零信任架构：2023 年完整指南

导读： 随着远程办公、自带设备（BYOD）和基于云计算的资产的兴起，这些资产并不在企业拥有的网络边界内，传统的外围安全就显得力不从心。这就是零信任的由来。...

随着远程工作、自带设备 (BYOD) 和位于企业自有网络边界之外的基于云的资产的兴起，传统的边界安全性变得不足。 这就是零信任的由来。零信任架构（ZTA）的设计没有传统的网络边界，放弃了传统的安全边界模型（护城河模型）。

从本质上讲，零信任安全不仅承认网络内部和外部都存在威胁，而且还假设破坏是不可避免的（或可能已经发生）。 因此，零信任安全系统会持续监控恶意活动，并限制用户仅访问完成工作所需的内容。 这有效地防止用户（包括潜在的不良行为者）通过网络横向移动并访问任何不受限制的数据。

零信任安全可以通过多种方式应用，具体取决于您的架构设计和方法。

零信任网络访问 (ZTNA)，有时称为“软件定义的边界”，是零信任模型最常见的实现。 ZTNA基于微分段和网络隔离，取代了VPN的需要，允许在验证和认证后访问网络。

根据 Gartner 的说法，在 ZTNA 模式中，“通过信任代理将访问限制为一组命名实体。在允许访问之前，代理会验证指定参与者的身份、上下文和策略合规性，并禁止网络中其他地方的访问” ”。 横向移动”。这样可以最大限度地减少攻击面，大大降低安全风险。

零信任应用程序访问 (ZTAA) 也基于零信任原则，但与 ZTNA 不同的是，它更进一步，不仅保护网络，还保护应用程序。 ZTAA 假定所有网络都已受到损害，并限制对应用程序的访问，直到用户和设备经过身份验证。 这种方法可以有效防止攻击者进入网络并保护连接的应用程序。

零信任访问是一个总体模型，包括 ZTAA 和 ZTNA，可在整个架构（包括所有网络和应用程序）中提供端到端零信任。 它提供基于身份的安全性，不仅考虑网络上的人员，还考虑网络上的内容 - 将零信任扩展到提供商本身。 这样，企业就可以在真正的零信任环境中获得全面的数据隐私保护。