1.1.3 Forrester正式提出零信任概念

2010年，Forrester分析師John Kindervag在文章No More Chewy Centers：Introducing The Zero Trust Model Of Information Security中提出了“零信任”這個概念，并在文章Build Security Into Your Network’s DNA：The Zero Trust Network Architecture中描繪了最初的零信任模型。零信任概念開始得到業界關注，John Kindervag本人也被稱為“零信任之父”。

此時的零信任理念中最重要的一點就是，強調不再區分可信和不可信，所有的網絡流量都應被視為是不可信的。這也是“零信任”架構名稱的由來。

要實現這一點，網絡架構需要做出相應改變。

（1）網絡中需要存在一個中心網關，強制讓所有流量都經過它，進行實時檢測。

（2）隔離和訪問控制策略要覆蓋網絡中的所有設備，按最小權限原則進行授權。

（3）集中管理訪問策略，并進行全面的安全審計。

網絡架構圖大致如圖1-2所示（為了便于理解，筆者修改了Forrester零信任網絡架構原圖中拗口的組件名稱，故與原圖稍有不同）。

中心網關可以在網絡轉發的基礎上，對流量進行過濾，起到防火墻、訪問控制、傳輸加密、內容過濾、入侵檢測、行為監控等作用。

（1）隔離邊界：隔離邊界組件對網絡進行細粒度分區，將不同的用戶和資源區域隔離開，配合訪問控制策略，不讓非法流量進來（所以，零信任架構其實并不是拋棄邊界，而是建立更細粒度的邊界，并且基于邊界進行更多因素的校驗）。

（2）集中管理、審計分析：集中管理中心網關并隔離邊界的訪問策略，對流量進行各類因素的審計和分析，同時記錄日志，將整個網絡安全態勢可視化。

從圖1-2 中可以看出，零信任架構是一種從內到外的整體網絡安全架構，其安全能力不是外掛式地疊加的。網絡組件也具備安全管控和整體協同管理的能力，就像Forrester文章的標題一樣，安全是刻進網絡的DNA中的。