在最后一篇文章《你永远不熟悉的零信任》中，我们介绍了零信任的原则和概念。本文具体介绍了零信任的结构和关键技术，以及企业如何部署零信任。
一、零信任整体架构
首先，让我们来看看零信任架构的总体框架：
上图是一个简略的零信任架构总体框架图，在图的左边是发起访问的主体，右边是访问的目标资源，访问主体通过控制平面发起访问请求，由信任评估引擎、访问控制引擎实施身份认证和授权，访问请求获得允许后，访问 *** 作为执行点，接受访问主体的流量数据，建立一次性的安全访问连接。
在整个过程中，信任评估引擎将继续进行信任评估，访问控制引擎动态判断访问控制策略是否需要改变，一旦发现问题，可以通过访问 *** 及时中断连接，防止水平移动和恶意权利，快速实施资源保护。
图中的身份安全基础设施可以为访问控制提供基本的数据源，管理人/设备/系统的身份和权限。典型的身份安全基础设施包括：PKI系统、身份管理系统、数据访问策略等。
其他安全分析平台为资产状态、标准化要求、运行环境安全风险、威胁情报等持续动态评估提供了大量的日志信息。其他典型的安全分析平台包括：终端保护响应系统、安全情况感知分析系统、行业合规系统、威胁情报源、安全信息和事件管理系统等。
二、零信任关键技术“SIM”
1. SDP(软件定义边界)
SDP技术是通过软件，在“移动 云”构建虚拟边界，利用基于身份的访问控制和完整的权限认证机制，提供有效的隐形保护。
SDP其中一个基本原则是信息隐形，它隐藏了服务器地址和端口，使攻击者无法获得攻击目标。SDP在连接服务器之前，将进行预认证和预授权，首先验证用户和设备的合法性，然后用户只能看到被授权访问的应用程序。此外，用户只有应用程序层的访问权限，没有 *** 级访问。SDP它还具有扩展性，基于标准协议，可以方便地与其他安全系统集成。
2. IAM(增强身份管理)
全面身份化是零信任架构的基石，零信任需要IAM该技术有效地控制和管理身份、权限、环境等信息，以确保正确的身份在正确的访问环境中以正确的理由访问正确的资源。随着数字转型的不断深化，业务的云和终端的激增使企业IT环境变得更加复杂，传统的静态和封闭的身份和访问管理机制无法适应这种变化，因此零信任IAM它将更加敏捷、灵活和智能，需要适应各种新兴的业务场景，采用动态策略实现独立改进，并不断调整以满足实际的安全需求。
3. MSG(微隔离)
传统的防护模式通常采用防火墙作为内外流量的安全防护手段。一旦攻击者突破了防护边界，就缺乏有效的安全控制手段来防止水平流量之间的随机访问。这就是为什么黑客在入侵后可以在内部水平移动的重要原因。
随着东西向流量的比例越来越大，微隔离技术应运而生。作为一种 *** 安全技术，它专注于防止攻击者进入企业数据中心 *** 后的横向移动访问。通过细粒度的战略控制，微隔离可以灵活实现业务系统内外主机与主机的隔离，使东西向流量可视可控，更有效地防止黑客或病毒的大面积渗透和破坏。目前，微隔离方案主要有云原微隔离三条技术路线API对接微隔离和主机 *** 微隔离，其中主机 *** 微隔离更适合新兴技术的不断变化和应用带来的多变用户业务环境。
三、企业如何开始零信任？
目前的企业 *** 架构包括云计算、虚拟化、移动互联网、工业互联网...... *** 情况非常复杂，那么如何开始构建零信任架构呢？
1. 明确现状和目标
在决定采用零信任架构之前，企业更好考虑以下问题：
- 为什么公司要采用零信任安全模型？
- 使用零信任架构会干扰当前组织的工作吗？
- 企业遭受过 *** 攻击吗？如果有，企业犯了什么错误？有什么问题？
- 员工知道这个安全概念吗？员工准备好了吗？
- 你打算怎么做这个计划？
思考上述问题有助于明确企业的实际需求，然后明确企业的战略目标。由于零信任架构是一种概念和战略，是一个长期目标，企业不能在一夜之间实现，但可以部分实现零信任，采用混合根据实际情况逐步优化和调整企业是最重要的。
2. 映射用户需求和资源对象
来源：微软
企业应该非常清楚数据的流动，比如人员访问什么数据？人员的身份是什么？他在哪里？等等。上图是微软根据条件和动态风险评估的零信任部署模型。通过该模型，企业的人员、设备和资源将更加清晰和系统。
用户层面：
- 首先，用户是谁？他们需要访问哪些应用程序、服务或数据？他们是如何访问的？在哪里访问？
- 其次，用户需要满足哪些条件/属性/状态？
- 然后，对于上述条件，我们如何通过特定的安全控制措施满足这些条件?
- 最后，如何确保我们的安全控制措施有效？也就是说，如何做好安全监控？
目标层面：
从目标资源的角度来看，也要考虑几个问题:
- 谁访问数据？他们的身份是什么？他们如何访问？
- 用户账户的安全风险如何？(如使用弱密码/泄露密码、低密码强度、使用行为等。
- 设备类型是什么？设备的健康/安全状态如何？它访问的数据是什么？
- 数据重要性/机密性/敏感性如何？
- 用户的位置是什么？当前登录位置的历史登录行为？
- 访问的目标应用是什么？SaaS、云应用、企业本地部署应用或移动App?
决策层面：
在逐步梳理和映射用户级别和目标级别后，根据动态评估结果，相应的安全强制措施可以是：允许或拒绝访问、要求多因素身份验证、强制重置用户密码、限制访问特定应用程序/特定功能（如禁止下载文件等）。
3. 使用微分段
在企业 *** 中，不应该只有一条大管道进出。在零信任 *** 中，组织应将微边界放置在 *** 系统的每个位置，并将 *** 分为包含特定工作负荷的岛屿。“小岛”每个人都有自己的入口和出口控制。这样可以增加入侵者渗透整个 *** 的难度，从而减少横向运动的威胁。
至于如何划分 *** ，这里没有标准模型，企业需要根据自己的情况进行设计。
4. 自动化和安排
在梳理和映射组织人员、设备和资源之间的关系后，我们将 *** 微隔离。现在，我们需要做的是在微边界或每个端点自动化和安排，将重复和繁琐的安全任务转化为自动执行、计划执行或事件驱动的自定义工作流。这可以释放大量的员工时间，减少人为错误的机会。
5. 实施适应性风险政策
在一切都安排好之后，还有一个因素需要考虑，那就是人员的权限也会发生变化。例如，项目组成员可以获得特定的权限，但在项目结束或离职后，需要及时取消其权限。风险政策需要适应动态变化的实际情况，并根据需要相应地更改权限。
四、总结
综上所述，企业建立零信任首先需要进行系统全面的资产梳理、业务安全分析，深入研究企业部署零信任的必要性和适应性、部署场景和方案的可行性、与现有安全框架的兼容性，在确保 *** 和业务安全稳定运行的前提下，逐步推进系统迁移，完善 *** 安全体系，建立自适应的安全防御能力。
当然，每个企业IT能力、技术路线、实际需求和对安全的认识是不同的。因此，没有完全一致的零信任部署计划，上述步骤仅供参考。当然，无论企业是否最终采用零信任，我们仍然可以提取有用的建议，如身份验证凭证的保护、安全数据和状态的可视化等。