零信任总体架构包含几项关键技术？

零信任总体架构包含以下几项零信任关键技术。

1、身份安全

身份管理作为零信任架构的重要组成部分，严格践行以身份为基 石的原则，实现与实体相关标识符的获取、处理、存储、传输，并通 过标识鉴别和认证确定实体身份，为建立访问主体和访问客体之间的 关系奠定基础。零信任架构的身份管理范围包括从访问主体到访问客 体之间所涉及的所有实体，例如人员、设备、资源、网络、计算环境 、应用/负载等，根据实体不同的分类特征，采用对应的身份管理系统 进行身份管理，遵循各自的技术标准和管理规定。例如，当实体为自 然人时，个人身份信息构成人员身份，收集、获取、存储、共享自然 人信息就需要遵循个人隐私保护的相关规定；当实体为应用系统时， 身份管理系统需通过应用系统URL标识来唯一标识该应用系统；当实 体为网络对象时，身份管理系统可通过IP地址或者网络号做为其身份 信息的唯一标识；设备身份管理包括设备身份信息的获取、处理、存 储、传输和使用，并支持通过设备身份认证帮助识别和验证设备身份 。

为建立访问主体和访问客体之间的关系，需要基于访问控制模型 进行授权，例如使用基于角色的访问控制作为常用的模型，应基于工 作职能，将访问权限与特定角色相关联，通过角色联系用户，赋予每 个角色访问特定资源的权限。实体被划分到对应的组织分组时，常对 应于社会关系中的组织机构，具有对应的社会身份属性，例如，可信身份是指国家权威机构建设管理运行的可信网络身份，不是企业级的 身份。

在零信任安全架构中，访问主体包括人员、设备、应用、系统等 ，资源作为访问客体，包括一切可被操作的实体，包括终端设备、服 务器、数据库、API、功能等；人员、设备和资源也可以组合作为主 体，例如用户、用户使用的终端设备和发起访问的终端软件应用组合 作为主体。零信任以资源保护为核心，秉承“最小授权”原则，即按照 每次完成主体访问任务所需的最小范围，精准组合被访问资源的最低 权限，实施细粒度的身份认证和授权访问控制。 基于身份管理系统实施的零信任架构，在云计算、大数据、移动 办公、远程办公、边缘计算、物联网、5G等多种应用场景下，身份管 理系统需要基于不同场景特点，为零信任架构实施ᨀ供支撑。

身份安全全面的建立和维护数字身份，并ᨀ供有效地、安全地IT 资源访问的业务流程和管理手段，从而实现信息资产统一身份认证、 授权和身份数据集中管理与审计。零信任架构下的身份安全，以身份 为基石，持续监控用户活动，感知和评估实体身份、权限的变化，通 过持续地实体身份鉴别、鉴权，保护所有交互过程，降低资源访问过 程中的威胁。

2、基础设施

基础设施以网络基础设施、计算基础设施、重要业务系统为核心 支撑起零信任核心架构，是对零信任理念的落实与部署，其稳定性、 包容性、可扩展性等方面的能力是零信任发展的基石，是形成访问控 制、安全审计等零信任核心体系的助力。

1）网络基础设施 。在网络基础设施方面，边界防护应综合使用防火墙、入侵防御、 垃圾邮件过滤等技术；内网应精细划分安全域进行访问控制；应使用 SDP等技术优化传统远程接入方案；内网接入应采用认证机制，对接 入用户进行访问控制；应建设态势感知系统，对全网安全态势进行感 知和响应。

2）计算基础设施。 在计算基础设施方面，应使用微隔离技术对主机进行全面访问控 制；应使用主机基线核查和主机检测响应等技术对主机安全防护进行 优化；应使用堡垒机机制对主机登录进行集中访问控制和运维审计； 应使用安全审计机制对主机日志进行审计；应建设主机资源监控系统 ，对计算资源的使用进行全面监控。

3）重要业务系统。在重要业务系统方面，应使用代理网关技术对业务系统的访问控 制进行优化；应综合使用Web漏洞扫描、Web应用防火墙等技术对业 务系统进行安全防护；业务系统应采用密码技术对访问通信进行加密 ；应使用安全审计机制对业务访问日志进行审计；应建设用户行为分 析系统，对访问用户的行为进行全面安全分析和响应。

4）生产控制系统。 在生产控制系统方面，室外设备应有透风、散热、防盗、防雨、 防火、防电磁干扰等能力；生产控制系统与其它业务系统之间应有物 理隔离或单向安全隔离机制；配置变更应有安全审计机制；生产控制 系统内部组件之间的通信应使用密码技术保证机密性和完整性；应采 用入侵检测技术对生产控制系统内部进行威胁和异常检测。

5）重要数据资源。 在重要数据资源方面，应使用网络防火墙和数据库防火墙等技术 对数据进行访问控制；应同时具有本地数据备份和异地数据备份与恢 复能力；应采用密码技术对数据进行加密存储；应采用数据完整性监 控技术对数据进行完整性保护；应建设完备的数据安全治理机制。 基础设施的零信任建设不是一蹴而就的，通过建立基础设施零信 任技术成熟度模型可以让组织根据自身情况在不同的阶段为自己的基 础设施采用不同的安全技术，并逐步增加、优化安全能力，最终完成 适合组织自己的基础设施零信任安全建设。

3、网络安全

零信任从网络控制机制、网络数据安全、网络访问准入、网络防 御机制、安全威胁防护这五个维度保障了网络安全，实现了灵活、稳 定的安全访问控制。

1）网络准入控制。 对采用无线、有线、SD-WAN、VPN等方式接入的设备和用户都 进行准入控制。

2）保护企业资源网络隐身 。软件定义边界（SDP），由客户端发起一个连接请求，通过单包 授权（SPA）接入到控制器服务，由控制器服务认证鉴权，认证通过 后会将需要连接的内网资源下发给客户端，并且连接隧道加密。通过 认证后客户端才会知道自己真正要连接的内网应用资源，下发“最小 化权限原则”不会将所有内网的操作权限和资源都公开。后续会根据 设定的安全策略，逐步地“持续信任评估”。在零信任模型中，所有业 务系统都隐藏在安全网关后面。

3）访问控制策略 。应用基于会话的访问控制，例如，限制哪些IP地址、用户和设备 类型可以发起访问哪种应用系统资源。在多云环境中可以采用基于属 性的访问控制策略。 要实现主体对资源的访问控制策略优化需要考虑访问控制策略的 对象、内容、时间、资源位置、访问原因和方式等方面的问题。要实 现一个主体对一个资源的访问须使用确定的规则将该流量列入白名单 ，而对其他访问一律拒绝，即消除隐式的信任。为此，可采用吉卜林 方法（Kipling Method）优化访问控制策略。

4）数据传输链路安全。 根据组织内外部的数据传输要求，采用适当的加密保护措施，保 证传输通道、传输节点和传输数据的安全，在数据传输的端点间建立 安全的传输通道，防止传输过程中的数据泄漏、被劫持和篡改。加密传输将保障数据传输过程中的机密性（只有自己和允许的人才能看到 或看懂数据）、完整性（数据在传输过程中没有被破坏或篡改）和可 信任性（确保消息是真实的发送方所发的，而不是伪造者发的）。

5）防御网络攻击 。在防御网络攻击上，强调集成化防御，系统能够集成一组丰富的 威胁防御功能，对被防护系统实施3到7层的威胁防护手段，包括： URL过滤和WEB安全防护，DNS安全威胁防护，IoT设备识别与防护 ，SaaS 应用识别与SaaS DLP，零日攻击，未知威胁防御，未知应用识 别与防护等。在防御攻击的过程中，要强调对用户和应用访问的每个 会话进行内容安全扫描，持续安全检查和动态授权。

4、数据安全 数据无论处在任何位置，都需要通过一定的技术手段，防止数据 被破坏或被泄漏。零信任的数据安全是在保证数据安全的基础上，更 关注零信任场景下对细粒度管控和动态调整要求的匹配，比如不以数 据位置为依托确定安全性、进入管控范围的系统时需要自动及时的标 识并实现自动的分类分级管控，从数据的采集、分类、隔离、加密、 控制和监控等安全措施出发实现数据安全。数据安全的关键技术有以 下6个方面。

1）对数据验证、识别、分类分级和加密 。数据源可信验证技术主要是保证所采集数据的数据源是安全可信 的，确保采集对象是可靠的、未被假冒的。 数据安全识别检测是对采集的数据集进行结构化、非结构化内容 的安全性检测，确保数据中不携带病毒或其他非安全性质内容。数据分级分类标注技术主要实现对结构化、非结构化、半结构化 的数据按照内容属性、安全属性、签名属性等不同视角进行标注，标 注的方法包括基于元数据的标注技术、数据内容的标注技术、数据属 性的标注等。

2）数据防泄漏 。数据防泄漏技术，包括数据泄漏检测技术，泄露阻止技术和泄露 追踪技术。其中泄露检测技术包括：内容搜索和匹配的基础检测技术 方式，及精确数据比对（EDM）、指纹文档比对（IDM）、向量分类 比对（SVM）等高级检测方式。泄漏阻止技术包括：一是对静态数据 的存储保护，二是防范传输态数据的泄漏，三是解决应用系统在使用 数据时存在的泄漏风险。泄漏阻止技术，使用较为广泛的主流技术以 控制类、加密类、过滤类、虚拟类为代表。数据泄漏追踪技术是通过 相关技术来追踪和震慑数据泄漏行为,传统数据泄漏追踪技术包括标记 化算法、信息传输决策点技术、诚信机制水印技术、便携式数据绑定 算法和流模型算法等,当前主流的泄漏追踪算法主要以过失模型为基础 ，在不改变源数据的前ᨀ下，增加识别泄密者的概率。

3）数据活动监测及审计分析 。为了对数据安全共享中的异常事件、违规行为和业务运行情况等 进行全面的了解和事后安全查漏补缺等处理，监控审计技术主要通过 分析的各种安全事件日志，借助关联分析、数字取证、事件追踪溯源 、异常行为的监控、数据血缘分析等手段以及实时监控确保数据共享 的安全。安全策略管理模块对数据安全要求的策略基线进行维护和管理， 同时根据监测预警模块反馈的威胁信息，生成全局动态协同数据安全 防护决策策略。

4）重要数据脱敏和溯源。 数据脱敏技术主要包括：基于数据加密的技术，采用一定的加密 算法覆盖、替换信息中的敏感部分以保护实际信息的方法。基于数据 失真的技术，使敏感数据只保留部分属性，而不影响业务功能的方法 。基于可逆置换算法的技术，兼具可逆和保证业务属性的特征，可以 通过位置变换、表映射、算法映射等方式实现。 在数据资产元数据的基础之上增加安全属性，包括增加数据的标 签、安全级别等属性，来实现对数据资产的血缘分析与追踪溯源等安 全操作。

5）重要数据备份和恢复 。备份恢复技术主要是实现对大数据环境下的特殊数据，如元数据 、密集度很高的数据或者高频次访问的数据进行，通过非安全手段实 现的安全防护技术，通过数据同步、数据复制、数据镜像、冗余备份 和灾难恢复等方式实现的安全保护。 6）数据使用保护 数据在跨网跨域之间进行交换，需要对数据交换内容、交换行为 、交换过程做到可管、可视、可控。数据销毁是为了确保删除的数据 不存在非法残留信息和从删除数据中进行恢复，而造成数据信息的泄 漏。