零信任安全

Posted 2020-11-22

零信任安全

零信任安全的本质是以身份为中心进行动态访问控制。
其核心思想是：默认情况下不应该信任网络内部和外部的任何人/设备/系统，需要基于认证和授权重构访问控制的信任基础。
引导安全体系架构从网络中心化走向身份中心化，其本质诉求是以身份为中心进行访问控制。
其核心实践包括：
（1）以身份为中心
通过身份治理平台实现设备、用户、应用等实体的全面身份化，采用设备认证和用户认证两大关键技术手段，从0开始构筑基于身份的信任体系，建立企业全新的身份边界。

（2）业务安全访问
所有的业务都隐藏在零信任可信接入网关之后，只有认证通过的设备和用户，并且具备足够的权限才能访问业务。

（3）动态访问控制
访问控制需要符合最小权限原则进行细粒度授权，基于尽量多的属性进行信任和风险度量，实现动态自适应访问控制。