2020年6月5日，零信任十周年峰會圓滿召開，大會由云安全聯盟大中華區主辦，聯合國UN2020指導，聯軟科技等眾多網絡安全領域代表廠商共同承辦。

會議伊始，零信任之父John Kindervag為大會致賀詞，云安全聯盟大中華區主席兼研究院院長李雨航在開幕致辭中指出零信任在全球已經成為網絡安全關鍵技術大趨勢，會上邀請了10多位零信任方面的專家、實踐者共同探討零信任十年的發展歷程與實踐。參會人數達10000+，受到多方關注，聯軟科技副總裁黃國忠分享了聯軟對于零信任的思考：

1993年，《紐約客》刊登了一則由自彼得·施泰納（Peter Steiner）創作的漫畫，“On the Internet, nobody knows you're a dog”，網絡的隱秘性和匿名性可見一斑，同時，作者也想強調網絡就是虛擬世界，和現實不一樣。

如今，我們的現實生活高度依賴網絡空間，據IDC預測，2020年，全球GDP的60%將是數字經濟，不管是在線交易還是關鍵信息設施的訪問還是無人駕駛，人們無時無刻不享受著信息化時代的便利，但是在網絡空間和物理空間深度融合、網絡威脅復雜的今天，如果做不到以下2點，后果將十分嚴重，甚至是災難性：

1、正確的人或“物”：出于正確的原因，能夠在正確的時間、正確的地點從正確的設備中獲取到正確的資源（應用、數據等）。

2、隨時識別異常行為和安全狀態、動態調整訪問策略。

為什么需要零信任？

早期的網絡是局限在一個物理范圍內，用戶、服務器都在企業內部，這些資源通過防火墻和互聯網連接，人們堅信內網是可信的，外網是不信任的。隨著云大物移的發展，用戶需要隨時隨地訪問企業的數據，企業服務器很多不在自己的數據中心，而是部署在云端，聯網設備的海量化使得暴露面也在極度擴大中。

數字經濟、數字資產的價值越來越大，也吸引了更多的利益集團和攻擊者，攻擊手段有傳統的設備接入、DDoS、暴力破解，夾雜著魚叉式釣魚攻擊、水坑攻擊、供應鏈攻擊、APT攻擊等多種方式，網絡攻擊變得更加復雜化、組織化、高級化及有針對性，傳統的防火墻以及城堡式邊界防護等形式越來越無能為力，甚至在高級黑客的攻擊下形同虛設，內網某臺機器一旦被突破，黑客往往采用橫向移動的方法尋找有價值的資產，整個內部網絡很容易暴露給黑客。與此同時，內部人員的威脅和惡意行為也是很多安全事件的根源，企業內部網絡中依然充滿著威脅。

網絡安全行業期待新的架構，新的紀元，新的變革，需要新的邊界防護，這時候零信任應運而生。

零信任的發展史

2010年，Forrester 分析師約翰·金德維格正式提出零信任概念，自此零信任開始嶄露頭角，特別是近兩年得到快速發展。2020年2月美國國家標準與技術研究院發布SP800-207:Zero Trust Architecture 草案第二版本，代表著零信任已經從理念走向工程實踐甚至標準化，在其發展完善的過程中，Forrester 、NIST、Google、Gartner、CSA等機構都扮演了重要的角色，一步步將零信任推向成熟。

談零信任之前，我們先看看什么是信任，信任就是一方對另外一方行為的依賴，是一個受多方面因素影響，有時效性的動態詞。Gartner在CARTA模型提出“我們不能追求零風險，信任和風險是相互相伴的，需要動態調整”。零信任按照零的含義來講即為“不信任”，但是如果是這樣，之后的連接等關系便不能發生，所以說零信任這樣一個抽象的詞，應該指的是零網絡信任、零默認信任、零特權，即使通過了最初的認證，后期也要不斷校驗，根據安全態勢和具體情況調整風險等級，這就是零信任的核心思想，在不可信的網絡中重構安全體系，永遠不信任，始終在校驗。

總結：零信任是一種概念、模型、體系框架，安全訪問資源的方式，有多種流派，內涵和外延在不斷演進中，它不是一種產品和技術，（點擊閱讀：一文讀懂零信任），也不是能解決所有安全問題的銀彈，其主要價值是指導安全體系規劃建設，通過網絡訪問方式的改變，減少暴露面和攻擊面，嚴格控制非授權訪問。

如何通過SDP技術架構實踐零信任理念

（1）軟件定義邊界

Gartner的報告里又將SDP稱為零信任網絡訪問，在其2019的市場報告中指出，2023年，60%的VPN用戶將會被SDP取代，近期由于新冠疫情的影響，相關機構預測，如果疫情持續下去，SDP與VPN的終決戰將會提前上演。

最早的時候，SDP是云安全聯盟在2013年提出的新一代網絡安全解決方案，在移動+云時代，構建起一個虛擬的企業邊界，利用基于身份的訪問控制，來應對邊界模糊化帶來的控制粒度粗、有效性差等問題，以此達到保護企業數據安全的目的。Gartner在零信任網絡訪問市場指南報告里則稱“SDP是圍繞某個應用或一組應用創建的基于身份和上下文的邏輯訪問邊界。應用是隱藏的，無法被發現，并且通過信任代理限制一組指定實體訪問，在允許訪問之前，代理會驗證指定訪問者的身份，上下文和策略合規性，這個機制將應用資源從公共視野中消除，從而顯著減少攻擊面”。

SDP技術架構分為三個部分：客戶端、控制器、網關。所有的客戶端在訪問資源之前，都要和控制器通過SPA單包驗證，含有雙方共同信息的秘密報文，通過UDP協議發給控制器，敲開訪問的大門，任何其他的包將會被丟掉，SDP控制器不做任何回應，如果身份合法，會通知訪問應用網關，告知客戶端的相關信息和通信參數，之后客戶端和網關之前以同樣的流程進行雙向驗證，然后才能訪問看到有權限的應用資源。整個過程中，我們可以看到通過控制平面和數據平面的分離，受保護的資源是消失的， 所以SDP也被稱做“黑云”，將機密信息隱藏起來，不被授權外的人看到。常見的5種SDP部署模型中比較普遍的是客戶端——網關模型，我們所熟知的谷歌Beyond Corp便是其變種，而現在物聯網的發展中，有些企業是無法安裝Agent的,那么他們就需要網關——網關的交換模型，還有些企業在數據中心的服務器之間常通過API交換數據，這就需要采用服務器——服務器的模型，總的來說，目前SDP有5種機制保障企業信息體系安全。

我們前面說到當內外部的威脅層出不窮、傳統邊界防護的模式愈顯疲態，零信任理念誕生。通過我們剛才講到的SDP的技術架構，可以看出SDP是嚴格遵守了零信任理念，以資源為中心進行安全防護，以身份為基礎，先認證后授權，關注保護面而不是攻擊面，將控制平面與數據平面分離，細粒度動態自適應訪問控制體系，讓服務隱身并保障安全，強調網絡隱身而不是防御，從架構設計上改變攻防極度不平衡狀況。同時，SDP是應用級的準入控制與微隔離，可以真正將安全融于業務，實現企業內生安全體系。

（2）SDP如何打斷攻擊鏈

2019年RSA創新沙盒大賽中奪冠的以色列冠軍Axonius聚焦資產安全管理，提出一個概念：你無法保護你看不到的東西。而采用SDP的隱身技術，可以讓黑客無法攻擊其看不見的目標。根據Kill Chain的七個步驟，攻擊者展開攻擊的第一步要做偵查，SDP通過SPA單包授權，服務隱身等方式將我們的服務資源從公眾視野消失，將會極大收斂暴露面。這里要提一下，不管網絡安全技術如何發展，暴露面收斂依然是網絡安全的核心原則。SDP通過抗DOS Token 、流量加密、應用分段與隔離、客戶端持續動態設備驗證、訪問行為可視、實時事件響應以及貫穿整個零信任模型的按需授權和最小權限原則可以有效限制攻擊者在行動階段的活動,在多個環節打破攻擊鏈，極大提高攻擊者的成本。

SDP的應用場景在除了我們剛提到的VPN外，還有生態合作伙伴的資源訪問、企業上云、IaaS、SaaS、物聯網等多個場景。

零信任與聯軟產品淵源

●2004年，業界提出NAC（網絡準入控制）技術，從網絡層實現資源的隔離；

●2006年聯軟在國內首家推出基于NAC架構的準入控制產品，而SDP正是基于零信任思想的新一代應用層隔離技術；

●2015年，聯軟發布企業移動安全支撐平臺EMM，引入零信任思想；

●2016年，提出TDNA理念，強調通過架構改變攻防不平衡、安全融入業務等核心原則，SDP就是從架構上解決網絡攻防不平衡，這一點與TDNA不謀而合；

●2019年，聯軟科技發布軟件定義邊界UniSDP，探索零信任安全領域；

●2020年，聯軟發布了自適應安全訪問零信任解決方案。一個客戶端，一個界面，根據用戶在內網還是外網，自適應地安全訪問數據中心、混合云、公有云下的各種資源。

零信任是一種以應用（數據）為中心的端對端，細粒度的動態訪問控制架構，端點的重要性不言而喻，而作為國內終端安全管理和準入控制領域的領導者，聯軟的方案升級到零信任體系也是必然趨勢。

零信任的展望與挑戰

如同我們所知道的，威脅不斷變化，安全工作永無止境。例如我們知道美國政府給重要單位倡導和建設了很多安全項目和工程，例如愛因斯坦工程、可信互聯網連接TIC、持續診斷和緩解CDM、高價值資產HVA等，充分顯示了對網絡安全的重視，但引人思考的是安全的盡頭在哪里？走在長長的黑暗隧道里，安全的光明出口是什么？零信任就是黑暗隧道里的光明，它以一個統一的視角幫助網絡安全建設者去看待和規劃網絡安全體系。有人想問，既然零信任這么先進，那傳統的安全防護體系還有用嗎？我們要知道，零信任要做的不是完全替代防火墻這些傳統技術，而是在原有基礎上，充分利用已有技術和設施，以新的理念和架構，重新組合，幫助企業平滑過渡到零信任的體系建設。

在企業體系中，SIEM、SOC、SA等這些平臺通常拿來收集資產、威脅、數據等，但這些平臺往往缺乏業務和數據視角，很難做到統一策略的下發和決策。而零信任正是以業務安全訪問為中心，如果將零信任與這些平臺結合起來，就可以做到網絡安全風險態勢整體感知和掌控，以及業務風險的安全管理控制。

最后想說的是，零信任是一個美好的愿景，它不是一個結果，而是一個長期的過程，需要分階段建設。每家企業的信息化規模、業務特點及面臨威脅、安全基礎和預算也不一樣，對零信任方案的需求也不同，不能一味求全求大，合適的就是最好的。

零信任架構體系不光包含安全產品和技術本身、還涉及到信息基礎環境、端點、網絡、業務系統、應用開發、流程和策略等，整個體系是很難依靠單一廠商構建起來的，只有形成標準化組件和建立開放合作的機制，才能像汽車產業一樣做大做強，惠及用戶。

聯軟科技希望和用戶、安全廠商、應用軟件開發廠商、云安全廠商等共建零信任生態，一起構建更加安全的網絡空間。