網(wǎng)絡(luò)是現(xiàn)代企業(yè)數(shù)字基礎(chǔ)設(shè)施的核心。零信任理念致力于構(gòu)建一個以身份（而非網(wǎng)絡(luò)）為中心的網(wǎng)絡(luò)安全架構(gòu)，引發(fā)了企業(yè)網(wǎng)絡(luò)安全架構(gòu)的變革。在零信任體系化能力建設(shè)中，“網(wǎng)絡(luò)”承載并連接了其他的安全能力支柱，是實現(xiàn)零信任安全框架的關(guān)鍵。
然而，復(fù)雜多樣的網(wǎng)絡(luò)環(huán)境為實施零信任帶來了前所未有的挑戰(zhàn)，任何網(wǎng)絡(luò)相關(guān)能力建設(shè)的風(fēng)險都將嚴(yán)重阻礙零信任戰(zhàn)略的推進(jìn)，因此，將“網(wǎng)絡(luò)”支柱的成熟度建設(shè)放在零信任實施計劃的后期是大多數(shù)企業(yè)的選擇。本文主要從網(wǎng)絡(luò)相關(guān)的零信任安全能力建設(shè)入手，討論網(wǎng)絡(luò)分段與微隔離、流量管理與檢視、通信加密和網(wǎng)絡(luò)可用性保護(hù)等問題。

關(guān)鍵字：零信任；微隔離；網(wǎng)絡(luò)彈性；加密

一、零信任網(wǎng)絡(luò)安全

零信任架構(gòu)使傳統(tǒng)基于邊界的安全方法發(fā)生了改變，在向零信任遷移的過程中，網(wǎng)絡(luò)扮演著一個非常獨特的角色。一方面，“網(wǎng)絡(luò)”從安全活動的焦點轉(zhuǎn)變?yōu)橄嗷リP(guān)聯(lián)的支柱領(lǐng)域之一，失去了在傳統(tǒng)以網(wǎng)絡(luò)為中心的安全框架中的主導(dǎo)地位。另一方面，網(wǎng)絡(luò)是零信任架構(gòu)的重要支撐，是連接零信任其他所有支柱的方式和通道。

因此，IT和安全團(tuán)隊需要重新審視“網(wǎng)絡(luò)”在零信任安全框架中的角色和地位。在企業(yè)架構(gòu)中，應(yīng)用程序并非孤立存在，它運行在數(shù)據(jù)中心和云中，可能包含多個需要相互協(xié)調(diào)的分布式組件和功能。但在所有情況下，應(yīng)用程序需要通過網(wǎng)絡(luò)來訪問資源，而用戶也需要網(wǎng)絡(luò)來訪問應(yīng)用程序和數(shù)據(jù)。

在零信任體系化安全能力中，“網(wǎng)絡(luò)”是一個開放的通信媒介和通道，包括傳統(tǒng)的基礎(chǔ)網(wǎng)絡(luò)通道（例如，內(nèi)部網(wǎng)絡(luò)、無線網(wǎng)絡(luò)和互聯(lián)網(wǎng)）和信息通道（例如，用于傳輸信息的網(wǎng)絡(luò)隧道和應(yīng)用層通道等）。企業(yè)網(wǎng)絡(luò)跨越了多種基礎(chǔ)設(shè)施環(huán)境和連接，包括：
?傳統(tǒng)的本地設(shè)施、服務(wù)器和應(yīng)用程序；
?隨時移動、接入的移動設(shè)備；
?訪問公司資源的外部用戶（例如，供應(yīng)商、客戶等）;
?基于云的系統(tǒng)（IaaS、PaaS和SaaS）;
?部署于特定環(huán)境的、計算能力有限的IoT設(shè)備;
?內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN）。

復(fù)雜環(huán)境中沒有真正的邊界。網(wǎng)絡(luò)復(fù)雜性一直是傳統(tǒng)邊界安全面臨的主要挑戰(zhàn)，而傳統(tǒng)網(wǎng)絡(luò)安全控制措施（例如，防火墻、網(wǎng)絡(luò)分段、NAC和IDS等）也存在各種難以避免的缺點，主要包括：
?網(wǎng)絡(luò)分段和NAC存在沉重的運維負(fù)擔(dān)，并且可能因引入專有數(shù)據(jù)報格式，導(dǎo)致廠商依賴和鎖定；
?防火墻因價格昂貴且管理復(fù)雜，只能在有限的網(wǎng)絡(luò)邊界或DMZ上使用，以實現(xiàn)價值最大化；
?網(wǎng)絡(luò)數(shù)據(jù)采集和集中分析極具挑戰(zhàn)性，涉及專有數(shù)據(jù)格式、有限可見性等問題；
?網(wǎng)絡(luò)威脅檢測的誤報和漏報導(dǎo)致運營開銷增加，并為組織帶來不可見和未緩解的風(fēng)險。

零信任在更接近應(yīng)用程序、數(shù)據(jù)和其他資源的位置實現(xiàn)安全控制，增強傳統(tǒng)基于網(wǎng)絡(luò)的保護(hù)措施，并提高縱深防御能力。為了實現(xiàn)零信任戰(zhàn)略，組織需要明確業(yè)務(wù)活動與零信任網(wǎng)絡(luò)之間的關(guān)聯(lián)，了解環(huán)境中的所有入口、出口和訪問點，并基于這些可見性來實施整體的網(wǎng)絡(luò)安全策略，包括業(yè)務(wù)流映射，從身份（或設(shè)備）出發(fā)對訪問進(jìn)行分段（微隔離）和安全強化。

二、網(wǎng)絡(luò)安全的關(guān)鍵能力

在零信任安全框架中，網(wǎng)絡(luò)層面的安全能力既要確保對網(wǎng)絡(luò)的授權(quán)訪問，防止橫向移動和非法訪問，也要保障業(yè)務(wù)流量的機密性和完整性，確保敏感信息不被篡改或泄露，同時還要保證網(wǎng)絡(luò)的彈性和高可用，適應(yīng)不斷變化的威脅環(huán)境和業(yè)務(wù)需求。

1．網(wǎng)絡(luò)分段與隔離
傳統(tǒng)上，網(wǎng)絡(luò)管理員通過分段將企業(yè)網(wǎng)絡(luò)劃分為多個區(qū)域，并在分段之間部署和管理安全服務(wù)策略，來提高網(wǎng)絡(luò)的可管理性。在網(wǎng)絡(luò)分段（Network Segmentation）中，跨越區(qū)域邊界的流量必須經(jīng)過防火墻的檢查，這為組織提供了高層級的網(wǎng)絡(luò)可見性，能夠識別并阻止攻擊者的橫向移動。

微隔離（Micro-Segmentation）對網(wǎng)絡(luò)分段進(jìn)行進(jìn)一步細(xì)化，力圖將每個設(shè)備（甚至應(yīng)用程序）置于獨立的分段內(nèi)。與被稱為宏隔離（Macro-Segmentation）的網(wǎng)絡(luò)分段相比，微隔離雖然確實將網(wǎng)絡(luò)劃分為更小的隔離部分，但其重點是要能夠為單個工作負(fù)載、應(yīng)用程序或服務(wù)創(chuàng)建安全策略，提供比網(wǎng)絡(luò)分段更細(xì)粒度的可見性和安全控制，確保所有設(shè)備或應(yīng)用程序之間的流量都被檢查，以查找潛在的惡意內(nèi)容或違反企業(yè)安全或訪問控制策略的行為。

圖1 網(wǎng)絡(luò)分段與微隔離

將網(wǎng)絡(luò)分段變得更小，實現(xiàn)微分段的網(wǎng)絡(luò)設(shè)計是向零信任安全遷移的理想步驟。

在云數(shù)據(jù)中心中，SDN（軟件定義網(wǎng)絡(luò)）和NFV（網(wǎng)絡(luò)功能虛擬化）等技術(shù)有助于根據(jù)特定應(yīng)用程序、服務(wù)或工作負(fù)載創(chuàng)建這些類型的微隔離，基于容器的編排平臺還可以通過隔離特定服務(wù)和應(yīng)用程序來促進(jìn)微隔離的實現(xiàn)。

2．流量管理與檢視
由于不同應(yīng)用在訪問權(quán)限、優(yōu)先級、可達(dá)性、依賴服務(wù)和通信路徑等方面存在不同的要求，企業(yè)網(wǎng)絡(luò)中的每個應(yīng)用程序都應(yīng)該以唯一的方式進(jìn)行處理。

傳統(tǒng)的流量管理主要受網(wǎng)絡(luò)QoS的需求驅(qū)動，對數(shù)據(jù)包進(jìn)行排隊排序，確保關(guān)鍵業(yè)務(wù)、高優(yōu)先級流量得到優(yōu)先處理。例如，適用于骨干網(wǎng)QoS的DiffServ模型，通常根據(jù)數(shù)據(jù)流的QoS要求，將流量劃分為不同的級別，高級別的數(shù)據(jù)流比低級別的數(shù)據(jù)流優(yōu)先傳輸。

在零信任安全體系中，基于應(yīng)用感知的流量管理不僅用于保障關(guān)鍵業(yè)務(wù)的QoS，根據(jù)應(yīng)用的特定部分或用戶操作來控制流量，還需要能夠適應(yīng)網(wǎng)絡(luò)上允許的應(yīng)用程序類型，識別并阻止格式異常的流量，以防止對允許的應(yīng)用程序協(xié)議的濫用，降低網(wǎng)絡(luò)安全風(fēng)險。

為了實施有效的網(wǎng)絡(luò)流量管理，需要增加網(wǎng)絡(luò)可見性，確保在流量層面能夠檢視、識別、區(qū)分不同的應(yīng)用程序，以實施基于應(yīng)用感知的安全策略。在全流量加密的零信任網(wǎng)絡(luò)環(huán)境中，該要求顯然存在一些技術(shù)瓶頸，同時還要面對QoS保障所帶來的網(wǎng)絡(luò)運維復(fù)雜性問題。

3．協(xié)議安全與加密
為了提高數(shù)據(jù)的機密性，防止攻擊者窺探用戶敏感信息，需要在數(shù)據(jù)傳輸中加密所有數(shù)據(jù)，包括企業(yè)內(nèi)部的東-西向流量和與外部網(wǎng)絡(luò)之間的南-北向流量。

圖2 企業(yè)網(wǎng)絡(luò)的南-北向、東-西向流量

一般來說，在應(yīng)用或數(shù)據(jù)層面（即支柱）來實施加密策略相對比較簡單，組織也已經(jīng)開始逐漸采用SSH、TLS、HTTPS和安全DNS（例如，DNSSEC、DNS over TLS、DNS over HTTPS等）等協(xié)議開發(fā)或替換應(yīng)用，以提供適當(dāng)?shù)臋C密性。然而，有些遺留應(yīng)用使用了自定義協(xié)議和端口，很難進(jìn)行加密改造。因此，組織需要采用一些其他類型的安全措施。例如，嘗試將這些應(yīng)用程序的流量隔離到獨立的段中，以減少能夠查看明文流量的人數(shù)。

另外，除了端到端的應(yīng)用層加密方式外，網(wǎng)絡(luò)層（點到點）加密可以確保所有數(shù)據(jù)都被加密，并提供友好無感的用戶體驗。加密過程由網(wǎng)絡(luò)上的不同設(shè)備（路由器、防火墻）或通過軟件代理來執(zhí)行。需要注意的是，網(wǎng)絡(luò)層加密能夠滿足南-北向的數(shù)據(jù)（例如，客戶與企業(yè)應(yīng)用之間的電子商務(wù)通信）加密需要，但它可能無法加密東-西向數(shù)據(jù)，企業(yè)內(nèi)網(wǎng)或云端數(shù)據(jù)中心的流量可能仍然是明文。

最后，當(dāng)所有流量都被加密后，自然也就丟失了可見性，零信任需要在監(jiān)控網(wǎng)絡(luò)流量和降低數(shù)據(jù)泄露風(fēng)險之間取得平衡。此外，即使在普遍采用加密通信的網(wǎng)絡(luò)中，明文的敏感信息和口令也幾乎無處不在，企業(yè)網(wǎng)絡(luò)仍然會面臨一些與機密性相關(guān)的安全問題（例如，密鑰管理）。

4．網(wǎng)絡(luò)彈性與可用
網(wǎng)絡(luò)彈性（Cyber Resilience）在NIST SP 800-160中被定義為“為應(yīng)對不利條件、壓力、攻擊或威脅，網(wǎng)絡(luò)系統(tǒng)所應(yīng)具備的預(yù)測、承受、恢復(fù)和適應(yīng)能力”，包括網(wǎng)絡(luò)的可擴展性、可靠性、容錯性和自適應(yīng)性等方面，其目標(biāo)是確保在面對故障、攻擊、負(fù)載增加或其他不可預(yù)測的情況時，網(wǎng)絡(luò)能夠繼續(xù)提供穩(wěn)定和可靠的服務(wù)。

與網(wǎng)絡(luò)安全相比，網(wǎng)絡(luò)彈性假設(shè)攻擊者已經(jīng)侵入并將在網(wǎng)絡(luò)中長期存在，在網(wǎng)絡(luò)環(huán)境（包括威脅、運行和技術(shù)）持續(xù)發(fā)生變化的前提下，以最大程度提高組織完成關(guān)鍵或重要任務(wù)或業(yè)務(wù)功能的能力，體現(xiàn)了“面向失效的防御”、“縱深防御”、“自適應(yīng)防御”的安全理念，要求從多個層次和維度來全面地進(jìn)行基于風(fēng)險的檢測、響應(yīng)和安全拒止，這與零信任的安全彈性理念是一致的。

圖3 NIST網(wǎng)絡(luò)彈性工程框架

從實現(xiàn)層面看，網(wǎng)絡(luò)彈性更側(cè)重對關(guān)鍵業(yè)務(wù)和核心基礎(chǔ)設(shè)施的安全保障，并通過網(wǎng)絡(luò)彈性工程框架（CREF，如圖3）從目的、目標(biāo)和技術(shù)三個層面給出了網(wǎng)絡(luò)彈性的實現(xiàn)框架。

在建設(shè)零信任網(wǎng)絡(luò)能力時，網(wǎng)絡(luò)彈性工程能夠支持零信任理念的實施，通過快速調(diào)整和部署新的安全措施、身份驗證和訪問控制機制，適應(yīng)不斷變化的安全需求和威脅環(huán)境。另一方面，零信任安全通過精細(xì)的訪問控制和身份驗證來減少安全漏洞和風(fēng)險，從而增強網(wǎng)絡(luò)的安全性和彈性。

三、網(wǎng)絡(luò)安全的最佳實踐

零信任網(wǎng)絡(luò)需要具有“分而治之”的網(wǎng)絡(luò)彈性能力，其關(guān)鍵思想是通過在網(wǎng)絡(luò)內(nèi)放置多個檢查點來創(chuàng)建網(wǎng)絡(luò)微分段，以阻止惡意或未經(jīng)授權(quán)的橫向移動，并在發(fā)生違規(guī)訪問時，能夠快速響應(yīng)以遏制和隔離威脅。

1．建立數(shù)據(jù)流清單
為了提供實施合理的網(wǎng)絡(luò)分段和微隔離，需要識別、映射網(wǎng)絡(luò)中的合法數(shù)據(jù)流。數(shù)據(jù)流清單用于記錄和管理組織內(nèi)部和外部的數(shù)據(jù)流動情況，應(yīng)覆蓋企業(yè)網(wǎng)絡(luò)中的所有業(yè)務(wù)流，并實現(xiàn)向身份和設(shè)備實體的映射，包括數(shù)據(jù)的來源、目的地、協(xié)議/端口、傳輸方式、訪問權(quán)限等信息。

建立數(shù)據(jù)流清單是零信任網(wǎng)絡(luò)建設(shè)的重要步驟，也是一個需要持續(xù)建設(shè)、更新的過程，以保持與網(wǎng)絡(luò)和業(yè)務(wù)變化的同步。在針對南北向和東西向流量進(jìn)行梳理和分類分析時，可分別采用以下方法：
?識別邊界點。確定數(shù)據(jù)流進(jìn)入和離開網(wǎng)絡(luò)的關(guān)鍵邊界點，例如防火墻、代理服務(wù)器或邊界路由器。
?分析網(wǎng)絡(luò)日志。分析南北向流量的網(wǎng)絡(luò)日志，以識別數(shù)據(jù)的源頭和目的地，以及協(xié)議和端口。
?識別應(yīng)用程序。通過協(xié)議分析、端口識別或應(yīng)用程序分類工具，確定與每個數(shù)據(jù)流相關(guān)的應(yīng)用程序和服務(wù)。
?識別內(nèi)部通信。通過網(wǎng)絡(luò)流量監(jiān)控工具或數(shù)據(jù)包分析，了解內(nèi)部系統(tǒng)之間的通信流量。
?制定網(wǎng)絡(luò)拓?fù)鋱D。通過繪制網(wǎng)絡(luò)拓?fù)鋱D，標(biāo)識各個系統(tǒng)和組件之間的連接和通信路徑。
?映射業(yè)務(wù)流程。與業(yè)務(wù)團(tuán)隊合作，了解各個業(yè)務(wù)流程涉及的系統(tǒng)和數(shù)據(jù)交換情況，識別每個數(shù)據(jù)流與特定業(yè)務(wù)流程的關(guān)聯(lián)。

2．實現(xiàn)網(wǎng)絡(luò)微隔離
實現(xiàn)微隔離是大多數(shù)零信任網(wǎng)絡(luò)建設(shè)的起點。通過微隔離，組織可以為不同的用戶、設(shè)備和數(shù)據(jù)流設(shè)置特定的訪問規(guī)則和權(quán)限，確保數(shù)據(jù)按照預(yù)期的方式流動，避免敏感數(shù)據(jù)被錯誤地傳輸?shù)讲粦?yīng)訪問的區(qū)域。

不同組織的微隔離細(xì)分深度因成熟度而異，有的組織使用無微隔離的“扁平網(wǎng)絡(luò)”，有的僅通過VLAN進(jìn)行了簡單隔離，而具有更高成熟度的零信任網(wǎng)絡(luò)則需要考慮身份、設(shè)備、數(shù)據(jù)和資源的微隔離。

此外，實現(xiàn)微分段需要對網(wǎng)絡(luò)架構(gòu)、應(yīng)用程序和數(shù)據(jù)流有深入的了解。映射和管理如此眾多的網(wǎng)絡(luò)分段，并一致地執(zhí)行安全策略極具挑戰(zhàn)性。這也是SDN、NFV等網(wǎng)絡(luò)自動化和虛擬化技術(shù)得到廣泛應(yīng)用的原因之一。

3．網(wǎng)絡(luò)監(jiān)測與響應(yīng)
在零信任網(wǎng)絡(luò)建設(shè)中，建立全面的網(wǎng)絡(luò)可見性是威脅檢測和響應(yīng)的基礎(chǔ)。通過網(wǎng)絡(luò)監(jiān)測工具、入侵檢測系統(tǒng)（IDS）、入侵防御系統(tǒng)（IPS）、威脅情報和分析等技術(shù)，實時監(jiān)控網(wǎng)絡(luò)流量和設(shè)備行為，可以幫助發(fā)現(xiàn)異常活動、未經(jīng)授權(quán)的訪問和潛在的威脅行為。

引入自動化工具和響應(yīng)機制可以提高威脅檢測和響應(yīng)的效率和準(zhǔn)確性，包括實時告警、自動封鎖惡意流量、隔離受感染的設(shè)備等措施，組織可以更好地進(jìn)行威脅檢測和響應(yīng)，以保護(hù)網(wǎng)絡(luò)和數(shù)據(jù)安全。

4、SDP與VPN替代
經(jīng)過三年疫情的考驗，以VPN為代表的遠(yuǎn)程訪問方案暴露出了嚴(yán)重的技術(shù)缺陷，遠(yuǎn)程用戶為了訪問云資源，而不得不通過VPN隧道繞行數(shù)據(jù)中心。僅在接入時進(jìn)行身份驗證，并獲得大量訪問權(quán)限的VPN也不符合零信任的安全理念。

SDP被視為VPN的一種替代方案，提供了更加靈活、安全和可控的網(wǎng)絡(luò)訪問方式，可以基于用戶身份、設(shè)備狀態(tài)、網(wǎng)絡(luò)環(huán)境等多個因素來決定用戶能夠訪問的資源和權(quán)限，更加適用于現(xiàn)代的分布式和云原生環(huán)境。

四、結(jié)語

零信任架構(gòu)試圖通過消除對內(nèi)部網(wǎng)絡(luò)上的隱含信任，來減輕與網(wǎng)絡(luò)威脅相關(guān)的風(fēng)險。然而，云時代下企業(yè)網(wǎng)絡(luò)涵蓋了內(nèi)網(wǎng)、數(shù)據(jù)中心、云等多個區(qū)域，在如此復(fù)雜的網(wǎng)絡(luò)環(huán)境中，實現(xiàn)這一目標(biāo)并非易事。零信任網(wǎng)絡(luò)安全建設(shè)要求企業(yè)重新審視企業(yè)網(wǎng)絡(luò)的組成和彈性要求，加強底層基礎(chǔ)設(shè)施、容器、微服務(wù)和云平臺的網(wǎng)絡(luò)安全管理，通過與現(xiàn)有安全程序和工具的無縫集成，為企業(yè)提供更強大的網(wǎng)絡(luò)安全能力，以應(yīng)對日益復(fù)雜的威脅環(huán)境變化。

審核編輯 黃宇