企業的信息安全的邊界在哪里？如何管理企業網絡安全的邊界，保護企業網絡安全，防止企業網絡安全事件的發生。

從下面幾點了解一下。

一、零信任網絡零信任網絡是近幾年才火起來的一個安全概念，實際上這個概念從出現到今天差不多有十年。

2010年，佛瑞斯特研究所的一個分析師就指出，傳統的基于邊界的網絡安全架構存在缺陷，通常被認為可信的內部網絡實際上是充滿威脅的，現在被過度濫用的信任是安全的致命弱點。

基于這樣的判斷，該分析師提出了零信任的概念，并對安全架構思路提出了一個新的建議：在默認的情況下，不應該相信網絡內部和外部的任何設備系統和應用，而是應該基于認證和授權來重構訪問控制的信任基礎，并且這種授權和信任不是靜態的，需要基于對訪問實體的風險度量進行動態的調整。

這位分析師提出零信任概念后的幾年時間里，實際上這個概念并沒有得到大家的關注。

但是在2015年前后，隨著全球信息安全形勢不斷惡化，很多企業安全人員都在尋找能夠更好地解決信息安全問題的方案。

正是在這個時候，零信任網絡的概念才逐漸引起人們的注意。

2017年，谷歌宣布基于零信任網絡的新一代企業網絡安全架構BeyondCorp項目成功完成，并通過論文的形式將其實現方式公之于眾，在這個時候，零信任網絡真正地進入了大眾的視野，并迅速成為信息安全圈的一個熱點。

1、零信任網絡是個啥？我覺得零信任網絡實際上是一個理念，也可以說是一種架構。

零信任網絡是架構層面的，而不是操作層面的，所以它不是一個具體的產品，也不是一種具體的技術，是在一種更高的維度上表達客體對主體安全訪問的一種模型。

它針對的是目前普遍存在的具有網絡位置和區域的默認信任模式。

比如內網是可信的，互聯網是不可信的；同一個區域內的服務器是可信的，跨區域是不可信的。

2、實體是什么，客體是什么？在零信任網絡中，實體一般理解為發起網絡訪問的一方，客體是被訪問的一方。

實體可以是用戶、主機、設備、系統等，客體也可以是主機、系統、網絡服務接口，甚至是數據等。

在零信任網絡的術語里面，理論上并沒有限制實體和客體的形態，所以只要是在實際的架構中或者實際的運用中，能夠進行定義描述和識別的，都可以作為實體和客體。

3、有什么新的技術嗎？個人認為真沒有。

現在網絡使用的基本都是已有的技術，零信任網絡并沒有發明什么新的技術，只是把已有的技術如身份認證、加密、PKI、大數據等整合到一起，形成了一個全新的、完整的安全架構。

4、能解決什么問題？零信任網絡解決了一個核心的問題是非許可的訪問。

企業現在面臨的問題根源，其實就是因為很多非許可的訪問導致了大量的安全問題。

零信任網絡解決的問題按照谷歌的說法，能夠訪問什么服務，取決于我們對你和你的設備知道多少，而所有的訪問都是應該得到認證、授權和加密。

即首先是要認證，要確定主體的身份，只有是被認可的主體才可以繼續訪問；其次是授權，即確定這個主體是否具有訪問指定客體的權限。

從這個角度來看，認證是很關鍵的一個概念，認證是一道看不到的邊界，這個邊界與傳統的基于網絡區域的隔離邊界完全不是一回事，它更偏向于應用系統層面，甚至包含了一點業務邏輯的味道。

5、現有的安全機制是什么關系？零信任網絡的初衷是以一種身份因素，重新定義一下安全的邊界，增強外部對內部訪問的安全性，實際上它和現有的各種安全機制是不沖突的，沒有相互取代關系。

傳統的安全機制和架構，如縱深防御、區域隔離、權限最小化原則等，仍然是信息安全的基礎性、成熟的架構，對于保護企業內部的各種資源仍是必須的。

零信任網絡基于身份認證的思路，只是進一步用來加強對網絡資源的保護。

6、對信息安全還有什么價值？按照《零信任網絡》一書序言中的說法，零信任網絡對信息安全的價值體現在：第一，在傳統網絡安全邊界失效、攻擊面難以窮盡的情況下，零信任引導人員更加關注保護面，而不是攻擊面，由于有可信網關的存在，資源全是躲在網關后面的，攻擊者并不能直接訪問到后臺的資源。

反過來，只有通過網關識別、配置和保護的資源才會被前端間接訪問到。

第二，在實踐機制上擁抱灰度哲學，以安全與易用性平衡的持續認證改進固化的一次強認證（彈性認證），以基于風險和信任持續度量的動態授權機制替代簡單的二元判定的靜態授權，以開放智能的身份治理優化封閉僵化的身份管理。

7、聽著不錯，馬上干起來？聽起來確實很美很好，但真要干的話還得考慮，關鍵的是看目標是什么？如果照著谷歌或者書中描述的場景一套全干起來，我覺得一時半會基本沒戲。

第一，零信任是一個架構，不是單一的產品或者技術，要進行推廣勢必要對it技術架構和應用系統進行大的調整和改造。

投入大，見效慢，如果沒有來自高層領導的鼎力支持，幾乎是推不動的。

第二，目前有一部分企業的it的能力還保持在“能用”這樣一個水平，標準化程度不高能否進行改造本身就是一個比較大的問題。

第三，零信任網絡是一個理念，要落地必須跟企業的實際結合起來，但目前比較難買到很適合的成套的產品。

當然企業也可以自己開發，但一般安全團隊的工程化能力不一定能夠把開發工作真正做起。

8、有什么建議？完全復制別人的模式有難度，但可以吸收零信任的精華，從基礎做起。

個人認為零信任網絡整體的框架重有兩點非常重要：一是建立身份管理中心，二是設立支持身份識別的網關。

身份管理是零信任網絡的必備的條件，如果沒有統一的身份管理中心，身份認證根本無從談起。

我們還要保護好身份管理中心，確保這個系統不會被攻破。

設立網關的目的在于將原先能直連的主體和客體斷開，讓他們不能直接互通，同時利用網關支持身份識別的特性可以進行授權。

做到這兩點就可以算是一個輕量級的、局部的零信任網絡的實踐了。

有了這樣的基礎，我們以后再逐漸增加新的組件，添加新的功能，不斷積累和完善零信任網絡。

9、身邊的零信任實際上大部分安全人員應該都實際過零信任網絡，并且可能做的還不錯，舉兩個例子。

第一是運維堡壘機。

堡壘機中都會有用戶管理，不管他是自己建的賬號，還是說跟外部的數據源對接，其實都可以理解為一種身份管理。

堡壘機事實上起到一個作用，即阻斷了運維人員的終端和運維目標的直接連接，用戶必須通過堡壘機才能對運營目標進行維護，因此我們可以認為堡壘機是一種支持身份識別、應用協議識別和訪問授權的網關。

第二是上網行為管理軟件設備。

現在大部分公司員工從內網訪問互聯網時都要通過上網行為管理軟件設備，不管它串接的網關，還是代理的，上網行為管理軟件設備都起到了一個作用，內網的電腦不能直接跟互聯網相連。

我們訪問一個外面的網站，肯定要經過上網行為管理設備的轉接，并且上網行為管理設備一般都具有身份識別的能力，還可以配用戶的訪問的權限。

上網行為管理設備與堡壘機不同的是，一般情況下上網行為管理設備采用的黑名單機制，默認允許訪問各種外部資源，但會屏蔽掉一些不適合的。

假如把上網行為管理設備部在內網，采用白名單機制，用戶能夠訪問哪個內部資源要在上網行為管理設備上進行授權，這就跟零信任網絡比較像了。

10、控制平面和數據平面前面在介紹典型的架構圖時講到零信任網絡將整體的架構分為控制平面和數據平面。

我個人認為這個提法非常好，控制平面的職責是用來控制和指揮數據平面，數據平面實際上是暴露在邊界上的，控制平面是隱藏在內部的。

這種方式和網絡管理中常用的帶外管理有非常大的相似之處，但這樣的一個提法適用性會更廣泛一些。

從安全的角度來看，我覺得現在很多信息化過程中的對象，如數據中心、網絡，一臺主機或者一個系統，其實都是可以按照這種邏輯來進行相應的切分。

二、設備邊界安全零信任網絡其實有考慮接入設備自身的安全性，但認為要持續地評估接入設備的完全狀態，并且在有問題的情況下要立刻進行調整。

但從目前零信任網絡所涉及的情形來看，并沒有涉及到如何防止數據在接入設備上被泄露。

在遠程辦公的模式下，企業網絡的邊界已經延伸至遠程辦公的接入設備上，所以企業在遠程辦公時，一定要考慮接入設備的邊界，否則很可能引起像數據泄露等相關安全問題。

在接入設備上設立邊界，我個人認為有以下幾種可能性：一是對設備進行完全的控制，如規定它只能跟企業的網絡進行交互；二是對設備進行部分控制，他可以在不同的區域內同時跟企業網絡和其他網絡交互；三是對設備完全不做控制。

對設備進行完全控制應該不是一個特別好的方案，哪怕設備是企業所有的，也一定會遭到用戶的反對。

反過來，對設備不做任何的控制，估計咱們安全人員都不太好意思把方案交上去。

所以我比較推薦第二種方式，對接入設備進行部分控制，那么企業在實踐中該如何做呢？我也只能根據自身的經歷給一些個人建議。

對于移動設備來說，按照現在市場上能夠提供的技術，推薦使用沙箱或者沙盒的技術，在移動設備上劃出一塊虛擬空間，用來處理和存放跟企業有關的數據，虛擬空間與設備本身的自身空間在邏輯上是保持隔離的，就是說它雖然存在設備自身，但它是一個獨立的存在，從外面是沒辦法去訪問到這個虛擬空間里面的信息。

和移動設備相對應的，針對電腦設備，我個人首選是虛擬化，簡單粗暴，安全效果好，不過投入比較大，要舍得花錢。

當然目前國內也有公司在桌面操作系統做沙箱產品，也是一個不錯的、值得跟蹤的思路。

如果桌面操作系統能夠把沙箱的產品做得非常好，達到和移動設備相同的水平，我覺得這樣的解決方案應該會更輕盈，也更有效。

安全是個系統性的一種架構，企業安全性的強弱，取決于最短的那個木條