在這個(gè)萬(wàn)物互聯(lián)的時(shí)代，數(shù)據(jù)已經(jīng)呈指數(shù)形式爆炸增長(zhǎng)，而在這爆炸增長(zhǎng)的數(shù)據(jù)背后隨之而來(lái)的現(xiàn)象便是網(wǎng)絡(luò)安全問(wèn)題。

雖然我們?cè)缫褬?gòu)建了數(shù)字護(hù)城河，通過(guò)防火墻、WAF、IPS等邊界安全產(chǎn)品/方案對(duì)企業(yè)網(wǎng)絡(luò)邊界進(jìn)行重重防護(hù)，但仍然時(shí)常有網(wǎng)絡(luò)信息安全事件發(fā)生，僅在2019年初就發(fā)生了澳大利亞維多利亞州政府3萬(wàn)名雇員個(gè)人信息被外泄；萬(wàn)豪酒店5億客戶數(shù)據(jù)遭到泄漏；TLS 1.2 協(xié)議出現(xiàn)漏洞，近3000網(wǎng)站受影響；英特爾CPU再現(xiàn)高危漏洞，官方證實(shí)可泄漏私密數(shù)據(jù)等眾多網(wǎng)絡(luò)安全事件，也就意味著傳統(tǒng)的網(wǎng)絡(luò)安全防護(hù)措施在如今已經(jīng)收效甚微，那么網(wǎng)絡(luò)環(huán)境到底發(fā)生了什么變化呢？

當(dāng)今的網(wǎng)絡(luò)時(shí)代數(shù)據(jù)爆炸增長(zhǎng)，網(wǎng)絡(luò)用戶群體龐大，各種程序?qū)映霾桓F，導(dǎo)致了要保護(hù)的信息量過(guò)大，而實(shí)施破壞行為的人群異常龐大，程序應(yīng)用之中的漏洞也數(shù)不勝數(shù)。

 在互聯(lián)網(wǎng)飛速發(fā)展的同時(shí)，移動(dòng)互聯(lián)網(wǎng)也日益興起，根據(jù)《2019移動(dòng)互聯(lián)網(wǎng)全景生態(tài)報(bào)告》顯示，中國(guó)移動(dòng)互聯(lián)網(wǎng)用戶規(guī)模已經(jīng)超過(guò)了11.3億，越來(lái)越多的人在日常生活中大量使用QQ、微信、微博、知乎、豆瓣、貼吧、虎撲等線上交流平臺(tái)，每個(gè)人都可以在網(wǎng)絡(luò)上營(yíng)造各種不同的身份，每個(gè)人在網(wǎng)絡(luò)上都會(huì)有大量的“最熟悉的陌生人”，而這些“最熟悉的陌生人”就很有可能在你不知不覺中盜走你的相關(guān)信息，利用你的信任，入侵你的網(wǎng)絡(luò)從而竊取個(gè)人或者企業(yè)甚至國(guó)家的相關(guān)秘密。就在近日，四川廣元市公安局就破獲一起“10·20”電信詐騙案，犯罪分子就是利用微信、QQ等線上虛擬平臺(tái)誘導(dǎo)受害人購(gòu)買理財(cái)投資產(chǎn)品進(jìn)行詐騙，涉案金額逾4000萬(wàn)元。

而在現(xiàn)實(shí)生活中，許多用戶經(jīng)常會(huì)出現(xiàn)操作失誤的情況，甚至還有一些操作者蓄意破壞，惡意盜取公司的相關(guān)信息。2010年富士康公司內(nèi)部員工林某將iPAD 2平板電腦后殼的3D數(shù)據(jù)圖泄露，給富士康造成重大損失。這些行為都是訪問(wèn)主體對(duì)網(wǎng)絡(luò)數(shù)據(jù)安全造成的破壞。

現(xiàn)在的互聯(lián)網(wǎng)世界里已經(jīng)沒有了時(shí)間和空間的限制，至使其受眾人群變的無(wú)限大，而其中的不法分子也自然變得無(wú)限多。海量的黑客會(huì)讓網(wǎng)絡(luò)中細(xì)微的漏洞都被無(wú)限放大，無(wú)論是個(gè)人研發(fā)的程序亦或企業(yè)甚至是國(guó)家層面研發(fā)的程序，總會(huì)有黑客發(fā)現(xiàn)其中的漏洞，這都會(huì)導(dǎo)致安全事件的發(fā)生。在2010年1月，谷歌就受到了黑客的網(wǎng)絡(luò)入侵。黑客就是利用Adobe Reader中的一個(gè)漏洞實(shí)施了這次攻擊，并且使用同樣的方法攻擊了其他三十多家公司，其中包括雅虎、賽門鐵克、Adobe和諾斯羅普格魯門。

 與此同時(shí)，信息、數(shù)據(jù)的價(jià)值已經(jīng)越來(lái)越高，越來(lái)越多的人意識(shí)到數(shù)據(jù)的重要性，但是針對(duì)于數(shù)據(jù)的有效保護(hù)措施卻并沒有改善。我們可以把現(xiàn)金存進(jìn)銀行，把文件鎖進(jìn)保險(xiǎn)柜，把心事寫在密碼本里。但是對(duì)于數(shù)據(jù)而言，還沒有一個(gè)比較完備的機(jī)構(gòu)或者設(shè)備可以用來(lái)放心存儲(chǔ)，大量的數(shù)據(jù)還都在網(wǎng)絡(luò)中“暴露”著，各種數(shù)據(jù)都有可能被他人加以攔截、篡改、破壞等從而達(dá)到其目的，如果這些數(shù)據(jù)涉及到企業(yè)商密，甚至軍密，那么所帶來(lái)的影響無(wú)疑是空前巨大的，可能會(huì)造成難以估量的損失。

傳統(tǒng)的基于邊界的網(wǎng)絡(luò)安全架構(gòu)在某種程度上假設(shè)或默認(rèn)了內(nèi)網(wǎng)的人和設(shè)備是值得信任的，認(rèn)為網(wǎng)絡(luò)安全就是構(gòu)建重重防護(hù)就足夠了。正是因?yàn)檫@種默認(rèn)信任的觀念，導(dǎo)致在訪問(wèn)主體（人員、設(shè)備、應(yīng)用、系統(tǒng)）這一層面上就會(huì)存在很多不確定因素從而給網(wǎng)絡(luò)安全帶來(lái)威脅。

而“零信任”的提出則盡可能的解決了這一問(wèn)題。在《零信任網(wǎng)絡(luò)》一書中，埃文·吉爾曼（Evan Gilman）和道格·巴斯（Doug Barth）將零信任的定義建立在如下的五個(gè)基本假定之上：

（1）網(wǎng)絡(luò)無(wú)時(shí)無(wú)刻不處于危險(xiǎn)的環(huán)境中；

（2）網(wǎng)絡(luò)中自始至終存在外部或內(nèi)部威脅；

（3）網(wǎng)絡(luò)的位置不足以決定網(wǎng)絡(luò)的可信程度；

（4）所有的設(shè)備、用戶和網(wǎng)絡(luò)流量都應(yīng)當(dāng)經(jīng)過(guò)認(rèn)證和授權(quán)；

（5）安全策略必須是動(dòng)態(tài)的，并基于盡可能多的數(shù)據(jù)源計(jì)算而來(lái)。

零信任的本質(zhì)是在訪問(wèn)主體和客體之間構(gòu)建以身份為基石的動(dòng)態(tài)可信訪問(wèn)控制體系，通過(guò)以身份為基石、業(yè)務(wù)安全訪問(wèn)、持續(xù)信任評(píng)估和動(dòng)態(tài)訪問(wèn)控制的關(guān)鍵能力，基于對(duì)網(wǎng)絡(luò)所有參與實(shí)體的數(shù)字身份，對(duì)默認(rèn)不可信的所有訪問(wèn)請(qǐng)求進(jìn)行加密、認(rèn)證和強(qiáng)制授權(quán)，匯聚關(guān)聯(lián)各種數(shù)據(jù)源進(jìn)行持續(xù)信任評(píng)估，并根據(jù)信任的程度動(dòng)態(tài)對(duì)權(quán)限進(jìn)行調(diào)整，最終在訪問(wèn)主體和訪問(wèn)客體之間建立一種動(dòng)態(tài)的信任關(guān)系。

零信任安全架構(gòu)是以身份為基石，關(guān)注業(yè)務(wù)安全訪問(wèn)，進(jìn)行持續(xù)信任評(píng)估，建立動(dòng)態(tài)訪問(wèn)控制模型。

基于身份而非網(wǎng)絡(luò)位置來(lái)構(gòu)建訪問(wèn)控制體系，首先需要為網(wǎng)絡(luò)中的人和設(shè)備賦予數(shù)字身份，將身份化的人和設(shè)備進(jìn)行運(yùn)行時(shí)組合構(gòu)建訪問(wèn)主體，并為訪問(wèn)主體設(shè)定其所需的最小權(quán)限。

通過(guò)業(yè)務(wù)保護(hù)面實(shí)現(xiàn)對(duì)資源的保護(hù)，在零信任架構(gòu)中，應(yīng)用、服務(wù)、接口、數(shù)據(jù)都可以視作業(yè)務(wù)資源。通過(guò)構(gòu)建保護(hù)面實(shí)現(xiàn)對(duì)暴露面的收縮，要求所有業(yè)務(wù)默認(rèn)隱藏，根據(jù)授權(quán)結(jié)果進(jìn)行最小限度的開放，所有的業(yè)務(wù)訪問(wèn)請(qǐng)求都應(yīng)該進(jìn)行全流量加密和強(qiáng)制授權(quán)，業(yè)務(wù)安全訪問(wèn)相關(guān)機(jī)制需要盡可能工作在應(yīng)用協(xié)議層。

持續(xù)信任評(píng)估是零信任架構(gòu)從零開始構(gòu)建信任的關(guān)鍵手段，通過(guò)信任評(píng)估模型和算法，實(shí)現(xiàn)基于身份的信任評(píng)估能力，同時(shí)需要對(duì)訪問(wèn)的上下文環(huán)境進(jìn)行風(fēng)險(xiǎn)判定，對(duì)訪問(wèn)請(qǐng)求進(jìn)行異常行為識(shí)別并對(duì)信任評(píng)估結(jié)果進(jìn)行調(diào)整。

動(dòng)態(tài)訪問(wèn)控制是零信任架構(gòu)的安全閉環(huán)能力的重要體現(xiàn)。建議通過(guò)RBAC和ABAC的組合授權(quán)實(shí)現(xiàn)靈活的訪問(wèn)控制基線，基于信任等級(jí)實(shí)現(xiàn)分級(jí)的業(yè)務(wù)訪問(wèn)，同時(shí)，當(dāng)訪問(wèn)上下文和環(huán)境存在風(fēng)險(xiǎn)時(shí)，需要對(duì)訪問(wèn)權(quán)限進(jìn)行實(shí)時(shí)干預(yù)并評(píng)估是否對(duì)訪問(wèn)主體的信任進(jìn)行降級(jí)。

因此，必須要堅(jiān)持“零信任”的思想理念，才能更好的減少并阻止網(wǎng)絡(luò)安全事件的發(fā)生。