360集团 柯善学

一、零信任硬币的两面

（一）零信任的两种视角

美国国家标准与技术研究院发布的NIST SP 800-207（零信任架构指南）指出，“零信任是一套不断发展的网络安全模式的术语，它将防御从静态的、基于网络的边界，转移到关注用户、资产和资源上。”这里的“用户、资产和资源”应该被分解为两部分：一是用户（访问）；二是资产和资源。因为两者对应于不同的视角。

我们知道，最小权限访问是零信任的核心。这表明，美国国防部需改变传统的“允许所有访问、拒绝指定访问”的理念，转向“拒绝所有访问、允许指定访问”的原则。问题的关键在于，对于所有这些访问：一方面是从用户角度来看；另一方面是从应用程序和工作负载的角度来看。

显然，美国联邦政府和国防部已经在致力于改善零信任的用户访问；然而，在一个零信任环境中，关注点正在逐渐转移到保护其资产和资源上。

（二）硬币的一面是访问控制和身份管理

然而，这主要还是一种由外到内（outside-in）实现零信任的方法。

（三）硬币的另一面是主机微分段

零信任更加重要的一个方面，与应用程序和工作负载的连接有关。而这正是攻击者的目标所在，但目前联邦政府和国防部在这一方面还没有得到足够保护。零信任的“另一面”，即基于主机的微分段方法，将带来由内到外（inside-out）的更高安全性，并将阻止恶意软件的横向移动。

NIST SP 800-207专门将微分段定义为在一个或多个端点资产上使用软件代理或防火墙。这些网关设备动态地向来自客户端、资产或服务的单个请求授予访问权限。……