1、2022江苏易安联网络技术有限公司云计算开源产业联盟2023零信任关键技术白皮书0000000000000000011101111111111112023年8月9日江苏易安联网络技术有限公司云计算开源产业联盟111本报告版权属于江苏易安联网络技术有限公司与云计算开源产业联盟。转载、摘编或利用其它方式使用本报告文字或者观点的，应注明来源。违反上述声明者，将追究其相关责任。版权声明编制单位杨正权、秦益飞、于振伟、张英涛、张晓东编制人员COPYRIGHT STATEMENT附 录 编制单位介绍0203070909111315262217前 言第二章 全面建设零信任关键技术全景第一章 零信任发展概况第

2、三章 全面建设零信任实施指南第四章 结束语CONTENTS全面建设零信任概述全面建设零信任关键技术零信任起源与发展零信任的基本原则全面建设零信任落地场景全面建设零信任参考架构全面建设零信任典型实践目录1.可信身份与认证2.数据隔离保护17201.NIST零信任架构2.CSA软件定义边界架构22241.谷歌BeyondCorp项目2.微软MCRA项目26271.远程办公场景2.数据防护场景3.动态访问控制4.自动化响应与可视化零信任关键技术白皮书前言01“云时代”信息技术变革引发了企业网络基础架构的变化，网络安全架构也随之发展，围绕访问安全的“零信任”成为网络安全架构趋势之一。从 2004 年耶

3、利哥论坛上零信任理念萌芽，到当前零信任项目不断实施落地，经过政府机构、标准化组织、学术团体、企业和安全专家十余年的共同努力，零信任体系日臻成熟，“永不信任，持续验证”逐渐成为企业网络安全架构建设的核心理念。为了指导企业的零信任网络安全建设，本白皮书从理念发展、技术体系和实施指南等方面对零信任进行了研究、分析，以助力企业零信任理念的实施落地。白皮书首先回顾了零信任理念的起源、发展和内涵，从体系化安全防护的视角，综合访问实体、会话管理和控制位置等不同维度，提出了全面建设零信任的技术全景，包括可信身份与认证、数据隔离保护、动态访问控制和自动响应与可视化。最后，针对复杂多样的企业网络环境，以零信任关键

4、能力的实施为出发点，对典型零信任架构的关键技术能力进行分析，讨论了每种架构的技术特点和应用场景，为全面建设零信任的实施方案提供参考。零信任作为一种新兴的网络安全架构理念，在未来的发展过程中必然遇到各种挑战，企业需要不断的创新思维，以积极的心态推进理论发展和技术实践。全面建设零信任通过体系化的安全规划，能够从宏观上明确企业网络安全实施方法，对业务资源形成全方位的保护能力，为企业组织的数字化转型保驾护航。前言零信任关键技术白皮书零信任发展概况在传统边界安全模型中，企业 IT 部门采用以防火墙、VPN 为代表的网络安全产品和技术，通过对流经企业网络边界的流量进行检查、验证和加密，保护网络中的应用、服

5、务和数据等资产。在全球数字化转型浪潮下，企业网络安全面临诸多挑战。一是基础设施多样化、云化，业务访问需求复杂化，使得企业原有的网络边界逐渐模糊；二是远程办公、自有设备（BYOD）增加了数据泄露的风险；三是内部横向移动、APT 攻击、勒索软件等网络攻击手段不断提升，网络内部安全态势严峻。传统基于边界的网络安全防护手段已无力应对各种潜在的安全威胁，企业组织迫切需要优化网络安全架构，以为遍布世界各地的分支机构、合作伙伴、客户和员工提供多样化的网络接入和服务访问。秉承“永不信任，持续验证”理念的零信任理念是解决上述问题的有效手段之一。零信任起源于耶利哥论坛（Jericho Forum，成立于 2004

6、 年）对企业“去边界化”网络安全解决方案的探索。2010 年，Forrester 的首席分析师 John Kindervag 正式提出零信任概念（Zero Trust），认为默认情况下所有的网络流量都是不可信的，需要对访问任何资源的任何请求进行鉴别，通过微隔离架构实现对网络的细粒度访问控制，以限制攻击者的横向移动。伴随着云计算、移动互联网的发展，零信任逐渐开始向以身份为基础的动态访问控制体系演变。2014 年，谷歌通过一系列论文介绍了 BeyondCorp 的设计思路和落地方案，（一）零信任起源与发展零信任发展概况0 102PART零信任关键技术白皮书零信任发展概况使用零信任架构替代了传统 V