零信任關(guān)鍵技術(shù)與產(chǎn)業(yè)發(fā)展研究

張云暢/ZHANG Yunchang，柴瑤琳/CHAI Yaolin，穆琙博/MU Yubo

（中國信息通信研究院，中國 北京 100083）

網(wǎng)絡(luò)安全是產(chǎn)業(yè)數(shù)字化升級中的關(guān)鍵保障。近10年來層出不窮的網(wǎng)絡(luò)安全問題不僅阻礙了各行業(yè)發(fā)展，更是減緩了產(chǎn)業(yè)革新的速度，迫使全球經(jīng)濟(jì)發(fā)展受到制約。零信任作為破解當(dāng)前困境的強(qiáng)有力手段，在其理念形成的初期便受到了業(yè)界的廣泛關(guān)注。各國高度重視零信任領(lǐng)域的戰(zhàn)略布局和創(chuàng)新研究，搶抓國際新技術(shù)主導(dǎo)權(quán)。中國也在不斷推進(jìn)零信任領(lǐng)域的技術(shù)創(chuàng)新應(yīng)用。如何借助零信任重塑網(wǎng)絡(luò)安全架構(gòu)，已成為中國網(wǎng)絡(luò)安全領(lǐng)域的研究熱點(diǎn)。

本文將圍繞總體研究、核心技術(shù)、產(chǎn)業(yè)發(fā)展3個方面，梳理零信任的發(fā)展態(tài)勢，深入解析當(dāng)前中國零信任產(chǎn)業(yè)發(fā)展存在的問題及其演進(jìn)趨勢，并提出發(fā)展建議。

1 零信任整體發(fā)展態(tài)勢

1.1 國際零信任戰(zhàn)略部署加快

零信任成為美國重塑政府整體網(wǎng)絡(luò)安全架構(gòu)的重要手段。2021年5月12日，美國發(fā)布總統(tǒng)行政命令[1]“（強(qiáng)制）要求聯(lián)邦機(jī)構(gòu)制定零信任安全架構(gòu)的實(shí)施計劃”。2021年9月7日，美國公布《推動美國政府朝向零信任網(wǎng)絡(luò)安全演進(jìn)的基本準(zhǔn)則》[2]，明確指出各級政府部署零信任安全架構(gòu)的時間表和發(fā)展目標(biāo)。2021年11月，美國正式推出以零信任實(shí)施方案為核心的Thunderdome[3]（雷霆穹頂）項(xiàng)目，這標(biāo)志著全球首個零信任國家級戰(zhàn)略部署計劃正式啟動。2022年，美國白宮管理與預(yù)算辦公室（OMB）發(fā)布備忘錄（編號為M-22-09）[4]，要求所有行政部門于2024年實(shí)現(xiàn)零信任全面部署。此外，美國2023財年年度預(yù)算[5]顯示，總額8 133億美元的年度預(yù)算中將有112億美元用于網(wǎng)絡(luò)戰(zhàn)建設(shè)，其中包括“實(shí)施”部門的零信任架構(gòu)。2024財年網(wǎng)絡(luò)安全預(yù)算備忘錄[6]再次將零信任在聯(lián)邦民事行政部門機(jī)構(gòu)的實(shí)施升為第一優(yōu)先級。

新加坡[7]、加拿大[8]等在美國一系列零信任戰(zhàn)略規(guī)劃文件出臺后快速做出響應(yīng)。2021年4月12日，加拿大公布的《網(wǎng)絡(luò)與安全戰(zhàn)略》[8]詳細(xì)介紹了零信任的概念及架構(gòu)，并指出其對未來網(wǎng)絡(luò)服務(wù)和安全的支撐性作用。新加坡于2021年10月5日宣布發(fā)布《網(wǎng)絡(luò)安全戰(zhàn)略2021》[7]以強(qiáng)調(diào)零信任應(yīng)用的必要性，同時明確將積極在全國范圍推行零信任落地實(shí)踐。此外，歐盟于2022年3月22日公布《為聯(lián)盟的機(jī)構(gòu)、機(jī)關(guān)、辦公室和機(jī)構(gòu)制定高水平的網(wǎng)絡(luò)安全措施》[9]，指出要明確朝向零信任架構(gòu)邁進(jìn)的具體步驟。根據(jù)多家第三方機(jī)構(gòu)發(fā)布的數(shù)據(jù)，日本、澳大利亞、印度及一些中東國家均已在本土企業(yè)開展零信任模型的部署應(yīng)用，并持續(xù)關(guān)注該領(lǐng)域的發(fā)展。

1.2 全球SASE技術(shù)標(biāo)準(zhǔn)體系不斷完善

零信任技術(shù)發(fā)展趨近成熟，國際化組織標(biāo)準(zhǔn)建設(shè)進(jìn)程不斷加快。2020年8月，美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）加緊推動零信任架構(gòu)研究，經(jīng)過多輪修訂發(fā)布了SP 800-207《零信任架構(gòu)》[10]。2021年9月，網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施安全局（CISA）發(fā)布《零信任成熟度模型》征求意見稿[11]，這標(biāo)志著一種針對軍政商三方零信任架構(gòu)成熟度的評測方案正式形成。

全球各國/地區(qū)針對零信任領(lǐng)域的標(biāo)準(zhǔn)制定速度不斷加快。作為一個權(quán)威的國際產(chǎn)業(yè)組織，云安全聯(lián)盟（CSA）率先針對零信任三大技術(shù)之一的軟件定義邊界，進(jìn)行了標(biāo)準(zhǔn)化研究，并在2014年發(fā)布《SDP標(biāo)準(zhǔn)規(guī)范V1.0》[12]，接著在2022年發(fā)布《軟件定義邊界（SDP）標(biāo)準(zhǔn)規(guī)范V2.0》[13]。與此同時，中國也在產(chǎn)業(yè)各方的推動下于2022年形成《零信任能力成熟度模型》，以指導(dǎo)中國零信任網(wǎng)絡(luò)安全架構(gòu)的落地。

1.3 零信任產(chǎn)業(yè)全面高速發(fā)展

全球零信任產(chǎn)業(yè)生態(tài)已初步形成，供需雙方均在積極推進(jìn)規(guī)?；渴疬M(jìn)程。以谷歌、微軟、思科為代表的美國網(wǎng)絡(luò)安全領(lǐng)軍企業(yè)對零信任市場進(jìn)行了全面布局，與美國政府聯(lián)動引領(lǐng)產(chǎn)業(yè)活力化發(fā)展。以電信、金融、能源為首的各垂直行業(yè)也在積極采用零信任網(wǎng)絡(luò)安全架構(gòu)，從試點(diǎn)試驗(yàn)到大面積落地部署應(yīng)用，逐步從需方立場支撐零信任產(chǎn)業(yè)的發(fā)展。

Gartner[14]在2020年曾預(yù)測，2022年在面向生態(tài)合作伙伴開放的新型數(shù)字業(yè)務(wù)應(yīng)用程序中，80%的業(yè)務(wù)將通過零信任網(wǎng)絡(luò)訪問（ZTNA）進(jìn)行訪問。據(jù)IDC預(yù)測，到2024年，安全遠(yuǎn)程訪問解決方案將以260億美元價值占據(jù)全球網(wǎng)絡(luò)安全市場12.5%的份額[15]，其中零信任相關(guān)產(chǎn)品和解決方案將占據(jù)重要地位。2022年6月，Markets and Markets[16]在到2027年的全球預(yù)測報告中表示：全球零信任證券市場規(guī)模預(yù)計從2022年的274億美元增長到2027年的607億美元。

2 零信任網(wǎng)絡(luò)安全架構(gòu)及關(guān)鍵技術(shù)

2.1 零信任網(wǎng)絡(luò)安全架構(gòu)

零信任是一種新型網(wǎng)絡(luò)安全理念，秉承著“持續(xù)驗(yàn)證，永不信任”的原則，拒絕隱式授予信任，持續(xù)進(jìn)行安全評估，其體系架構(gòu)是一種端到端的企業(yè)資源和數(shù)據(jù)安全方法，包括身份（人類和非人類的實(shí)體）、憑證、訪問管理、操作、端點(diǎn)、宿主環(huán)境和基礎(chǔ)設(shè)施，旨在通過利用網(wǎng)絡(luò)分段、防止橫向移動、提供第7層威脅預(yù)防和簡化精細(xì)用戶訪問控制來保護(hù)現(xiàn)代數(shù)字環(huán)境。因此，零信任總體功能架構(gòu)圍繞技術(shù)和管理兩個維度，涵蓋八大關(guān)鍵能力，即身份安全、基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全、數(shù)據(jù)安全、應(yīng)用/負(fù)載安全、網(wǎng)絡(luò)可持續(xù)安全檢測、評估和網(wǎng)絡(luò)安全可視化以及綜合安全管理，如圖1所示。

圖1 零信任總體功能架構(gòu)圖

身份安全：身份（人員、設(shè)備、應(yīng)用、進(jìn)程）是資源訪問的入口，是零信任的基礎(chǔ)。

網(wǎng)絡(luò)安全：建立可信、可靠的網(wǎng)絡(luò)鏈路是數(shù)據(jù)訪問的重要環(huán)節(jié)。

數(shù)據(jù)安全：數(shù)據(jù)是安全的核心，應(yīng)被分類、標(biāo)記和加密，并基于這些屬性有條件地訪問。

應(yīng)用/負(fù)載安全：應(yīng)用程序和應(yīng)用程序編程接口（API）提供了數(shù)據(jù)訪問接口，同時負(fù)載安全保障了資源交互的穩(wěn)定性。

基礎(chǔ)設(shè)施：建立安全的基礎(chǔ)設(shè)施（本地服務(wù)器、云端虛擬機(jī)、容器、微服務(wù)）是減少風(fēng)險的有效措施。

網(wǎng)絡(luò)可持續(xù)安全檢測與評估：網(wǎng)絡(luò)可持續(xù)安全檢測與評估是零信任架構(gòu)實(shí)施的保障，其著眼于應(yīng)急事件處理和風(fēng)險管理兩個維度，形成流程化處理模式。

網(wǎng)絡(luò)安全可視化：網(wǎng)絡(luò)安全可視化是零信任架構(gòu)的堅實(shí)基礎(chǔ)，其借助終端、應(yīng)用、行為和事件這四大主體實(shí)現(xiàn)。

安全管理：安全管理是網(wǎng)絡(luò)安全架構(gòu)部署實(shí)踐的保障。

2.2 零信任關(guān)鍵技術(shù)

零信任的關(guān)鍵技術(shù)包括軟件定義邊界、身份識別與訪問管理、微隔離。

1）軟件定義邊界

作為零信任理念的實(shí)踐方案，軟件定義邊界實(shí)現(xiàn)了對基于網(wǎng)絡(luò)的攻擊行為的阻斷，分離了控制平臺與數(shù)據(jù)平臺，最小化攻擊面；通過預(yù)驗(yàn)證、預(yù)授權(quán)，拒絕未經(jīng)驗(yàn)證授權(quán)業(yè)務(wù)的端口訪問；隱藏關(guān)鍵資產(chǎn)的同時對應(yīng)用訪問實(shí)現(xiàn)可視化，實(shí)現(xiàn)實(shí)時監(jiān)督；可集成安全架構(gòu)，大幅提升產(chǎn)品的兼容性；可代替部分傳統(tǒng)網(wǎng)絡(luò)安全的人力資源，節(jié)約成本。

2）身份識別與訪問管理

作為零信任模型的應(yīng)用基礎(chǔ)，身份識別與訪問管理是企業(yè)應(yīng)用零信任的第一步，同時也是零信任項(xiàng)目取得信任的關(guān)鍵一步。身份識別與訪問管理涵蓋了用戶身份、規(guī)則、身份驗(yàn)證管理軟件以及訪問管理策略和協(xié)議，實(shí)現(xiàn)了持續(xù)的動態(tài)認(rèn)證與動態(tài)授權(quán)，融合了多因子身份認(rèn)證、單點(diǎn)登錄和用戶行為分析，提供了靜態(tài)密碼以外的針對用戶憑據(jù)的安全保護(hù)，對相關(guān)但獨(dú)立的多個系統(tǒng)實(shí)施一種訪問機(jī)制，可檢查用戶行為并自動應(yīng)用算法和分析，以監(jiān)測潛在的安全威脅。

3）微隔離

作為零信任概念的技術(shù)實(shí)踐，微隔離實(shí)現(xiàn)了數(shù)據(jù)中心內(nèi)工作負(fù)載間流量可視化與訪問控制，在保留傳統(tǒng)防火墻的安全邊界防御的同時，限制工作負(fù)載流量間通信。攻擊面的可視化加強(qiáng)了應(yīng)用程序活動的管理細(xì)粒度。無須基于硬件的防火墻，微隔離可將安全性集成到虛擬化工作負(fù)載中，其安全策略與虛擬網(wǎng)絡(luò)（虛擬機(jī)、操作系統(tǒng)或者其他安全目標(biāo)）同步，實(shí)現(xiàn)純軟件方式的安全模型部署，改善監(jiān)管合規(guī)態(tài)勢，同時隔離信息技術(shù)（IT）基礎(chǔ)設(shè)施，在混合云模式下支持跨平臺的數(shù)據(jù)流量識別及統(tǒng)一管理。

4）零信任能力成熟度評估模型

本文中，我們參考《零信任能力成熟度模型》標(biāo)準(zhǔn)，遵循零信任的定義和原則，依據(jù)零信任總體功能架構(gòu)，提出零信任能力成熟度評估模型，將零信任總體架構(gòu)細(xì)分為8個技術(shù)模塊與26個能力域，形成零信任關(guān)鍵能力圖譜，如圖2所示。

圖2 零信任關(guān)鍵能力圖譜

為使零信任能力成熟度判定標(biāo)準(zhǔn)詳細(xì)且規(guī)范化，本文將零信任能力成熟度劃分為無零信任階段、傳統(tǒng)階段、初級階段、優(yōu)化階段和持續(xù)安全階段五大成熟度等級，旨在以全局或?qū)I(yè)領(lǐng)域視角從零信任核心功能子組件、技術(shù)交互方式等方面展示零信任安全能力成熟度，助力零信任技術(shù)優(yōu)化升級，如表1所示。

▼表1 零信任能力成熟度五大階段

以身份安全技術(shù)模塊為例，我們對該模塊下四大能力域涵蓋的能力要點(diǎn)進(jìn)行量化打分。用戶身份可信域的計算公式為：用戶身份可信子領(lǐng)域4級能力符合度=（達(dá)到4級的安全能力數(shù)量+達(dá)到更高等級的安全能力數(shù)量）/用戶身份可信子領(lǐng)域內(nèi)安全措施總數(shù) ×100%。能力符合度達(dá)到80%即可判定用戶身份可信域達(dá)到“優(yōu)化階段”。

零信任能力成熟度評估模型是《零信任能力成熟度模型》標(biāo)準(zhǔn)落地的重要抓手，更是零信任技術(shù)規(guī)范化發(fā)展的基石。對各廠商零信任產(chǎn)品進(jìn)行成熟度測試，有助于各企業(yè)查漏補(bǔ)缺，不斷完善零信任產(chǎn)品的功能，提升零信任安全服務(wù)的質(zhì)量，推動零信任產(chǎn)業(yè)規(guī)范化、規(guī)?；l(fā)展。

3 中國零信任發(fā)展面臨三大挑戰(zhàn)

1）戰(zhàn)略統(tǒng)籌布局未開展，規(guī)劃前瞻性不足

中國已將網(wǎng)絡(luò)安全建設(shè)視為國家長遠(yuǎn)發(fā)展的核心，明確“網(wǎng)絡(luò)安全牽一發(fā)而動全身，深刻影響政治、經(jīng)濟(jì)、文化、社會、軍事等領(lǐng)域安全”[17]?！笆奈濉逼陂g出臺《網(wǎng)絡(luò)安全產(chǎn)業(yè)高質(zhì)量發(fā)展三年行動計劃（2021-2023年）》[8]等文件，逐步推進(jìn)零信任相關(guān)研究與試點(diǎn)實(shí)驗(yàn)項(xiàng)目落地。但是，與美政府持續(xù)加大零信任技術(shù)投資力度相比，中國仍缺乏整體發(fā)展路線圖與具體配套支持資金，政府機(jī)構(gòu)、行業(yè)企業(yè)、社會組織等未形成落地應(yīng)用的引導(dǎo)措施，缺乏自主技術(shù)引領(lǐng)的解決方案和應(yīng)用實(shí)例支撐，零信任戰(zhàn)略布局相對滯后。

2）技術(shù)體系建設(shè)待完善，自主創(chuàng)新力不足

當(dāng)前，中國零信任技術(shù)研究緊緊跟隨國際發(fā)展趨勢。2020年8月全國信息技術(shù)標(biāo)準(zhǔn)化技術(shù)委員會決定對《信息安全技術(shù)零信任參考體系架構(gòu)》標(biāo)準(zhǔn)進(jìn)行立項(xiàng)。2021年6月中國通信學(xué)會組織開展《零信任能力成熟度》標(biāo)準(zhǔn)的研制工作，并于2022年7月完成文稿的發(fā)布。雖然已有部分標(biāo)準(zhǔn)成功落地，但是中國零信任網(wǎng)絡(luò)安全架構(gòu)尚未形成自主技術(shù)體系，創(chuàng)新力仍然較低，僅僅對美國已發(fā)布的部分標(biāo)準(zhǔn)進(jìn)行對標(biāo)立項(xiàng)，標(biāo)準(zhǔn)化建設(shè)還不足，整體架構(gòu)仍停留在概念、原型階段，形成的產(chǎn)品細(xì)節(jié)、規(guī)格等方面也存在著諸多差異，難以適配垂直行業(yè)多樣化應(yīng)用部署，整體技術(shù)發(fā)展緩慢且成熟度低，并且尚未開展垂直行業(yè)的零信任架構(gòu)升級和應(yīng)用部署。

3）產(chǎn)業(yè)生態(tài)閉環(huán)未形成，供需協(xié)同性不足

近兩年，中國網(wǎng)絡(luò)安全龍頭企業(yè)已推出部分零信任產(chǎn)品及方案，在醫(yī)療、電信等行業(yè)快速實(shí)踐落地。但中國零信任產(chǎn)業(yè)發(fā)展尚處于初期階段，缺乏全面實(shí)施零信任架構(gòu)的標(biāo)桿企業(yè)。2021年，第三方咨詢機(jī)構(gòu)Forrester[19]從推出時間、成熟度和客戶情況3個方面篩選出34家國際零信任方案供應(yīng)商代表，中國僅有3家廠商入選。2022年，第三方咨詢機(jī)構(gòu)Gartner發(fā)布的《零信任網(wǎng)絡(luò)訪問市場指南》[20]共調(diào)研了42家全球零信任代表性供應(yīng)商，中國仍是僅3家上榜。此外，中國缺少產(chǎn)業(yè)服務(wù)平臺支撐，零信任需求側(cè)與供給側(cè)的發(fā)展步調(diào)不一，市場流通產(chǎn)品方案存在覆蓋面不廣、適配性不高、服務(wù)性不足等基礎(chǔ)問題。

4 零信任產(chǎn)業(yè)發(fā)展建議

1）全面統(tǒng)籌規(guī)劃，強(qiáng)化零信任整體戰(zhàn)略布局

強(qiáng)化政策引導(dǎo)，完善中國零信任體系構(gòu)建。依托財政資金、國家專項(xiàng)等，全面跟進(jìn)和研判美國在參考架構(gòu)、關(guān)鍵技術(shù)、融合應(yīng)用等方面的最新進(jìn)展，加大零信任架構(gòu)關(guān)鍵技術(shù)的科研投入。抓住行業(yè)數(shù)字化升級轉(zhuǎn)型機(jī)遇，推動網(wǎng)絡(luò)安全架構(gòu)向零信任架構(gòu)遷移，鼓勵組織研究并出臺零信任創(chuàng)新應(yīng)用試點(diǎn)示范、專項(xiàng)項(xiàng)目等支持政策，并在財政投資的網(wǎng)絡(luò)安全項(xiàng)目中同步配套零信任架構(gòu)和關(guān)鍵網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施建設(shè)措施，明確零信任高質(zhì)量發(fā)展路線圖。廣泛征集零信任應(yīng)用實(shí)踐案例，并對獨(dú)具行業(yè)代表性和可推廣性的優(yōu)秀案例進(jìn)行宣傳，鼓勵零信任產(chǎn)品供應(yīng)商借鑒學(xué)習(xí)，不斷優(yōu)化產(chǎn)品升級，促進(jìn)各行業(yè)需求方與供應(yīng)商的長期穩(wěn)定合作。鼓勵傳統(tǒng)信息安全提供商、新型云安全提供商與行業(yè)用戶深度融合，打造一批有影響力的零信任行業(yè)應(yīng)用標(biāo)桿。在黨政、金融、能源、交通等領(lǐng)域開展零信任安全試點(diǎn)示范，提升零信任網(wǎng)絡(luò)安全架構(gòu)在實(shí)際應(yīng)用中的市場影響力。

2）重視培育創(chuàng)新，發(fā)展零信任自主創(chuàng)新技術(shù)

深化核心自主研究，打造中國零信任創(chuàng)新引擎。加快構(gòu)建基于軟件定義邊界、身份安全、微隔離三大技術(shù)路線的零信任標(biāo)準(zhǔn)體系，推進(jìn)跨云跨網(wǎng)智能安全管控、基于數(shù)字身份的細(xì)顆粒度訪問控制、可持續(xù)數(shù)據(jù)安全監(jiān)測和評估等產(chǎn)品升級。同步構(gòu)建零信任安全測評體系，深入剖析零信任技術(shù)能力與功能需求，助力零信任應(yīng)用部署，依托“零信任能力成熟度”的評估模型，分級分類分步驟差異化部署零信任。推進(jìn)電信運(yùn)營商、互聯(lián)網(wǎng)企業(yè)、行業(yè)用戶、安全企業(yè)、科研機(jī)構(gòu)、高等院校等建立零信任聯(lián)合創(chuàng)新中心、聯(lián)合實(shí)驗(yàn)室等，打造創(chuàng)新試驗(yàn)床，促進(jìn)研究成果應(yīng)用轉(zhuǎn)化，保障零信任產(chǎn)品創(chuàng)新能力持續(xù)供給，同時定期開展零信任技術(shù)專題研討，助力零信任技術(shù)創(chuàng)新以及產(chǎn)品研發(fā)。

3）增強(qiáng)產(chǎn)業(yè)協(xié)同，構(gòu)建零信任健康產(chǎn)業(yè)生態(tài)

積極推動供需聯(lián)動，釋放中國零信任集群效應(yīng)。針對中國大型網(wǎng)絡(luò)安全供應(yīng)商提供政策優(yōu)化保障，打造可以帶動跨領(lǐng)域、跨行業(yè)能力整合的龍頭企業(yè)，帶動中小型企業(yè)蓬勃發(fā)展。依托算網(wǎng)融合產(chǎn)業(yè)及標(biāo)準(zhǔn)推進(jìn)委員會等第三方產(chǎn)業(yè)平臺，提供交流論壇、項(xiàng)目推介、實(shí)踐比賽、案例評優(yōu)等多舉措多層次供需對接服務(wù)，切實(shí)強(qiáng)化零信任產(chǎn)業(yè)合作。聚焦零信任產(chǎn)業(yè)鏈上下游，繪制零信任產(chǎn)業(yè)圖譜，適配黨政、金融、能源、交通等領(lǐng)域建立多維度零信任能力評估體系，從核心技術(shù)功能、應(yīng)用解決方案、關(guān)鍵能力成熟度等多維度，引導(dǎo)以優(yōu)秀產(chǎn)品服務(wù)能力為導(dǎo)向的零信任市場良性發(fā)展。