零信任网络安全：原则与实施

要点： 零信任安全取代了过时的假设，即网络内部的一切都是安全的。每个用户、设备和连接都经过持续验证，大大降低了云连接环境中的违规风险。

什么是零信任网络安全？

传统的网络安全依赖于一个简单的概念：信任周边内部的一切，在边界处阻止威胁。防火墙、VPN 和入侵检测系统围绕公司资源形成了数字护城河。一旦用户或设备通过大门，他们就可以自由行动。

这种模式已经不再有效。云计算、远程工作和移动设备已经完全瓦解了网络边界。员工从咖啡馆的个人笔记本电脑访问敏感数据。第三方供应商直接连接到内部系统。攻击者若破坏了单个端点，就可以在整个组织中横向移动。

零信任网络安全直接应对这一现实。零信任不假设网络内部的任何东西都是安全的，而是将每个访问请求都视为潜在的敌对行为。每个用户、每个设备和每个连接都必须证明其合法性才能获得对任何资源的访问权限。如需更广泛了解威胁形势，请参阅我们的网络安全中心。

NIST 特别出版物 800-207[1] 是实施零信任架构的权威联邦框架。它详细涵盖了访问控制模型、部署模式和信任算法。由国家标准与技术研究院发布，它是大多数企业在规划零信任战略时使用的基础。

零信任不是一个可以购买的单一产品。 它是一种安全模型、一种理念和一种架构方法，重新塑造了组织在各个层级思考访问和信任的方式。

核心零信任原则

下表总结了驱动每个零信任架构的六个基础原则：

零信任原则	实践中的含义
明确验证	验证每个用户、设备和请求 — 每次都验证，而不仅仅在登录时
最小权限访问	仅授予完成特定任务所需的权限，不多不少
假设已被破坏	设计系统时假设攻击者已经在内部；限制影响范围
网络分段	划分网络使受损的区域无法横向扩展
多因素身份验证	对所有访问点要求密码之外的第二个因素
持续监控	实时记录和分析所有活动以尽早发现异常

每项原则都加强了其他原则。最小权限访问限制了受损账户能够到达的范围。网络分段在攻击者绕过身份验证时限制了损害。持续监控检测到静态规则会遗漏的异常行为。这些原则共同创造了重叠的防御层，大大降低了成功违规的风险。

零信任架构组件

零信任架构依赖多个相互连接的组件协同工作。了解每个组件有助于组织规划现实的部署。

身份和访问管理 (IAM)

IAM 是零信任的基石。Microsoft Entra ID（原 Azure AD）、Okta 和 Ping Identity 等解决方案在授予对任何资源的访问权限前验证用户身份。每个访问请求都通过 IAM 层，该层在做出允许或拒绝决定前评估身份、角色和上下文。强大的身份和访问管理实践也有助于防止凭据收集和账户接管攻击。

多因素身份验证 (MFA)

MFA 要求用户通过至少两个独立因素证明身份：他们知道的东西（密码）、他们拥有的东西（硬件令牌或手机）或他们本身是什么（生物识别）。Microsoft 报告称 MFA 阻止了 99.9% 的自动账户破坏攻击。在任何零信任部署中，MFA 都是不可协商的。

微分段

微分段不是将网络视为单一信任区域，而是将其划分为小的、隔离的段。每个段强制实施自己的访问策略。如果攻击者破坏了一个段，他们无法横向移动到其他段。VMware NSX、Illumio 和 Cisco ACI 等工具支持大规模微分段。

端点检测和响应 (EDR)

零信任需要可见性到连接到网络的每个设备。CrowdStrike Falcon、SentinelOne 和 Microsoft Defender for Endpoint 等 EDR 解决方案持续监控设备健康状况、检测恶意行为并强制实施合规策略。不符合合规要求的设备（过时的 OS、缺失补丁）可以自动被阻止访问敏感资源。

安全信息和事件管理 (SIEM)

SIEM 平台汇总来自整个环境的日志，并应用分析来检测异常。Splunk、Microsoft Sentinel 和 IBM QRadar 等解决方案提供零信任所需的持续监控。实时告警和自动化响应剧本帮助安全团队在数分钟而非数天内对威胁做出响应。

策略引擎和策略管理员

零信任架构的核心是策略引擎。此组件针对定义的策略（用户角色、设备健康状况、位置、时间和风险评分）评估每个访问请求，并做出实时信任决定。策略管理员随后通过指示相应的强制点允许或阻止连接来强制执行该决定。

零信任与传统边界安全

理解零信任与旧版方法之间的对比阐明了组织为什么要进行转变。

因素	传统边界安全	零信任安全
信任模型	信任网络内部的一切	信任任何东西；验证一切
访问范围	身份验证后的广泛网络访问	细粒度的、按应用程序的访问
验证频率	仅在登录时一次	持续的，每个请求
横向移动风险	高 — 攻击者进入后自由移动	低 — 微分段包含违规
远程工作支持	需要 VPN 隧道所有流量	分布式访问的原生支持
可见性	有限的内部流量监控	所有连接的完整可见性

与授予连接后广泛网络访问的传统 VPN 方法不同，零信任网络访问 (ZTNA) 仅授予用户角色所需的特定应用程序的访问权限。仍然依赖注重隐私的 VPN 进行加密的组织可以在其上添加 ZTNA 层来控制每个用户实际可以到达的内容。VPN 处理加密隧道；零信任处理授权和持续验证。

如何实施零信任架构

实施零信任不是一夜之间的项目。大多数组织在 12 到 24 个月内分阶段采用它。以下是一种实用的、循序渐进的方法。

第 1 步：绘制您的保护面

确定您最关键的数据、应用程序、资产和服务 (DAAS)。与不断扩大的攻击面不同，保护面是小而清晰的。从这里开始。

第 2 步：绘制交易流

记录流量如何在网络中移动。了解哪些用户从哪些设备通过哪些路径访问哪些应用程序。您无法对不了解的流强制执行策略。

第 3 步：围绕保护面构建架构

在保护面周围部署下一代防火墙、IAM 解决方案和微分段工具。将策略引擎放在每个访问决定的中心。NIST SP 800-207 列出了三种部署模型：设备代理/网关、飞地和资源门户。根据您现有的基础设施进行选择。

第 4 步：创建细粒度访问策略

使用基普林方法定义细粒度访问策略：谁在请求访问？他们在访问什么应用程序？他们何时访问？他们的位置在哪里？为什么他们需要访问？他们如何连接？这六个问题构成了每个策略规则的基础。

第 5 步：随处部署多因素身份验证

在所有访问点推出 MFA。优先考虑特权账户，然后扩展到所有用户。硬件安全密钥（YubiKey、Google Titan）提供最强的网络钓鱼防护。

第 6 步：激活持续监控和分析

部署 SIEM 和 EDR 解决方案以实时监控所有流量。建立正常行为的基线，以便异常触发即时告警。自动化常见威胁模式的响应剧本。

第 7 步：迭代并扩展

从您最敏感的资产开始，向外扩展零信任控制。每个阶段应包括测试、验证和策略优化。零信任不是一个目的地；它是持续改进的过程。

常见零信任用例

远程和混合工作力

拥有员工在家、共工作间或客户现场工作的组织立即受益于零信任。ZTNA 解决方案独立验证每个用户和设备，而不是通过中央 VPN 路由所有流量。这同时降低了延迟并改善了安全性。

云优先组织

跨 AWS、Azure 和 Google Cloud 运行工作负载的公司需要跨多个环境的一致访问控制。零信任策略跟随用户和工作负载，而不是网络边界。

受监管的行业

受 HIPAA 约束的医疗保健组织、受 PCI DSS 和 SOX 管制的金融机构，以及遵循 FedRAMP 的政府机构都需要严格的访问控制和审计跟踪。零信任按设计提供两者。

第三方和承包商访问

供应商和承包商通常需要访问特定的内部系统。零信任仅授予他们所需的资源访问权限，仅在他们需要的持续时间内，并完整记录每项操作。

并购

两个组织合并时，整合其网络会带来重大风险。零信任允许每个环境维持独立的访问控制，同时根据每个应用程序选择性地授予跨组织访问权限。

常见问题

”永不信任，始终验证”在实践中意味着什么？

传统的安全模型在用户和设备在边界进行身份验证后自动信任他们。零信任颠倒了这一假设。每个访问请求在默认情况下都被视为不受信任的，无论其来源如何。身份、设备健康状况、位置和行为背景在每次被评估，而不仅仅在初始登录时。

零信任与 VPN 相同吗？

不是。传统 VPN 在用户连接后授予广泛的网络访问权限，意味着被盗的凭据会暴露 VPN 可以到达的一切。零信任网络访问仅授予用户角色所需的特定应用程序的访问权限，并持续重新评估该权限。许多组织同时使用两者：VPN 增加加密，而零信任层控制每个用户实际可以到达的内容。

采用此安全模型时的最大挑战是什么？

零信任需要投资于身份提供程序、设备管理和持续监控工具等技术。它也需要关于团队如何思考访问的文化转变。为假设内部网络信任而构建的遗留系统可能很难整合。采用通常是分阶段进行的，从最敏感的应用程序开始，然后随时间扩展。

典型的部署需要多长时间？

大多数组织在 12 到 24 个月内完成初始部署，具体取决于基础设施的复杂性。Forrester Research 发现企业通常在前 90 天内从身份验证和 MFA 开始。然后他们在接下来的几个季度中添加微分段和持续监控。完全成熟可能需要 3 到 5 年。

哪些类型的组织从此方法中受益最多？

拥有远程或分布式团队的组织、使用基于云的应用程序的组织，以及医疗保健和金融等受监管行业的组织看到了最清晰的益处。当传统网络边界因员工在任何地方工作而瓦解时，零信任提供了基于边界的安全无法再提供的访问控制和持续可见性。

零信任是否适合您的组织？

零信任网络安全不是一时风尚。它是组织如何保护其数据、应用程序和用户的根本转变。旧的基于边界的模型假设威胁停留在墙外。今天，随着云计算、远程工作和越来越多的复杂攻击（如身份盗窃和凭据收集），该假设使组织处于严重风险中。

采用零信任意味着致力于持续验证、最小权限访问、网络分段、多因素身份验证和实时监控。它需要对技术的投资和重新思考您的组织如何授予和管理访问权限的意愿。

回报是实质性的：降低的违规风险、更强的合规性态势、对网络活动的更好可见性，以及一种能够随您的组织扩展的安全模型。

从您最关键的资产开始。绘制您的流量流。部署 MFA 和 IAM。分段您的网络。监控一切。每一步向前都减少了您对最重要的威胁的暴露。

Sources

1. NIST 特别出版物 800-207