國內外零信任：我們不一樣
責編：gltian ｜2021-05-07 17:02:51前言
零信任的出現將網絡防御范圍從廣泛的網絡邊界轉移到單個或小組資源，同時它也代表新一代的網絡安全防護理念，打破默認的“信任”，秉持“持續驗證，永不信任”原則，即默認不信任網絡內外的任何人、設備和系統，基于身份認證和授權，重新構建訪問控制的信任基礎，確保身份可信、設備可信、應用可信和鏈路可信。本文旨在通過零信任技術在國內外的發展路線，幫助您對零信任這一安全理念有更為全面的了解。
備受關注的零信任國內外的技術路線有何異同？
我們都知道“零信任”這一理念最早是在美國提出的，為什么最早會在美國？這與美國蓬勃發展的云計算、大數據技術是息息相關的。
隨著零信任技術體系的完善，加上不斷增長的云應用/WEB應用，企業對于這種動態認證和最小化權限管理事中轉事前的安全防御理念更為接受。
Google這種互聯網巨頭的零信任的實踐證明，更堅定了資本和廠商的投入，如今美國最大安全公司不是防火墻類傳統公司，而是零信任公司。
反觀國內，移動互聯網業務蓬勃發展，線上支付業務的發展伴隨著移動業務的發展一起向前，線上支付的安全性是阿里巴巴、騰訊這些互聯網巨頭首要考慮的問題，零信任這一安全理念，也是最早在國內互聯網移動支付領域得到實踐和實用。
隨著零信任理念在國內的傳播，這一安全理念也逐步得到更多企事業的認可。
如移動辦公模式在疫情期間得到廣泛應用，單一VPN接入保障在這期間出現了不少的安全事件，如何提高遠程辦公、遠程接入以及業務應用的安全性，讓更多企事業客戶選擇了零信任安全理念，一時間零信任安全廠商如雨后春筍般涌現。
本文旨在通過零信任技術在國內外的發展路線，幫助您對零信任這一安全理念有更為全面的了解。
01國外零信任SaaS技術路線
美國零信任SaaS化發展迅猛，已經實施零信任SaaS超過30%，還有44%客戶正準備實施。
零信任SaaS假設所有人不可信，先驗證身份再授權訪問資源；以身份為中心，經過“預驗證”“預授權”才能獲得訪問系統的單次通道；最小權限原則，每次賦予用戶所能完成工作的最小訪問權限；動態訪問控制，所有訪問通道都是單次的，動態訪問控制策略。
根據Forrester報告,零信任SaaS系統商要對零信任有深刻的認識、較強的微隔離能力、廣泛的集成和API能力、識別并監控任何可能帶來風險的身份的能力（不僅是IAM）。
如零信任巨頭OKTA采用SaaS訂閱模式，零信任SaaS深入企業業務流程和人員，收入續費率在120%。零信任SaaS要求企業掌握微隔離、數據安全等技術，領軍公司通常對網絡管理、防火墻、云安全有深刻理解。
隨著零信任市場的火熱發展，在美國有更多公司加入到零信任商業活動中來，我們把美國的零信任商業公司分為三類：
一是自用轉外銷型。代表企業如：Google、Akamai、Microsoft等；
二是收購建能型。代表企業如：Cisco、Symantec、Palo Alto Network、Unisys、Proofpoint等；
三是技術初創型。代表企業如：Zscaler、Okta、Cloudflare、Illumio、Cyxtera等。
在美國未來市場，很多機構都給予了很高的期望，根據Cybersecurity Insider的調查，15%的受訪IT團隊已經實施零信任SaaS，44%表示準備部署。
根據Gartner估計，到2022年，面向生態系統合作伙伴開放的80%新數字業務應用程序將通過零信任網絡（ZTNA）進行訪問。到2023年，60%的企業將淘汰大部分遠程訪問虛擬專用網絡，轉而使用零信任SaaS。
02國內互聯網廠商技術實踐
隨著國內互聯網的快速發展，互聯網企業的信息化程度、移動化程度的不斷提高，企業“內部業務系統”逐步成為組織的核心資產，隨時隨地處理企業內部業務系統變得越來越普遍。
但是分布在全國/全球的多個分支子公司或辦事處不一定有專線到集團內網，經常通過公網VPN連接，存在安全性不足和訪問效率低等問題。同時，并購公司、合作公司的網絡安全管理機制與集團公司很難保持一致，其訪問集團內網資源時，存在人員身份校驗和設備安全可信等問題。
基于此需求，騰訊從2015年開始自主設計、研發并在內部實踐落地了一套零信任安全管理系統-騰訊ioA，實現了身份安全可信、設備安全可信、應用進程可信、鏈路保護與加速優化等多種功能，能夠滿足無邊界辦公/運維、混合云業務、分支安全接入、應用數據安全調用、統一身份與業務集中管控、全球鏈路加速訪問等六大場景的動態訪問控制需求，為企業達到無邊界的最小權限安全訪問控制，實現安全管理升級提供一站式的零信任安全方案。
阿里云推出辦公零信任解決方案，類似谷歌的BeyondCorp簡化版本。通過Agent終端管控，SPG（Service Provide Gateway）應用接入和IDaaS身份認證齊頭并進，可以提供靈活的組合方案從而滿足企業的要求。
該方案可概括為“可信”、“動態”兩個關鍵字，包含兩個核心的模塊和組件。第一個模塊是遠程終端安全管理，是對遠程終端進行可信的認證以及身份的管理，能實時而非靜態的判斷路網設備的安全性。第二個模塊是云端的動態決策管控，一方面對所有用戶身份進行統一的高強度安全認證，另一方面，系統可結合各種安全因子來動態分配用戶權限。
03國內安全廠商的技術路線
國內零信任技術的炒作從2015年開始逐步在各個行業市場展開，由于零信任安全技術從國外的云廠商以及咨詢機構逐步傳遞進來，國內安全廠家都從各自公司的產品優勢出發，優先宣傳解決方案，2019年開始逐步有可參考的案例出現。
同時，國內的信息安全市場有別于國外歐美市場，目前國內網絡安全市場需求主要集中于政府部委級和大的行業（如金融、運營商、能源等），這些客戶目前私有云或混合云已經建成，頭部客戶基于自身業務出發，對零信任這一先進安全理念更為接受。
國外成功商業模式的誘導和國內頭部客戶的切實需求，共同驅動著國內資本和安全廠商在零信任這一領域加大投入，目前國內廠商技術路線主要由零信任SDP技術路線、零信任IAM技術路線、BeyondCorp技術路線三種類型組成。
零信任SDP技術路線
云安全聯盟在2014年發布了《SDP標準規范V1.0》英文版，中文版于2019年發布。Gartner將SDP定義為零信任的最佳實踐，加上SDP標準的發布，讓國內更多廠商在SDP方案上有了更明確的方向，每家廠商根據自已技術積累的不同，在SDP方案上形成了不同的特色。
零信任IAM技術路線
IAM（Identity and Access Management 身份與訪問管理）是網絡安全領域中的一個細分方向。
從效果上來看，IAM產品可以定義和管理用戶的角色和訪問權限，即決定了誰可以訪問，如何進行訪問，訪問后可以執行哪些操作等。
IAM解決方案也包含了4A特性：賬號、認證、授權、審計。這些特性，在零信任安全中都具備且為關鍵特性，這個特點也導致IAM廠家進行零信任安全架構遷移的成本更低，效率更明顯。IAM細分市場，主要解決用戶的應用訪問和權限控制問題，因此該類零信任技術方案更側重于用戶的應用側和數據側訪問，對于網絡接入和遠程訪問場景下的技術覆蓋度不高。
BeyondCorp技術路線
谷歌的BeyongCorp是較早落地的零信任項目。BeyondCorp實現的核心是引入或擴展網絡組件，例如單點登錄，訪問代理，訪問控制引擎，用戶清單，設備清單，安全策略和信任庫。這些組件協同工作，以維護三個指導原則：
1）特定的網絡連接不得確定用戶可以訪問哪些服務；
2）根據對用戶和設備的了解來授予對服務的訪問權限；
3）所有對服務的訪問都必須經過認證，授權和加密。
通過對比國內外零信任的技術路線，我們可以看到國內外零信任各有特色、各呈風采。
當前，在產業數字化升級與業務上云的發展趨勢下，傳統企業保護邊界逐漸被瓦解，以身份為中心的進行訪問控制的零信任安全，得到了越來越多行業客戶的認可與肯定，毋庸置疑零信任將成為網絡安全行業發展的未來趨勢。
來源：FreeBuf.COM