零信任安全是基于隐式信任始终是一个漏洞这一信念而创建的概念，因此必须按照“从不信任，始终验证”的策略来设计安全性。在最简单的形式中，零信任使用严格执行的身份和设备验证流程来限制对 IT 资源的访问。
零信任身份 (ZTI) 和零信任访问 (ZTA) 均确保默认情况下不信任任何设备或用户，无论位置和类型如何，零信任网络访问 ( ZTNA ) 将经过验证的用户和设备限制在特定网段，而不是授予全网访问权限。
什么是零信任，它是如何工作的？
零信任强制对用户和设备使用严格的安全控制，然后才能访问受保护的资源。零信任身份认证和授权使用最小特权 (PoLP) 原则，该原则授予给定功能所需的绝对最低权限 - 在传输单个数据包之前。
由于访问网络资源的方式发生了变化，这已成为必要。网络边界或仅 VPN 访问的日子已经一去不复返了；今天越来越多的移动劳动力和在家工作的增长要求为用户考虑新的安全方法，而容器和微服务计算的日益分散的性质意味着设备到设备的连接也在增加。
因此，零信任需要相互身份验证来确认设备的身份和完整性，而不考虑位置，以便根据设备身份、设备健康和用户身份验证的置信度来授予访问权限。
零信任的好处
零信任网络架构解决了随着网络拓扑和使用变化而演变的两个弱点。传统上，网络安全是由在企业网络“内部”和“外部”之间有明确分界点的边界定义的。这种方法通常授予网络外围“内部”的用户和设备广泛的访问权限，以便一个网段上的设备可以看到公司网络外围内的所有其他网段。
今天，计算设备和访问大量分布在云、移动、边缘和物联网中，这些组件模糊了分界点，从而使防御边界变得越来越困难。由于 ZTNA 假定网络边界内外的所有内容均不可信，因此每次访问都会对每个事务和连接进行身份验证。一旦通过身份验证，ZTNA 就会创建一个访问极其有限的微分段网络。零信任身份不是基于 IP 地址，而是基于逻辑属性，例如虚拟机名称。
零信任用例
零信任有许多用例，包括限制外部第三方（如供应商和承包商）的访问、隔离物联网设备以及为日益移动的劳动力提供安全的远程连接。
对供应商和承包商的零信任。
由“受信任的”第三方造成的许多值得注意的安全漏洞，例如臭名昭著的 Target 漏洞。提供对外部组织的广泛访问可能是灾难性的。零信任通过两种方式解决了这个问题，首先是使用多因素身份验证或其他身份和访问管理 (IAM) 平台进行严格的身份验证，该平台允许为每个外部方分配一个权限类别，定义他们在网络中的访问权限。此外，分段可以限制对与第三方执行任务或交易所需的网络部分的访问。
零信任和物联网。
物联网设备的增长继续升级，预计到 2023 年将有近 150 亿台物联网设备。它们无处不在（而且通常是有限的安全能力）要求在考虑物联网访问网络资源时采取零信任的方法。例如，物联网设备可以被隔离到一个专门为此目的而设计的网段，从而限制受感染的物联网设备的访问和横向传播到其他更敏感的网络资产。
远程工作者的零信任。
随着越来越多的员工在传统网络边界之外工作，无论是由于公司政策还是疫情，ZTNA 提供安全的员工访问权限并通过确保所有员工（无论是在星巴克使用 VPN 还是公共 Wi-Fi 工作）安全地连接到公司数据来限制攻击面，他们完成工作所需的服务和资源。
零信任模型的核心原则
零信任的主要原则是“从不信任，始终验证”。任何设备或用户都不可信任，无论其位置、IP 地址或网络访问方式如何。无论来源位于何处，网络上的每次交互都需要进行验证。此外，网络访问应限制在尽可能小的部分以实现预期目标，因为大多数网络由互连区域组成，包括本地基础设施、云、远程和移动用户。
对于 VMware，零信任安全意味着构建一个现代安全架构，该架构旨在更加健壮和动态，并在更深入、更全面的基础上建立信任。为了实现这种更全面的零信任方法，VMware 提供了零信任架构的 5 个支柱。
零信任的主要原则是“从不信任，始终验证”。任何设备或用户都不可信任，无论其位置、IP 地址或网络访问方式如何。无论来源位于何处，网络上的每次交互都需要进行验证。此外，网络访问应限制在尽可能小的部分以实现预期目标，因为大多数网络由互连区域组成，包括本地基础设施、云、远程和移动用户。
对于 VMware，零信任安全意味着构建一个现代安全架构，该架构旨在更加健壮和动态，并在更深入、更全面的基础上建立信任。为了实现这种更全面的零信任方法，VMware 提供了零信任架构的 5 个支柱。
1. 设备信任
通过实施设备管理、设备清单、设备合规性和设备身份验证等解决方案，组织可以极大地限制未经授权的用户获得设备访问权限并将该访问权限用于恶意目的的风险。
2. 用户信任
用户信任包括密码身份验证、多因素身份验证、条件访问和动态评分，所有这些都旨在“证明”该用户实际上是经过授权和验证的用户。
3. 传输/会话信任
传输/会话参数通过限制用户的访问权限并应用执行给定工作所需的最低权限来建立对资源的最小权限访问原则。
4. 应用信任
使用单点登录 (SSO)、隔离和任何设备访问等工具可以增强应用程序信任参数。
5. 数据信任
数据信任是 VMware 零信任模型的最后支柱。数据信任策略包括通过加密或不变性保护静态数据、数据完整性（经常检查数据完整性）、DLP（数据丢失预防）和数据分类。零信任的这五个支柱中的每一个都由可见性和分析以及自动化和编排的架构层支持。
- 分析和自动化
这五个零信任支柱共同提供了一种适用于分析和自动化的综合安全方法。通过在这五个支柱方法之上分层分析和自动化解决方案，组织可以获得有关其组织安全状况的深刻数据。
日志位置、维护所有日志的中央存储库、用于监控的仪表板和用于故障排除的中央控制台，所有这些都可以从符合零信任五个支柱的解决方案中提取真正的分析和自动化。
- 自动化和编排
制定强有力的零信任政策需要更多的流程和政策来实现这个更安全的环境。通过将手动冗余流程转变为自动化和协调的方法，自动化和编排使这个过程更容易实现。
在这里，诸如在设备上维护合规引擎、用于与外部程序集成的 API 以及用于自动修复的上下文工作流等策略都可以实现更自动化和更安全的零信任方法。
实施零信任架构的最佳实践
多种工具和技术有助于实现零信任的最佳实践。以下是对成功最关键的候选名单：
- 什么都不相信，验证一切。
假设所有设备都受到威胁，并且永远不要信任任何未经验证的设备。ZTI 工具通过将身份控制推送到端点来协助端点安全，以帮助确保在授予对公司资源的访问权之前首先注册设备。设备注册还简化了识别和验证每个被授予访问权限的设备，并确保设备满足 ZTNA 安全要求。
- 采用网络微分段
零信任网络架构一次仅授予对网络的一小部分的访问权限，并且仅授予确认他们有权访问每个网段的用户。用户和设备身份验证在微分段级别执行。与每个微细分市场的连接基于需要知道的模型。不传输 DNS 信息、内部 IP 地址，甚至内部网络基础设施的可见端口。
要访问任何单独的段，用户必须通过严格的身份和设备验证程序。在可以建立通信会话之前，必须对每个会话进行身份验证、授权和计费 (AAA)。
为了实现零信任身份，网络身份应基于逻辑属性，例如多因素身份验证 (MFA)、传输层安全 (TLS) 证书、应用程序服务或逻辑标签/标签的使用。
- 基于最小权限原则 (PoLP)
限制访问 PoLP 将权限和访问限制为执行特定任务所需的绝对最小值。如果用户只需要读取权限，则不要授予读取或执行权限。PoLP 同样适用于用户和设备，因此物联网设备、连接的应用程序和微服务只应被授予完成交易所需的最低权限级别。
- 部署多因素身份验证 (MFA)
MFA 已在消费者银行和金融网站中流行起来，作为零信任环境的一部分，MFA 也非常有意义。通常，MFA 要求用户至少提供两件事，包括：
- 已知的东西。用户记住的密码、PIN 或短语等秘密
- 拥有的东西。用户拥有的对象或令牌（例如智能手机或智能卡）可以生成或显示一次性使用代码，并与已知的东西一起提供。
- 人类的东西。生物特征信息可以包括指纹、面部扫描或视网膜扫描
仅在两个（或更多）因素验证用户合法之后才会进行身份验证。
维护零信任网络
要维护零信任网络，IT 必须：
- 清楚了解所有有权访问网络的用户和设备，以及他们完成工作所需的访问权限。
- 确保网络安全策略保持最新，并定期测试策略的有效性，以确保没有漏洞被忽视。
- 继续合规监控，包括持续监控网络流量以发现异常或可疑行为。
- 在流量级别以及流程和数据上下文级别具有可见性，以更好地映射正常流量以更好地针对不规则通信模式。
借助 VMware 服务定义防火墙，企业可以从单一管理平台获得深入的可见性和全面的策略控制。为了全面实施零信任网络架构，VMware 提供了 VMware 服务定义防火墙，这是一种基于 VMware NSX 构建的分布式横向扩展内部防火墙，用于保护跨多云环境的东西向流量。
