零信任解决方案
面临挑战
随着信息技术的快速发展，云计算、大数据、物联网、移动互联、人工智能等新兴技术为政府部门及各类企业的信息化发展及现代化建设带来了新的生产力，但同时也给信息安全带来了新挑战：一方面，云计算、移动互联导致的企业边界瓦解，难以继续基于边界构筑企业的安全防线；另一方面，外部攻击和内部攻击愈演愈烈，以APT攻击为代表的高级持续攻击仍然能找到各种漏洞突破企业的边界，同时，内部业务的非授权访问、雇员犯错、有意的数据窃取等内部威胁层出不穷；另外，国家和行业层面对企业安全的监管力度逐步加强，也对企业安全提出了更高的要求……只有充分的认识到这些新IT时代的安全挑战，才能更好地进行应对。
1.企业边界瓦解
传统的安全架构基于边界思维，假定企业存在一个“内网”，存在一个边界对内外网进行隔离，假定内网是安全的、外网是不安全的，基于如上假设，企业在边界处部署防火墙、WAF、入侵检测等设备进行防御，并期望借此打造企业的安全护城河。然而，随着移动办公、云计算等技术的广泛采用，企业的边界已经模糊甚至瓦解：
一方面，企业业务和数据的访问者已经超出了企业的边界。借助以智能手机为支撑的移动计算技术，传统的工作方式从固定办公转变为移动化、碎片化的办公方式，各种设备需随时随地进行数据访问；随着企业分工与对外协作的愈渐复杂，非企业内部员工也将对企业数据进行访问。
另一方面，企业的业务和数据也超出了企业的边界。在数字化转型过程中，企业大量采用了云计算和大数据技术，甚至大量将业务和数据迁移到公有云之上，这些云和大数据中心因为其数据的集中，也导致了这些传统的企业物理边界之外的数据和基础设施成为高价值的攻击目标。
2.外部攻击防不胜防
随着大数据技术的发展，数据也趋于集中，数据的集中意味着价值的集中，自然也成为攻击者的首要攻击目标。
一方面，攻击者大量利用弱口令、口令爆破等管用伎俩，轻易突破企业边界。来自于企业网络外部的攻击，无论是基于登录过程的用户弱口令或密码爆破，还是对于传输过程中的凭证截获或伪造，其攻击的根本目标是绕过或攻破企业网络的访问权限限制，其后在企业信息内部进行横向攻击破坏。这种攻击看似低级，却是最易得手的伎俩之一。美国移动运营商Verizon报告分析指出，81%的黑客成功利用了偷来的口令或者弱口令，就能轻而易举地获得数据的访问权限，成功窃取数据。
另外，以APT为代表的高级攻击层出不穷。大型组织甚至国家发起的大规模网络攻击事件中，攻击者可以利用大量的漏洞“武器”，对重要目标进行攻击，这类攻击往往防不胜防，切不可掉以轻心。
3.内部威胁加剧
传统的企业安全体系是建立在内外部网络边界的基础之上，假定了内网中的用户、设备和流量通常都是可信的。因此，在这种边界思维的指导下，企业内部网络中缺乏足够的安全访问控制，一旦被攻击者渗入，数据将会完全暴露，极易泄漏，并且，企业内部员工对数据的恶意窃取事件也时有耳闻。往往因为非授权访问、雇员犯错、外包员工犯错等等原因，导致 “合法用户”可以非法访问特定的业务和数据资源，造成组织内部数据泄漏。
4.监管力度加大
当前国家对数据信息安全越来越重视，已出台《中华人民共和国网络安全法》《信息安全技术 网络安全等级保护基本要求》《国家电子政务标准化指南》等相关政策标准。为满足国家对于企业信息数据安全建设要求，企业需要以业务需求为导向，规范建设企业数据信息安全保障体系，形成科学实用的规范化安全管理能力、体系化安全技术防护能力、综合化安全监管运维能力，以满足相关部门对于企业信息安全的监管要求。
解决方案
为应对新IT时代的网络安全挑战，零信任安全应运而生。零信任的雏形源于2004年成立的耶利哥论坛（Jericho Forum），其成立的使命正是为了定义无边界趋势下的网络安全问题并寻求解决方案。2010年，Forrester的分析师约翰·金德维格（John Kindervag）正式使用了零信任这个术语，并在其研究报告中指出，所有的网络流量都是不可信的，需要对访问任何资源的任何请求进行安全控制。
传统的基于边界的网络安全架构在某种程度上假设或默认了内网是安全的，认为安全就是构筑企业的数字护城河，通过防火墙、WAF、IPS等边界安全产品或方案对企业网络出口进行重重防护而忽略了企业内网的安全。零信任安全针对传统边界安全架构思想进行了重新评估和审视，并对安全架构思路提出了新的建议，是应对新IT时代的网络安全挑战的全新战略。零信任安全架构理念简单概括即为：应该始终假设网络充满威胁；外部和内部威胁每时每刻都充斥着网络；不能仅仅依靠网络位置来建立信任关系；所有设备、用户和网络流量都应该被认证和授权；访问控制策略应该动态地、基于尽量多的数据源进行计算和评估。
零信任安全架构从本质可概括为以身份为基石的动态访问控制，是在不可信的现代网络环境下，通过动态访问控制技术，以细粒度的应用、接口、数据为核心保护对象，遵循最小权限原则，构筑端到端的逻辑身份边界。
奇安信零信任身份安全解决方案正是基于零信任架构所实现的访问控制安全整体实践。通过以身份为基石、业务安全访问、持续信任评估和动态访问控制这四大关键能力，基于对网络所有参与实体的数字身份，对默认不可信的所有访问请求进行加密、认证和强制授权，汇聚关联各种数据源进行持续信任评估，并根据信任的程度动态对权限进行调整，从而在访问主体和访问客体之间建立一种动态的信任关系。
基于四大核心特性，奇安信零信任身份安全解决方案进一步将安全理念落地为具体的安全能力，为企业提供构建零信任安全体系的基础产品组件和整体解决方案，助力企业迁移到零信任安全架构。
1.以身份为基石
零信任的本质是以身份为基石进行动态访问控制，全面身份化是实现零信任的前提和基石。方案基于全面身份化，为用户、设备、应用程序、业务系统等物理实体，建立统一的数字身份标识和治理流程。
2.业务安全访问
在零信任架构下，所有的业务访问请求（包括用户对业务应用的访问、应用API之间的接口调用访问等等）都应该被认证、授权和加密。
3.持续信任评估
零信任架构认为一次性的身份认证无法确保身份的持续合法性，即便是采用了强度较高的多因子认证，也需要通过度量访问主体的风险，持续进行信任评估。例如，主体的信任评估可以依据采用的认证手段、设备的健康度、应用程序是否企业分发、主体的访问行为、操作习惯等等；环境的信任评估则可能包括访问时间、来源IP地址、来源地理位置、访问频度、设备相似性等各种时空因素。
4.动态访问控制
在零信任架构下，主体的访问权限不是静态的，而是根据主体属性、客体属性、环境属性和持续的信任评估结果进行动态计算和判定。传统的访问控制机制是宏观的二值逻辑，大多基于静态的授权规则、黑白名单等技术手段进行一次性的评估。零信任架构下的访问控制基于持续度量、自动适应的思想，是一种动态微观判定逻辑。
客户价值
1.革新安全架构，树立行业标杆
• 采用零信任安全架构解决企业数据访问的安全性问题，树立行业安全标杆。
• 具备已实践的标准化落地方案，可实现企业快速升级部署。
• 重构企业信息安全边界，从根源上解决数据访问的安全性问题。
2.提升安全能力，应对实时风险
• 采用统一的数字化身份信息，实现访问用户身份的全面认证。
• 通过细粒度以及动态化的授权方式，满足实时的安全性要求。
• 集中业务代理，提供通道加密以及攻击防护功能，有效保护传输数据安全。
• 获取实时的环境安全状态、访问行为数据，智能分析风险并调整访问控制策略。
3.实现自动管理，降低运维成本
• 通过自动化的身份管理、认证及授权能力，有效减少企业IT人员工作量及人为出错。
• 从安全架构层面解决安全的源头问题，投入低，可靠性高，避免重复建设。
4.提高工作效率，提升用户体验
• 自动获取用户身份安全状态进行访问授权，安全用户无感接入。
