编辑：乔乔

随着数字新时代的到来，云计算、大数据、移动互联网等新兴技术大量被应用，传统的网络安全架构已经不适应数字新时代的发展要求，基于传统物理边界的安全防护模式也在新技术的应用潮流下面临更多挑战。在此背景下，零信任架构安全理念顺势而生，用以解决传统边界安全防护方式无法解决的新风险。

为了满足企业用户在新形势下的安全防护需求，派拉软件研发推出一体化的零信任产品体系，从以身份为中心的动态访问控制，逐步延伸到联动终端管理、SDP、API网关、用户行为分析等端到端安全能力全面覆盖的零信任安全解决方案，为企业数字化转型稳定发展构建新信任体系。

►►►标签

零信任、软件定义边界、网络准入、身份访问与管理

►►►用户痛点

（1）远程办公访问风险

现有VPN等接入技术仅提供网络级验证，无法对用户的访问行为进行分析和监控，一旦登录就可以自由地在内网和本地之间进行重要数据和内部文件传输，在用户账号泄露或被仿冒情况下极易被黑客非法利用获取重要数据。

（2）身份和访问管理难以统一

随着业务发展，企事业单位的系统与用户数逐渐增多，每个系统都有一套相对独立的账号体系，集团的访问控制无法通过身份进行统一用户、统一认证、统一授权和集中审计。

（3）业务暴露面不断扩大

越来越多的企事业单位选择在互联网侧为客户和员工提供服务，同时也把更多的信息技术资产（IP、端口等）暴露在了黑客的可视范围之内，黑客可以通过资产暴露面发现脆弱点对企业进行恶意攻击。

（4）内部威胁难以防御

很多企事业单位默认内部网络安全可信而忽略了内网的用户威胁，相对企业的边界防护内网的安全建设相对较少，但往往一旦发生内网安全事件就会造成非常大的影响。

（5）传统边界防御模式失效

数据中心或信息系统迁移上云后企业的网络边界逐渐模糊，以数据中心内部和外部简单划分的安全边界已不能满足对企业资产的防护需求，企业面临更多信任危机。

（6）特权账号管理问题突出

云环境和远程运维场景的增加，企事业单位内部经常会出现一个特权账号多人使用的情况，账号一旦泄露或被员工误操作，就为数据的泄漏、勒索病毒的侵入埋下了安全隐患，且访问过程外部无法干预，事件风险难以追溯。

►►►解决方案

派拉一体化零信任体系由身份认证管理中心IAM、零信任客户端、零信任SDP控制器、零信任可信网关、MSG微隔离和其他细粒度访问控制网关等组成，可以实现端到端的访问资源全生命周期的安全交互保障。

■  方案通过身份认证管理系统IAM构建了“持续评估 动态授权”为目标的风险控制中心，对访问主体和访问行为进行风险分析；

■  SDP控制器负责决策判断，同时解决终端设备先认证后连接与边缘服务的隐藏，免受网络的探测和攻击；

■  可信网关是建立加密隧道服务与动态授权的策略执行点，负责执行和持续监测；

■  MSG微隔离以“最小授权”为原则，对业务或应用进行细粒度精细化权限控制，同时解决服务熔断、负载均衡与访问权限检查，保障每次请求访问网络线路独立，故障与威胁影响面最小化；

■  业务网关主要是结合业务对外提供的访问控制服务与审计能力。

为使组件间能更系统化协同工作，方案中的身份认证中心IAM和微隔离两个关键组件分别映射到对访问主体的信任管理和访问客体授权管理，并通过加强两个组件间的信息交换使访问主体在不同的环境下自动获得与风险匹配的访问权限。

►►►方案特点

通过建设派拉一体化零信任体系，可为企事业单位提供全面、专业、便捷的零信任安全保护，具体成效如下：

（1）实现端到端的安全访问

派拉一体化零信任平台实现从终端、用户、到加密访问通道、身份认证、云资源的授权访问的端到端的安全访问。零信任客户端提供终端安全容器，访问设备进行安全保护，提供安全加密链路对访问进行加密，在访问过程中，不仅对用户进行身份认证，同时也对访问设备进行认证。对应用服务进行访问时，直接参与到应用授权环节，从而保证了从设备到业务全程的安全管理。

（2）实现统一的身份安全管理

派拉一体化零信任平台的身份认证管理中心IAM在统一门户和信息服务平台的基础上，提供统一的用户管理、授权管理、审计管理和用户认证体系，将组织信息、用户信息统一存储，进行集中授权、集中登录和集中身份认证，规范应用系统的用户认证方式，及时响应因用户组织、岗位或状态等因素变化所带来的应用系统管理风险，从而提高应用系统的安全性和用户使用的方便性，实现企事业单位全部应用的单点登录、访问审计、用户权限统计，实现真正意义上的集中化管理，能够满足企事业单位内部和外部审计，以及行业和政府监管的要求，符合客户当前和未来的业务要求和政策法规的要求。

（3）缩小信息资产暴露面

零信任一个重要理念就是先认证后连接，采用网络隐身技术隐藏要访问的资产，必须通过认证才能发起访问连接通信。用户身份验证通过，发起正常的资源应用访问请求，平台通过SPA发送一个加密单数据包至网关，网关接收到单数据包并进行验证，验证通过，打开端口，建立与客户端的连接。验证失败，则直接丢弃数据包，客户端不会收到任何回应。

派拉一体化零信任平台的SDP组件以此方式实现服务端IP和端口的隐藏，使客户端无法直接查看应用，更不让其对资源进行更高权限的操作，从而达到保护信息技术资产的效果。

（4）通过用户行为分析监测内网威胁

派拉一体化零信任平台的UEBA用户行为分析模块通过广泛的数据收集，使用机器学习(ML)、人工智能(AI) 技术，检测用户行为的细微变化，配合专家知识库，发现内部人员潜在的威胁行为，能够有效防止横向攻击、员工违规操作、账号盗用等内部安全问题，同时能为安全事件调查提供。依据UEBA更具洞察力，通过对大数据和机器学习引擎的应用，能够以极高的准确率命中异常事件，在威胁发现速度和准确率方面远快于传统的安全信息和事件管理(SIEM)系统。

（5）重新定义可信的访问边界

派拉一体化零信任平台不再以传统的内外网区分边界，默认内网也不安全，所有的访问都需要经过严格的多因素认证和动态授权，并且在建立信任之前不进行任何数据传输操作。此外还应通过分析、筛选和日志记录等措施来验证所有行为的正确性，并持续观察是否存在代表威胁的信号。

（6）动态授权认证防止数据泄露

派拉一体化零信任平台通过权限模型可管控到应用系统账号的精细化权限，如：菜单、API等。为了持续监控用户操作，平台在授权管理上增加了更细粒度的动态安全管控。平台给用户和被访问资源之间搭建一条动态细粒度“访问通道”。通道建立的访问规则为：只面向被认证、被授权的用户和服务开放，密钥和策略也是动态生成单次使用。这种“临时并单一”的访问控制方式，将私有资源对非法用户完全屏蔽，可显著减少非法数据获取和泄露事件的发生。

（7）特权访问管理排除内部隐患

派拉一体化零信任平台的特权访问管理模块通过对特权账号访问进行生命周期管理，定期自动更新改密，对权限进行分级管理并对高危操作进行二次认证，从访问开始到访问结束的整个过程可进行可视化记录和追溯，并提供特权账号访问全行为审计管理，从严防范“内鬼”破坏事件发生。

►►►方案价值

■  通过派拉一体化零信任平台构建客户零信任身份治理体系，可以有效减少因身份管理不规范带来的信息安全风险、隐私风险以及经营风险；

■  保障客户的网络安全建设符合国家相关法律法规的要求，实现用户及应用系统的统一身份管控，提升了企业组织的IT治理水平；

■  有效解决企事业单位远程办公、系统迁移上云等场景的信任危机；

■  提供一套完整的持续的用户管理规范及运营规范体系，提升信息化平台建设质量及增效降本。

►►►用户反馈

“派拉一体化零信任解决方案，保证了在疫情防控常态化形势下，我机构远程办公各业务的安全需求，通过应用安全容器、零信任SDP接入、统一身份认证与管理等新安全技术，为公司各类办公应用的快速投产和推广，实现有效安全赋能和效率提升，提供了有力支撑，有效降低远程办公过程中的安全风险，为疫情期间的网络安全运营提供了较可靠的保障。”

——来自某大型金融机构用户

“制造业在数据驱动的新模式下，通过构建一体化零信任安全体系，打通全链路的服务触点，通过融合AI智能认证、风险分析、细颗粒度权限管控等技术手段，充分挖掘我司内外部数字价值，提升用户体验和品牌粘度，赋能从研发、设计、生产、制造、销售、售后全链路的数字化转型，满足上百万C端、B端用户身份管理和业务访问环节的安全需求。”

——来自某大型汽车集团用户

“派拉一体化零信任从安全管理、认证管理、技术实施等多方面入手为我们建立起了完整可靠的零信任身份管理体系，实现了以安全保业务、用安全促业务的目标”

——来自某能源央企用户

安全牛评

对于企业组织，零信任的建设需要融入到企业的数字化业务环境中，企业的零信任规划不仅要符合当前的业务需求，也要能更好地支撑未来业务的扩展需求。因此，零信任应用落地时，组织可以从系统化建设的角度，尝试用一体化的零信任解决方案，从场景出发，结合业务在网络空间分布的现状，使每一个业务都形成闭环的安全访问。可以认为，一体化的零信任解决方案模式，是一种有效的零信任安全建设尝试。

“零信任”这一概念已经被安全行业广泛应用，因为很多安全厂商都希望能从零信任的市场发展中获得收益。Gartner分析师认为，零信任架构(ZTA)是一种方法论或途径，而不是某个单独的产品或解决方案，因此，不能将任何单一产品或服务标记为完整的零信任安全解决方案，企业需要根据业务发展需要及当前安全防护的优先级，来选择适合自己的零信任架构。

当前，市场上有许多安全厂商都宣称可以提供零信任产品或方案，但这些产品或方案常常功能各异，在一定程度上影响了市场的有序发展。为了更好了解当前零信任技术的产品化状况，本文对全球网络安全市场中的八家主流零信任方案厂商进行了分析。

1、Akamai：基于云的安全远程访问

Akamai的零信任产品直接源于这家厂商为其7000多名员工实施的零信任远程访问解决方案。Akamai的两款核心ZTNA产品是Enterprise Application Access（EAA）和Enterprise Threat Protector（ETP）。Akamai EAA旨在支持随时随地安全地远程访问企业内部资源。它是一种可识别身份的代理，面向希望替换或增强VPN及其他传统远程访问技术的企业。EAA使企业能够为合适的用户提供这种服务——需要时可以从任何地方安全地访问合适的应用程序。Akamai ETP则是一种安全Web网关（SWG），用于保护云端应用程序免受网络钓鱼、恶意软件、零日漏洞攻击及其他威胁。

Gartner将Akamai列为ZTNA市场收入排名前五的厂商。Forrester则认为它适合需要零信任安全托管服务的企业。但Akamai被认为在整体方案集成方面的能力有待改进。

2、Zscaler：基于云的应用程序隔离和保护

Zscaler致力于将应用程序访问与网络访问隔离开来，降低因设备中招和感染而对网络造成的风险。Zscaler Private Access是该公司基于安全服务边缘框架的云原生服务，旨在为在本地或公共云端运行的企业应用程序提供直接连接。通过该服务，确保只有获得授权、通过身份验证的用户才能访问企业的特定应用程序或服务，防止未经授权的访问和横向移动。

Forrester认为Zscaler的服务具有较高的可扩展性，适合已经使用其安全技术确保网络访问安全的企业。未来，Zscaler可能会针对服务器上的应用系统（如VoIP和SIP）加大支持力度。

3、思科：可基于使用场景提供三种ZTNA方案 

思科有三种不同的零信任产品，分别是：面向员工队伍的Cisco Zero Trust、面向工作负载的Cisco Zero Trust以及面向工作场所的Cisco Zero Trust。

第一类产品为设法确保只有受信任用户和设备才能访问应用程序的企业而设计，支持任何位置的访问请求；第二类产品适用于希望为所有API、微服务和容器实施零信任模型的企业；第三类产品适用于为IT端点客户端/服务器、物联网和OT设备以及工业控制系统实施ZTNA策略的企业。

第一类产品很接近其他厂商的ZTNA 产品，它面向希望让员工和其他第三方能够安全地访问应用程序的企业。该产品使安全管理员能够针对每个访问请求验证用户身份、识别有风险的设备，并实施上下文策略。

Gartner将思科列为ZTNA市场收入排名前五的厂商。Forrester声称，思科零信任产品基于从Duo Security收购而来的技术，因此非常适合已经采用Duo技术的企业。

4、思杰：实现应用层的访问控制

思杰的Secure Private Access是通过云交付的ZTNA产品，适用于需要替代VPN方案，并让用户能够安全地访问应用程序的组织。思杰将其服务定位于让企业可以实施自适应身份验证和访问策略，这些策略根据位置、行为和设备状态等因素控制用户可以访问的内容。

Citrix Secure Private Access仅在应用层对用户进行身份验证，防止可能已闯入环境的攻击者在网络上横向移动。与其他ZTNA产品一样，Citrix Secure Private Access持续监控所有应用程序访问，以发现可疑活动或设备状态/行为的意外变化。Forrester认为，作为一家传统的虚拟桌面和远程访问提供商，思杰拥有成熟的网关技术以保护用户对本地应用程序的访问。已经通过思杰搭建本地基础设施的企业可以很好地利用其ZTNA产品。

5、Forcepoint：ZTNA整合到更全面的SASE平台

Forcepoint的ZTNA产品是其Forcepoint ONE平台的一部分，该平台还包括Forcepoint的云访问安全代理（CASB）技术及安全Web网关（SWG）服务。

Forcepoint的ZTNA产品可以让企业无需代理即可访问本地数据中心和云端的私有应用程序；拥有托管和非托管设备的用户可以通过浏览器快捷方式或通过Ping Networks和Okta等单点登录门户网站，连接到企业应用程序。Forcepoint还为使用传统架构和胖客户端的企业提供基于代理的方案。

企业可以选择添加Forcepoint的CASB和SWG以支持其实施的ZTNA。CASB组件有助于保护和简化SaaS和IaaS租户的访问，同时防止恶意软件攻击和敏感数据泄露等。企业可以使用Forcepoint的SWG，根据风险和可疑活动等因素来监控与网站之间的交互。

6、Cloudflare：身份验证和访问控制的托管服务

Cloudflare的ZTNA产品是一项托管服务，旨在让企业可以使用通用策略替换VPN连接方法，通用策略可基于身份和上下文授予用户访问内部应用程序的权限。该服务让企业能够以两种方式连接到公司资源：一种是通过客户软件访问非HTTP应用程序，路由到私有IP地址和远程桌面协议（RDP）；另一种模型是无客户软件，这意味着Web浏览器被用于连接Web、安全外壳协议（SSH） 和虚拟网络计算（VNC）应用程序。

针对用户身份验证，Cloudflare Access支持多种身份和访问管理平台，包括Azure Active Directory、Okta、Citrix、Centrify和Google Workspace。当企业根据零信任规则评估设备状态时，Cloudflare Access可以使用来自CrowdStrike、Carbon Black、SentinelOne及其他厂商端点保护技术的监测数据。

Gartner在2020年将Cloudflare列为ZTNA即服务这个类别的代表性厂商。Forrester也关注到Cloudflare Access可与多家身份和访问提供商集成这个优点，但与终端安全控制集成是Cloudflare有待改进的一个方面。

7、Appgate：为访问控制提供托管选项

Appgate的ZTNA产品为AppGate SDP。与其他零信任访问技术一样，AppGate SDP使用设备、身份和基于上下文的信息，授予用户对企业资源的最低特权访问。Appgate SDP架构为混合、多云和本地企业设计，由两个可以作为服务或托管设备使用的核心组件组成。

一个组件是Appgate SDP Controller，充当策略引擎和策略决策点，为访问企业资源的用户执行身份验证、访问策略和权限等任务；另一个组件Appgate SDP Gateway，充当策略执行点，该组件根据SDP Controller的决定来控制用户对企业资源的访问。

Appgate提供额外的可选组件，如满足物联网和分支机构需求的Connector，以及让用户使用浏览器即可访问企业资产的门户网站。Forrester指出，Appgate是该领域为数不多的专注于ZTNA而不直接采用整个零信任边缘（ZTE/SASE）安全模型的厂商之一，其技术适合希望托管ZTNA功能的企业。

8、Netskope：快速部署和易用性是最大亮点

Netskope的Private Access（NPA）ZTNA是该公司更广泛的Security Service Edge技术组合的一个组件。企业可以用它将已验证身份的用户连接到应用程序，将应用程序访问与网络访问分开，并确保用户只能访问已被授权的特定资源。它让安全管理员可以根据设备状态、用户身份和用户所属组来实施细粒度的访问策略。Netskope Private Access适用于希望能够安全地远程访问私有Web 应用程序的企业，为其提供无客户软件的浏览器访问服务。

Netskope Private Access有两个部署组件：安装在设备上的轻量级客户软件和Private Access Publisher，后者建立从企业到Netskope云的出站连接，以减小入站访问请求带来的风险。Forrester表示，Netskope在设备状态安全方面表现出色，客户认为其部署仅需数周，而其他厂商则需要数月。这家厂商有待改进的一个方面是需要支持更多身份提供商。

引言

即使跟其相关的底层技术很早就出现了，然而纵观IT演进的时间轴，“零信任”这个概念的历史都不算长。通信网解决了连通性问题，互联网解决了联通性问题。无论是电路交换还是分组交换，在这些网络设计的时候，安全都不是他们考虑的核心。这完全可以理解，就像笔者一直强调的那样，安全从来都是跟着业务走，是为业务服务的，因此很难领先于业务而出现。但随着网络和服务模式的逐渐成熟，如何更加安全有效的获取信息、数据和服务，并避免“不可靠”的其他因素干扰破坏，安全就会被提上设计者的日程。

美国国防部在本世纪初提出了“黑核（Black core）”的理念，提出安全模型应该从基于边界（perimeter）逐步演进到基于单次交易（individual transaction）。2004年成立的耶利哥论坛（Jericho Forum ），其使命之一就是探求“去边界”趋势下的网络安全问题与解决方案。“零信任”这个术语的正式出现，公认是在2010年由Forrester分析师John Kindervag最早提出，他总结了传统网络架构中隐含式信任（比如根据IP地址等来赋予信任权等）的潜在风险，认为在安全会跟随服务模式变化，在去边界化的时代基于“零信任”原则来演进。

2014年开始，Google对外公开了其内部项目BeyondCorp的研究成果，当时的主要目的，是为了推行员工随处可访问公司内部应用和数据的“零信任”模式，提高生产效率，不区分公司内外网，逐渐摒弃VPN这种access-and-grant-all的模式。

其后几年，“去边界化”和“零信任接入”迅速演进，2020年开始的全球新冠疫情，更是为随时随地远程安全访问的业务需求打了鸡血，催生了标准和实践的进一步完善。2020年8月12日，美国国家标准与技术研究院（简称NIST）发布《零信任架构》正式版。该标准自2019年9月以来，先后发布两个草案版本，是迄今为止最为权威的零信任架构标准。2020年底谷歌也发布了BeyondCorp Enterprise，与2014年相比，这是谷歌云的对外商用平台，为其全球云租户提供端到端的零信任平台，包括持续监控和调整以及开放的生态系统。

时至今日，“零信任”俨然已成安全领域最热门的词汇，做安全的不提自己是基于零信任原则，就跟2012年做网络的人说自己不基于SDN一样落伍。而零信任是不是一个被过度营销的术语？零信任架构、零信任原则等等又该如何解读？志翔科技从2014年创立以来，就以“无边界安全”和“零信任原则”作为产品和方案的理念基础。因此本文的目的，不是“又一篇白皮书”，而是从一个安全老兵的角度来聊聊对这些buzzwords背后的理解。

透过现象看零信任之本质

有关零信任的白皮书，从国际到国内已经汗牛充栋，本文无需再赘述为啥网络是不可信的，以及哪些零信任能力重要等等。不过笔者略带嘲讽的认为，“零信任”这个术语被过度使用，被误用，甚至是被滥用了。

首先，“零信任”这个词是什么属性，是名词还是用做定语的形容词？在比较权威和技术的出版物中，“零信任”被公认为是一种理念（concept），原则（principles），新模式（model），思维方式（mindset）,甚至一种安全框架范式（paradigm）。这些词都是框架性的，而不是针对某个技术和网元的具体定义——零信任实际上不是某个具象的产品或平台，而是一种安全框架。在零信任之下，必须谈一些具体的东西才有意义。

另外，把零信任作为定语又有哪些内容值得探讨？笔者认为，首先，“零信任架构（ZTA）”首当其冲，它指基于零信任理念和原则，面向企业网络各部件关系、工作流规划和访问策略的企业信息安全架构。其次“零信任网络访问（ZTNA）”则是一个更具体的场景描述，指的是应用零信任原则的网络和业务访问方式与流程。

如果说零信任是“道”，那么在零信任范式下进行的架构变革，就走向了“术”。在操作层面上，“术”是最好理解的。各种对零信任能力的解读和总结很多，笔者归纳一下自己的理解，就是如下两条：

• 安全权限需以身份为基础，而且须显式方可授予
• 持续（continuous）、动态（dynamic）、自适应（adaptive）

第一条涉及具体的实现架构，第二条似乎好像还是有点晦涩。我们用微信举例吧。无论是发消息还是支付，“你是谁”是微信辨别权限的标准，这个“你是谁”，包括“账号”、“手机号”、“手机设备”等几类信息，这些组合起来就构成了一个使用者的身份和安全态势（security posture）。在使用小程序、公众号、换手机的时候，每次重新校验和授权，都体现了“身份”是访问服务的基础。

用支付这个场景举例则可简单说明显式授权。每次支付都要输入密码或者指纹，这些权限不会因为手机不变、商家不变、用户不变而默认赋予给使用者，这就是“必须显式”授权。异常的大额支付、异常地点的交易以及其他的可疑行为等，则必须持续监控，并动态提、降权来保证安全。最后，零信任也要和便利共存，因此小额免密就是系统为用户开放的一种自适应。

所以，总的来说我们想用好零信任，就必须清楚的认识到：（1）零信任不是某个产品或方案，而是一种安全框架范式；（2）既然是框架，显然零信任不是灵丹妙药，不能一秒实现药到病除；（3）零信任在起步的时候，是新瓶里面装陈酒，其框架下的终端安全、身份认证、授权接入、微隔离、可视化、API安全等等大多是已有安全机制，在这些基础上逐渐在云服务和云生态的推动下，演进出新酒。

零信任缘何忽然红火

说“忽然”有点误导观众。零信任不是孙悟空，一下从石头里蹦出来；也不是哪吒，好多年都不出来。作为一种安全框架的零信任和其衍生的架构，大体上也遵循安全机制与其服务的IT设施和业务的关系来发展。

信息安全一直是跟随其服务的对象来发展的。过去几十年，促进信息安全发展的几个因素，包括了（1）IT基础架构和技术的发展，（2）行业的信息化和数字化进程，以及（3）作为高科技本身的安全技术自身的发展。

近二十年来，IT基础架构和技术发展中，虚拟化和云计算对科技行业基础设施的影响是颠覆性的，这些技术成为现代数据中心和业务建设的主流方式。前文提到，谷歌的BeyondCorp于2014年推出，旨在取代员工VPN，在公司内部尝试“零信任”架构。无独有偶，美国的SaaS业务也是在2014年标志性的首次超越IaaS，其后，亚马逊、微软、谷歌和IBM带领的美国公有云SaaS业务就此一飞冲天。云计算的颠覆性发展带来对云安全的新需求，也催生了“去边界”和“以身份为基石”的潮流。以往基于物理防火墙的On-premise的安全边界，随着云业务的灵活开展，不得不逐渐让位于隐形的“边界”，也就是用户的身份权限，而云的天生federation属性也让身份管理和聚合走到了新高度。

不同行业的信息化数字化进程是不一样的，这也带来不同阶段的安全需求。互联网行业是云计算上半场的主力玩家，因此我们也能看到，零信任技术体系在电商、社交、移动支付等新兴领域最早完善，国内外互联网企业，无论是谷歌、Facebook还是阿里、腾讯，对于“动态认证”、“最小化权限管理”、“事中转事前”的安全理念不但接受而且拥抱和创造。而传统行业如石油电力、机械生产、智能制造等逐步完成数字化改造，会成为云计算下半场的主力。这些行业的安全机制如工控安全、工业物联网安全等将站在零信任的肩膀上发展。

最后，安全与威胁，是互相促进的一对，道和魔都在摩尔定律的激励下不断自我更新，交替前进。新的加密算法，基于大数据分析技术做UEBA，利用沙箱技术来识别恶意代码和异常行为，利用ML和AI技术还原攻击链等，这些技术的发展都让“持续”、“动态”、“自适应”这些零信任的基础变得可能。

因此，抛开营销的噱头不论，零信任并非“一夜成名”。安全技术本身具有附加性（跟随着IT架构演进）、伴生性（作为对抗中被动的一方，安全一定与行业场景结合），以及发展的内在属性（数学、芯片、算法等会推动其进步）。而作为新安全框架的“零信任”，与云计算带来的去边界趋势，与各行业的数字化进程，与摩尔定律的溢出效应都息息相关。

事物的发展，总是偶然推动成必然。我们也不能忽略地缘政治和新冠疫情对零信任的推动。2020年以来，远程安全接入和业务不中断变成全球企业的头等大事，直接推动对零信任的需求指数级增长，其火热自然水到渠成。

从口号到应用，王道是找到最适合的路径

读完业界的零信任白皮书，我们会发现，零信任能够涵盖从云到边到端的各种场景，包括远程办公、业务访问、分支安全接入、数据交换、大数据中心、云平台、物联网等等。这些当然正确，因为零信任作为新安全范式，作为“道”，自然是放之四海而皆准的。但对安全厂商和安全用户而言，如何部署零信任？

笔者的理解非常直接：空讲概念不如枚举场景。重要的事情说三遍：场景，场景，场景，抛开场景来说零信任的框架等于吹空中楼阁，相当于宣称用板蓝根治疗所有的头疼发热。

去边界化的趋势和零信任的模式，是志翔科技从2014年成立以来就一直持续探索的方向。近十年来，业务逐渐上云，同时端系统越来越丰富强大，形成哑铃形的访问模式，本地on-premise的IDC逐渐被Cloud蚕食，内外网边界变得模糊和消失。另一方面，中国的云市场与美国发展明显不同，大部分头部云客户，如金融、能源、政府等还维持私有云和专有云（Hosted Cloud）的模式。疫情席卷而来，给全世界都带来了远程办公的刚需，也带来了零信任的有趣话题。

VPN目前几乎是IT人员手边解决远程接入需求的第一选项，但是在超大规模和应用精细化的要求下，VPN捉襟见肘——尽管VPN一定程度上满足了远程接入需求，但其access-and-grant-all模式，给予了过多的隐含权限，正好是零信任原则的对立面，所以替换VPN成为零信任应用最经典的场景之一。

尽管不同行业需求各自不同，但共通之处在于——信任不可能被“趋近归零”，而最小权限的原则在实际应用中经常给IT管理员带来诸多不便。最重要的是，企业的安全机制需要的是平稳过渡——我们的客户绝不接受立刻关闭VPN。因此正确的路线是Dream Big and Start Small。在这些现实情况下。志翔结合自身产品能力，找到能与企业现有VPN形成最佳补充的两个场景来入手：

• 南北向的：企业用户如何安全访问企业应用，即ZTNA。
• 东西向的：企业工作负载之间的精细化保护。

从“道”上说，企业客户会关注自己的数字资产和业务如何管理（asset management，东西向），后疫情时代则更关注如何远程安全的访问这些业务（access management，南北向），这正是志翔的零信任方案聚焦之所在。从“理”上说，志翔与客户探索出的方法是逐步建立身份化的体系，然后从大颗粒开始，通过基于至安盾®的零信任网关等形式建立不影响当前业务管控的基本框架，再基于行为做精细化管控和持续优化；在服务端逐步引入基于用户身份的微隔离，比如至明®安全探针等，对服务器、虚拟机、容器等工作负载进行更精细化的监测、保护以及安全可视化。

当然，挑战永远存在：接入侧的场景很复杂，用户行为差异化明显，需要不断积累场景才能提升产品通用性；服务侧的稳定性和业务敏捷是一对矛盾，如何隔离和协调异种工作负载等都是难题。

零信任承担的责任，对安全而言本来就是演进的大挑战。无论政策、标准、运维、安全可视化和安全管理，还是南北向和东西向的网络、基础架构、身份安全、数据安全等，零信任面临的机遇和挑战并存共生，这也恰是其魅力之所在。

写在最后：零信任的趋势

根据Markets and Markets的数据，全球零信任安全市场规模预计将从2020年的196亿美元增长到2026年的516亿美元，复合年增长率（CAGR）为17.4％。当然，定义一个“零信任安全市场”，本身也是一件奇怪的事情。零信任如果是框架而非专门的产品和方案，则其规模应该是一堆双算的市场板块数字之和。

业务数字化转型和云计算的发展，改变了网络安全的设计理念。传统物理边界变得模糊后，安全的边界不再是数据中心边缘和企业网边缘的某个盒子。在云计算时代，应该基于以数据为中心（Data-centric）的原则来部署安全，关心的问题应该是：谁，能访问什么业务和数据，应该授予何种访问权限，为什么需要这些权限，在授权范围访问是如何进行的等等，而不再是“业务在哪里”和“边界在哪里”。换句话说，传统安全边界变成了无处不在的边界能力——动态创建、策略强化、权限管控、安全访问。以身份为基石的架构体系很快会成为业界主流；以身份为中心进行访问控制的零信任安全，必将得到越来越多行业客户的认可与肯定。

安全的附加性、伴生性，以及安全技术发展的内在属性，决定了零信任的增长动力来自于云计算的发展、云计算下半场的用户们数字化转型逐渐到位，以及后新冠时代远程办公、授权访问和合规要求等。无论企业应用访问，还是公有云服务的提供，无疑零信任模式将成为安全行业发展的未来趋势。但零信任是过程，不是结果；而对于志翔科技这样的行业从业者而言，零信任是“道”，在道之下，如何明道优术将是永恒的话题，这也正是网络空间安全的魅力所在。

在演进过程中，每个行业信息化程度不一，对数据业务安全和敏捷性的要求不同，因此不同行业如何应用ZTNA来解决VPN的问题，其节奏和方式也各有差异。下一篇，我也将从从业者的角度来分享并与诸位同行探讨，不同行业“零信任”落地的共性与差异。