下载掌阅APP，畅读海量书库
立即打开
零信任的原则可以帮助企业更好地理解零信任理念的细节。
（1）从不信任，始终验证。
a）默认拒绝一切，在进行严格的身份验证和授权之前，不允许访问任何资源。
b）无论什么类型的用户和资源，无论处于什么位置，都必须遵守统一的安全访问原则。
c）无论处于什么网络环境，都要进行端到端的通信加密。
（2）授权以身份和数据为中心，不以网络为中心。
（3）动态授权。
a）在每次访问之前，都必须基于每个连接进行认证和授权。
b）持续评估访问中的信任等级，根据环境和信任等级变化，实时动态调整访问权限。
c）资源的访问和操作权限可以根据资源/数据的敏感性而变化。
d）根据策略的定义和执行方式，可能进行二次身份认证和重新授权。
（4）信任评估应该基于尽可能多的数据源。
a）综合评估用户身份、认证强度、设备状态、业务类型、资源级别、位置时间等因素。
b）检查用户的访问行为、会话时间、带宽消耗，及时发现异常行为。
c）检查流量内是否存在敏感数据泄露，是否存在恶意代码。
d）对特权账号要进行额外的审查。
（5）对用户进行最小化授权。
a）只在刚刚好的时间内，提供恰好足够的权限。
b）区分同一网络资源上的不同应用，尽量只授予应用访问权限，不授予网络访问权限。
（6）持续监控，确保用户设备和业务系统一直处于安全状态。
a）区分用户自带设备和公司管控设备。
b）自动检测和修复不安全的配置和漏洞。
（7）网络隐身。
a）消除公司内部的业务系统和服务在互联网上的可见性。
b）网络连接是一种权限，如果用户无权访问某资源，则他不能在网络层连接该资源。
c）基于身份进行网络权限的访问控制。
（8）为用户提供无缝的访问体验。
a）当用户切换网络时，不用重新建立连接。
b）当用户访问不同环境中的资源时，不用重新建立连接。
（9）收集尽量多的网络和流量信息，统一分析。