文/伏明明
【适逢《网络安全的 40 个智慧洞见（2022）》近期的出版发售，去年发表在书上的文章是基于之前的文章做了些更新，再次发出来和大家共同探讨。】
一、背景
每当安全负责人汇报工作并询问老板指示时，“不要出事”、“零安全事件”、“零事故”这些回答都是高频词汇。如何落实领导的类似指示，相信每位安全负责人的心头都是沉甸甸的，因为大家都知道如果只靠采购、实施和运营一个个碎片化的传统安全产品，内心必然是没有太足底气的。
笔者过去作为快递行业市占率第一甲方的安全负责人，有机会接触国内外各类安全产品，加上自身带领团队长期在零信任领域做了大量深入实践，从实践结果上看，不管是多年来实际发生的安全事件情况还是在大型攻防演习中的实战表现，我们都是行业领先的，真正满足了让领导睡个安稳觉的愿望，同时安全团队的工作也得到了公司上下及行业监管机构的一致认可，因此深刻感受到了零信任安全产品是如何给我们底气去努力实现领导指示的“零事故”目标。
既然零信任安全产品能体现这么大价值，那什么是零信任？零信任可以用在哪些场景？什么是零信任安全产品？零信任安全产品这些年来有哪些变化和不变？零信任未来发展蓝图可能会是什么样的？笔者近距离长期观察和研究全球范围内的零信任安全产品的发展现状以及零信任的发展趋势，试图通过这篇文章做个简要概述。
二、零信任相关概念
众所周知，零信任是一种理念或者思想，其内涵为消除默认信任构建自适应信任。从概念出发，零信任可以应用在所有涉及资源访问控制的场景，这里的资源既包括IT资源如网络、存储和计算等，也包括业务资源如业务系统、财务报表和薪酬数据等，因此零信任理念可以覆盖整个IT架构，重构或者优化原有IT架构的资源访问控制方法，降低管理成本、提高访问效率、提升用户体验、增加灵活性和增强安全保障。
有人曾经说过，可以用互联网思维和技术重新做一遍传统产业，当前如火如荼的传统产业数字化转型验证了这一点。可类比的是，今天我判断绝对可以用零信任理念和相关技术组合重构或者优化现有IT架构下的诸多细分领域，如信息安全、网络、运维、开发等，针对这些领域下的某些具体场景提供全新的解决方案。
在信息安全领域，零信任安全产品是指遵循零信任理念并提供零信任核心能力的安全产品。零信任安全产品近几年从概念到单点产品再到更接地气的一体化产品，在产品力、产品形态、覆盖场景、用户范围等维度发生了非常大的变化，但在零信任理念所涵盖的底层核心能力方面维持稳定并持续增强。
三、零信任安全产品的变
第一个变化是零信任安全产品的设计视角之变。过去厂商基于传统的安全攻防视角来做一些孤立的碎片化产品，但是随着IT基础设施和服务的云化发展，为了更好地解决实际问题，必须基于业务视角去设计统一的零信任架构，在大力建设身份底座的基础上，从办公零信任到生产零信任，推出端到端的一体化解决方案。例如过去提到零信任很多人第一时间想到的是替换VPN的SDP，实际上这是一个站在攻防视角设计的细分场景的零信任安全产品，而SASE则是站在业务视角设计的满足一致性用户体验需求的统一了网络和安全的零信任架构。
第二个变化是零信任安全产品的工作重心之变。零信任安全产品的工作重心，从过去的以网络隔离为中心转变到现在的以资源保护为中心。传统的网络边界模型，在网络边界对业务流统一强制做层层网络隔离和过滤，只是机械地执行了特定规则，并没有在上下文层面关心到具体的资源是否得到了足够的安全保护；而零信任软件定义边界模型，在策略执行点通常需要执行两个动作，一是采集数据，二是执行策略，这两个动作都跟每次执行动作时要保护的特定资源及此时的上下文强相关，更关心的是资源的受保护状态。为了更好地实现这个转变，零信任安全产品需要维护良好的资源层次结构以便进行基于资源的安全访问管理，在谷歌、亚马逊和微软等公司的云平台技术白皮书中，都有以资源为中心的访问管理工具和服务。
第三个变化是零信任安全产品从单点产品到一体化解决方案之变。这里的一体化不仅是办公零信任中的终端安全一体化，还包括端、网络管道、边缘计算和云资源编排的一体化。对甲方安全团队来说一大痛点就是安全产品过于碎片化，大量乙方公司在单点上进行红海竞争，却忽略了甲方用户真正需要的是什么。随着零信任安全产品覆盖越来越多的场景，越来越多的单点能力可以打通进行联动从而可以实现联防联控，甚至可以不局限于安全领域延伸到整个IT架构层面。从高层视角看其实急需一个事实上的IT行业对接标准，如日志和API的标准格式规范，这样单一厂商可以专注把自己的核心能力做深做强做宽而不是同质化内卷，既可以方便把自己的核心能力开放出去给其它厂商使用也可以方便引入其它厂商的核心能力，分工协作搭建生态提供整体解决方案。
第四个变化是零信任安全产品的交付之变。交付形态从过去的一个安全管理系统向安全服务转变，最终以最接近用户直接需求的服务去交付。产品形态方面包括私有云、公有云和混合云，商业模式方面包括订阅付费、一次性买断和混合模式。这个转变可以降低产品的使用和运营成本，减轻用户二次加工的压力和提高管理效率。另外零信任安全产品的交付对象即最终用户也发生了变化，过去可能只是给安全团队的小范围人员重度使用，但是现在还需要提供给运维、网络、开发甚至内部员工全员重度使用，对产品力的考验不言而喻。
总体来讲，国内外零信任安全产品的产品力水位线越来越高，解决方案的一体化程度也越来越高，进入门槛也就越来越高。零信任安全产品从过去的孤立的单点盒子产品正在向服务化、自动化和智能化的方向演进。如果大家对零信任安全公司关注比较多的话，就会发现一批零信任初创公司的零信任安全产品的产品力越来越强，逐步和一些传统的零信任安全产品拉开差距，特别是2020年左右创立的一些新公司越来越接近零信任的本质，越来越能完整实现零信任核心能力，如TailScale、Perimeter81、Axis以及其他更为优秀的零信任初创公司。
四、零信任安全产品的不变
俗话说外行看热闹，内行看门道。那零信任安全产品有哪些不变的底层核心能力呢？
第一个不变的核心能力是身份底座提供坚实的基础支撑。以泛在身份作为基础支撑，就可以用零信任理念构建安全的万物互联世界。这里的泛在身份是指活人身份如员工、消费者、合作伙伴，非活人身份如设备、应用和API等。事实上，身份部分往往得不到重视，在很多CXO眼里就是登录而已，当在数字化转型过程中发现业务流程效率低下、各类业务活动无法关联、安全事件无法快速定位等问题时才会明白其价值。国外近几年身份类项目逐步多起来，投融资也比较活跃，但国内做得好的项目相对还比较少，可挖掘的价值空间依然比较多，比如在很多传统访问控制和管理场景，都是使用IP作为身份，但在零信任理念中IP是不建议作为身份来使用的，仅从这一点来讲零信任安全产品就有非常多的创新空间。
第二个不变的核心能力是运行时动态信任评估能力。在上述构建好的身份底座基础上，打造基于身份画像、实体行为分析及基线和业务场景的动态信任评估能力，并且真正应用到访问控制的策略执行。动态信任评估在设计和实现上难度都比较大，关键在于需要在运行时体现动态性和实时性。
第三个不变的核心能力是基于一致性策略进行资源访问控制的能力。在上述身份底座和动态信任评估的基础上，设计一致性的策略语言，面向不同场景的不同资源全面实施基于策略的访问控制技术。它的控制粒度更细，更精准也更灵活，在统一的管理控制台上支持更广泛的场景，通过策略实现软件定义的安全服务，助力提供自动化和智能化的安全运营能力。
不变的底层核心能力才是零信任安全产品的灵魂所在。从底层架构开始就应用零信任理念设计的零信任安全产品才是真正的原生零信任安全产品，扎扎实实打磨好这些底层核心能力，才能面向复杂业务场景解决好实际问题。
五、零信任的发展趋势
从长远看，零信任理念势必会逐步融入到整体IT架构的演进中去，将呈现出平台化、体系化和生态化的发展趋势。首先基于类似SASE的零信任技术架构打造零信任开放平台，将核心能力开放出来，嵌入到各类业务场景；其次基于业务视角构建零信任大安全体系。通过IT云化逐步实现IT、OT、IOT以及ICT的融合，并将零信任理念融入到数智化转型的底座，结合底座和业务场景提供灵活的基于业务视角的安全防护；最后零信任生态逐步成长起来，数智化转型产业链的各方分工协作。
声明：本文来自想象并创造，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
