基于零信任技术的产品介绍

在传统的网络安全理念中，对于资源的保护多是采用划分安全区域的方法，包括可信区域、不可信区域，可信与不可信区域之间、可信区域内部之间均设立网络边界，在网络边界处部署边界安全设备，包括防火墙、入侵防御、防病毒网关等，对各种攻击和威胁进行防范，以此构建网络安全体系。传统边界安全理念在IT建设早期发挥了重要作用，但在数字化快速转型的今天，传统边界安全理念存在的先天能力不足日益暴露，包括可信的安全区域内部存在过度信任，内部威胁检测和防护能力不足，以及区域隔离方式无法满足细粒度业务访问控制等。

在这样的背景下，零信任油然而生，零信任代表了新一代网络安全理念，并非指某种单一的安全技术或产品，Gartner发布了零信任网络访问建设指南，将零信任网络访问定义为是一种围绕应用程序或一组应用程序创建基于身份和上下文的逻辑访问边界的产品或服务。

零信任系统（SDP）有三大组件构成，分别是零信任控制中心，零信任客户端，零信任代理网关。

零信任控制中心：用于客户端和网关的统一管理，客户端和用户的认证和权限管理，主客体访问的统一调度和管理，即谁可以访问哪些资源。

零信任网关：负责隐藏网络和后端业务，在客户端发起SPA单包授权和验证通过前，不开放任何TCP端口，也不会响应。

零信任客户端，负责终端唯一标识，并向控制器发起终端和用户的认证请求。

通过控制面和业务面分离，SPA单包授权，实现先（对设备和人）验证，验证通过后才对应用可见和可访问。通过持续监控和上下文评估的综合决策，保障持续的按需最小授权。

实现能力如下：

1、网络和业务隐藏

零信任系统采用控制面与数据面分离，以保障先验证再连接的预验证机制。零信任网关和控制器默认不开启任何的TCP端口，默认拒绝一切外部的TCP连接，也不响应任何报文，零信任客户端、网关和控制中心三组件之间采用基于UDP的SPA单包授权来获取对方的网络连接权限，当对方验证SPA通过后，才对该客户端开放TCP连接端口，然后需要验证设备和用户身份的可信，以及设备的安全状态满足要求，以上验证通过后零信任网关才会对此用户和客户端开放后端应用的连接和访问权限。这样攻击者无法扫描探测到目标，也就无法进一步实施攻击，相当于实现了网络隐身。

2、自适应的MFA认证策略

零信任系统除了提供基础的静态口令方式，也可提供丰富多样的无密码认证方式，例如手机APP Push方式，生物特征认证如指纹和人脸识别，手机扫码登录，手机短信验证码，动态OTP口令等方式。并且以上方式均可自定义编排组合，形成多因子组合认证，提高身份认证强度，降低弱口令被暴力破解，窃取账号密码后身份仿冒的风险。通过场景自适应的认证策略管理能力，可以根据用户属性，角色，终端属性，访问时间，访问的网络，访问的地理位置来制定不同的认证方式。

3、按需动态最小授权

首先，零信任系统提供全面的网络和业务隐藏。非注册可信终端无法通过身份认证，无法连接到零信任网关，即对其不开放任何端口和网络权限。

零信任系统根据用户身份和终端身份唯一确定一个访问主体，认证通过后只针对该主体开放TCP端口连接和应用的授权令牌，实现细粒度的会话级访问控制。

零信任系统采用动态授权策略，除了初始阶段要验证终端的身份，用户的身份外，还会持续监控访问的上下文，来综合评估访问持续可信度，当发现异常时系统会执行授权降级，比如发起二次认证等。

4、多层级保障数据安全

零信任系统可通过对HTTP/HTTPS请求进行应用层解析并对访问添加WEB水印，以保证web截屏可追溯。同时，控制中心可通过开启访问隔离功能，实现在用户通过零信任访问代理资源时，客户端会劫持用其他访问流量至代理网关，对未经代理的请求进行阻断且审计，实现复杂双网环境下保证内网资源及数据的访问安全。同时，零信任系统可联动桌面沙箱实现访问数据隔离，为用户桌面提供一个独立工作空间，保证所请求至本地的高敏数据存存储于PC上的沙箱内，并在工作空间内提供水印、防截屏，降低数据泄露风险。