零信任学习笔记

• 零信任技术

（一）什么是零信任架构

零信任”是一个安全术语也是一个安全概念，它将网络防御的边界缩小到单个或更小的资源组，其中心思想是企业不应自动信任内部或外部的任何人/事/物、不应该根据物理或网络位置对系统授予完全可信的权限，应在授权前对任何试图接入企业系统的人/事/物进行验证、对数据资源的访问只有当资源需要的时候才授予。 简单来说，“零信任”的策略就是不相信任何人。除非网络明确知道接入者的身份，否则任谁都无法接入到网络。现有传统的访问验证模型只需知道IP地址或者主机信息等即可，但在“零信任”模型中需要更加明确的信息才可以，不知道用户身份或者不清楚授权途径的请求一律拒绝。用户的访问权限将不再受到地理位置的影响，但不同用户将因自身不同的权限级别拥有不同的访问资源，而过去从外网登陆内网所需的VPN也将被一道废弃。零信任对访问控制进行了范式上的颠覆，引导安全体系架构从“网络中心化”走向“身份中心化”，其本质诉求是以身份为中心进行访问控制。 这与无边界网络概念有点类似。在无边界网络概念中，最终用户并不是所有都位于办公室以及防火墙后，而是在远程工作，使用他们的iPad或者其他移动设备。网络需要了解他们角色的更多信息，并明确哪些用户被允许连接网络来工作。 零信任架构是对企业级网络发展趋势的回应，企业级网络开始包含远程用户和位于企业网络边界的基于云的资产。零信任架构关注于保护资源、而非网络分段，因为网络位置不再被视为资源安全态势的主要组成部分。

（二）零信任的核心原则

（1）将身份作为访问控制的基础：

零信任的信任关系来自于对所有参与对象的身份验证。所有参与对象共同构成端到端信任关系的基础，这些参与对象包括基础网络、设备、用户、应用等。零信任架构为所有对象赋予数字身份，基于身份而非网络位置来构建访问控制体系。

（2）最小权限原则：

零信任架构强调资源的使用按需分配，仅授予执行任务所需的最小特权，同时限制了资源的可见性。通过使用端口隐藏等技术手段，默认情况下资源对未经认证的访问主体不可见。授权决策时将人员、设备、应用等实体身份进行组合，形成访问主体。针对主体的组合信息 和访问需求，以及信任评估和权限策略计算情况，确定是否授予访问权限。

（3）实时计算访问控制策略：

授权决策依据主体的身份信息、权限信息、环境信息、当前主体信任等级等，通过将这些信息进行实时计算，形成访问控制策略。在资源访问过程中，一旦 授权决策依据发生了变化，将重新进行计算分析，必要时即时变更授权决策。

（4）资源受控安全访问：

零信任架构对所有业务场景、所有资源的每一个访问请求进行强制身份识别和授权判定，确认访问请求的权限、信任等级符合安全策略要求后才予以放行，实施会话级别的细粒度访问控制。零信任  默认网络互联环境是不安全的，要求所有的访问连接都必须加密。

（5）基于多源数据进行信任等级持续评估：

主体信任等级是零信任授权决策的判定依据之一，主体信任等级根据实时多源数据，如身份、权限、访问日志等信息计算得出，参与计算的数据种类越多，数据的可靠性越高，信任等级的评估就越准确。人工智能技术的迅猛发展为信任评估赋能，通过专家系统、模型训练、机器学习等人工智能技术，紧扣应用场景，提升信任评估策略计算效率，实现零信任架构在安全性、可靠性、可用性、安全成本等方面的综合平衡。

（三）零信任关键技术

（1）身份访问与管理技术

身份与访问管理技术主要包括身份、认证、授权，通过围绕身份、权限、环境、活动等关键数据进行管理与治理的方式，确保正确的身份、在正确的访问环境下、基于正当的理由访问正确的资源。现代身份与访问管理技术主要包括身份鉴别、授权、管理、分析和审计等，是支撑企业业务和数据安全的重要基础设施。

（2）软件定义边界技术

SDP技术旨在通过软件的方式，在“移动+云”的时代背景下，为企业构建起虚拟边界，利用基于身份的访问控制以及完备的权限认证机制，为企业应用和服务提供隐身保护，使网络黑客因看不到目标而无法对企业的资源发动攻击，有效保护企业的数据安全。

（3）微隔离技术

微隔离最早由Gartne在其软件定义的数据中心相关技术体系中提出。对数据中心而言，主要有南北向流量和东西向流量：南北向流量是指通过网关进出数据中心的流量；东西向流量是指数据中心内部服务器彼此相互访问的内部流量。传统防护模式通常采用防火墙作为南北向流量的安全防护手段，一旦攻击者突破防护边界，缺少有效的安全控制手段用来阻止东西向流量之间的随意访问。随着东西向流量占比越来越大，微隔离技术应运而生，其作为一种网络安全技术，重点用于阻止攻击者在进入企业数据中心网络内部后的东西向移动访问。

从广义上讲，微隔离就是一种更细粒度的网络隔离技术，使用策略驱动的防火墙技术（通常是基于软件的）或者网络加密技术来隔离

数据中心、公共云IaaS和容器，在逻辑上将数据中心划分为不同的安全段，每个段包含混合场景中的不同工作负载、应用和进程，可以为每个段定义安全控制和所提供的服务。此外，数据中心往往包括海量的节点，频繁变化带来的工作量不可预估，传统的人工配置模式已无法满足管理的需求，自动适应业务变化的策略计算引擎是微隔离成功的关键。

• 零信任防护方案

  （1）建立身份标识

以身份为核心，支持用户、应用、终端、设备等实体身份化，为实体建立数字身份标识已完成身份安全治理。

（2）动态信任评估

采用多因子认证，综合评估量化主题访问风险，持续对业务访问环境、设备、应用进行动态信任评估。

（3）持续风险监测

通过安全大数据分析、安全管理中心统一管理等手段构建持续、动态的安全风险决策控制体系。

（4）注重业务/数据安全

支持在零信任架构下所有业务/数据访问请求的安全保护，业务应用访问均认证、授权和加密，数据交换业务的责任主体、应用、数据均被验证和审计。

最后

以上就是贪玩身影为你收集整理的零信任学习笔记的全部内容，希望文章能够帮你解决零信任学习笔记所遇到的程序开发问题。

如果觉得靠谱客网站的内容还不错，欢迎将靠谱客网站推荐给程序员好友。