前言

云計算、大數據、物聯網和移動互聯網等技術的興起，過去舊式基于邊界的安全防護理念已經很難滿足各種復雜的業務場景，平臺、業務、用戶和終端正在呈現出多樣化的趨勢，傳統的物理網絡安全邊界正在逐步瓦解和消失，隨之來的是更多的安全風險。

伴隨著新技術的蓬勃發展，國家對信息安全越來越重視，已出臺《密碼法》《數據安全法》《個人信息保護法》《關鍵信息基礎設施安全保護條例》《信息系統密碼應用基本要求》、57號文等法律法規和政策標準，以此滿足國家對于政企信息數據安全建設要求。政企在聚焦本領域的業務時，還需規范建設信息數據安全保障體系，形成科學實用的體系化安全技術防護能力、規范化安全管理能力和綜合化安全監管運維能力。

零信任定義

為應對網絡邊界瓦解、外部攻擊防不勝防、內部威脅嚴重加劇和監管力度加大等新時代網絡安全面臨的諸多挑戰，零信任安全應運而生。零信任安全（或零信任網絡、零信任架構、零信任）最早由約翰.金德維格在2010年提出。在《零信任網絡:在不可信網絡中構建安全系統》一書中，對零信任安全進行了簡要歸納和概況：

• 網絡無時無刻不處于危險的環境中；

• 網絡中自始至終都存在外部或內部威脅；

• 網絡位置不足以決定網絡的可信程度；

• 所有的設備、用戶和網絡流量都應當經過認證和授權；

• 安全策略必須是動態的，并基于盡可能多的數據源計算而來。 

總結來說，零信任安全的核心思想是，默認情況下企業內部和外部所有的人、事和物都是不可信的，提倡以身份作為權限管控的基礎，基于認證和授權重構訪問控制的信任基礎。IEEE高級會員杰克·伯班克對零信任進行了如下注解：零信任不是單一產品，也不是單一的方法或技術。對一個組織來說是一種態度，一種決心將網絡安全放到優先事項，然后通過投入資源進行支撐。

圖1 零信任概念演進圖（數據來源 中國信通院）

零信任建設原則

零信任是一種以資源保護為核心的網絡安全范式，其前提是信任從不被預先授予，而是必須持續進行評估。零信任是一種企業資源和數據安全端到端的保護方法，其包含人、設備和應用等實體的身份標識、鑒權信息、訪問管理、端點管控和運行環境等內容。通過對實體信息的細致管控，實現盡可能細粒度的訪問控制。一般來說，零信任建設會遵循以下幾點原則：

①  所有數據資源和計算服務都被視為資源

②  無論網絡位置如何，所有通信都應該是安全的

③  對單個企業資源的訪問是在每個會話的基礎上授予的

④  對資源的訪問由動態策略決定，包括客戶端標識、應用程序和請求資產的可見狀態，以及其它行為屬性

⑤  企業確保所擁有的資產和相關的設備均處于最安全的狀態，并持續監控以確保資產處于最安全的狀態

⑥  所有資源的身份驗證和授權都是動態的，并且在訪問之前嚴格執行

⑦  企業盡可能多地收集網絡基礎設施和通信系統當前的狀態信息，以提升其網絡安全狀況

海泰零信任架構

基于以上原則，北京海泰方圓科技股份有限公司提出了海泰零信任架構，在該架構中各組件之間通過單獨的控制平面進行通信，而應用程序數據交互則在數據平面上進行。其中，核心組件是動態信任評估引擎和策略執行引擎。動態信任評估引擎，該組件負責最終決策授予訪問主體對資源的訪問權限，使用企業策略和外部來源的輸入，作為信任算法的輸入，來授予、拒絕或撤銷對資源的訪問權；策略執行引擎，該組件負責啟動、監控和終止訪問主體與企業資源之間的連接。

圖2 海泰零信任方案邏輯架構

海泰零信任架構包括以下幾個核心要點：

• 所有訪問請求都要被零信任安全接入網關攔截，進行強制訪問控制；
• 訪問權限由動態信任評估引擎進行實時判定；
• 持續的信任評估生成信任庫；
• 對身份和權限進行細粒度的管理。

可見，海泰零信任架構的目標是通過建立統一的身份管理體系，采用動態的身份認證和訪問控制策略，確?？尚诺娜?、應用和服務等主體，使用可信的設備，在恰當的時間和地點，通過可信的訪問鏈路，使用可信的認證方式，安全合規的訪問相關資源。

海泰零信任方案

海泰憑借在密碼領域的多年沉淀和對信息安全行業痛點的深度理解，經過研發團隊的技術攻堅和細致打磨，推出了海泰基于融合門戶的零信任解決方案。

海泰零信任解決方案，以自主研發的零信任融合門戶、密碼服務平臺、統一身份認證平臺、智能感知系統、動態評估授權系統和零信任安全接入網關等產品為主，構建基于可信用戶、可信設備和可信應用的訪問主體，并對其訪問行為進行持續信任評估和動態授權，以達到無邊界的最嚴格權限訪問控制的零信任最佳實踐。

海泰零信任解決方案主要包括：零信任融合門戶、零信任安全接入網關和動態評估授權系統等自主研發軟硬件產品。

圖3 海泰零信任方案系統組成

方案核心組成產品介紹：

• 零信任融合門戶

海泰零信任融合門戶是基于紅蓮花國密瀏覽器構建的多信息聚合門戶系統。企業可以通過安全融合門戶有效的整合企業內各類信息，實現統一入口登錄，并且能夠集中管理用戶不同業務信息的初步展現與集成，是建立企業以業務為導向的移動信息化平臺的重要組成。

紅蓮花國密瀏覽器是海泰方圓響應國家自主可控戰略，以國密算法為基礎、結合政企業務應用需求，針對國產信息化支撐中存在的網絡應用安全、瀏覽器安全等安全性問題，自主設計瀏覽器的安全體系架構，全面支持國密算法、支持信創環境的一款瀏覽器，具備完善的后臺支撐服務等能力，完成了多項技術創新、應用模式的創新，多次獲得工信部相關產業課題基金的支持。

• 零信任安全接入網關

目前安全邊界防護設備的功能越來越復雜，通常需要依賴性能強勁的CPU、復雜的操作系統和各種各樣的第三方代碼庫實現安全保障功能。而這些功能的實現，需要極大量的代碼支撐，其中只要一行代碼出問題被黑客攻破，就可能會讓安全邊界的大門敞開。面臨這樣的問題，在高安全應用環境中，又該如何相信一個依賴上千萬行代碼的安全邊界設備能夠保障我們的業務系統安全？

基于上述問題，海泰方圓設計了一款不依賴CPU、操作系統和第三方代碼庫的純硬件高保障安全邊界設備—零信任安全接入網關，保障企業在互聯網上的邊界安全，保證只有被授權用戶可以接入內網。由于零信任安全接入網關不依賴CPU、操作系統和任何第三方代碼庫，而使用自研的純硬件技術實現，使得硬件規模極小，核心功能代碼是只有不到500行的硬件代碼，能夠通過有效的代碼審計保障其安全性。

因此，攻擊者在攻擊該設備時，攻擊面只有500行硬件代碼實現的極小硬件邏輯，相比于上千萬行代碼的安全邊界設備，大大的降低了由于代碼缺陷導致安全邊界設備被攻破的可能性，從而在根本上解決了傳統安全邊界設備由于CPU、操作系統以及各種第三方代碼庫漏洞而造成的自身被攻破的難題。

圖4 零信任安全接入網關

• 身份安全及權限管理系統

身份安全系統包含用戶、設備和應用三類實體的安全管理，主要功能涵蓋：員工身份、供應商身份、合作者身份和特權身份分類管理，設備身份管理和應用身份管理。

權限管理系統能夠提供細粒度的權限管理，包括，自助申請、工作流審批和自動收回權限等。管理員可以了解用戶在各個應用中授權情況，了解權限被授予哪些應用。

• 動態評估授權系統

動態評估授權系統是零信任整體架構的策略指揮中心，通過多維度的數據為訪問主體對核心業務資產的訪問進行風險判斷和信任評估，進而執行相應的訪問策略。

動態評估授權系統包括風險計算、信任評估和動態授權三個模塊，通個這三個模塊協同工作完成訪問主體對訪問客體的動態訪問授權，并對異常訪問行為進行阻斷。

• 智能感知系統

通過訪問系統日志和終端上傳的信息以及其他外部分析平臺上報的風險信息，進行綜合風險關聯判定，利用大數據和人工智能技術，構建信任評估模型，對風險進行持續評估，為動態訪問控制提供信任等級評估。

海泰基于融合門戶的零信任架構及解決方案的核心目標是：為企業構建全方位、一站式的零信任安全體系，實現基于可信身份的無邊界動態訪問控制，助力企業能夠快速遷移到零信任安全架構。