零信任：未来网络安全的革命还是过度期待的幻想？

作者：智识神工

链接：https://zhuanlan.zhihu.com/p/644778334

来源：知乎

简介

零信任作为一种新兴的网络安全理念，声称打破传统安全围栏的局限，将网络安全推向一个新的高度。但是在网络安全的未来之路上，人们对于零信任的期待是否过于高涨？本文将通过对传统安全围栏技术与零信任的对比，揭示网络安全发展的可能性与挑战，探寻它是真正能够成为网络安全的革命，还是过度期待的幻想。

传统安全围栏技术介绍

传统安全架构就好像是在房子周围建立的坚实围栏。这个围栏作为一个边界，用来隔离企业内部网络和外部网络，从而在一定程度上确定了哪些人和设备被视为值得信任，并且被允许与企业网络进行交互。

在安全围栏中，防火墙作为其中的关键组件，位于网络的边界，它像一扇巨大的门，用于监测和管理所有进出网络的数据流量。防火墙采用各种规则和策略，根据预定义的安全政策来判断是否允许数据包通过。它是第一道防线，可以阻挡大部分潜在的网络攻击和恶意流量，从而保护内部网络的安全。

入侵检测系统（IDS）和入侵防御系统（IPS）也是围栏上的重要保安人员。IDS类似于安装在围墙上的监控摄像头，负责对网络流量进行监视和分析，以便及时发现异常行为和潜在的入侵威胁。而IPS则类似于围栏上的报警器，一旦检测到可疑活动，它会立即采取相应的行动，阻止潜在攻击或者通知安全团队进行进一步的调查和应对。

访问控制列表（ACLs）在围栏架构中充当着门禁系统的角色。通过设置规则和策略，ACLs可以精确控制谁可以访问网络资源和哪些特定服务、端口或协议可以被允许或拒绝。这种精细的访问控制有助于确保只有授权的用户和设备才能访问特定的网络资源，从而增强了网络的安全性。

传统安全围栏架构在过去确实为企业网络提供了一定程度的安全保护并降低了风险。然而，随着时间的推移和新型威胁的涌现，它也暴露出一些局限性。企业网络的不断演进，使得如今的网络基础设施日益复杂，涉及的设备和用户越来越多样化，企业的数据和服务也不再局限于内部网络中，传统围栏架构变得难以应对这种多样性和复杂性。在此背景下，“零信任”理念应运而生。

零信任的兴起与优势

零信任最早源自 2004 年成立的耶利哥论坛（Jericho Forum），其成立的使命是为了定义无边界趋势下的网络安全问题并寻求解决方案。2010 年，约翰·金德维格（John Kindervag）首次提出了零信任安全的概念。它不再假设内部人员和设备是可信的，而是将所有用户、设备和流量视为潜在的风险。它通过建立严格的身份验证、细粒度的访问控制和实时的威胁检测来确保安全。相比传统模式，零信任在网络安全防御方面具有显著优势。

首先，零信任不仅仅依赖于网络位置来区分内部用户和外部用户，而是基于多个因素，如用户身份、设备状态和上下文信息来确定访问权限，并通过实时分析用户行为，对权限进行动态调整。这确保了每个用户只能访问其所需资源，并能够适应不同用户、设备和环境的变化。通过最小权限原则、多因素身份验证、设备健康检查等策略，零信任将网络访问和数据访问的权限限制到最小的程度，避免了潜在风险的扩散。

对于在云端的应用和服务，零信任会在网络环境中创建沙盒，将这些应用和服务互相分离，防止攻击的横向传播，并通过技术手段将业务资源进行隐藏，只有经过认证、具有权限、信任等级符合安全策略要求的访问请求才予以放行。这种沙盒化的方法使得即使某个组件或应用受到攻击，攻击者也无法访问整个系统或网络，从而降低了安全风险。

另外，零信任还强调实时威胁检测和响应。通过不断监控网络和用户活动，及时发现异常行为和潜在的威胁，并采取相应的措施，如自动隔离可疑设备或用户，立即阻断恶意流量等，从而有效地降低了安全漏洞被利用的风险。这些优势使得零信任能够更好地应对动态和复杂的安全挑战，提高网络和系统的安全性和灵活性。

零信任存在的缺陷

不过，零信任并没有完全脱离传统的围栏技术，相反，它是通过对现有技术的改进来增强网络的安全性。对于围栏技术存在的问题，零信任仅给出了缓解方案，而并没有根治。

例如，零信任依然采取缩小信任边界的方法，将数据隔离在单个独立的应用或服务中，但一旦数据逃离出应用或服务的“边界”，零信任也会立刻失效。如果攻击者越过访问控制，进入到数据层面，仍然能够获取并传播敏感信息，从而对企业造成损害。

此外，采用零信任会增加信息系统的复杂性。多层身份验证、访问控制和行为分析等技术的引入需要额外的配置管理，增加了出现“缺陷”的可能性。对于大型企业而言，将零信任应用到复杂的网络架构中，可能需要大量的资源和时间来完成配置和管理，并在实施过程中可能面临困难。

同时，由于零信任对网络访问和流量高度警惕，频繁的身份验证可能导致效率降低。在传统围栏中，一旦用户通过了登录验证，其访问通常会被视为可信，而不需要在短时间内进行频繁的再次验证。然而，零信任对用户的每次访问都进行严格的身份验证和访问控制，可能会引起用户体验不佳，并增加了系统的资源开销。

前景与展望

相较于零信任，在设计之初就采取“数据+通信+网络”三位一体的解决方案，提供的保护措施直接覆盖产业基础共识OSI模型的方方面面，从信息传输的全方位层面保护用户和企业安全。该体系不仅符合零信任的要求，而且具有创新的安全实施，旨在提供高效、全面和可靠的信息安全解决方案，以满足不断演变的安全需求，并克服传统安全技术的限制。