未來零信任發(fā)展會呈現(xiàn)明顯的“四化”特征，即應用零信任化、傳統(tǒng)網(wǎng)絡安全產(chǎn)品零信任化、零信任技術協(xié)議標準化和零信任落地成熟度評估模型化。

本篇主要探討應用零信任化趨勢分析。

[[402429]]

1. 信息化發(fā)展的不同階段

自計算機面世以來，企業(yè)的信息化發(fā)展產(chǎn)生了翻天覆地的變化，業(yè)務需求不斷涌現(xiàn)，企業(yè)應用也隨之不斷豐富和成熟。

在應用建設的初期，企業(yè)的各個不同部門為滿足各種不同業(yè)務目的，采用煙囪式的建設方式，設計和開發(fā)了大量應用，例如財務系統(tǒng)、人事系統(tǒng)、庫存系統(tǒng)、辦公系統(tǒng)等，滿足了特定用戶群體的特定業(yè)務需求，也為企業(yè)的信息化管理帶來了嚴峻的問題。

隨著企業(yè)應用的爆發(fā)式發(fā)展，結合應用技術的革新，企業(yè)應用為用戶提供了便捷的使用體驗，企業(yè)應用版圖逐漸形成了以應用門戶為基礎、以專業(yè)應用為補充的應用格局。面對越來越復雜的應用場景，企業(yè)IT管理者的應用建設思路完成了從無序向有序的轉變，然而在長期的實踐中發(fā)現(xiàn)，由于用戶角色、應用場景、用戶設備和IT網(wǎng)絡的差異持續(xù)存在，應用建設的標準始終無法固化和統(tǒng)一。

2. 當前應用安全體系的局限

IT信息化幫助企業(yè)提升運營效率，而應用的廣泛使用給企業(yè)信息安全帶來了大量威脅，企業(yè)的信息安全建設緊跟信息化建設步伐，在訪問環(huán)境安全、認證安全、傳輸安全、系統(tǒng)安全等方面形成了覆蓋應用使用全流程的成熟的安全技術和產(chǎn)品。

應用從應用開發(fā)廠商和企業(yè)IT管理員的角度分別實現(xiàn)不同的安全保護功能。

應用開發(fā)廠商以應用的功能實現(xiàn)為主要任務，采用統(tǒng)一身份管理、PKI證書和SSL加密等方式，在用戶認證、數(shù)據(jù)傳輸上提供應用的基本安全保護。

企業(yè)IT管理員堅守內網(wǎng)安全邊界，雖然部署了各種安全產(chǎn)品，但偏向于全網(wǎng)的被動防御的安全框架，各安全產(chǎn)品彼此相互獨立，無法為IT管理者提供完整的應用訪問安全視圖和全局訪問控制，發(fā)揮的整體效果大打折扣，業(yè)務應用自身風險仍然較高，一個風險點的突破會影響大面積的IT信息安全。

(1) 網(wǎng)絡防御設備

防火墻、IPS、IDS等產(chǎn)品都是針對網(wǎng)絡流量的檢測，容易被非法攻擊繞過，同時無法檢測跟蹤加密流量。

(2) 殺毒軟件

不管是終端殺毒軟件還是服務器端殺毒軟件，依賴于特征庫的持續(xù)更新，而特征庫本身只能應對已發(fā)現(xiàn)的病毒，無法檢測未發(fā)現(xiàn)的病毒，仍屬于被動防御。

(3) WEB應用防火墻(WAF)

WAF是基于應用層的安全防護產(chǎn)品，通過特征提取和分塊檢索技術進行特征匹配，能夠對常見的網(wǎng)站漏洞攻擊進行防護，但仍舊是被動防御的方式，只能應對已知的漏洞和攻擊。同時WAF在使用中也存在弊端，在對訪問請求進行特征匹配時，由于特征庫匹配規(guī)劃的局限性，存在漏報和誤報的情況。

3. 應用發(fā)展的新形勢

企業(yè)的應用需求不斷增多，應用的使用場景隨著新技術的出現(xiàn)變得多元化，不同專業(yè)的廠商也在各自領域為應用的開發(fā)、部署、訪問提供業(yè)務和安全上的深入研究和支持。

業(yè)務中臺、API網(wǎng)關、IDaaS等產(chǎn)品的出現(xiàn)，為應用的建設提供了標準化選擇;云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等技術的發(fā)展，打破了企業(yè)固有的IDC建設模式，應用分散部署在不同的公有云、私有云及傳統(tǒng)的IDC機房，大量標準化SaaS應用也成為企業(yè)的選擇;在4G/5G網(wǎng)絡全面覆蓋的移動互聯(lián)網(wǎng)發(fā)展趨勢下，應用的移動化使用已經(jīng)深入人心，傳統(tǒng)的IT建設方式對于越來越模糊的邊界的防護顯得力不從心。

傳統(tǒng)的應用技術發(fā)展以建立業(yè)務和安全的標準為方向，致力于通過技術的方式建立應用的開發(fā)和管理規(guī)范，通過堆疊部署不同維度的安全產(chǎn)品建立統(tǒng)一的安全邊界。長期的實踐表明，建立標準的方式無法完全適應應用發(fā)展的新形勢，標準化的實現(xiàn)要求企業(yè)投入過高的成本，降低應用發(fā)展的靈活性，無法完全避免應用的個性化問題，疲于應付各種安全風險。

未來應用的發(fā)展要保持靈活性和適當?shù)臉藴驶?，避免早期建設的應用的較大改造;同時，需要新的安全構架解決新形勢下的應用安全問題，加強安全能力的關聯(lián)，減少單一安全風險的影響范圍，提升應用的整體安全強度。

4. 應用零信任化趨勢

與其不斷創(chuàng)造應用的建設標準，不如適當放開禁錮，在減少應用改造的基礎上，仍然保持良好的應用體驗，通過應用安全架構的革新，為未來的應用建設提供可持續(xù)的安全護航。自零信任概念提出以來，經(jīng)過長時間的發(fā)展和實踐，零信任構架理論已經(jīng)趨向完善，獲得了包括安全廠商、企業(yè)CTO及應用開發(fā)廠商的廣泛認可，應用零信任化趨勢逐漸清晰。

零信任理念秉持“永不信任，持續(xù)驗證”的原則，應用的所有請求流量，都由零信任的應用網(wǎng)關進行代理，只有信任評估結果為可信的賬號、設備、網(wǎng)絡的流量才能正常訪問應用系統(tǒng)，實現(xiàn)了應用全流程的安全因子匯聚和動態(tài)評估，限制了應用的風險暴露面，減少了攻擊的威脅影響范圍。

零信任架構不要求應用進行大量的改造，根據(jù)應用的實際使用需要提供包括代理程序(Agent)、客戶端、可集成的SDK三種實現(xiàn)方式，在零信任安全的基礎上，最大限度地保持良好的用戶體驗。

(1) 服務隱藏

傳統(tǒng)的邊界防護理念中，應用需要在網(wǎng)絡邊界暴露業(yè)務端口，從而給不法人員提供了可以攻擊的目標。零信任采用單包認證(SPA)的方式，業(yè)務服務端口對外不可見，非法攻擊將失去攻擊的入口，從而保護應用安全。

(2) 零信任身份驗證與授權

傳統(tǒng)的邊界防護基于已知的風險進行被動保護，在很大程度上加大了攻擊者突破邊界防護的難度。然而，應用漏洞、系統(tǒng)漏洞、0Day漏洞、病毒等層出不窮，甚至內部人員的無意識行為，都會造成安全邊界被攻破。

零信任網(wǎng)絡不再設置可信的網(wǎng)絡邊界，采用主動防御的方式，只有信任評估為合法的請求才允許訪問業(yè)務服務，且持續(xù)進行動態(tài)驗證，非法攻擊將無法穿透到業(yè)務服務上。

(3) 貼近化網(wǎng)關

相比于傳統(tǒng)網(wǎng)絡邊界所定義的內網(wǎng)可信區(qū)域，零信任框架將內網(wǎng)服務識別為不可信，通過貼近化網(wǎng)關將內網(wǎng)業(yè)務服務器進行微隔離，只有可信的身份和權限才能訪問授權的業(yè)務服務資源，從而實現(xiàn)各應用服務之間的零信任化。

(4) 基于信任評估的訪問控制

傳統(tǒng)的安全保護機制相互獨立，無法為應用提供整體的安全訪問控制。而零信任的信任評估機制，結合了包括用戶環(huán)境、網(wǎng)絡、角色及權限、用戶行為等全面的因素進行綜合安全評估，根據(jù)應用安全要求，提供與風險評估結果一致的訪問權限。

零信任的訪問控制并不消滅傳統(tǒng)的安全措施，而是在零信任構架的基礎上，結合并利用傳統(tǒng)的安全措施，形成從環(huán)境、角色、權限、網(wǎng)絡到數(shù)據(jù)等全面的縱深安全防御體系。