文章总结： 零信任架构是一种以资源保护为核心的网络安全范式，其核心前提是不默认授予信任，而是持续评估。零信任架构包含策略引擎、策略管理器和策略执行点等核心组件，通过动态评估信任、细化访问控制，应对远程办公和云资源使用等场景下的安全挑战。零信任强调所有通信需安全保护，资源访问授权基于单个连接，访问权限由动态策略决定，确保设备处于安全状态并持续监控，形成访问请求-威胁评估-自适应调整-持续信任评估的循环。
综合评分： 88
文章分类： 安全建设,网络安全,解决方案,云安全,应用安全

零信任架构介绍

原创

Caigensec

菜根网络安全杂谈

2025年8月6日 12:28
安徽

点击标题下「蓝色微信名」可快速关注

免责声明：本公众号尊重知识产权，如有侵权请联系我们删除。

01

零信任基本概念

本文主要参考资料有《NIST零信任架构》（云安全联盟大中华区翻译）

零信任（Zero Trust，ZT）是一种以资源保护为核心的网络安全范式，其核心前提是信任不应被默认授予，而必须持续评估。零信任体系架构（ZTA）则是覆盖企业资源和数据安全的端到端方案，涵盖身份、凭证、访问管理、操作、终端、主机环境及互联基础设施等多个层面。

传统网络安全依赖边界防御，合法用户一旦认证通过便被授予广泛资源访问权限，导致网络内横向攻击成为重大隐患。而零信任打破这种模式，强调初始访问需限制在“必要范围”内，仅授予执行任务所需的最小权限（如读取、修改、删除等），且不依赖网络位置判断资源安全性。

零信任核心定义

• 零信任（ZT）：在假定网络环境已被攻击的前提下，通过一系列概念和思路，降低每次访问请求决策的不确定性。

• 零信任架构（ZTA）：基于零信任理念构建的企业网络安全规划，包含组件关系、工作流规划与访问路径设计，最终实现对企业网络基础设施及运营策略的改造。

零信任原则

1. 所有数据源和计算服务均视为资源：包括网络设备、微型设备、个人自带设备（若允许访问企业资源）等。

2. 无论网络位置，通信均需安全保护：企业内网与公网无信任差异，所有通信需保证机密性、完整性并提供源身份认证。

3. 资源访问授权基于单个连接：每次访问前评估请求者信任度，对某一资源的授权不自动延伸至其他资源。

4. 访问权限由动态策略决定：结合用户身份、设备状态、行为属性等，遵循最小特权原则，根据资源敏感度调整策略。

5. 确保设备处于安全状态并持续监控：无天生可信的设备，需通过监控系统保障设备安全，区别对待存在风险的设备。

6. 动态强制实施身份验证和授权：形成“访问请求-威胁评估-自适应调整-持续信任评估”的循环，必要时采用多因子认证（MFA）。

7. 收集网络状态信息以提升安全性：利用网络流量和访问请求数据优化安全策略，为访问决策提供上下文支持。

02

核心技术与架构

零信任架构的逻辑组件可通过本地服务或云服务运行，核心组件及辅助数据源共同构成完整的决策与执行体系。

核心逻辑组件

1. 策略引擎（PE）：作为决策核心，结合企业安全策略及外部信息源（如黑名单、威胁情报），通过“信任算法”决定是否授予访问权限，并记录决策结果。

2. 策略管理器（PA）：负责建立客户端与资源的连接通道，生成身份验证令牌或凭证，依赖策略引擎的决策执行连接的批准或拒绝，通过控制平面与策略执行点通信。

3. 策略执行点（PEP）：控制访问主体与企业资源的连接，可分为客户端代理（如用户设备上的Agent程序）和资源端网关（如资源前的访问控制网关），其后方为资源所在的“隐含信任区域”。

辅助数据源

• 持续诊断和缓解（CDM）系统：提供设备状态信息（如补丁情况、漏洞存在与否）。

• 行业合规系统：确保企业遵循监管制度（如FISMA、HIPAA），提供合规相关策略规则。

• 威胁情报源：提供外部攻击、漏洞信息（如DNS黑名单、恶意软件特征）。

• 数据访问策略：围绕企业资源的访问属性、规则及策略集合。

• 公钥基础设施（PKI）：管理企业颁发的证书，包括X.509数字证书体系。

• 身份管理系统：存储用户账户、角色、访问属性等信息。

• 网络与系统行为日志：聚合资产日志、流量数据等，反馈安全态势。

• 安全信息和事件管理（SIEM）系统：收集安全信息用于策略优化和攻击预警。

03

常见架构方案

1. 基于增强身份治理的ZTA：以用户身份为核心制定策略，结合设备状态、环境因素调整信任评分，适用于开放网络或含非企业设备的场景。

2. 基于微隔离的ZTA：将资源放入私有网段，通过下一代防火墙（NGFW）等作为PEP保护资源，需依赖完善的身份管理程序。

3. 基于网络基础设施和SDP的ZTA：利用软件定义边界（SDP）等技术，通过网络控制器（PA）动态配置网络，常见于代理/网关部署模型。

常见部署方案

• 设备代理/网关部署：PEP分为客户端代理与资源网关。

• 安全区部署：网关位于资源安全区边界。

• 资源门户部署：通过唯一门户作为PEP，无需客户端安装软件，灵活性高但设备可见性有限。

• 设备应用沙箱：将应用隔离运行，免受主机恶意软件影响，但维护成本较高。

04

总结

零信任架构通过动态评估信任、细化访问控制，有效应对远程办公、云资源使用等场景下的安全挑战，成为企业网络安全的重要演进方向。

THE END

亲爱的朋友，若你觉得文章不错，请点击关注。你的关注是笔者创作的最大动力，感谢有你！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：菜根网络安全杂谈 Caigensec《零信任架构介绍》