零信任安全的4W1H
責編：gltian ｜2018-08-27 13:42:48零信任安全（或零信任網絡、零信任架構、零信任）最早由約翰.金德維格（John Kindervag）在2010年提出，約翰.金德維格當時是著名研究機構Forrester的首席分析師。
如今8年過去了，零信任安全已逐步被業界所認可，各組織機構的CIO、CISO們也言必稱零信任了，特別是2017年Google基于零信任構建的BeyondCorp項目成功完成，零信任儼然已成為安全界的新寵。
零信任安全正在對傳統的基于邊界的網絡安全架構形成強有力的顛覆，甚至Forrester的分析師認為3年內零信任就將成為網絡安全流行框架之一。
WHAT：零信任安全是什么？
傳統的基于邊界的網絡安全架構某種程度上假設、或默認了內網是安全的，認為安全就是構筑企業的數字護城河，通過防火墻、WAF、IPS等邊界安全產品/方案對企業網絡出口進行重重防護而忽略企業內網的安全。
零信任安全針對傳統邊界安全架構思想進行了重新評估和審視，并對安全架構思路給出了新的建議，在《零信任網絡》一書中，作者使用如下五句話對零信任安全進行了抽象概括：
1. 應該始終假設網絡充滿威脅。
2. 外部和內部威脅每時每刻都充斥著網絡。
3. 不能僅僅依靠網絡位置來建立信任關系。
4. 所有設備、用戶和網絡流量都應該被認證和授權。
5. 訪問控制策略應該是動態的基于盡量多的數據源進行計算和評估。
簡而言之，零信任的核心思想就是：默認情況下不應該信任網絡內部和外部的任何人/設備/系統，需要基于認證和授權重構訪問控制的信任基礎。零信任對訪問控制進行了范式上的顛覆，引導安全體系架構從網絡中心化走向身份中心化，其本質訴求是以身份為中心進行訪問控制。
零信任安全所依賴的身份驗證與訪問控制能力通常由身份訪問與管理系統（IAM）提供，現代身份管理平臺是零信任安全的技術根基，因此，從技術方案層面來看，零信任安全是借助現代身份管理平臺實現對人/設備/系統的全面、動態、智能的訪問控制。
傳統的靜態、封閉的身份管理機制已經不能滿足新技術環境的要求，無法支撐企業構建零信任安全的戰略愿景。身份管理技術正在向現代身份管理的方向快速演進。敏捷、智能、安全，是現代身份管理技術的三大特點。現代智能身份管理平臺，需要足夠敏捷和靈活，可以支持更多新的場景和應用，從靜態的訪問控制策略演變為動態的訪問控制策略，具備高級分析能力，能夠應對外部攻擊、內部威脅、身份欺詐等各種新的安全威脅。
WHY：為什么需要零信任安全？
前文提到，零信任安全的本質訴求是以身份為中心重構訪問控制，因此，只要明白了現代身份管理平臺在今天網絡安全中的必要性，自然就明白了為什么需要零信任安全。
現今嚴峻的安全態勢和數字化轉型浪潮下的新安全需求都促使了身份與訪問控制成為架構安全的第一道關口，零信任安全正是擁抱了這種技術趨勢，從而成為網絡安全發展的必然選擇。
首先，從安全態勢的角度來看，大數據時代網絡安全威脅比以往任何時候都更加復雜和險惡，業界一致認為，目前網絡安全架構的薄弱環節正是身份安全基礎設施的缺失，有數據顯示，部署了成熟IAM系統的企業，其安全事件下降了50%。
越來越多的企業業務應用構建在云端大數據平臺中，使得云端平臺存儲了大量的高價值數據資源。業務和數據的集中造成了目標的集中和風險的集中，這自然成為黑產最主要的攻擊和竊取目標。就在去年，發生了史上最大的用戶數據泄露事件——美國三大征信機構之一，Equifax數據泄露事件，造成涉及美國1.43億人的個人信息泄露，CEO引咎辭職。
根據《2018 insider threat report》顯示，內部威脅是造成數據泄露的第二大原因。往往因為非授權訪問、雇員犯錯、外包員工犯錯等等原因，導致 “合法用戶”可以非法訪問特定的業務和數據資源，造成組織內部數據泄漏。
造成數據泄露的第一大原因是外部黑客攻擊，但是顯然攻擊者并沒有什么非常高明的技術。根據美國最大的移動運營商Verizon報告分析指出，81%的黑客成功利用了偷來的口令或者弱口令，就輕而易舉地獲得了數據的訪問權限，成功竊取數據。
其次，從企業數字化轉型和IT環境的演變來看，云計算、移動互聯的快速發展導致傳統內外網邊界模糊，企業無法基于傳統的物理邊界構筑安全基礎設施，只能訴諸于更靈活的技術手段來對動態變化的人、終端、系統建立新的邏輯邊界，通過對人、終端和系統都進行識別、訪問控制、跟蹤實現全面的身份化，這樣身份就成為了網絡安全新的邊界，以身份為中心的零信任安全成為了網絡安全發展的必然趨勢。
WHO：誰對零信任安全負責？
零信任安全建設的關鍵抓手是現代身份管理平臺在企業的落地及全面應用，其建設和運營需要企業各干系方積極參與，可能涉及到安全部門、IT技術服務部門和IT運營部門等。企業數字化轉型的關鍵決策者應該將基于零信任的身份安全架構上升到戰略層面，確定愿景和路線圖，成立專門的組織（或虛擬組織）并指派具有足夠權限的人作為負責人。
在零信任架構下，IAM是安全基礎和核心架構，如果企業還是和以前一樣，僅僅將IAM視為業務基礎架構，勢必導致IAM的建設和運維降級為普通的IT項目，難以發揮IAM及零信任安全在企業數字化轉型過程中的安全支撐作用。根據企業的具體職責分工情況，零信任項目的負責人可能由首席信息官（CIO）、首席安全官（CSO）、甚至首席執行官（CEO）親自擔任，無論如何，關鍵點在于，此責任人必須在企業內擁有較高的權力，確保能推動各部門共同建設和發揮IAM的安全支撐作用。
從企業數字化轉型的戰略高度，確定IAM建設項目的愿景和路線圖，并指派強有力的項目負責人，是零信任安全建設至關重要的關鍵環節。
WHEN：什么時候引入零信任安全？
零信任安全是在現今嚴峻的安全態勢和數字化轉型浪潮驅動下的新型安全架構，企業引入零信任安全的最佳時機需要和企業數字化轉型進程保持相同的步伐，應將零信任安全作為企業數字化轉型戰略的一部分，在企業進行云遷移戰略或建設大數據平臺的時候同步規劃。
企業進行全新的基礎設施規劃或遷移時，需要由內至外的基于零信任進行整體安全架構設計和規劃，細致梳理人員、數據、系統、應用的邏輯邊界及安全需求，制定符合企業安全策略的全面的應用級、功能接口級和數據級訪問控制機制，切不可在基礎設施建設完畢后再疊加零信任。
對于尚無基礎設施轉型計劃的企業來說，實施部分零信任安全實踐也未嘗不可，但企業必須意識到，這個過程難以一蹴而就，畢竟Google建設BeyondCorp耗時也超過六年，一種可能的實施方案是基于現代身份管理平臺建設應用級的訪問控制，確保應用訪問的身份識別、授權策略的統一。
零信任安全是一種架構理念，因此，企業何時、如何實施零信任安全并無放之四海而皆準的金科玉律，企業應該遵循零信任安全基本理念，結合現狀，逐步規劃實施零信任，當企業完成數字化轉型之時，零信任安全也就水到渠成了。
HOW：如何實現零信任安全？
前文提到，從技術方案層面來看，零信任安全是借助現代身份管理平臺實現對人/設備/系統的全面、動態、智能的訪問控制，下面以360ID零信任身份安全解決方案為例，介紹零信任安全的關鍵實踐，包括：
1. 以身份為中心
通過手機即令牌的方式提供指紋識別、人臉識別等生物識別技術對用戶進行身份確認，同時對用戶智能手機終端進行病毒查殺、root/越獄檢測，通過注冊建立用戶與設備的唯一綁定關系。確保只有同時滿足合法的用戶與可信的終端兩個條件才能接入到業務系統。為了提高用戶的使用便捷性，用戶認證支持動態口令、二維碼掃描、推送驗證的多種身份認證方式。
2. 業務安全訪問
通過可信接入網關接管企業所有應用、資源、服務器的訪問流量，將訪問控制規則設定為只允許通過可信接入網關對應用進行訪問，防止內網訪問逃逸問題。所有的業務隱藏在可信接入網關之后，只有通過身份安全認證與終端可信檢測的用戶才可以訪問業務系統。
3. 動態訪問控制
用戶發起訪問請求后，360ID智能身份平臺基于多種源數據分析，包括安全策略、用戶屬性、環境屬性、其他風險因子等，對此次訪問進行授權判定，得到一個信任等級，最終根據評估得出的信任等級分配用戶一個最小訪問權限。
當然，如上幾點關鍵實踐離不開敏捷、智能、安全的現代身份管理技術的支撐，360企業安全集團基于強大的云計算和大數據計算技術和經驗，利用360強大的安全積累，推出的360ID智能身份平臺正是足以支撐零信任安全的現代身份管理平臺。
結語
數字化轉型推動了大數據、云計算、物聯網、人工智能為代表的新一代信息技術應用，也掀起了以現代身份管理平臺為技術基礎的零信任安全熱潮，安全從0開始，讓業界攜手同行，基于身份構筑新的安全邊界！