“Zero trust 零信任”去年有39家公司打“Zero trust”标签，今年的数量激增到91家，可以说零信任理念已被国外同行广泛接受。零信任不仅仅是技术，更是理念的转变，会成为未来十年主流的网络安全架构。

为什么要建设“零信任”架构？

首先做一件事情之前，问一句“为什么”，为什么企业要做这个事情，为什么企业为什么要进行零信任的建设？

零信任的思想具有先进性，是对传统边界防护方式的的一个颠覆。

这句话听起来还是有点像背书，但事实的确如此。

怎么来理解呢，传统的边界防护，是哪里有对互联网的通道，就在哪里去防护，哪里有访问的权限，就在哪里去控制，很多设备都负责一块，整体上是一个离散的控制。

各个安全设备，有的有认证、有的没认证，应用也是，每个应用都负责身份的认证和访问的控制。各个安全设备的安全等级有高有低，安全策略也受“人”的因素影响非常大，很多策略无法做到一致和统一。

从哲学上来说，大家都负责，就是没人负责。虽然也有日志中心，但很难协调各个设备，各个厂商、应用做到统一的安全策略。针对这种思想，随着架构的变化，投入也是越来越多，安全管控也无法灵活的去适配架构的变化。所以，需要一种更为适应新的架构的方式。

零信任是一个中心化的架构

零信任的方式，恰恰是为了解决传统边界防护问题而诞生的思想。

并非说零信任的产品比传统安全产品有多NB，也许从单点防护上来说，还不如传统的产品，而是说从思想上，零信任的架构要比传统的思想更为适合。是整体的安全思路的一次升级。

落地到产品上，也并非是要完全去替代传统的安全防护产品，而是对原有架构的一个补充。

举个栗子：

即使上了零信任的产品，也并不意味着防火墙要撤下来，还是需要防火墙来去做边界的基础防护，还要有抗D的产品来保障服务的可用和连续性。

总体上来说：整个零信任的体系，是一个防护中心化、以人和认证为核心的一套体系。

零信任网络环境架构主要是由Google（BeyondVCorp架构）开始，如下图所示，相关的介绍文章已经有很多，这里只介绍下一个主要的场景。对此架构图不过多介绍。下面主要谈谈如何零信任的架构如何具体落地上。

1.用户不管是在互联网，还是在公司防火墙内部，发起访问请求，提交给代理网关。

2.访问网关没有检测到有效凭据，重定向至用户管理系统中的身份认证模块。

3.用户通过加强的身份（身份可信）、设备认证（主机可信），获得token，重定向至网关。

4.网关认证后，访问控制会对每一个请求执行授权检查（通过转到对应服务器，不通过则拒绝请求）。访问控制可基于属性的权限控制(ABAC)与信任评估模型两者集合进行检验。如：满足信任等级，满足相应用户群组，满足相应操作属性等内容才可访问该应用。

可以看到的是，在零信任的场景中，三个关键节点：身份中心、访问代理、访问控制引擎。具体零信任解决文案落地也是以这三者为中心。

零信任初步可以实例化到以下几个关键的安全产品上。

以人为中心，主要依赖统一用户/身份的凭证中心和认证中心，实现对于可信任的用户的统一管理和信任等级变化的分发和同步。

零信任应用安全网关建设主要依托于应用安全网关，通过安全网关串联部署，实现隐藏内部，统一对外、实时监测的效果，

统一的安全策略主要对用户的行为和不断变化的上下文动态进行分析，持续的优化安全策略，做到动态的分发和控制，相当于安全的大脑和智慧中心。

零信任是一个理念，它是需要长期投入建设并不断更新的。通过前面的分析，相信大家也可以从其中清晰的看到和了解零信任的模型和理念，并且我们可以确定的知道了零信任中身份的核心地位，而建设好零信任也必将以IDaaS为基石。