开启掘金成长之旅！这是我参与「掘金日新计划 · 12 月更文挑战」的第24天，点击查看活动详情
零信任理念：
- 所有访问主体都需要经过身份认证和授权。
- 访问主体对资源的访问权限是动态的（不是静止不变的）分配访问权限时应遵循最小权限原则。
- 身份认证不仅仅针对用户，还将对终端设备、应用软件、链路等多种身份进行多维度、关联性的识别和认证。
- 在访问过程中可以根据需要多次发起身份认证。
- 授权决策不仅仅基于网络位置、用户角色或属性等传统静态访问控制模型，而是通过持续的安全监测和信任评估，进行动态、细粒度的授权。
零信任在所有需要对资源访问进行安全防护的场景都可以使用，但是否采用，应根据企业可接受的安全风险水平和投入综合考虑决定
零信任安全架构提供了增强安全机制，在新的架构模型下，可以区分恶意和非恶意的请求，明确人、终端、资源三者关系是否可信，并进行“持续校验”（NeverTrust，Always Verify）。
优点：
- 安全可信度更高:信任链条环环相扣，如果状态发生改变，会更容易被发现。
- 动态防护能力更强:持续校验，更加安全。
- 支持全链路加密，分析能力增强、访问集中管控、资产管理方便等。
缺点：
- 单点风险：零信任是强管控架构，对资源的控制都集中在网关上，因此一旦单点故障会导致整个业务中断。
- 权限集中风险：零信任架构将很多风险收敛集中起来，降低了管理成本但集中化管理如果失控也会带更大风险
- 复杂化：零信任架构覆盖面很广，架构涉组件多，更加复杂，增加了故障判断和修复成本
- 投入风险：零信任架构建设周期比一般架构体系要更长，如果不能持续投入容易功亏一篑
三大技术
- SDP即“软件定义边界”, 旨在使应用程序所有者能够在需要时部署安全边界,以便将服务与不安全的网络隔离开。SDP 将物理设备替换为在应用程序所有者控制下运行的逻辑组件。
- IAM(增强的身份管理) ：增强的身份管理方法将参与者的身份用作策略创建的关键组成部分。身份和状态提供辅助支持数据以访问决策。
- MSG(微隔离) ：是一种网络安全技术,它可以将数据中心在逻辑上划分为各个工作负载级别的不同安全段,然后定义安全控制并为每个唯一段提供服务。微隔离使IT人员可以使用网络虚拟化技术在数据中心内部部署灵活的安全策略,而不必安装多个物理防火墙。此外,微隔离可用于保护每个虚拟机(VM)在具有策略驱动的应用程序级安全控制的企业网络中。
SDP
零信任网络安全（ZTNA） Gartner：ZTNA 也称为软件定义边界(SDP)，它在一个或一组企业应用程序周围创建基于身份和环境的逻辑访问边界。企业应用程序被隐藏，访问这些企业应用程序的实体必须经过信任代理。在允许访问之前，代理网关先验证指定访问者的身份，环境和是否遵守访问策略。这将企业应用程序从公众的视线中移除，并大大减少了攻击面。
Forrester：“企业不应自动信任内部或外部的任何人/事/物，应在授权前对任何试图接入企业系统的人/事/物进行验证。” ——Forrester首席分析师John Kindervag业界的ZTNA产品主要有两种概念模型：由客户端启动的ZTNA和服务器启动的ZTNA。
服务器启动的ZTNA SDP连接器与应用安装在同一网络中，由SDP连接器建立并维护一条出站连接，它直接连接到SDP供应商的云。
- 用户向SDP供应商进行身份验证后才能访问受保护的应用程序。之后，供应商通常会向企业身份管理产品进行身份验证。SDP供应商把通过SDP代理访问与直接访问的应用数据流隔离开来。但是，供应商的网络成为另一个必须评估的网络安全性的要素。
优势：最终用户的设备上不需要安装客户端，这对非受管控设备是一个很有吸引力的方法。 缺点：应用程序的协议必须基于HTTP / HTTPS，仅限于Web应用程序和部分协议的访问方式。
微隔离
artner微隔离概念和技术路线：基于Hypervisor，基于网络，基于主机代理
五步做法：1.定义资产 2.梳理业务模型 3.实施保护 4.细化安全策略 5.持续监控
格尔零信任架构
密码为基石： 密码服务平台：确保身份可信、数据机密性和完整性、行为不可否认性
身份为中心： 身份服务平台：以身份为中心授予最小权限；持续信任评估、动态访问控制
策略驱动SDP： 策略服务平台：零信任大脑，策略驱动；零信任网关：策略执行PEP
