隨著企業數字化的升級加速，傳統網絡邊界成為新的安全困境，網絡邊境急需一種全新的網絡安全架構來應對現代復雜的企業網絡基礎設施，白山云基于零信任的安全架構應運而生。作為創新的邊緣云服務提供商，白山云整合企業現有邊緣云平臺的安全能力，以安全可靠的零信任安全架構產品方案為日益嚴峻的網絡威脅形勢帶來了安全最優解。
傳統安全防護“守成者”危機四伏
傳統防護體系基于“邊界”構建，默認邊界以內，人、設備、系統與網絡環境均可信；邊界以外，均不可信。然而由于新場景層出不窮，傳統網絡安全架構在日益嚴峻的新挑戰下險象環生。
內部風險：傳統安全訪問控制采用粗粒度授權，攻擊者一旦進入內網，企業則無法應對其在內部的橫向攻擊；同時內部“合法用戶”的威脅，也否定了基于邊界區分是否“可信”的有效性。
外部風險：云計算、物聯網、遠程辦公等技術落地，各類應用分散部署在不同公有云、私有云及本地IDC。越來越多的應用在網絡邊界暴露業務端口，增加了數據暴露面，被攻擊風險大幅上升。
安全管理難度大、IT建設效率低：通過堆疊部署不同維度的安全產品建立的統一安全邊界，其“創可貼式安全”提升了IT復雜性，導致網絡管理難度加大。
為應對傳統邊界防護面臨的風險及挑戰，網絡安全建設亟需新架構加持，于是強調“永不可信，始終驗證”的零信任理念備受關注。
零信任理念正在成為“破局者
所謂零信任架構(Zero-Trust Architecture (ZTA))，其實是一種網絡安全范例，原理是假設網絡上始終存在著威脅，其立場是保護網絡上的資產，而非網絡本身。由于它與用戶有關，代理機構根據從應用、位置、用戶、設備、時間、數據敏感性等綜合因素計算出的風險狀況，決定是否批準每個訪問請求。正如其名稱所示，ZTA是一個架構，而非產品，但可以從架構內的技術手段中尋求進一步的開發。
作為新一代網絡安全防護理念，零信任并非單一的安全技術或產品。其目標是降低資源訪問過程的安全風險，防止未經授權的資源訪問；核心是打破信任和網絡位置的默認綁定關系。零信任將防護從依靠網絡邊界的“馬奇諾防線”向個體保護目標收縮，把防護重心從網絡轉移到資源本身。
行業普遍認為零信任架構需遵循以下原則：
始終假定網絡是危險的；
始終警惕存在外部和內部威脅；
僅憑網絡位置，不足以決定網絡信任度；
所有設備、用戶和網絡流量均需經過檢查、身份認證和授權；
策略必須是動態的，并基于盡可能多的當前狀態信息得出。
白山云零信任理念實踐
參考零信任架構體系，白山云零信任產品方案也從控制平面和數據平面兩方面實現：
控制平面：收集各個節點的檢查結果，通過策略引擎進行持續信任評估和分析決策，最終根據決策結果判斷下一步訪問請求的動作；
數據平面：通過在用戶設備上安裝的客戶端對設備進行安全檢查，確保設備接入的安全性；同時將流量引至白山云邊緣節點，發揮邊緣節點所具備的安全能力，對過往流量進行檢查過濾，阻斷惡意請求；另一部分訪問流量則通過身份認證和權限識別后，最終訪問授權應用。
基于兩大平面進行五項判斷，完成可信性確認與動態信任評估：
確認設備可信：基于客戶端、第三方安全檢查產品進行設備安全檢查，確認接入設備是否可信；
確認行為可信：在邊緣節點先行檢查所有流量，并結合威脅情報與惡意軟件分析技術，實現針對惡意請求和內容的阻斷，同時將相關訪問行為記錄上傳策略引擎持續分析，確保行為可信；
確認身份可信：結合身份管理組件，對每一個訪問請求進行持續身份認證，保證授權訪問應用的身份可信；
確認應用可信：授權訪問應用隱藏至白山邊緣后端，實現應用完全隱身；
動態信任評估：UEBA引擎基于環境/行為/身份等信息進行持續信任評估，動態調整訪問權限；
借助零信任理念，白山云幫助企業實現動態控制與授權、資產集中管控、降低IT復雜度，全面強化安全能力建設。
通過零信任安全架構產品方案，白山云不僅能幫助企業提升了效率，還實現了應用在任意網絡環境中的可信訪問。目前白山云的邊緣服務已經涉及各行各業，接下來也將繼續推進零信任實踐，持續完善跨行業、跨場景的網絡安全解決方案。
