伴隨企業(yè)業(yè)務上云、數(shù)字化轉(zhuǎn)型落地等技術(shù)變革，傳統(tǒng)網(wǎng)絡(luò)邊界被打破造成新的網(wǎng)絡(luò)安全困境。隨著網(wǎng)絡(luò)基礎(chǔ)設(shè)施架構(gòu)巨變及網(wǎng)絡(luò)威脅環(huán)境持續(xù)惡化，原有的平衡正在被打破，網(wǎng)絡(luò)世界正因快速熵增而失去秩序，傳統(tǒng)網(wǎng)絡(luò)安全策略已經(jīng)失去了原有的優(yōu)勢，云安全越來越被企業(yè)重視。當傳統(tǒng)安全建設(shè)的“守成者”力不從心，不受制于邊界的零信任架構(gòu)成為更有潛力的“破局者”。
云計算、物聯(lián)網(wǎng)、移動辦公等新技術(shù)的普遍運用，使得訪問兩側(cè)飄忽不定，以云內(nèi)工作負載間的流量訪控場景為例，云計算的運用使得東西向流量劇增，但云內(nèi)的東西向流量無法被準確洞察，這就失去了進一步對其進行管理的基礎(chǔ)。即便每個工作負載都部署了主機防火墻技術(shù)，但由于其靜態(tài)策略難以跟上云內(nèi)工作負載頻繁的漂移、克隆、擴展、關(guān)閉，使得安全策略難以持續(xù)生效。同時，云內(nèi)工作負載間訪控計算復雜度，將隨著工作負載數(shù)量的增加呈指數(shù)級增長，更易造成管理混亂。這些現(xiàn)實案例都是造成當前網(wǎng)絡(luò)熵增的因素。
兩大核心能力，混沌世界通向理想國的天梯
此外，云安全對抗是永無止境的，無論是被動防護還是積極防御手段，都是在跟著威脅的節(jié)奏而行進，防御者永遠難以預知攻擊下一次來臨時的情形，因此必須假設(shè)敵已在內(nèi)，邊界已不可信。
網(wǎng)絡(luò)世界的種種混亂，體現(xiàn)在不可預知、不可理解和不可控制，亟需重建新的秩序，也亟需云安全產(chǎn)品的輔助。
在云安全領(lǐng)域，重建網(wǎng)絡(luò)秩序，應將安全控制與基礎(chǔ)設(shè)施解耦，安全策略面向業(yè)務制定，零信任理念則提供了這樣的能力。
這種理念本質(zhì)上是面向業(yè)務（而非網(wǎng)絡(luò)）進行全要素納管和細粒度控制，ID則承擔了標定網(wǎng)絡(luò)實體業(yè)務角色的任務。因此，在云安全領(lǐng)域，零信任邏輯上可以理解為一張構(gòu)建于物理網(wǎng)絡(luò)之上的管理網(wǎng)絡(luò)，其控制平面與數(shù)據(jù)平面分離，控制平面的策略決策點（PDP）負責基于ID計算策略，并將其翻譯為數(shù)據(jù)層面能夠理解的網(wǎng)絡(luò)語言，進而由數(shù)據(jù)平面的策略執(zhí)行點（PDP）實現(xiàn)連接的阻斷與放行。
這種理念本身并不是一種更高超的云安全對抗技術(shù)，而是提供了一套方法。以數(shù)據(jù)中心場景為例，工作負載資產(chǎn)的身份基于其承載的業(yè)務、所處的環(huán)境、所在的位置等業(yè)務屬性而標定，云安全策略則基于業(yè)務邏輯而制定。
面向業(yè)務的云安全策略控制不再是“虛機A”到“虛機B”的連接，而是某種業(yè)務的工作負載（如“北京公有云中心 - 測試環(huán)境 - 電商業(yè)務 – Web應用”）到某種業(yè)務工作負載（如“上海私有云中心 – 生產(chǎn)環(huán)境 – 支付業(yè)務 – DB應用”）的訪問。由于有了業(yè)務屬性，網(wǎng)絡(luò)中所有的連接都是可理解的，而無論虛機怎么變化，基于業(yè)務屬性和邏輯的云安全策略總是可以以不變應萬變，并實現(xiàn)最細粒度的訪問控制。
概括而言，在無邊界的網(wǎng)絡(luò)中構(gòu)建邊界，在無邊界的網(wǎng)絡(luò)中構(gòu)建邊界，相對攻防對抗模式，零信任是一種更加能夠形成閉環(huán)并取得成功的方法論。
IAM、SDP、微隔離被稱作零信任的“三駕馬車”，IAM回答網(wǎng)絡(luò)中有什么、能干什么的問題，SDP決定外部的流量是否可以訪問內(nèi)部，而微隔離則實現(xiàn)網(wǎng)絡(luò)內(nèi)部間互訪的控制。
需要指出，云安全產(chǎn)品微隔離技術(shù)作為工作負載的“口罩”，必須具備幾個特性。首先，口罩必須容易佩戴，否則難以推廣，云安全產(chǎn)品微隔離技術(shù)則需具有較低的部署難度及成本。其次，口罩必須很輕，不會讓佩戴者產(chǎn)生不適，否則難以堅持佩戴，云安全產(chǎn)品微隔離技術(shù)則必須保證不會對工作負載原本的穩(wěn)定運行及安全可靠造成影響。第三，口罩作為用量超大的防護用品，需要具備較為經(jīng)濟的價格。
上述三者是實現(xiàn)零信任的三大核心結(jié)構(gòu)性要求，也是“狹義零信任”的最小能力集合，而零信任理念作為一套技術(shù)框架，也有其更為廣義的內(nèi)涵，即其核心能力將始終圍繞全業(yè)務可視化分析與全業(yè)務訪問控制構(gòu)建。
當前，在云安全領(lǐng)域內(nèi)，零信任仍處于由技術(shù)理念、產(chǎn)品概念向方案落地的早期階段，也是市場上各類產(chǎn)品百家爭鳴、百花齊放的時期，產(chǎn)品標準化、接口開放化則是該理念真正走向落地、產(chǎn)生價值所亟待改善之處。因此，面對云安全，產(chǎn)業(yè)界應盡快打破藩籬、抹去鴻溝，利用生態(tài)力量打造完整的零信任能力，重建網(wǎng)絡(luò)新秩序。
