什么是零信任安全？

2024-10-30

与企业内网相比，远程办公相对安全风险较高。那么，企业应该如何应对远程办公网络安全问题呢？而零信任安全已被认为是解决现阶段网络安全问题的重要解决方案。

什么是零信任安全？

零信任既不是技术也不是产品，而是一种安全理念。零信任理念主要是以动态访问控制为核心的企业内部安全框架，可以非常灵活的应对多种安全场景，包括远程办公/运维场景、混合云业务场景、分支安全接入场景、应用数据安全调用场景、统一身份与业务集中管控场景等。

根据NIST《零信任架构标准》中的定义：零信任（Zero Trust，ZT）提供了一系列概念和思想，在假定网络环境已经被攻陷的前提下，当执行信息系统和服务中的每次访问请求时，降低其决策准确度的不确定性。零信任架构（ZTA）则是一种企业网络安全的规划，它基于零信任理念，围绕其组件关系、工作流规划与访问策略构建而成。

另外，零信任代表了新一代的网络安全防护理念，它的关键在于打破默认的“信任”，用一句通俗的话来概括，就是“持续验证，永不信任”。

默认不信任企业网络内外的任何人、设备和系统，基于身份认证和授权重新构建访问控制的信任基础，从而确保身份可信、设备可信、应用可信和链路可信。

基于零信任原则，可以保障办公系统的三个“安全”：终端安全、链路安全和访问控制安全。

为什么需要零信任？

传统的网络安全是基于防火墙的物理边界防御，也就是为大众所熟知的“内网”。防火墙的概念起源于上世纪80年代，该防御模型前提假设是企业所有的办公设备和数据资源都在内网，并且内网是完全可信的。

但是，过去十年，信息安全行业经历了三大趋势：移动化、上云和软件即服务（SaaS）。这三大趋势重新定义了工作、业务开展和信息消费的方式。

据 Gartner 预测，到 2022 年，全球终端用户的公有云服务开支将超过4800亿美元，同比增长21.7%。远程办公逐渐取代传统的现场办公模式，而疫情爆发及常态化，进一步加速了远程办公的普及。如Meta、亚马逊、苹果、谷歌、微软、埃森哲、爱彼迎、携程等，已经把混合办公常态化、制度化，允许员工自主选择工作地点、工作时间。

据 DCMS 称，将近32%的英国企业正在使用 VPN 来方便远程访问。然而，随着“企业”成为员工的家，从 WiFi 路由器到智能扬声器和注重健康的可穿戴设备等消费物联网设备已经削弱了企业的安全性。

根据 DCMS 的数据显示，英国 39% 的企业在过去 12 个月中至少遭受过一次网络攻击。不仅企业变得更加脆弱，攻击者也变得更加强大，使那些曾经坚不可摧的企业变得更加脆弱。在此背景下，零信任策略被大规模采用。

即，传统网络边界模型已无法继续满足现代企业的安全需求和性能要求，零信任安全也就应运而生了。

而零信任提供了增强安全机制，在新的架构模型下，可以区分恶意和非恶意的请求，明确人、终端、资源三者关系是否可信。相比于传统边界安全理念，有以下优势：安全可信度更高，信任链条环环相扣，如果状态发生改变，会更容易被发现；动态防护能力更强；支持全链路加密，分析能力增强、访问集中管控、资产管理方便等。

零信任的未来发展

对于零信任的发展，较多讨论主要集中在“取代VPN成为网络安全未来？”上，以下是收集到的一些业内人士的观点：

观点A：零信任取代VPN是一个大趋势，只是时间早晚的问题。从用户体验而言，零信任是在VPN的基础上实现以身份为中心细颗粒度的访问控制和动态授权，相当于VPN的加强版，可以将网络攻击的打击面控制在更小范围内。实际上，目前很多大型企业、运营商、传统VPN厂商等都已经在向零信任方向进行切换了。

观点B：现阶段，零信任和传统VPN并存，主要受限于机构进行零信任改造、升级的速度。但从长远来看，零信任解决方案将会替代传统VPN的全部功能和适用场景，而部分传统VPN产品可能会根据零信任理念扩展升级成为零信任的核心组件。

根据Gartner预测，到2023年将有60%的VPN被零信任取代。

观点C：零信任与VPN不是同一个层面的概念，不能简单地认为零信任是替换VPN的一个技术或产品。一方面，零信任仍然会使用VPN类似的加密传输技术确保数据传输安全；另一方面，在远程访问这个场景下，建议基于零信任对远程访问安全进行增强，或者说，远程访问安全方案应该基于零信任去构建，需要符合零信任原则和能力要求。

观点D：从远程安全访问角度看，零信任理念的产品除具备VPN能力外，还具备更为细粒度的管控能力。现有的零信任相关产品还无法替代site to site（端到端）方式的VPN产品，两者之间有共性也有差异，互补性的融合是未来发展的一种趋势。