文档目的：记录零信任网络预研过程，以参考
编辑记录：
零.简单摘要
- 0.1 由于公有云私有云混合云，设备多样性等的技术发展，导致传统VPN安全网络稳定清晰边界的基本假设不再成立，传统安全方案不再适用
- 0.2 国内 零信任国标意见征求稿正在推进，滴滴未在参与名单，8月份零信任国标将确定
- 0.3 目前国内外商业届，开源届有一定的积累，零信任从04年形成概念并发展，20年国内团体标准开始推进
- 0.4 目前**网络安全架构待确定，部分服务使用SSO等，或许说明公司内部也迫切需要统一零信任来简化业务服务的安全措施成本
- 0.5 零信任网络更多是概念认知上的，支撑的具体技术都是沿用的安全技术
一.背景问题 — 技术发展带来的基本假设的变化
（ref： https://www.ibm.com/cn-zh/topics/zero-trust）
现况：
- 接入设备复杂，全球化，居家办公，从不同的网络，不同的设备接入办公网络
- 数据违规成本高
- 混合云环境带来的安全网络边界无法区分 尤其是随着 5G、云计算等新兴技术的融入，加剧了边界模糊化、访问路径多样化，造成传统边界防护无从入手
基本假设：每一个端和连接点都被视为威胁
Evan Gilman《Zero Trust Networks》 零信任网络建立在五个假设前提之下：
- 应该始终假设网络充满威胁；
- 外部和内部威胁每时每刻都充斥着网络；
- 不能仅仅依靠网络位置来确认信任关系；
- 所有设备、用户、网络流量都应该被认证和授权；
- 访问控制策略应该动态地基于尽量多的数据源进行计算和评估
二.零信任基本概念和标准化推进 — 国内当下正处在标准确定之际
（https://www.infoq.cn/article/idac5s8rczut9vmf2rmb） 基本模型：ID + IP = trust
- 将网络防御范围从广泛的网络边界转移到单一或小组资源
- 打破默认信任，“持续验证，永不信任”
零信任是一种安全体系架构，它打破了传统的认证即信任、边界防护、静态访问控制、以网络为中心等防护思路，建立起一套以身份为中心，以识别、持续认证、动态访问控制、授权、审计以及监测为链条，以最小化实时授权为核心，以多维信任算法为基础，认证达末端的动态安全架构
要使零信任模型正常起作用，采用者必须：
- 动员全企业齐心协力。
- 对所有 IT 和数据资产编目，并基于角色分配访问权限。
- 封锁一些常见漏洞。
- 针对 以数据为中心的方法 对数据分类（链接位于 ibm.com 之外）。
- 对网络分段以防止 内网漫游 （链接位于 ibm.com 之外），这是造成数据违规的一大原因。
- 在虚拟机和云服务器交叉漫游期间隔离和保护工作负载。
从外部视角来看，这可能像是很有限制性的过程。 但是，成功实现零信任模型有助于为安全团队将场景和洞察引入快速演化的攻击面，并改善用户的体验
三大技术：SIM：
- 软件定义边界（SDP）
- 身份识别与访问管理（IAM）：身份 权限生命期
- 微隔离（MSG）：减少 信任网络的粒度
NIST（美国国家标准与技术研究院）在 2020 年发布的《SP800-207:Zero Trust Architecture》标准意味着零信任理念成熟
NIST标准
https://www.infoq.cn/article/9k4PmXl3GLiXh6LOQWMU
https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture
国内标准化进度
【1】20210101 中国电子工业标准化协会 https://www.cesa.cn/news.aspx?id=vnWJs34ArmA=&t= 团体标准征求意见的通知
【2】20220602 全国信息安全标准化技术委员会 GB 国标 2022年8月1日截止 https://www.tc260.org.cn/front/postDetail.html?id=20220602173149
https://www.tc260.org.cn/front/bzzqyjList.html?start=0&length=10
三.公司目前安全架构
（目前粗略：VPN作为网络信任边界，内部服务部分零散的使用SSO）
四.商业产品 — 国内外解决方案
（备注：一下内容尚未仔细甄别，无法完全明确有效性，仅参考）
4.0 IBM
https://www.ibm.com/cn-zh/security/identity-access-management
4.1 开源方案资源
https://github.com/ukncsc/zero-trust-architecture
4.2 Sangfor 零信任解决方案
https://www.sangfor.com.cn/product-and-solution/sangfor-security/aTrust 核心：流量身份化 《— 和vpn的数据如出一辙 亮点：
- 网络隐身（不可见，不可路由）
- 动态自适应认证
- 动态访问控制
- 终端环境自动监测
5.3 奇安信 零信任解决方案
https://www.qianxin.com/trade/detail/tid/31
五.管理层面 成本层面
目前可能的已有问题
- IT运维人员 往往每天被 网络的基建琐务所占有时间，要么业务量不充足 – 给其充分的目标产出：即使搞基建不能获益，但是依然要弄
- 零信任网络推进者：接触到很多相关业务负责人
- 很多公司目前的数据安全，强力需要这样的 安全落地措施提振
管理层面
成本产出层面
六.其他
其他： 思路：“零信任是一个持续过程，安全建设同样也是一个持续过程，所以用户应该选择一种混合式结构来循序渐进地部署零信任”
它在接入 OT 网时非常谨慎，因为里面是一些生产型设备，所以它对零信任的要求会更高。这要求零信任架构能严格控制所有端点到端点，从 IT 网控制系统到 OT 网的生产系统，不管是内网接入，还是服务商过来排错或升级操作，都要应用这套零信任框架，从而保证 OT 环境的安全