零信任互联网安全访问

程序漏洞；

恶意程序；

勒索病毒：WannaCry、Petya、Bad Rabbit；

单机威胁：感染式病毒、二进制攻击；

网络病毒与黑产：木马、蠕虫；

流氓软件与灰产：间谍软件、广告软件；

流量攻击与敲诈：DDos、肉鸡；

黑客攻击：黑洞门、SRC；

高级威胁与勒索：黑客与病毒混合、漏洞与社会工程学；

PC终端；

移动终端；

物联网终端；

工控互联网终端；

OSI安全体系：分层结构防护；

P2DR：闭环动态模型；

IATF：分开部署安全保障机制；

IEC62443：纵深防御安全防护策略；

NSA CGSV2：安全保护与监测能力整合；

NIST CSF：自身需求加强防御；

企业通过复杂和繁琐的网络边界防火墙策略及设置，将信息系统和数据直接暴露至互联网提供服务，业务一旦发生变化和变更，安全防护策略需要进行大量手工调整，不利于业务的敏捷性管理。

企业在面向消费者或跨区域跨地域的持续业务运作中，通常将信息系统和服务转向使用单云托管或多云托管方式，意味着依靠企业边界的安全性成为一种负担和挑战，云上数据和服务面临更多可能性的入侵攻击、病毒破坏和数据窃取的安全风险。

企业通常将有限访问的资源提供给进行工作的现场访问者或服务提供商，主要包括外包运维人员、服务人员等，而这类人员通过互联网远程进行服务的提供，包括企业信息系统维护、数据库的管理和服务器的调优等。

越来越多的企业会涉及跨业务协助或项目合作，如企业的生产订单需要第三方企业进行供应链协助，需要生产系统与供应链系统的连通；如某重要项目涉及多个企业的项目成员，需要相互进行业务访问和数据的操作等，这些跨企业边界的协助同样面临安全风险的巨大挑战。

采用SDP方式，通过SPA单包认证、MTLS双向加密技术，所有互联网业务访问请求通过SDP网关进行连接和授权，同时所有互联网业务端口和访问地址默认不开放，只有通过授权和认证的请求并且其访问资源符合的情况建立业务连接。

建立互联网用户体系的身份管理体系，包括外包人员、供应商、消费者、合作伙伴等用户群体，同时将企业的互联网业务纳入到身份管理平台进行认证、授权、风险、审计的集中管控，确保来自于用户或终端的访问身份和请求符合企业的管理要求和策略匹配。

云上SaaS应用采用设备应用沙箱隔离模式部署，通过分配虚拟机隔离或使用防火墙设置隔离区域，对外服务接口采用API网关服务实现。

为实现企业间的协助和业务访问，分别通过身份管理技术对企业的联合ID主体身份进行注册和授权配置，保障企业身份合法和权限合规，同时通过企业网络托管或云上托管方式，让企业间的网络访问通过SDP网关进行网络连接，遵循先认证后连接的零信任安全机制，确保业务互访互联的安全性。

在实施“按需受控访问”的基础上，有效整合资源保护相关的数据加密、网络分段、数据防泄露等技术，保护应用资源、数据在网络中的传输和存储，并优先保护高价值资源。

互联网用户通过访问认证之前，资源对用户隐身；即便在用户通过访问认证和授权，成功进入网络以后，零信任架构也将阻止用户漫游到未经授权的区域。零信任思维从根本上降低了互联网攻击面。

零信任架构终结了安全防护手段各自为政的现状，在零信任架构实施时，可以通过与现有工具的集成，大幅度降低零信任潜在建设成本。