云安信息零信任核心能力

1. 关于零信任

零信任的最早雏形源于2004年成立的耶利哥论坛（Jericho Forum），其成立的使命正是为了定义无边界趋势下的网络安全问题并寻求解决方案。2010年，Forrester的分析师约翰·金德维格（John Kindervag）正式使用了零信任这个术语，金德维格在他的研究报告中指出，所有的网络流量都是不可信的，需要对访问任何资源的任何请求进行安全控制。零信任网络安全架构不是一次性的建设方案，而是一个长期演进的过程。互联网巨头Google和Akamai已率先完成该架构体系的落地实施并加以运用，众所周知的BeyondCorp安全模型便是Google公司在2017年搭建的零信任安全架构，如今Google的员工已经能实现无论在家、咖啡厅、办公楼等任何地点访问公司应用都是一样的体验，不再需要传统的VPN，而在安全上，员工到应用的连接都进行了数字加密，该方案真正实现了访问控制权从边界转移到个人设备与用户上。

2. 云安信息零信任核心能力

云安信息零信任解决方案提供一套全面架构的安全体系，在满足新安全要求的同时，也充分考虑结合了未来安全趋势，云安信息零信任安全解决方案除了全面架构之外，其核心能力主要有以下几个方面，其中任意一项均可作为零信任解决方案的实现方式：

SDP软件定义边界

SDP核心能力是零信任架构的关键核心能力，通过统一访问入口来重构数据中心边界，而统一访问入口无须部署物理边界设备，而是采用软件的方式进行边界划分，SDP部署简单、实现容易，同时，SDP具备以下安全优势：

——SDP的“网络隐身”技术，可以缩小网络攻击面，极大程度降低安全风险；

——SDP的“按需授权”安全模型，可以缩小被攻击后的安全风险；

——SDP通过分离访问控制和数据信道，保护关键资源和基础架构，从而阻止潜在的基于网络的攻击；

——SDP提供了整个集成的安全体系结构，这一体系结构是传统安全设备难以实现的；

——SDP提供了基于连接的安全架构，而不是基于IP的替代方案。因为整个IT环境爆炸式的增长，云环境中的边界缺失使得基于IP的安全性变得脆弱；

——SDP允许预先审查控制所有连接，从哪些设备、哪些服务、哪些设施可以进行连接，所以它整个的安全性大大优于传统安全架构。

身份权限管理

身份管理是大多数组织实现安全和IT运营策略的核心。它使企业可以自动访问越来越多的技术资源,同时管理潜在的安全和合规风险。身份管理为所有用户,应用程序和数据启用并保护数字身份。

零信任安全架构中的身份管理是增强型的身份安全管理方法，它将参与者的身份用作策略创建的关键组成部分，企业资源访问的主要要求基于授予给定主体的访问特权。通常使用开放式网络模型或具有访问者访问权限或网络上频繁使用非企业设备的企业网络找到针对企业的基于身份治理的增强方法。最初,所有具有资源访问权限的资产都将获得网络访问权限,这些权限仅限于具有适当访问权限的身份。而零信任架构中,身份驱动的方法与资源门户网站模型配合得很好，身份和状态提供辅助数据以支持访问决策。

身份管理可以帮助组织有效地解决复杂业务带来的挑战,并平衡以下四个关键目标：

——加强安全性并降低风险

——改善合规性和审计绩效

——提供快速,有效的业务访问

——降低运营成本

MSG微隔离

和SDP一样，MSG微隔离技术也是零信任安全架构的技术架构和实现方案，云安信息微隔离有别于传统防火墙单点边界上的隔离（控制平台和隔离策略执行单元都是耦合在一台设备系统中），云安信息微隔离系统的控制中心平台和策略执行单元是分离的，具备分布式和自适应特点。在业务众多的数据中心，哪怕是仅有几台虚拟机的小型数据中心，他们之间数据的相互交换速率都可以用Gb/S来表示，一旦有任何不安全因素，则有可能使得整个虚拟化中心甚至数据中心遭受不测，因此，隔离这些不必要的数据交换同时监控必要的数据交换显得非常必要。云安信息微隔离技术具备如下特点：

——实现基于业务角色的快速分组能力，为隔离分区提供基于业务细粒度的视角，以此解决传统基于IP视角存在的管理上的问题；

——在业务分组的基础上自动化识别内部业务的访问关系，并能通过可视化方式进行展示和呈现，为策略决策提供依据；

——实现基于业务组之间的隔离能力、端到端的工作负载隔离能力、异常外联的隔离能力，支持物理服务器之间、虚拟机之间、容器之间的访问隔离；

——通过隔离全面降低东西向的横向穿透风险，支持隔离到应用访问端口，实现各业务单元的安全运行；

——具备可视化的策略编辑能力和批量设置能力，支持大规模场景下的策略设置和管理；

——具备策略自动化部署能力，能够适应私有云弹性可拓展的特性，在虚拟机迁移、克隆、拓展等场景下，安全策略能够自动迁移；

——在混合云环境下，支持跨平台的流量识别及策略统一管理，不受公有云平台兼容性限制，可以自动适应任意平台。