零信任架構分為身份、設備、企業(yè)應用、基礎設施、數據、網絡等六個部分，如下圖。如果一個公司的這六個部分都滿足零信任的要求，那么可以說這個公司的架構是滿足零信任理念的。

　　零信任不是單一新技術，而是集成了很多現有技術的新架構。你的公司可能已經擁有了部分零信任元素。

　　怎么確定公司已經做了什么，還需要做什么呢？你可以對比下面這份微軟總結的自測表，看看公司在零信任視角下處于哪個階段。

　　1.身份

　?。?）內部用戶（員工）訪問業(yè)務系統(tǒng)是否需要進行“多因子認證”？

　?。?）外部用戶（第三方）訪問業(yè)務系統(tǒng)是否需要進行“多因子認證”？

　?。?）內部用戶是否允許單點登錄？

　　（4）外部用戶是否允許單點登錄？

　　（5）身份管理系統(tǒng)部署在云端還是內網？

　?。?）企業(yè)資源（服務器、數據庫、SaaS應用、內網業(yè)務系統(tǒng)等）是否有專門的安全策略引擎做訪問控制和攔截？

　　（7）用戶登錄時，是否做了賬號被竊取風險檢測？

　?。?）對用戶的各類風險因素，是否做了持續(xù)的動態(tài)評估？

　　（9）身份和訪問控制系統(tǒng)是否集成了統(tǒng)一安全代理、日志審計警報、終端防護、設備管理、安全策略管理等功能？

　?。?0）訪問策略中是否包含如下內容——用戶、設備、應用、網絡、位置、用戶風險等級、登錄風險等級？

       2.設備

　?。?）身份管理系統(tǒng)中關聯了設備信息？

　?。?）內部用戶的設備是否受移動設備管理系統(tǒng)的管控？

　?。?）對受控設備授予訪問權限之前，是否進行了配置的合規(guī)性檢測？

　?。?）是否考慮到了非受控設備連接公司資源的場景？

　　（5）外部用戶的設備是否受移動設備管理系統(tǒng)的管控？

　　（6）是否對所有設備強制執(zhí)行數據防泄密措施？

　?。?）是否通過終端威脅檢測工具進行實時的設備風險評估？

　　3.企業(yè)應用

　?。?）是否做了基于策略的應用訪問控制？

　?。?）是否對所有流量進行了威脅監(jiān)控？

　　（3）內網的敏感應用和資源是允許通過VPN或專線訪問？

　?。?）是否存在未經批準擅自運行的應用？是否在不斷發(fā)現、檢測這些影子IT的風險？

　?。?）是否持續(xù)監(jiān)控所有文件的上傳、下載？

　?。?）是否具備根據用戶風險做細粒度訪問控制的能力？（可見性控制、只讀、阻斷）

　?。?）是否只給用戶授予了工作必須的最小權限？

　　4.基礎設施

　?。?）如果有多云或者混合云架構的話，是否做了統(tǒng)一的防護方案？

　?。?）是否對不同應用的流量做了標識和區(qū)分？

　?。?）是否隔離了“用戶到服務器”和“服務器到服務器”的訪問？

　?。?）安全團隊是否有針對終端的特殊類型攻擊的檢測工具？

　　（5）安全團隊是否有多來源安全事件的統(tǒng)計分析工具？

　?。?）安全團隊是否使用用戶行為分析工具檢測發(fā)現威脅？

　　（7）安全團隊是否使用應急響應工具減少威脅響應的人工成本？

　?。?）是否定期（至少每半年）檢查管理員的管理權限是否合理？

　?。?）是否只授予了管理員管理服務器及其他基礎設施的最小權限？

　　5.數據

　?。?）訪問授權是基于數據敏感度的，而不是簡單的基于網絡邊界的？

　?。?）企業(yè)是否定義了數據分類方法？

　?。?）數據訪問的授權是否受策略控制？是否由云安全策略引擎執(zhí)行？

　?。?）數據是否由機器學習模型進行分類和標記？

　　（5）是否持續(xù)去發(fā)現所有數字資產中的敏感數據？

　    6.網絡

　　（1）網絡是否做了分段，以防止橫向攻擊？

　?。?）是否有防火墻、DDoS防護、Web防火墻等網絡保護措施？

　?。?）是否建立安全的管理訪問權限以保護網段？

　?。?）是否使用證書對所有網絡通信（包括服務器對服務器）進行加密？

　　（5）是否使用了基于機器學習的威脅防護和基于上下文的安全過濾？

　　根據公司架構是否滿足上述問題，可以算出公司在各個方面的得分。根據總得分不同，零信任成熟度模型將企業(yè)實施零信任的路徑分為三個階段：

　　1、傳統(tǒng)階段：大多數企業(yè)處于這個階段，還未開始零信任建設。身份認證依靠靜態(tài)規(guī)則，網絡存在較大風險，設備、云環(huán)境等不可控。

　　2、高級階段：剛開始零信任建設，在幾個關鍵領域取得了成果。有多種身份驗證手段，有細粒度訪問控制，設備按策略管理，網絡做了分段，開始對用戶行為和威脅進行分析。

　　3、最優(yōu)階段：貫徹了零信任理念，安全方面有很大提升。實時分析身份可信級別，動態(tài)授予訪問權限，所有訪問都是加密的、可追蹤的，網絡不默認授予信任，自動檢測威脅自動響應。

　　改進措施

　　對照上文的自測表，可以找到差距。要彌補差距，如下技術是一定要優(yōu)先實施的。

　　1、強認證。確保以強大的多因素身份驗證和風險檢測作為訪問策略的基礎，最大程度地減少身份泄露的風險。

　　2、基于策略的自適應訪問控制。為企業(yè)資源定義訪問策略，使用統(tǒng)一的安全策略引擎實施這些策略，監(jiān)控并發(fā)現異常。

　　3、微隔離。使用軟件定義的微隔離，從集中式網絡邊界管理轉型為全方位的網絡隔離管理。

　　4、自動化。開發(fā)自動警報和響應措施，減少平均響應時間。

　　5、威脅情報和AI。綜合各個來源的信息，實時檢測和響應異常訪問行為。

　　6、數據保護。發(fā)現、分類、保護和監(jiān)視敏感數據，最大程度地減少惡意的或意外的滲透風險。

　   總結

　　零信任安全模型是當下最有效的一種安全架構。大多數企業(yè)都應該分階段地，根據零信任的成熟度、可用資源和優(yōu)先級來逐步建設零信任安全。

　　建設零信任的道路上，向前邁出的每一步都是一個新的高度。