零信任是一種網絡安全範式，用於支持可見性的細粒度，動態和以數據為中心的訪問控制。
（訪問控制基於需要了解和最小特權的原則，通過身份驗證，授權和計費來中介資源的使用。）
零信任網絡安全範例
下圖總結了我對“零信任”的研究，該研究綜合了各種來源，例如Jericho論壇，DoD GIG / Black Core，Forrester的零信任網絡，Google的BeyondCorp，CSA的SDP和NIST SP 800-207。
零信任概念(Zero Trust Concepts)
. 以數據為中心的訪問控制
. 沒有固有的信任（信任是特權；它是獲得和給予的）
. 訪問前和連續驗證
. 細粒度的規則和動態策略
. 檢查，記錄，監視和可見性
零信任架構(Zero Trust Architecture)
. 主題和數據，服務，設備和基礎架構
. 控制平面和數據平面
. 政策執行點
. 策略決策點（策略管理員和策略引擎）
. 信任算法及其輸入（基於屬性和風險）
約翰·金德瓦格（John Kindervag）和零信任（Zero Trust）
約翰·金德瓦格（John Kindervag）在2010年創造了零信任（Zero Trust），以消除依賴周邊安全性的“信任”概念。他主張邊界安全性已被破壞並且不再足夠，並且將對網絡位置的盲目信任稱為“破壞性信任”。我相信“固有授權”是他的“零信任”網絡模型中“信任”的核心思想，並總結出他的“零信任”的主要思想如下：
不要依賴網絡位置（粗粒度的邊界），而要使用集成的分段網關（NGFW，下一代防火牆）將數據和相關資源（他稱為MCAP或微核和邊界）分組為較小的部分。
零信任神話(Zero Trust Myths)
他現在是Palo Alto Networks的現場CTO。該公司介紹了“零信任神話”：
- 零信任的目標是使系統可信。
- 這是複雜，昂貴且費時的。
- 零信任與身份有關。
- 您可以在第3層進行零信任。
除第一個神話外，我都同意，第一個神話將“信任”視為“固有授權”的同義詞。我們不會構建依賴於固有授權（即上面所謂的“信任”）的系統，但我寧願將信任定義為對安全性或信任度的信任。因此，我們確實希望消除固有的授權（盲目/破碎的信任），以使系統可信（安全和可信），即交付安全可靠的系統並提供保證。
參考
. NIST SP 800-207
. 約翰·金德瓦格
. 零信任的真相（Palo Alto）
. 將安全性構建到網絡的DNA中：零信任網絡架構（Forrester）
. 國防部全球信息網格（GIG）建築願景
. BeyondCorp –企業安全性的新方法（Google）
. 軟件定義的邊界（SDP）體系結構指南（CSA））
. 零信任架構和解決方案（Gartner）
資料來源：Wentz Wu 網站
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
