2021年数字化时代零信任安全蓝皮报告.pdf

数字化时代数字化时代 零信任零信任安全安全蓝皮报告蓝皮报告（2022021 1 年）年）中国信息通信研究院中国信息通信研究院云计算云计算与与大数据大数据研究所研究所 腾讯云计算（北京）有限公司腾讯云计算（北京）有限公司 2022021 1 年年 5 5 月月 前前 言言 近年来，云计算、大数据等新一代信息技术与实体经济加速融合，产业数字化转型迎来发展新的浪潮。数字化在为企业提质降本增效的同时，也为企业 IT 架构带来新的安全挑战，传统安全防护机制遭遇瓶颈，探索适应企业数字化转型需求的新一代安全体系具有重要意义。零信任安全理念及架构能够有效应对企业数字化转型过程中的安全痛点，愈发得到行业关注。本蓝皮报告从基本原则、核心组件、关键技术等方面阐明零信任安全理念及架构内涵，分析零信任安全如何解决企业级用户数字化转型中的安全痛点；继而，围绕无界办公、混合云、企业异地分支接入和第三方接入多个通用场景，以及银行、通信等重点行业场景，探究零信任安全作用和优势；最后，分析了未来零信任的发展趋势。本蓝皮报告的核心观点与重要发现包括：数字化转型浪潮下，企业传统安全架构面临挑战。一是上云、应用架构升级等技术转型带来新的安全风险；二是工作空间和供应链协同的数字化引入更多的安全隐患；三是新零售、物联网等产品服务创新面临多样的安全威胁。零信任安全理念打破了网络位置和信任间的默认关系，能够最大限度保证资源被可信访问，提升企业数字化转型中新 IT架构的安全性，基本原则包括：默认一切参与因素不受信，最小权限原则，动态访问控制和授权，持续的安全防护。零信任安全架构核心包括控制和数据两大平面，以及策略引擎、控制引擎和安全代理三大逻辑组件。控制平面和数据平面将策略与资源访问时的数据交互进行分离；策略引擎、控制引擎和安全代理逻辑组件协作，实现资源访问的信任评估和权限授予，控制访问主体和被访问资源间的连接建立与否。零信任安全和企业数字化转型相互促进，协同发展。一是零信任安全能够解决企业级用户数字化转型的安全痛点，迎接技术转型中的新安全挑战，满足数字化工作空间中用户更高的体验需求，应对产品服务创新后的海量网络威胁；二是数字化转型为零信任安全应用落地提供支撑，技术转型通过提供资源支持助力零信任高性能发展，制度转型鼓励安全架构向零信任变革。零信任安全能够满足企业一些通用场景的安全需要，包括无界办公、混合云、企业异地分支接入、第三方接入等。同时，零信任安全还可以满足不同行业的特殊安全需求，如银行、互联网、通信、物流、能源、地产等行业。零信任未来发展趋势，一是应用不断成熟，成为安全体系升级的重要选择；二是与原生安全理念相融，助力企业建设高防护性能、组件协同连通的全因子信任安全架构；三是与广 域网络融合，为企业提供端到端安全。目目 录录 一、数字化转型不断深入，以信任为核心的安全理念迎来发展机遇.1（一）外力与内需共同推进企业数字化转型.1 1.国家政策为企业数字化转型创造良好环境.1 2.用户需求升级驱动企业加速数字化转型.2（二）企业数字化转型对传统安全架构带来挑战.4 1.技术转型面临安全挑战，传统安全架构有局限.4 2.数字化空间扩展引入新风险，传统安全架构难招架.6 3.产品服务创新带来特性威胁，传统安全难以覆盖.8（三）以信任为核心的安全理念兴起，弥补传统安全机制缺陷.9 二、零信任安全护航企业数字化转型.11（一）零信任安全理念：永不信任，持续验证.11（二）基于零信任安全理念的逻辑架构.13（三）零信任安全与企业数字化转型相互促进与协同发展.15 1.零信任安全解决企业级用户数字化转型安全痛点.15 2.数字化转型为零信任安全应用落地提供支撑.18（四）关键技术助力零信任安全架构落地应用.18 1.多源数据信任评估技术实现更可靠的用户授权.19 2.安全代理关键技术完成访问行为的统一管控.20 3.网络隔离关键技术保障东西向流量安全.22 4.身份安全关键技术支持高效用户管理.23 5.终端安全关键技术为多样化终端提供全方位防护.24（五）国内零信任发展势头良好，解决方案纷纷落地实施.25 三、零信任安全应用场景.26（一）通用应用场景.26 1.零信任促进无界办公安全便捷.26 2.混合云推动零信任价值进一步发挥.28 3.零信任保障企业分支机构安全接入.29 4.第三方协作为零信任发展提供机遇.30（二）重点行业应用场景.32 1.零信任迎接银行业金融服务创新中的安全挑战.32 2.零信任适应互联网业快速发展与迭代需求.34 3.零信任缓解通信业管理模式痛点.35 4.零信任推动物流业数字化赋能安全发展.37 5.零信任助力能源业应对数字化转型安全风险.39 6.零信任为地产业探寻第二增长曲线安全护航.41 四、零信任安全趋势.42（一）零信任应用不断成熟，成为安全体系升级的重要选择.42（二）零信任与原生安全理念融合，助力企业构建全因子信任安全架构.44（三）广域网络与零信任结合，实现企业网络边缘安全接入.47 附录：行业用户案例.49（一）某金融机构基于零信任的 SDP 解决方案.49（二）某互联网游戏公司零信任解决方案.50（三）某电信运营商基于零信任的 SDP 解决方案.51（四）某地产平台零信任解决方案.51 图图 目目 录录 图 1 企业传统安全架构.4 图 2 供应链协同.8 图 3 零信任发展历程.10 图 4 基于零信任安全理念的逻辑架构.13 图 5 国内企业零信任解决方案发展情况.25 图 6 零信任无界办公应用场景.27 图 7 零信任混合云应用场景.28 图 8 零信任企业分支机构接入应用场景.30 图 9 零信任第三方协作应用场景.31 图 10 全因子信任安全架构.45 图 11 某金融机构基于零信任的 SDP 案例.49 图 12 某互联网游戏公司零信任案例.50 图 13 某电信运营商基于零信任的 SDP 案例.51 图 14 某地产平台零信任案例.52 表表 目目 录录 表 1 边界防护安全与零信任安全对比.12 表 2 传统安全架构和零信任应对数字化转型安全需求的对比.15 数字化时代零信任安全蓝皮报告（2021）1 一、数字化转型不断深入，以信任为核心的安全理念迎来发展机遇（一）外力与内需共同推进企业数字化转型（一）外力与内需共同推进企业数字化转型 1.国家政策为企业数字化转型创造良好环境 数字化转型是数字经济时代社会基座的重要组成，国家高度重视和支持数字经济发展。中国正步入数字经济发展新时代，尤其自新冠疫情爆发以来，数字经济爆发出了强大的活力，加速数字化转型推进十分必要。在国资委发文的国有企业要做推动数字化智能化升级的排头兵中，重申数字化转型升级的国家性和紧迫性，并将我国经济社会的中坚力量国有企业，放置在推动数字化转型的排头兵角色。共性技术筑基础，夯实数字化转型技术支撑。数字化转型的实现技术具有共性，政府加大对共性开发平台、开源社区、共性解决方案以及基础软硬件的支持力度，从而促进共性技术的发展。十四五规划对加快数字化发展做出了重要部署，提出推进新型基础设施建设，加快信息领域核心技术突破，以及建设国家数据统一共享开放平台等建议。大数据、人工智能、云计算、数字孪生、5G、物联网和区块链等技术是支撑数字化转型的新一代共性数字技术，通过高质量建设共性数字基础设施，夯实数字中国基础支撑，全面提升产业链竞争力。数字化时代零信任安全蓝皮报告（2021 年）2 上云用数赋智，大胆探索数字化企业打造之路。全球在新冠疫情的影响之下，云上工作生活成为“新常态”，国家政策涌现加深企业充分发挥新一代信息技术在后疫情时代的影响。一是国家发展改革委、中央网信办研究制定了关于推进“上云用数赋智”行动培育新经济发展实施方案，鼓励大胆探索普惠型的云服务支撑政策，推进与大数据技术的融合运用，加大对企业智能化改造的支持力度。二是国家发展改革委、工信部等 17 部门联合发起了“数字化转型伙伴行动”，通过上云用数赋智，借助以数据、计算力、算法为驱动的数据智能技术，赋能各行业的数字化转型。三是地方政府也不断加大对数字化转型的政策支持，各地积极构建多方联动机制，推动数字化生态共同体建设，从而降低数字化转型成本、缩短转型周期并提高转型成功率。2.用户需求升级驱动企业加速数字化转型 企业数字化转型的内驱力来自用户需求的升级，用户的个性化需求越来越强烈，用户体验要求越来越高，企业需要借助新一代信息技术提供的能力来满足用户需求，新技术在企业的落地与用户升级的需求共同驱动了企业业务的转型、创新和增长。根据海德思哲联合科锐国际的调查报告1显示，企业期望通过数字化转型带来的改进中，“优化客户体验”占比最高，达到 96%，其次是期望“改进现有业务流程运营的效率”，还有超过半数的企业希 1 从蓝图到伟业：中国企业数字化转型的思考与行动 数字化时代零信任安全蓝皮报告（2021 年）3 望“提高企业的业务拓展速度及走向市场的能力”和“推出创新产品及服务”。营销数字化助力消费者数据打通，致力优质客户体验。移动互联网与营销的结合使得数据、产品与用户之间的固有边界消失，企业通过收集消费者数据绘出全景用户画像，助力精准营销。营销数字化时代，企业通过技术革新将营销与科学结合，让营销数据推动运营战略调整，根据运营战略确定研发方向投入，令消费者作为主体间接参与至决策中，从而实现用户体验升级。业务流程自动化需求加速企业数字化转型步伐，助力企业实现降本增效。企业中业务流程较为冗杂的两大部分分别为人力资源管理与财务管理，具有业务处理流程长、涉及人员范围广以及审核精确度要求高的特点。企业可以在数字化转型过程中建立集中化资源管理平台，以及分、子公司的集中管控机制，令自动化流程运用其中，自动化代替人工降低成本提升办事效率。供应链数字化转型助力上下游企业协同发展，为企业业务拓展与创新创造新环境。供应链数字化转型的特殊性在于变革共同性，大数据、物联网和人工智能等信息技术的发展使得供应链从传统的链条式向网状结构变化，使得企业与外部合作伙伴的对接数量大大增加，信息化平台的安全对接变得尤为重要。企业需要主动与其供应链中的上下游合作伙伴的数字化进程配合，从单一生产趋向协同，通过协作实现优化和共赢。数字化时代零信任安全蓝皮报告（2021 年）4 （二）企业数字化转型（二）企业数字化转型对对传统安全架构带来挑战传统安全架构带来挑战 在企业传统安全架构中，以网络边界防护为核心。网络边界因不同安全级别的网络（如互联网和企业内网，办公网和研发网）相连而产生，位于数据中心内外网分界的网关处被传统安全架构视为防护的重要网络边界，通过部署防火墙、入侵检测、抗 DDoS 攻击等安全产品实现防护，如图 1 所示，来自外部的访问流量经安全产品检测后，转发至数据中心内或云上资源。来源：中国信息通信研究院 图 1 企业传统安全架构 1.技术转型面临安全挑战，传统安全架构有局限 云计算成为数字基础设施重要支撑，弱化了传统安全边界防护能力。数字经济时代，云计算作为数字经济的基础设施，安全防护问题是重中之重。然而，一方面随着虚拟化和容器技术的不断发展，数字化时代零信任安全蓝皮报告（2021 年）5 资源粒度细化，传统网络边界消失。如图 1(1)所示，随着虚拟化和容器技术的使用使得企业纳管的资源粒度细化，边界的概念从内外网分界处到主机边界处，再到容器之间，传统网络安全边界逐渐消失。另一方面，混合云模式的广泛采用，弱化了传统安全边界的防护能力，一是公有云与私有云的交付点连接安全尤为脆弱，如图 1(2)所示，攻击者可以通过攻击进入更为开放的公有云，并从公有云渗透入私有云中，在内网中横行，传统的安全边界无法形成有效的防护；二是多云异构平台无法使用统一安全策略，如图 1(3)所示，异构云平台具有异构技术堆栈，对资源有不同的定义、标签、分类，企业安全策略无法直接从云下平滑迁移至云上，以及在多云之间迁移。应用架构随基础架构升级不断演进，安全边界模糊。如图 1(4)所示，随着基础架构从物理服务器向虚拟机、容器变化，应用架构的升级迎来新契机，从单体应用架构向微服务架构变化，从应用架构形态上来看，微服务化的形态促进了分布式部署模式的发展，应用系统的分布式部署打破了传统单体架构部署于数据中心内的模式，传统网络安全边界逐渐消失。互联网向网络空间演化，防护性能要求更高。随着科技发展，网络安全的内涵和外延不断扩大，互联网时代企业拥有明显网络边界，基础设施、数据、应用等资源位于企业数据中心内网，仅向互联网开放有限端口或完全不开放，风险暴露面小，众多威胁主要从数字化时代零信任安全蓝皮报告（2021 年）6 边界外通过端口向内网发起攻击，例如网络渗透、网络劫持、数据破坏和窃取等，企业通过边界防护即可抵御绝大部分的威胁。而网络空间安全时代，网络边界模糊，范围由数据中心向云端、终端等各个环节不断延申，面临威胁显著增多，对安全防护能力的要求随之提升，传统安全防护的劣势凸显。一是传统安全措施多以购置第三方软、硬件为主，因此多外挂式部署，如图 1(5)所示，外挂部署通常基于代理实现，代理本身存在一定的安全和稳定性风险，同时代理的部署也可能对云上 IT 系统造成影响；二是无法充分利用数字基础设施原生的资源和数据优势。传统安全产品与已有 IT 基础设施割裂，难以获取数字基础设施内数据，缺少整合、关联分析，无法深度挖掘潜在安全风险；三是传统安全产品孤立，不具备协同工作能力。如图 1(6)所示，传统安全产品使用复杂、成本高、相对孤立，增高了中小企业的应用门槛，安全效果不能达到预期。2.数字化空间扩展引入新风险，传统安全架构难招架 数字化工作空间提升员工生产力，资源安全有隐患。传统的办公设备由企业 IT 统一提供，而数字化工作空间为员工提供了现代化的、个性化的办公环境，企业 IT 能向使用任意设备的员工交付其工作所需的应用和数据，为员工提供跨平台、位置和设备即时可用的体验。企业为实现数字化工作空间，做出变革同时面临安全隐患。一是使用 BYOD（Bring your own device）办公的数据安全隐患。随数字化时代零信任安全蓝皮报告（2021 年）7 着移动计算设备日益风行，越来越多员工使用 BYOD 办公，设备上的企业应用与未知下载路径的私人应用同时存在，使用 BYOD 办公具有关键数据所有权模糊和低安全防护等隐患。二是 VDI(Virtual Desktop Infrastructure)后端资源池共享的安全隐患。企业的敏感数据需要始终保存在服务器上，因此需要给员工提供远程访问桌面，从而实现数据不落地，最大限度保证数据安全。但是除了专属桌面，池桌面仍是多个用户共用一个 IP，出现问题难溯源，因此需要时刻确认使用者的身份。供应链协作扩大数据共享空间，跨边界关键数据位置模糊。在加速信息融合共享的数字化时代，企业与供应链上下游资源协同，面临多数据中心、多云之间的数据融合。传统的数据安全威胁主要来自端点和网络，安全厂商的端点解决方案致力于预防关键数据被拷贝至外部，网络解决方案致力于防止关键数据通过网络流到外部。数据跨数据中心、跨云流动，企业无法准确知道关键数据的存储位置，无法完全控制数据的移动，这就导致传统的边界安全无法对关键数据进行有效的安全管控。数字化时代零信任安全蓝皮报告（2021 年）8 来源：中国信息通信研究院 图 2 供应链协同 3.产品服务创新带来特性威胁，传统安全难以覆盖 新零售涌现，业务威胁难以捕捉。新零售是以互联网为依托，优化整合线上线下资源，全方位提升用户体验的零售模式。新零售的模式令其拥有海量用户敏感数据，且涉及资金交易等关键数据，相比于 DDoS 攻击、SQL 注入等传统攻击，新零售更易遇到如刷单、撞库、恶意下单和虚假注册等威胁。同时，新零售强调数据价值化，通过海量数据的收集和分析，为客户提供更高效、完善的服务和产品，相较于传统网站的数据库，新零售的数据库拥有更多用户敏感信息，催生数据库盗卖成为黑色产业，黑客通过黑市出售或网络欺诈等方式获利，这些安全问题不可控也不可见。物联网推进产品智能和服务变革，安全覆盖难以到位。随着企业发挥物联网智能互连的潜力，智能产品产业链衍生出一系列相关产品或服务市场，智能产品与人类的生活变得更加紧密。然而安全数字化时代零信任安全蓝皮报告（2021 年）9 问题十分严峻，早如 2007 年时任美国副总统心脏病发作，调查部门怀疑是心脏除颤器无线连接功能遭暗杀者利用；2017 年的勒索病毒入侵智能联网电视，导致受害者支付勒赎款项；2018 年台积电遭受病毒入侵，导致生产线停摆等。一方面，物联网有自己的组网方式，使得网络异构复杂，通信协议安全性差。相比于互联网，物联网的通信传输体系更为复杂，针对其特性的攻击层出不穷，导致对终端设备的入侵和劫持。另一方面，智能产品处于网络边缘，终端的安全防护能力差异较大。终端设备种类、体积和功能都非常多样和丰富，然而计算和存储能力非常有限，高度复杂的加解密算法会增加运行的负担，同时终端移动性强的特点使得传统网络边界消失，边界安全防护无法覆盖到位。（三）以信任为核心的安全理念兴起，弥补传统安全（三）以信任为核心的安全理念兴起，弥补传统安全机机制制缺陷缺陷 传统安全机制失效背后的根本原因是过度信任，默认内网环境可信，利用防火墙、抗 DDoS、IPS/IDS 等安全产品对网络边界进行防护，用户通过边界检测后便可进入内网，在内网中的行为缺少安全防范。随着内网基础设施愈发复杂和流经网络流量种类的增加，内网面临的威胁愈发增多，内网已不可被无条件信任，基于边界的网络安全架构难以应对当下的网络威胁。同时，随着云大物移技术的发展和混合云的大规模落地，企业也无法确立明确的网络边界。数字化时代零信任安全蓝皮报告（2021 年）10 在此背景下，零信任应运而生，发展历程如图 3 所示。来源：中国信息通信研究院 图 3 零信任发展历程 2010 年 Forrester 分析师约翰金德维格提出零信任模型2，关注点在网络安全架构变革，其核心思想是去网络边界，认为任何流通于网络中的流量在未经过验证之前都不予信任；2011 年-2017 年Google Beyond Corp3实践落地，相比于零信任模型，Beyond Corp最初的目的是令员工在不受信任的网络环境中不接入VPN就能获得内网资源，其关注点在于网络的不可信性；2013 年 CSA 提出 SDP软件定义边界，作为零信任的第一个解决方案，其核心思想是隐藏核心网络资产与设施，使之不直接暴露于互联网下，使得网络资产与设施免受外来安全威胁；2017 年 Gartner 在安全与风险管理峰会上发布 CARTA 战略，赋予零信任动态审计的特性，信任不再是绝对的，而是相对的，是根据实际情况动态变化的关系；2018 年 Forrester提出 ZTX 架构，为零信任扩展其生态系统框架，增加了可视化及分 2 Kindervag,John.Build security into your networks dna:The zero trust network architecture.Forrester Research Inc(2010):1-26.3 Ward,Rory,and Betsy Beyer.Beyondcorp:A new approach to enterprise security.(2014).数字化时代零信任安全蓝皮报告（2021 年）11 析、自动化和编排等内容；2019 年 Gartner 发布了等同于 SDP 理念的 ZTNA；2019 年-2020 年 NIST 发布 Zero Trust Architecture4 草案1.0/2.0，进一步明确和细化零信任安全理念。在零信任发展历程中，可以发现各组织提出的不同维度的观点一直在持续发展并融合，最终趋向一致。二、零信任安全护航企业数字化转型（一）零信任（一）零信任安全安全理念理念：永不永不信任，信任，持续持续验证验证 目前，以零信任为代表的新一代网络安全理念不断衍生和应用，理念打破了网络位置和信任间的潜在默认关系，致力于降低企业资源访问过程中的安全风险。为最大限度保证资源被可信访问，提升企业 IT 架构安全性，零信任的核心思想是：默认情况下，企业内外部的任何人、事、物均不可信，应在授权前对任何试图接入网络和访问网络资源的人、事、物进行验证。零信任的基本原则归纳如下：默认一切参与因素不受信：零信任的信任关系源自于对所有参与对象和行为的动态验证，所有参与对象和行为共同构成一次端到端的资源访问，这些参与对象包括网络、应用、终端、访问主体、数据、工作负载，行为包括访问请求、连接建立、策略下发等。零信任不为任何参与因素预制信任条件，所处位置无法决定信任关系。4 Rose,Scott,et al.Zero trust architecture.No.NIST Special Publication(SP)800-207(Draft).National Institute of Standards and Technology,2019.数字化时代零信任安全蓝皮报告（2021 年）12 最小权限原则：零信任强调资源按需分配，仅授予各行为所需的最小权限。对每个行为单独授权，对一种资源的授权不会自动作用于另一种资源的访问权限。持续动态访问控制和授权：对资源的访问控制由动态授权策略决定，动态授权策略依据参与对象的主体信息和行为信息，通过对多源信息进行分析获得授权策略，一旦动态授权策略依据发生变化，将重新计算授权策略，这一动作将在一次端到端的资源访问的全生命周期中持续进行。持续安全防护：确保进行资源访问的参与对象处于安全状态，通过安全产品/工具，及时发现安全问题，并采取措施降低安全风险。相比于传统的边界防护安全，零信任在护航企业数字化转型过程中能够提供更灵活、更优质的安全能力，表 1 列出了零信任安全与边界防护安全的主要区别。表 1 边界防护安全与零信任安全对比 边界防护边界防护安全安全 零信任安全零信任安全 安全信任的范围安全信任的范围 信任网络边界内部 网络边界内外均不信任 安全产品安全产品关联性关联性 产品孤立 产品联动 安全策略安全策略 固定策略 实时调整策略 安全防护安全防护方式方式 以网络为中心 以身份为中心 来源：中国信息通信研究院 传统的边界防护认为数据中心的内部是安全的，可以将数据中心视为一座城，安全防护产品就是一条护城河，作用于网络边界，网关是城门由重兵把守，用户携带身份证在网关处由士兵进行认证，认证通过后放行，城内的商户提供各类资源（虚机、容器、应用等），数字化时代零信任安全蓝皮报告（2021 年）13 用户可以去任意商户放置、拿走、破坏其中的物资，意味着用户一旦通过网关接入内网，其所有操作都被信任和接受。而零信任没有任何预设条件，无论用户在城内城外，如果想要获得某一商户提供的资源，都需前往统一办事处进行身份验证，并经过信用评级后获得官方文书，文书中规定用户可以前往的商户和获取的资源，商户依据文书为用户提供资源，如文书明确去城西买米，用户就不能去城东买米，城西也不能向用户卖面，用户被限制了在单家商户中最小的物资获取权限，去往其他未授权商户也将被拒绝。如果用户在一个商家有了失信行为，相关信息会通告办事处和全城，提醒大家时刻警惕，实现全城共享安全信息共享，联动进行安全防护。（二）（二）基于基于零信任安全零信任安全理念的逻辑理念的逻辑架构架构 基于零信任基本原则，企业可建设或改造已有网络安全体系以实现零信任安全架构，利用零信任安全架构为 IT 系统提供持续的安全保障。架构如图 4 所示，由零信任核心逻辑组件和内部或外部数据源组成。来源：中国信息通信研究院 图 4 基于零信任安全理念的逻辑架构 数字化时代零信任安全蓝皮报告（2021 年）14 基于零信任安全理念的逻辑架构对访问参与对象和访问资源之间的所有行为进行处理，零信任核心部分分为控制平面和数据平面。访问主体发起访问请求，由控制平面的策略引擎进行多源信任评估计算，由控制引擎对计算结果进行判定，决定授权策略，一旦授权访问，控制引擎将通知数据平面的安全代理，为该次访问建立安全连接。策略引擎仍持续进行评估，一旦参与对象或其行为发生变化，策略引擎将依据新的评估源进行信任评估，控制引擎随时依据评估结果判定授权策略是否需要改变，随时通知安全代理执行相应操作，最大限度保障资源安全。基于零信任安全理念的逻辑架构核心逻辑组件主要分为三部分：策略引擎：该组件负责信任评估，通过收集和分析参与对象和行为等多源信息，对访问主体进行持续的信任评估。控制引擎：该组件作为策略控制点，依赖策略引擎的信任评估结果，持续判定授权策略。安全代理：该组件作为策略执行点，为授予权限的访问主体，建立其访问主体和被访问资源之间的安全通道。在实际架构中，该逻辑组件可能由两个不同的组件构成：客户端（如用户终端设备上的代理插件等）和资源侧网关（如 Web 网关、API 网关等），或单个代理组件。零信任架构除了核心逻辑组件，还包括内部和外部信任源，与策略引擎协同，将收集并分析参与对象和其行为的安全信息，传递数字化时代零信任安全蓝皮报告（2021 年）15 给策略引擎，为其进行信任评估提供依据。信任源主要包括：CDM(连续诊断和缓解系统)、行业合规系统、威胁情报源、数据访问策略、PKI(企业公共秘钥基础设施)、ID 管理系统、网络和系统活动日志、安全事件管理系统等。（三）零信任（三）零信任安全安全与企业数字化转型与企业数字化转型相互促进与协同发相互促进与协同发展展 1.零信任安全解决企业级用户数字化转型安全痛点 企业数字化转型中的技术转型、数字化空间扩展，以及产品服务创新为企业安全带来种种挑战，传统安全架构由于过度信任和安全产品能力瓶颈，难以适应 IT 架构持续变革下的新安全需求。基于零信任理念的安全防护体实现了企业安全架构的升级，为企业数字化转型提供敏捷高效的安全保障。表 2 传统安全架构和零信任应对数字化转型安全需求的对比 数字化转型安全数字化转型安全需求需求 传统传统安全架构缺陷安全架构缺陷 零信任安全零信任安全优势优势 技术转型技术转型 资源粒度细化，安全防护策略精细化需求 划分网络安全域，以网络地址段进行防护 对物理设备、云服务、接口等所有层级的资源进行防护 混合云下多云安全连接和统一安全管理 连接处缺乏安全防护，安全策略分散 多云间的连接均需通过零信任，安全代理处理所有访问行为，实现策略统一 分布式架构东西流量防护需求 侧重南北向流量防护 微服务间的流量访问需经过零信任，东西向流量有安全保障 网络空间防护性能高需求 硬件设备堆叠，性能不足 组件或 SaaS，性能弹性扩展 数字化空数字化空间间 远程办公安全需求 通过 VPN，自有设备的安全性难以保障 收集自有设备信息，安全的自有设备才被授予访数字化时代零信任安全蓝皮报告（2021 年）16 问权限 供应链协作数据共享安全需求 对数据内外网间的传输进行监测，关键数据位置模糊难检测 每一个数据访问行为都经过零信任，能够及时发现共享风险 产品服务产品服务创新创新 新零售业务威胁防护需求 侧重传统威胁，难以覆盖业务威胁 分析用户行为信息，有效识别业务层面用户风险行为 物联网安全需求 难以覆盖智能终端安全防护 物联网代理实现终端监测和安全加强 来源：中国信息通信研究院 迎接技术转型面临的新安全挑战。技术转型作为企业数字化转型的重要一环，以云计算技术为承载，融合大数据、人工智能、区块链、5G 等新一代数字技术形成综合数字化平台底座，以促进企业生产力提高。零信任能够应对企业 IT 架构因新技术引入而面临的安全挑战。一是资源粒度不断细化下的安全防护策略变化，云计算通过虚拟化、容器等技术实现了 IT 资源的细粒度隔离，资源承载着不同类型、不同级别的业务，这要求安全防护策略也随之精细，零信任能够对物理设备、云服务、接口等所有层级的资源进行防护，在访问主体身份验证和权限判定成功后，仅为其提供满足需要的最小粒度的资源；二是混合云下多云连接和策略管理挑战，零信任安全代理是资源访问的唯一入口，云间的访问行为都需经过零信任的验证和授权，由公有云向私有云的威胁渗透被有效阻止，同时唯一代理能够屏蔽各云平台间异构技术栈，实现安全策略统一管理；三是分布式架构导致内部流量大幅增加，单体应用向微服务变化，各服务间需进行频繁的通信和交互，促使企业内部（东西向）流量大幅增加，传统的安全产品大多对南北向流量进行控制，难以实现东西数字化时代零信任安全蓝皮报告（2021 年）17 向流量异常检测与防护，零信任不为任何参与对象预制信任条件，企业内部资源间的访问也需要进行身份验证和权限判定，能够有效抵御东西向流量存在的安全风险；四是网络空间的高防护性能要求，零信任以组件形式部署于服务器、虚拟机等资源，或以 SaaS 形式提供服务，防护性能能够弹性扩展。满足数字化空间中用户更高的安全需求。一方面企业内部员工生产方式多样化发展，一些生产活动不必局限于企业内网进行，远程办公常态化，员工除使用企业设备外，越来越多的使用自有设备；另一方面，企业与企业之间将开展更多的合作，进行资源与信息共享，企业内部资源面临更频繁的外部访问。VPN 等传统远程访问方式在稳定性、灵活性、安全性等方面存在不足，零信任强调通过多源数据对每一个访问行为进行信任评估，能够对远程访问和数据交互的人员、设备、环境等进行有效的安全把控。应对产品服务创新后的海量网络威胁。企业进行业务转型，促进传统产品向智能产品、智能服务、一站式服务平台等升级，以数字化平台打造更多的新型商业模式。一方面，伴随着产品服务转型，企业需要维护管理的数字化平台增多，海量用户和各类终端通过互联网访问平台，企业资源在互联网中暴露程度大幅增加，面临的威胁数量激增。在零信任安全中，安全代理默认不对外映射任何端口，资源对外隐身，只有访问主体通过认证后才能访问授权资源，同时访问主体仍不能访问未授权的资源，零信任降低了互联网端的攻击数字化时代零信任安全蓝皮报告（2021 年）18 面；另一方面，新零售、物联网等新型产品服务引入特性威胁，风险种类变得复杂，零信任通过分析用户行为信息，能够有效应对业务层面安全风险，同时通过安全代理加强物联网终端等的安全防护。2.数字化转型为零信任安全应用落地提供支撑 技术转型助力零信任高性能发展。一方面，云计算作为数字化转型基础设施，能够为零信任安全提供计算、存储、网络等丰富、可扩展的基础设施资源，零信任安全中各逻辑组件部署于云上，安全防护能力可弹性扩展，分布式部署能够保证组件高可用；另一方面，人工智能技术的应用为零信任安全海量数据智能分析提供可能，零信任策略引擎可以利用人工智能技术建立信任评估算法，同时零信任安全中心也可基于人工智能技术更加深入的挖掘潜在安全风险。制度转型鼓励安全架构向零信任变革。制度转型强调企业人员、组织架构、文化、管理制度等的变革，网络安全作为企业运营过程中的重要组成，同样需要进行制度转型，零信任正契合了制度转型的宗旨和目标。一方面，零信任实现了安全理念的变革，更加适应企业数字化转型后的新安全需要；另一方面，零信任便于企业进行统一、集中的数字化安全管理，降低管理成本；同时，零信任不要求企业从零构建新的安全架构，可以基于已有安全架构渐进式升级，有效利用已有资源，减少建设成本。（四四）关键技术关键技术助力零信任安全架构落地应用助力零信任安全架构落地应用 数字化时代零信任安全蓝皮报告（2021 年）19 零信任安全逻辑架构涉及多个核心技术：一是策略引擎基于多源数据的信任评估技术；二是实现访问行为安全控制的安全代理技术，为访问主体之间建立安全的通信链接；三是细粒度访问控制的网络隔离技术，为数据中心内部的东西向流量实现细粒度的控制；四是用于身份认证和访问的身份安全技术，为多源数据评估提供主要依据；五是为多样化终端提供安全防护的终端安全技术，为弱防护能力的终端提供安全保障。同时，零信任核心组件与内外部信任源协同，也将覆盖多种较为成熟的安全技术，如数据防泄漏检测等数据安全技术，应用防篡改等应用安全技术，容器安全等工作负载安全技术，态势感知等安全管理技术。因相关技术已发展较为成熟，本报告将不再赘述。1.多源数据信任评估技术实现更可靠的用户授权 当前对用户访问的授权判断主要依赖用户访问凭据，但凭据信息存在被非法分子盗用的风险。基于多源数据的信任评估技术位于零信任策略引擎处，通过引入多种类型的数据源，尽可能全的涵盖现实环境中影响访问安全性、可靠性和可用性的所有影响因素，更准确的分析访问行为是否可信，实现综合的、持续的信任评估，并将结果传递给零信任控制引擎，由其决定最终授予访问主体对资源访问的权限。策略引擎具有多评估源，由内部和外部数据源提供：一是访问数字化时代零信任安全蓝皮报告（2021 年）20 请求，访问请求包含请求主体的信息，包括使用的操作系统版本、应用研发公司和交互协议等信息；二是用户主体的标识信息，包括用户的账户状态、权限、历史用户行为模式等信息，以及根据时间、用户地理位置和接入网络等信息推算出来的置信度水平；三是资产状态，记录企业资产的物理（位置）和虚拟（运行时间、补丁程序级别、操作系统）状态，用以与请求的资产状态进行对比；四是资源访问要求，包括资源敏感级别、访问者级别、IP 黑白名单和存储方式等定义访问资源的最低要求，用以快速排除完全不符合要求的访问者；五是威胁情报，主要指当下系统中可能运行的威胁和恶意软件的信息。2.安全代理关键技术完成访问行为的统一管控 安全代理负责执行策略，统筹并管理所有连接的建立。通过拦截所有访问请求，将访问主体的信息传给控制引擎，利用其计算的访问主体的权限判定，为认证成功并具有权限的访问主体建立相应安全访问通道，兼容 C/S 架构、B/S 架构以及微服务架构等多种部署模式，满足不同场景的访问接入方式。根据用户访问场景的不同，安全代理可使用以下几种部署模式：（1）Web 代理网关 Beyond Corp 使用的安全网关即为 Web 代理，Web 代理网关仅支持 Web 网站的接入，不支持 C/S 架构的应用，其功能包括：一是数字化时代零信任安全蓝皮报告（2021 年）21 请求转发，根据访问域名转发至相应服务器；二是身份获取，从访问请求中获取用户身份；三是身份验证，联合策略引擎进行动态验证；四是操作执行，根据控制引擎的结果决定授权或拒绝访问。Web 代理网关具有预判断和持续监控两大优势，一方面该网关可视为在信任资源外侧的一层防护，预先对接入企业资源的用户进行验证，拦截未授权访问；另一方面，所有流量通过网关转发，网关可以持续监控流量，并进行分析和状态检测，发生异常时可以及时响应。（2）隐身网关+Web 代理网关 SDP 架构中将隐身网关放置于 Web 代理网关前端，其作用与防火墙类似，首先对访问主体进行身份验证，面向合法访问开放端口并与 Web 代理网关建立通信，面向非法访问保持端口关闭，具有隐式防护能力，有效避免非法访问主体对 Web 代理网关进行漏洞扫描或 DDoS 攻击。（3）网络隧道网关 网络隧道网关主要面向 C/S 架构的应用，弥补 Web 代理网关仅面向 B/S 架构应用能力的缺失，以实现全场景覆盖。通常使用 VPN实现网关能力，完成请求转发、身份获取、身份验证和操作执行。可以与隐身网关和 Web 代理网关三者配合使用。常用的 VPN 协议有：WireGuard，IPsec 和 OpenVPN 等。（4）API 网关 数字化时代零信任安全蓝皮报告（2021 年）22 随着业务与技术发展，单体应用微服务化，微服务需要具有统一接口实现微服务间的调用，API 网关应运而生。API 网关实现了统一接入、负载均衡、协议转换，具备限流、降级、熔断等措施以保护网关的整体稳定，同时具备统一鉴权能力。3.网络隔离关键技术保障东西向流量安全 传统应用架构中，使用微服务架构开发的应用较少，大部分的交互访问流量属于数据中心内和外之间的南北向流量。随着微服务架构应用的增多，数据中心内部容器或虚机之间的东西向流量增多。微隔离是实现东西向流量安全的重要技术，实现方式有多种，究其本质均为防火墙的访问控制能力。一是代理防火墙模式，每台服务器安装防火墙代理，代理通过调用主机防火墙控