实现零信任架构（ZTA）的三大技术，从零基础到精通，收藏这篇就够了！

企业开发 2025-04-08 09:13:08 阅读次数: 0

一、零信任架构（ZTA）的三大王牌技术：“SIM”组合拳

图1 零信任三大技术SIM，安全界的“三剑客”

话说2019年，美国国家标准委员会NIST发布了一份“武林秘籍”——《零信任架构ZTA》白皮书，瞬间在安全界掀起了一股“零信任”风暴！ 这份秘籍里，着重强调了零信任的安全理念，还介绍了实现零信任架构的三大技术，江湖人称“SIM”组合（SDP，IAM， MSG）：

南北向流量： 就像高速公路上的车辆，从用户开往服务器（Client-To-Server），通常由SDP（软件定义边界）技术来守护南北向的零信任安全。
东西向流量： 就像公司内部的车辆，在服务器之间穿梭（Server-To-Server），通常由MSG（微隔离）技术来保障东西向的零信任安全。
身份安全： IAM就像门卫大爷，负责用户身份信息的录入，进行身份验证，还管理应用内的用户权限，没有门卫大爷的点头，谁也别想进！

注：以上是安全圈里比较流行的实战方案。理论上，SDP和MSG都能独当一面，搞定东西向和南北向流量的零信任安全。

1.1 SDP：软件定义边界——给你的网络穿上“隐身衣”

云安全联盟CSA在2014年发布了SDP标准规范。SDP，全称Software Defined Perimeter，翻译过来就是“软件定义边界”，是云安全联盟CSA在2013年基于零信任理念搞出来的新一代网络安全模型。

SDP的目标是啥？ 简单说，就是在“移动+云”的大背景下，用软件的方式给企业建一道虚拟的安全边界，用基于身份的访问控制机制，给企业的应用和服务穿上“隐身衣”。这样一来，网络黑客就算想搞事情，也看不见目标，只能干瞪眼，企业的数据安全自然就得到了有效保护。

图2 SDP架构，安全界的“变形金刚”

SDP安全模型由3个核心组件组成，分别是：

Initiating SDP Host (IH)，发起者，就像客户端。
Accepting SDP Host (AH)，接受者，就像服务端。
SDP Controller，控制器，整个SDP的“大脑”。

这3个组件的关系分成了两个层面：

控制平面：负责指挥和调度。
数据平面：负责实际的数据传输。

AH和IH都要连接到Controller，它们之间的连接要通过Controller的安全控制信道交互来管理。这种结构让控制平面和数据平面分离，实现了完全可扩展的安全系统。而且，所有组件都可以集群化部署，提高性能和稳定性。

最小授权： 就像“按需分配”，只给必要的权限，多余的一概没有。
三个层面： 数据、控制、管理，各司其职，完美配合。
保护对象： 覆盖网络、数据、应用、系统、存储等各种资源。
身份认证： 支持对人、设备等的动态实时认证和策略管理。
控制器“隐身术”： 动态分配网关（IP/端口）、Token，让攻击者摸不着头脑。
双向防护： 防弹衣+隐身衣，SDP最大的特点就是它的“隐身”功能，把被保护的对象藏起来，让攻击者看不见，自然就无从下手。
不只是防御南北向攻击： 东西南北，全面防御。

SDP作为一个新兴架构，它的价值在于加强了访问控制管理，为用户访问管理、网络访问管理和系统认证控制等设定了标准。SDP能阻止未经授权的用户和设备访问网络，实施访问控制。因为SDP部署了“全部拒绝”（Deny-all）策略，可以控制IH和AH之间的数据包流动。有了SDP，企业就能自己定义和控制访问策略，决定谁能从哪些设备访问哪些网络服务。

SDP不是要取代现有的身份和访问管理方案，而是对认证的访问控制进行了加强，通过将用户认证和授权与其他安全组件集成，减小了潜在的攻击面。

1.2 ZT-IAM：零信任增强型现代身份与访问管理——给你的身份安全加把锁

IAM主要关注用户认证、权限和审计，主要面向内部员工，具备人员生命周期管理功能，能控制用户登录时的访问权限，统一管理权限，还能记录用户身份变化和访问信息，方便事后审计。

身份管理是大多数组织实现安全和IT运营策略的核心。它能让企业自动访问越来越多的技术资产，同时管理潜在的安全和合规风险，为所有用户、应用程序和数据启用并保护数字身份。SSO（单点登录）解决了用户体验问题，实现一次登录，全局通行。

图3 增强型现代IAM技术，身份安全的“金钟罩”

零信任增强型现代身份与访问管理IAM的特点是：动态、实时、无密码、分布、自主、不再只基于角色，其核心是持续的动态认证和持续的动态授权。

图3 IAM总体框架，身份安全的“导航图”

图4 IAM行业形态，身份安全的“万花筒”

1.3 MSG（Micro-Segmentation）微隔离技术——给你的数据中心建“防火墙”

微隔离，又称软件定义隔离、微分段，最早由Tony在任VMWare CIO时提出，后来他在担任美国联邦政府CIO时也部署实施了这项技术。Gartner也在其软件定义的数据中心（SDDC）的相关技术体系中提到了微隔离。

图4 MSG示例图，数据中心的安全“保护伞”

Gartner在其《Technology Insight for Micro-segmentation》报告中提出了四个主要的微隔离技术路线：

云原生控制
第三方防火墙
混合模式
基于主机代理模式

图5 MSG技术路线图，数据中心安全的“路线图”

微隔离是一种网络安全技术，它可以将数据中心在逻辑上划分为各个工作负载级别的不同安全段，然后定义安全控制，为每个独特的段提供服务。 微隔离让IT人员可以使用网络虚拟化技术，在数据中心内部灵活部署安全策略，而不用安装多个物理防火墙。而且，微隔离可以保护每个虚拟机（VM），在具有策略驱动的应用程序级安全控制的企业网络中，大大增强企业的防御能力。