前言

縱觀歷史，安全是一個(gè)不斷演化的范式。零信任安全就是數(shù)字化時(shí)代下的產(chǎn)物，企業(yè)或機(jī)構(gòu)通過零信任理念框架來建立數(shù)字化時(shí)代下的數(shù)據(jù)安全與共享體系，讓數(shù)據(jù)更好地發(fā)揮出生產(chǎn)要素的價(jià)值。

安全范式的演化往往是和生產(chǎn)力的演化相輔相成的。生產(chǎn)力的發(fā)展促進(jìn)了安全范式的變革，而更先進(jìn)的安全范式同時(shí)也保障了生產(chǎn)力的進(jìn)一步發(fā)展。無論是網(wǎng)絡(luò)空間還是物理空間都時(shí)刻按照這個(gè)演化規(guī)律運(yùn)行。石器時(shí)代，人類為了抵御暴雨、猛獸的侵?jǐn)_，依靠山洞或大樹搭建庇護(hù)場(chǎng)所，后來逐漸演變成房子。進(jìn)入人類文明時(shí)代，人們開始修建柵欄圍墻，后來逐漸演變成城墻、城堡與護(hù)城河。資料表明，中國(guó)的長(zhǎng)城總長(zhǎng)超過10000千米，歐洲歷史上建設(shè)的城堡也超過10000個(gè)。因此，長(zhǎng)城和城堡可以說是人類歷史上耗時(shí)最長(zhǎng)、規(guī)模最龐大的安全項(xiàng)目。然而，到了今天，長(zhǎng)城或城堡已經(jīng)變成了一個(gè)歷史文化景點(diǎn)，不再是安全防御工事。為什么它們的作用會(huì)發(fā)生變化呢？答案很簡(jiǎn)單：時(shí)代變了，安全模式也要跟著變！首先，攻擊武器升級(jí)了，城墻和城堡顯然抵擋不住飛機(jī)、坦克和導(dǎo)彈等新型武器。其次，隨著人口數(shù)量的增加及人口流動(dòng)越來越頻繁，修城墻這件事情變得越來越難以操作了。因?yàn)槿丝跀?shù)量劇增，城內(nèi)空間飽和，只能拆墻擴(kuò)建，導(dǎo)致成本巨增；人口流動(dòng)規(guī)模越來越大，城門的關(guān)卡哨站逐漸成為商業(yè)貿(mào)易的瓶頸。因此，我們看到在人類社會(huì)生產(chǎn)力不斷進(jìn)步的同時(shí)，安全范式也在不斷更新迭代。

類似于物理空間安全，網(wǎng)絡(luò)空間安全的演化方向也必然是朝著數(shù)字化生產(chǎn)力不斷進(jìn)步的方向前進(jìn)。數(shù)據(jù)是數(shù)字化時(shí)代的核心生產(chǎn)要素，數(shù)據(jù)只有在流通中才能產(chǎn)生更高的價(jià)值，才能賦予機(jī)器更高的智能。零信任安全的出現(xiàn)就是為了讓數(shù)據(jù)更安全、更高效地流通，實(shí)現(xiàn)“數(shù)據(jù)在哪里安全就到哪里”的終極目標(biāo)。

早期的計(jì)算機(jī)不聯(lián)網(wǎng)，只要通過殺毒軟件保障自己的計(jì)算機(jī)不中毒，計(jì)算機(jī)上的數(shù)據(jù)就是安全的，這類似早年人類的房子，只要保障自己家庭的安全就可以了；后來進(jìn)入信息化時(shí)代并產(chǎn)生了網(wǎng)絡(luò)，企業(yè)有一定數(shù)量的計(jì)算機(jī)和服務(wù)器可以通過網(wǎng)絡(luò)連接在一起，但黑客也可以通過網(wǎng)絡(luò)發(fā)起攻擊，因此需要通過防火墻來建立一個(gè)物理邊界，通常稱為“內(nèi)網(wǎng)”，它類似城墻及城堡，可以保障一定規(guī)模人數(shù)的安全；當(dāng)前進(jìn)入以云計(jì)算、大數(shù)據(jù)、人工智能（AI）、物聯(lián)網(wǎng)（IoT）等新興技術(shù)代表的數(shù)字化時(shí)代，數(shù)據(jù)量爆炸式增長(zhǎng)，數(shù)據(jù)存儲(chǔ)走向多樣化、分布式，分散在IaaS、SaaS等不同的云上。再加上新型冠狀病毒疫情催生了大規(guī)模的遠(yuǎn)程辦公，導(dǎo)致企業(yè)或機(jī)構(gòu)已經(jīng)很難用一個(gè)明確的物理邊界來把所有數(shù)據(jù)“圍起來”。因此，每個(gè)企業(yè)或機(jī)構(gòu)的未來發(fā)展趨勢(shì)必然是“數(shù)據(jù)無處不在”。盡管企業(yè)的業(yè)務(wù)系統(tǒng)大部分都有賬號(hào)保護(hù)或虛擬專用網(wǎng)絡(luò)（VPN）隧道保護(hù)，但是黑客的攻擊手段也在利用新技術(shù)（如大數(shù)據(jù)、AI）不斷演進(jìn)。例如，國(guó)外有一個(gè)網(wǎng)站HaveIBeenPwned收集了暗網(wǎng)中共享的用戶賬號(hào)和密碼數(shù)據(jù)庫，網(wǎng)站顯示賬號(hào)和密碼樣本數(shù)已經(jīng)累積到117億，而且還在不斷累積更新中，加上越來越豐富的社會(huì)工程學(xué)攻擊手段，基于賬號(hào)和密碼的保護(hù)已經(jīng)變得越來越容易被突破了。

除了企業(yè)上云、遠(yuǎn)程辦公的行業(yè)趨勢(shì)，還需要我們關(guān)注的趨勢(shì)是由開源軟件的崛起而導(dǎo)致的軟件供應(yīng)鏈漏洞攻擊。國(guó)外安全公司Sonatype發(fā)布的最新研究報(bào)告表明，2021年與2020年相比，軟件供應(yīng)鏈的攻擊數(shù)量暴增了650%。2021年最有名的軟件供應(yīng)鏈安全事件當(dāng)屬開源軟件Log4j漏洞。根據(jù)以色列安全公司CheckPoint安全實(shí)驗(yàn)室的報(bào)告，在Log4j漏洞被發(fā)現(xiàn)的24～74小時(shí)內(nèi)，利用該漏洞進(jìn)行攻擊的數(shù)量呈現(xiàn)爆發(fā)式的增長(zhǎng)。Log4j的漏洞之所以會(huì)造成這么大的影響，主要是因?yàn)槠湓陂_源社區(qū)的廣泛接受度，數(shù)以萬計(jì)的開源軟件都引用了Log4j的代碼庫，而這些開源軟件可能又被其他成千上萬個(gè)商業(yè)軟件或開源軟件引用，這樣一層嵌套引用一層，形成了一條長(zhǎng)長(zhǎng)的軟件供應(yīng)鏈，也形成了直接依賴關(guān)系或間接依賴關(guān)系。谷歌（Google）的官方博客上展示了Log4j的嵌套層級(jí)數(shù)量的統(tǒng)計(jì)，我們可以看到，最常見的Log4j引用情況是被嵌套了5層，最深超過10層。如此多層的嵌套直接帶來一個(gè)嚴(yán)峻的軟件供應(yīng)鏈安全問題，一旦供應(yīng)鏈中的某個(gè)模塊出了0day漏洞，就會(huì)導(dǎo)致整個(gè)軟件被攻陷。更嚴(yán)峻的是，由于軟件之間對(duì)某個(gè)特定版本的依賴關(guān)系非常復(fù)雜，導(dǎo)致這些被依賴嵌套的問題模塊還不容易被升級(jí)修復(fù)。

許多傳統(tǒng)網(wǎng)絡(luò)安全方法都是基于特征的概念，即安全工具尋找已知的不良行為“特征”，但根據(jù)定義，0day威脅并沒有已知特征。基于零信任思想，實(shí)際的數(shù)據(jù)和功能無論何時(shí)被實(shí)例化，安全控制都將無處不在，并且會(huì)正確地趨向于更接近它們。因此，基于零信任思想可以較好地解決開源軟件模式帶來的軟件供應(yīng)鏈漏洞攻擊問題。

綜上所述，在數(shù)字化時(shí)代的大背景下，安全基礎(chǔ)設(shè)施將從傳統(tǒng)的殺毒、防火墻轉(zhuǎn)向零信任安全理念和技術(shù)架構(gòu)，從而保障讓安全無處不在，數(shù)據(jù)到哪里安全就應(yīng)該到哪里。同時(shí)，零信任概念和技術(shù)還在不斷演化中，未來的網(wǎng)絡(luò)空間會(huì)逐漸演化出更強(qiáng)大的、一體化的安全體系。

基于以上考慮，學(xué)習(xí)、理解并實(shí)踐零信任安全是今天數(shù)字化時(shí)代每個(gè)行業(yè)從業(yè)者的必備功課。由2020年中央提出的“新基建”政策以及2022年國(guó)務(wù)院發(fā)布的《“十四五”數(shù)字經(jīng)濟(jì)發(fā)展規(guī)劃》可知，我們已經(jīng)進(jìn)入數(shù)字化時(shí)代，未來各行各業(yè)都會(huì)與數(shù)字化有關(guān)。同時(shí)，網(wǎng)絡(luò)安全和信息化是一體之兩翼，驅(qū)動(dòng)之雙輪。安全是發(fā)展的前提，發(fā)展是安全的保障。因此，我們?cè)谧龊脭?shù)字化系統(tǒng)建設(shè)的同時(shí)要做好數(shù)字安全的建設(shè)。理解零信任安全的理念以及相關(guān)技術(shù)有助于每個(gè)從業(yè)者在數(shù)字化建設(shè)的一開始就把安全考慮融合進(jìn)去，實(shí)現(xiàn)“內(nèi)生安全”，而不是“先建設(shè)后安全”。這樣無論從時(shí)間、成本及安全性考慮，都是更優(yōu)的路線，有助于我們更好地進(jìn)行數(shù)字化建設(shè)。本書編寫的目的之一就是希望幫助行業(yè)每位從業(yè)者更好地實(shí)現(xiàn)這個(gè)目標(biāo)。

需要指出的是，零信任并不是萬能的。首先，零信任只是目前一個(gè)被時(shí)代廣泛采納的主流理念框架，網(wǎng)絡(luò)空間仍然存在零信任覆蓋不到的問題，整體的安全方案需要在零信任之外做補(bǔ)充。其次，零信任本身也在不斷演化中，雖然從2010年由Forrester原首席分析師John Kindervag提出“零信任”這個(gè)概念以來已經(jīng)經(jīng)歷了10多年，但我們可以看到，每隔一段時(shí)間會(huì)有對(duì)零信任技術(shù)架構(gòu)的補(bǔ)充和改進(jìn)。2014年，云安全聯(lián)盟（CSA）提出了零信任《軟件定義邊界（SDP）標(biāo)準(zhǔn)規(guī)范1.0》標(biāo)準(zhǔn)，在業(yè)界引起了廣泛的關(guān)注和采用，成為全球零信任標(biāo)志性的技術(shù)架構(gòu)之一。2022年，《軟件定義邊界（SDP）標(biāo)準(zhǔn)規(guī)范2.0》發(fā)布。《軟件定義邊界（SDP）標(biāo)準(zhǔn)規(guī)范2.0》汲取了過去的8年間行業(yè)最前沿的實(shí)踐和技術(shù)創(chuàng)新，對(duì)《軟件定義邊界（SDP）標(biāo)準(zhǔn)規(guī)范1.0》做了比較大的補(bǔ)充和改進(jìn)。相信零信任的相關(guān)技術(shù)創(chuàng)新還會(huì)不斷繼續(xù)，但是只有我們學(xué)好、用好現(xiàn)在的技術(shù)，才能在目前的基礎(chǔ)上做出更多的創(chuàng)新。尤其是我國(guó)現(xiàn)在已經(jīng)進(jìn)入一個(gè)數(shù)字經(jīng)濟(jì)的快車道，急需在數(shù)字安全技術(shù)方面能夠領(lǐng)先于全球。本書編寫的另一個(gè)目的是希望大家能夠多實(shí)踐零信任，在實(shí)踐中總結(jié)經(jīng)驗(yàn)，力求創(chuàng)新。

綜上所述，本書的編寫的目的是希望幫助數(shù)字化建設(shè)的相關(guān)從業(yè)者能夠由淺入深、全面地了解零信任的理念及相關(guān)技術(shù)架構(gòu)，以幫助他們做好數(shù)字安全保障，更高效、更安全地進(jìn)行數(shù)字化建設(shè)。同時(shí)，也希望通過詳細(xì)介紹零信任的應(yīng)用場(chǎng)景、實(shí)施部署過程、行業(yè)評(píng)估標(biāo)準(zhǔn)及具體的行業(yè)實(shí)踐案例，幫助IT行業(yè)從業(yè)者能夠更快、更低成本地部署零信任，促進(jìn)廣泛的零信任實(shí)踐應(yīng)用不僅能改善數(shù)字經(jīng)濟(jì)的安全態(tài)勢(shì)，還能促進(jìn)整個(gè)行業(yè)的數(shù)字安全的技術(shù)創(chuàng)新。正是基于這樣的考慮，本書內(nèi)容可分為4個(gè)部分，共11章，按照“入門→精通→實(shí)踐→展望”的順序排列。

第1部分：基本概念，共2章。

?第1章　為什么是零信任，首先，對(duì)網(wǎng)絡(luò)安全的歷史演進(jìn)進(jìn)行簡(jiǎn)單回顧；其次，結(jié)合經(jīng)典的網(wǎng)絡(luò)安全歷史事件，分析傳統(tǒng)安全防御體系所面臨的挑戰(zhàn)；最后，提出關(guān)于零信任可能成為未來新安全范式的思考。

?第2章　零信任概述，包括零信任基本概念、各個(gè)國(guó)家對(duì)零信任的關(guān)注情況、零信任的抽象架構(gòu)，以及零信任的典型訪問場(chǎng)景簡(jiǎn)介。

第2部分：技術(shù)詳解，共3章。

?第3章　身份管理與訪問控制（IAM），詳細(xì)介紹零信任的基礎(chǔ)身份組件、現(xiàn)狀、基本概念、身份管理、身份認(rèn)證、訪問控制、審計(jì)風(fēng)險(xiǎn)，以及未來的發(fā)展趨勢(shì)。

?第4章　軟件定義邊界（SDP），詳細(xì)介紹零信任的第二大基礎(chǔ)組件、軟件定義邊界、基本概念、技術(shù)架構(gòu)和通信協(xié)議、部署模型，以及與傳統(tǒng)安全產(chǎn)品的關(guān)系、應(yīng)用實(shí)踐、典型應(yīng)用場(chǎng)景，如遠(yuǎn)程接入、企業(yè)上云保護(hù)、防止拒絕服務(wù)攻擊、合規(guī)要求等。

?第5章　微隔離（MSG），介紹網(wǎng)絡(luò)微隔離的基本概念、微隔離的價(jià)值、技術(shù)路線和趨勢(shì)，以及部署和實(shí)施場(chǎng)景及最佳實(shí)踐。

第3部分：應(yīng)用實(shí)踐，共5章。

?第6章　零信任應(yīng)用場(chǎng)景，重點(diǎn)介紹零信任安全的應(yīng)用場(chǎng)景。

?第7章　零信任的戰(zhàn)略規(guī)劃與實(shí)施，介紹零信任的戰(zhàn)略規(guī)劃方法、意義以及行動(dòng)計(jì)劃。

?第8章　零信任落地部署模式——SASE，介紹安全訪問服務(wù)邊緣（Secure Access Service，SASE）。

?第9章　零信任行業(yè)評(píng)估標(biāo)準(zhǔn)，從合規(guī)的角度出發(fā)，介紹行業(yè)評(píng)估標(biāo)準(zhǔn)及零信任成熟度模型。

?第10章　零信任實(shí)踐案例，介紹行業(yè)的典型成功案例，解決方案和效果分析。

第4部分：總結(jié)展望，共1章。

?第11章　零信任總結(jié)與展望，對(duì)零信任進(jìn)行總結(jié)并對(duì)未來進(jìn)行展望。

本書凝聚了編委會(huì)所有專家的工作成果。再次感謝編委會(huì)以及審校組所有專家成員的辛勤付出！此外，在本書編寫過程中，西塞數(shù)字安全研究院的智庫專家及電子工業(yè)出版社的編輯老師們給予了許多寶貴的意見和建議，大家無私奉獻(xiàn)和兢兢業(yè)業(yè)的精神讓這本書精益求精！希望我們共同努力可以為讀者提供有價(jià)值的幫助，以及對(duì)行業(yè)發(fā)展做出一點(diǎn)點(diǎn)貢獻(xiàn)。

陳本峰

云安全聯(lián)盟（CSA）大中華Fellow、零信任工作組組長(zhǎng)

西塞數(shù)字安全研究院院長(zhǎng)