零信任最早由Forrester 分析師John Kindervag于2010年提出，它既不是一項技術(shù)，也不是一款產(chǎn)品，而是一種新理念，基本原則是“從不信任，總是驗證”。

零信任是一種安全模型，基于訪問主體身份、網(wǎng)絡(luò)環(huán)境、終端狀態(tài)等盡可能多的信任要素對所有用戶進(jìn)行持續(xù)驗證和動態(tài)授權(quán)。

零信任基于“持續(xù)驗證+動態(tài)授權(quán)”的模式構(gòu)筑企業(yè)的安全基石。

零信任很重要的原因

隨著數(shù)字化轉(zhuǎn)型不斷加速，新興技術(shù)與創(chuàng)新業(yè)務(wù)不斷打破企業(yè)原有安全邊界，企業(yè)信息安全面臨著傳統(tǒng)的訪問管控方式過于單一、業(yè)務(wù)上云后各種數(shù)據(jù)的集中部署使得數(shù)據(jù)濫用風(fēng)險變大等前所未有的挑戰(zhàn)。

Forrester提出，所有人與設(shè)備之間產(chǎn)生的連接，以及發(fā)生在不同環(huán)境中的工作負(fù)載實際上都是為了在更大范圍上獲得數(shù)據(jù)。

因此零信任安全架構(gòu)（擴展生態(tài)系統(tǒng)）本質(zhì)上就是要保護(hù)人、設(shè)備、網(wǎng)絡(luò)聯(lián)接、工作負(fù)載以及數(shù)據(jù)這五個核心要素。

零信任還有三個核心的原則：

企業(yè)基于最小訪問權(quán)限、監(jiān)視日志記錄、訪問皆需驗證三個核心原則構(gòu)建自己的零信任網(wǎng)絡(luò)。

1、最小訪問權(quán)限

指每個用戶只能訪問其工作所需的訪問權(quán)限。

通過限制每個用戶的訪問權(quán)限，可以有效防止黑客進(jìn)入內(nèi)部后的橫向攻擊。

這種精細(xì)的授權(quán)策略一般來說是由數(shù)據(jù)所有者來管理權(quán)限，并定期審核訪問權(quán)限和成員身份。

2、監(jiān)視日志記錄

監(jiān)視和日志記錄可以說是零信任安全模型最重要的功能。

在系統(tǒng)的監(jiān)視下，網(wǎng)絡(luò)中的每一個活動都被記錄在案，并且經(jīng)過可視化安全分析，可以有效辨別出哪些是異常賬戶，勒索軟件和惡意操作都清清楚楚地展示在你的眼皮底下。

3、訪問皆需驗證

用戶每次訪問共享文件、應(yīng)用程序或云存儲設(shè)備時，都要驗證該用戶對相關(guān)資源的訪問。因為在零信任架構(gòu)中，用戶的每個網(wǎng)絡(luò)活動都是潛在的威脅。

要實現(xiàn)這種模式，需要：遠(yuǎn)程身份驗證、訪問協(xié)議、外圍安全和網(wǎng)絡(luò)訪問控件。

展開全文

零信任的發(fā)展趨勢

2019年，在工信部發(fā)布的《關(guān)于促進(jìn)網(wǎng)絡(luò)安全產(chǎn)業(yè)發(fā)展的指導(dǎo)意見(征求意見稿)》中，零信任安全首次被列入網(wǎng)絡(luò)安全需要突破的關(guān)鍵技術(shù)。

中國信息通信研究院發(fā)布的《中國網(wǎng)絡(luò)安全產(chǎn)業(yè)白皮書(2019 年)》，也首次將零信任安全技術(shù)和5G、云安全等并列列為我國網(wǎng)絡(luò)安全重點細(xì)分領(lǐng)域技術(shù)。

圍繞“零信任安全”話題，21世紀(jì)經(jīng)濟報道記者采訪了多位業(yè)內(nèi)專家，他們均表示，零信任安全強調(diào)的永不信任和始終驗證，是一個具有顛覆性的安全理念，它已經(jīng)成為網(wǎng)絡(luò)安全領(lǐng)域非常確定的一個趨勢性方向。

未來，也會有越來越多的企業(yè)逐步采用零信任安全架構(gòu)。

零信任時代如何控制安全？

常見的終端數(shù)據(jù)防泄密技術(shù)包括：DLP、云桌面、終端數(shù)據(jù)隔離（終端沙箱）、遠(yuǎn)程瀏覽器隔離（RBI）等等。

一個完整的零信任解決方案應(yīng)該包括終端數(shù)據(jù)安全，將數(shù)據(jù)防泄密技術(shù)融入零信任架構(gòu)，根據(jù)零信任的細(xì)粒度安全策略，執(zhí)行敏感數(shù)據(jù)的訪問控制。

從云端到瀏覽器端，都有一種機制，這種機制就是：安全沙箱。

安全沙箱屬于瀏覽器架構(gòu)層面的安全防護(hù)，有了安全沙箱的存在，可以盡可能降低攻擊帶來的傷害程度。

沙箱技術(shù)有很多種類，是否能稱之為“安全沙箱”，則視乎其隔離的程度和自身的技術(shù)目的。

例如能模擬出一整臺服務(wù)器或者桌面電腦的虛擬機，應(yīng)該能稱之為安全沙箱 - 你可以在里面跑企業(yè)服務(wù)、也可以在里面打游戲，并不能影響宿主的安全穩(wěn)定運行。

你也可以把這個虛擬機一鍵刪除，不管里面安裝了什么東西。

例如瀏覽器里面的實現(xiàn)，是最為普通用戶所能感知的安全沙箱。它把遠(yuǎn)程加載的、來自不同網(wǎng)站的頁面進(jìn)行隔離，并且在運行這些包含大量不知名開源技術(shù)的代碼時，還需要防范XSS攻擊，保護(hù)宿主環(huán)境（讓用戶免受隱私泄漏、數(shù)據(jù)被盜、遭遇釣魚詐騙、感染病毒等風(fēng)險）。

一種企業(yè)靈活再開發(fā)和使用的沙箱技術(shù)

小程序化”、“安全沙箱化”被認(rèn)為是其中一個基石。

邏輯如下：

企業(yè)的一切業(yè)務(wù)內(nèi)容，表現(xiàn)方式就是軟件化代碼化。企業(yè)的數(shù)字內(nèi)容資產(chǎn)，就是軟件

隨需隨用、用完即走的“輕應(yīng)用”軟件形態(tài)，最符合上述要求。其中“小程序”又是輕應(yīng)用類型技術(shù)中最有廣泛基礎(chǔ)、最貼近Web因此最有生命力的技術(shù)。

傳統(tǒng)企業(yè)之間的資源交換與整合，它的數(shù)字化形態(tài)就是交換自己的“數(shù)字內(nèi)容資產(chǎn)”，也就是我的平臺讓你的軟件放進(jìn)來跑一跑服務(wù)我的客戶，我的軟件投放到你的環(huán)境里觸達(dá)一下你的客戶。“你中有我，我中有你”，可是我們倆彼此在技術(shù)層面沒有任何信任基礎(chǔ)，只認(rèn)技術(shù)安全，“零信任”。所以你的代碼我只能放在沙箱里跑，我投放到你那邊的代碼，也用沙箱隔離著你的環(huán)境

用戶甚至不再需要去主動意識到“軟件”這個概念的強存在，代碼都是自動下載、看到就用到的，不再有傳統(tǒng)觀念下的安裝、升級，一切都是透明的

類似于 FinClip小程序容器技術(shù)，是一種云端可控的設(shè)備端（包括IoT）安全沙箱技術(shù)，它以可分發(fā)、可流通的小程序代碼格式為軟件形態(tài)，充當(dāng)下一代企業(yè)應(yīng)用軟件的技術(shù)底座。

作為Web前端技術(shù)的“超集”，基于令牌（non-forgeable token）的安全模型，和當(dāng)前“零信任架構(gòu)”下的其他基礎(chǔ)技術(shù)在最貼近用戶、應(yīng)用的地方能建立良好的配合。

不過還想說一句，零信任安全已是趨勢，但它更像是一個終極目標(biāo)。

在未來很長一段時間內(nèi)，零信任安全和傳統(tǒng)安全會是一直并存的狀態(tài)。