下载掌阅APP，畅读海量书库
立即打开
零信任体系结构（Zero Trust Architecture，ZTA）是一种新型的网络安全架构和策略，它的基本原则是不信任任何人或设备，始终要求对请求进行验证和授权，并以最小特权访问原则为基础来控制访问。这是一种基于零信任理念、遵循零信任原则、采用零信任模型构建的，并且设计来避免数据泄露及限制攻击在内部横向移动的组织级信息系统和网络空间安全体系结构，涵盖身份（人和非人实体）、凭证、访问权限管理、操作行为、端点、驻宿或托管环境、互联基础设施等方面。
ZTA不是孤立的，它包括一整套用于工作流和系统设计及运营的指导原则，可用于强化任何分类或敏感度级别的安全状态。任何组织将网络体系结构过渡到ZTA都需要评估此过程中的风险，不能简单地通过大规模更换技术来完成该过程。换句话说，当今许多组织在其基础设施中已经拥有ZTA的元素。组织应通过应用案例逐步实施零信任原则、流程变更和技术解决方案，以保护其数据资产和业务功能。大多数的组织在持续投资IT现代化计划并改进组织业务流程的同时，其基础设施将持续运行在“零信任+边界安全”的混合模式下。
实现零信任体系结构的网络，涉及零信任核心组件、多源决策数据及数据供给系统等方面。其中，零信任核心组件可被划分为两大部分：策略决策点（Policy Decision Point，PDP）、策略执行点（Policy Enforcement Point，PEP）。
其中，策略决策点可以进一步分解为两个逻辑组件：策略引擎（Policy Engine，PE）、策略管理器（Policy Administrator，PA）。而策略执行点，根据实际的部署实现差异存在多种模式，主要包括策略执行网关、设备端策略代理组件。
策略引擎负责是一个决策运算模块，决定是否为给定的主体授予访问某个资源的权限。策略引擎使用组织给定的安全策略以及来自外部信息源（如日志系统、诊断系统、威胁情报系统等）的内容作为信任算法的输入，通过计算来授予、拒绝或撤销主体对资源的访问权限。策略引擎与策略管理器组件可以搭配使用，策略引擎负责做出决策并记录结果（如批准或拒绝），而策略管理器执行该决策结果。
策略管理器是负责建立、关闭主体与资源之间通信路径的模块。其中通信路径是指通过发送命令给相关的策略执行点，针对客户端访问组织资源生成任何特定会话的身份认证行为（执行环节）和身份认证令牌或凭证。它与策略引擎密切相关，并依赖其最终做出的允许或拒绝会话的决策结果。如果会话已获得授权且请求已通过身份认证，则策略管理器会将策略执行点配置为允许会话；如果会话被拒绝（或之前的批准被收回/撤销），则策略管理器将向策略执行点发送信号以关闭连接。
策略执行点是负责启用、监视并最终结束主体与某个资源之间的通信连接的模块。策略执行点与策略管理器通信以转发请求或接收来自策略管理器的策略更新。策略执行点是零信任体系结构中的单个逻辑组件，但也可以分为两个不同的组件，包括客户端代理组件（如笔记本电脑上的代理单元）和资源侧安全网关组件（如控制访问权限的网关）。