yīng)商的暗示，零信任絕不是個(gè)“一勞永逸”的項(xiàng)目，而是一個(gè)基于持續(xù)驗(yàn)證、最小化權(quán)限的理念，以改善整體安全態(tài)勢的過程。