零信任關鍵技術與產業發展研究

張云暢/ZHANG Yunchang，柴瑤琳/CHAI Yaolin，穆琙博/MU Yubo

（中國信息通信研究院，中國 北京 100083）

網絡安全是產業數字化升級中的關鍵保障。近10年來層出不窮的網絡安全問題不僅阻礙了各行業發展，更是減緩了產業革新的速度，迫使全球經濟發展受到制約。零信任作為破解當前困境的強有力手段，在其理念形成的初期便受到了業界的廣泛關注。各國高度重視零信任領域的戰略布局和創新研究，搶抓國際新技術主導權。中國也在不斷推進零信任領域的技術創新應用。如何借助零信任重塑網絡安全架構，已成為中國網絡安全領域的研究熱點。

本文將圍繞總體研究、核心技術、產業發展3個方面，梳理零信任的發展態勢，深入解析當前中國零信任產業發展存在的問題及其演進趨勢，并提出發展建議。

1 零信任整體發展態勢

1.1 國際零信任戰略部署加快

零信任成為美國重塑政府整體網絡安全架構的重要手段。2021年5月12日，美國發布總統行政命令[1]“（強制）要求聯邦機構制定零信任安全架構的實施計劃”。2021年9月7日，美國公布《推動美國政府朝向零信任網絡安全演進的基本準則》[2]，明確指出各級政府部署零信任安全架構的時間表和發展目標。2021年11月，美國正式推出以零信任實施方案為核心的Thunderdome[3]（雷霆穹頂）項目，這標志著全球首個零信任國家級戰略部署計劃正式啟動。2022年，美國白宮管理與預算辦公室（OMB）發布備忘錄（編號為M-22-09）[4]，要求所有行政部門于2024年實現零信任全面部署。此外，美國2023財年年度預算[5]顯示，總額8 133億美元的年度預算中將有112億美元用于網絡戰建設，其中包括“實施”部門的零信任架構。2024財年網絡安全預算備忘錄[6]再次將零信任在聯邦民事行政部門機構的實施升為第一優先級。

新加坡[7]、加拿大[8]等在美國一系列零信任戰略規劃文件出臺后快速做出響應。2021年4月12日，加拿大公布的《網絡與安全戰略》[8]詳細介紹了零信任的概念及架構，并指出其對未來網絡服務和安全的支撐性作用。新加坡于2021年10月5日宣布發布《網絡安全戰略2021》[7]以強調零信任應用的必要性，同時明確將積極在全國范圍推行零信任落地實踐。此外，歐盟于2022年3月22日公布《為聯盟的機構、機關、辦公室和機構制定高水平的網絡安全措施》[9]，指出要明確朝向零信任架構邁進的具體步驟。根據多家第三方機構發布的數據，日本、澳大利亞、印度及一些中東國家均已在本土企業開展零信任模型的部署應用，并持續關注該領域的發展。

1.2 全球SASE技術標準體系不斷完善

零信任技術發展趨近成熟，國際化組織標準建設進程不斷加快。2020年8月，美國國家標準與技術研究院（NIST）加緊推動零信任架構研究，經過多輪修訂發布了SP 800-207《零信任架構》[10]。2021年9月，網絡安全基礎設施安全局（CISA）發布《零信任成熟度模型》征求意見稿[11]，這標志著一種針對軍政商三方零信任架構成熟度的評測方案正式形成。

全球各國/地區針對零信任領域的標準制定速度不斷加快。作為一個權威的國際產業組織，云安全聯盟（CSA）率先針對零信任三大技術之一的軟件定義邊界，進行了標準化研究，并在2014年發布《SDP標準規范V1.0》[12]，接著在2022年發布《軟件定義邊界（SDP）標準規范V2.0》[13]。與此同時，中國也在產業各方的推動下于2022年形成《零信任能力成熟度模型》，以指導中國零信任網絡安全架構的落地。

1.3 零信任產業全面高速發展

全球零信任產業生態已初步形成，供需雙方均在積極推進規?；渴疬M程。以谷歌、微軟、思科為代表的美國網絡安全領軍企業對零信任市場進行了全面布局，與美國政府聯動引領產業活力化發展。以電信、金融、能源為首的各垂直行業也在積極采用零信任網絡安全架構，從試點試驗到大面積落地部署應用，逐步從需方立場支撐零信任產業的發展。

Gartner[14]在2020年曾預測，2022年在面向生態合作伙伴開放的新型數字業務應用程序中，80%的業務將通過零信任網絡訪問（ZTNA）進行訪問。據IDC預測，到2024年，安全遠程訪問解決方案將以260億美元價值占據全球網絡安全市場12.5%的份額[15]，其中零信任相關產品和解決方案將占據重要地位。2022年6月，Markets and Markets[16]在到2027年的全球預測報告中表示：全球零信任證券市場規模預計從2022年的274億美元增長到2027年的607億美元。

2 零信任網絡安全架構及關鍵技術

2.1 零信任網絡安全架構

零信任是一種新型網絡安全理念，秉承著“持續驗證，永不信任”的原則，拒絕隱式授予信任，持續進行安全評估，其體系架構是一種端到端的企業資源和數據安全方法，包括身份（人類和非人類的實體）、憑證、訪問管理、操作、端點、宿主環境和基礎設施，旨在通過利用網絡分段、防止橫向移動、提供第7層威脅預防和簡化精細用戶訪問控制來保護現代數字環境。因此，零信任總體功能架構圍繞技術和管理兩個維度，涵蓋八大關鍵能力，即身份安全、基礎設施、網絡安全、數據安全、應用/負載安全、網絡可持續安全檢測、評估和網絡安全可視化以及綜合安全管理，如圖1所示。

圖1 零信任總體功能架構圖

身份安全：身份（人員、設備、應用、進程）是資源訪問的入口，是零信任的基礎。

網絡安全：建立可信、可靠的網絡鏈路是數據訪問的重要環節。

數據安全：數據是安全的核心，應被分類、標記和加密，并基于這些屬性有條件地訪問。

應用/負載安全：應用程序和應用程序編程接口（API）提供了數據訪問接口，同時負載安全保障了資源交互的穩定性。

基礎設施：建立安全的基礎設施（本地服務器、云端虛擬機、容器、微服務）是減少風險的有效措施。

網絡可持續安全檢測與評估：網絡可持續安全檢測與評估是零信任架構實施的保障，其著眼于應急事件處理和風險管理兩個維度，形成流程化處理模式。

網絡安全可視化：網絡安全可視化是零信任架構的堅實基礎，其借助終端、應用、行為和事件這四大主體實現。

安全管理：安全管理是網絡安全架構部署實踐的保障。

2.2 零信任關鍵技術

零信任的關鍵技術包括軟件定義邊界、身份識別與訪問管理、微隔離。

1）軟件定義邊界

作為零信任理念的實踐方案，軟件定義邊界實現了對基于網絡的攻擊行為的阻斷，分離了控制平臺與數據平臺，最小化攻擊面；通過預驗證、預授權，拒絕未經驗證授權業務的端口訪問；隱藏關鍵資產的同時對應用訪問實現可視化，實現實時監督；可集成安全架構，大幅提升產品的兼容性；可代替部分傳統網絡安全的人力資源，節約成本。

2）身份識別與訪問管理

作為零信任模型的應用基礎，身份識別與訪問管理是企業應用零信任的第一步，同時也是零信任項目取得信任的關鍵一步。身份識別與訪問管理涵蓋了用戶身份、規則、身份驗證管理軟件以及訪問管理策略和協議，實現了持續的動態認證與動態授權，融合了多因子身份認證、單點登錄和用戶行為分析，提供了靜態密碼以外的針對用戶憑據的安全保護，對相關但獨立的多個系統實施一種訪問機制，可檢查用戶行為并自動應用算法和分析，以監測潛在的安全威脅。

3）微隔離

作為零信任概念的技術實踐，微隔離實現了數據中心內工作負載間流量可視化與訪問控制，在保留傳統防火墻的安全邊界防御的同時，限制工作負載流量間通信。攻擊面的可視化加強了應用程序活動的管理細粒度。無須基于硬件的防火墻，微隔離可將安全性集成到虛擬化工作負載中，其安全策略與虛擬網絡（虛擬機、操作系統或者其他安全目標）同步，實現純軟件方式的安全模型部署，改善監管合規態勢，同時隔離信息技術（IT）基礎設施，在混合云模式下支持跨平臺的數據流量識別及統一管理。

4）零信任能力成熟度評估模型

本文中，我們參考《零信任能力成熟度模型》標準，遵循零信任的定義和原則，依據零信任總體功能架構，提出零信任能力成熟度評估模型，將零信任總體架構細分為8個技術模塊與26個能力域，形成零信任關鍵能力圖譜，如圖2所示。

圖2 零信任關鍵能力圖譜

為使零信任能力成熟度判定標準詳細且規范化，本文將零信任能力成熟度劃分為無零信任階段、傳統階段、初級階段、優化階段和持續安全階段五大成熟度等級，旨在以全局或專業領域視角從零信任核心功能子組件、技術交互方式等方面展示零信任安全能力成熟度，助力零信任技術優化升級，如表1所示。

▼表1 零信任能力成熟度五大階段

以身份安全技術模塊為例，我們對該模塊下四大能力域涵蓋的能力要點進行量化打分。用戶身份可信域的計算公式為：用戶身份可信子領域4級能力符合度=（達到4級的安全能力數量+達到更高等級的安全能力數量）/用戶身份可信子領域內安全措施總數 ×100%。能力符合度達到80%即可判定用戶身份可信域達到“優化階段”。

零信任能力成熟度評估模型是《零信任能力成熟度模型》標準落地的重要抓手，更是零信任技術規范化發展的基石。對各廠商零信任產品進行成熟度測試，有助于各企業查漏補缺，不斷完善零信任產品的功能，提升零信任安全服務的質量，推動零信任產業規范化、規?；l展。

3 中國零信任發展面臨三大挑戰

1）戰略統籌布局未開展，規劃前瞻性不足

中國已將網絡安全建設視為國家長遠發展的核心，明確“網絡安全牽一發而動全身，深刻影響政治、經濟、文化、社會、軍事等領域安全”[17]?！笆奈濉逼陂g出臺《網絡安全產業高質量發展三年行動計劃（2021-2023年）》[8]等文件，逐步推進零信任相關研究與試點實驗項目落地。但是，與美政府持續加大零信任技術投資力度相比，中國仍缺乏整體發展路線圖與具體配套支持資金，政府機構、行業企業、社會組織等未形成落地應用的引導措施，缺乏自主技術引領的解決方案和應用實例支撐，零信任戰略布局相對滯后。

2）技術體系建設待完善，自主創新力不足

當前，中國零信任技術研究緊緊跟隨國際發展趨勢。2020年8月全國信息技術標準化技術委員會決定對《信息安全技術零信任參考體系架構》標準進行立項。2021年6月中國通信學會組織開展《零信任能力成熟度》標準的研制工作，并于2022年7月完成文稿的發布。雖然已有部分標準成功落地，但是中國零信任網絡安全架構尚未形成自主技術體系，創新力仍然較低，僅僅對美國已發布的部分標準進行對標立項，標準化建設還不足，整體架構仍停留在概念、原型階段，形成的產品細節、規格等方面也存在著諸多差異，難以適配垂直行業多樣化應用部署，整體技術發展緩慢且成熟度低，并且尚未開展垂直行業的零信任架構升級和應用部署。

3）產業生態閉環未形成，供需協同性不足

近兩年，中國網絡安全龍頭企業已推出部分零信任產品及方案，在醫療、電信等行業快速實踐落地。但中國零信任產業發展尚處于初期階段，缺乏全面實施零信任架構的標桿企業。2021年，第三方咨詢機構Forrester[19]從推出時間、成熟度和客戶情況3個方面篩選出34家國際零信任方案供應商代表，中國僅有3家廠商入選。2022年，第三方咨詢機構Gartner發布的《零信任網絡訪問市場指南》[20]共調研了42家全球零信任代表性供應商，中國仍是僅3家上榜。此外，中國缺少產業服務平臺支撐，零信任需求側與供給側的發展步調不一，市場流通產品方案存在覆蓋面不廣、適配性不高、服務性不足等基礎問題。

4 零信任產業發展建議

1）全面統籌規劃，強化零信任整體戰略布局

強化政策引導，完善中國零信任體系構建。依托財政資金、國家專項等，全面跟進和研判美國在參考架構、關鍵技術、融合應用等方面的最新進展，加大零信任架構關鍵技術的科研投入。抓住行業數字化升級轉型機遇，推動網絡安全架構向零信任架構遷移，鼓勵組織研究并出臺零信任創新應用試點示范、專項項目等支持政策，并在財政投資的網絡安全項目中同步配套零信任架構和關鍵網絡安全基礎設施建設措施，明確零信任高質量發展路線圖。廣泛征集零信任應用實踐案例，并對獨具行業代表性和可推廣性的優秀案例進行宣傳，鼓勵零信任產品供應商借鑒學習，不斷優化產品升級，促進各行業需求方與供應商的長期穩定合作。鼓勵傳統信息安全提供商、新型云安全提供商與行業用戶深度融合，打造一批有影響力的零信任行業應用標桿。在黨政、金融、能源、交通等領域開展零信任安全試點示范，提升零信任網絡安全架構在實際應用中的市場影響力。

2）重視培育創新，發展零信任自主創新技術

深化核心自主研究，打造中國零信任創新引擎。加快構建基于軟件定義邊界、身份安全、微隔離三大技術路線的零信任標準體系，推進跨云跨網智能安全管控、基于數字身份的細顆粒度訪問控制、可持續數據安全監測和評估等產品升級。同步構建零信任安全測評體系，深入剖析零信任技術能力與功能需求，助力零信任應用部署，依托“零信任能力成熟度”的評估模型，分級分類分步驟差異化部署零信任。推進電信運營商、互聯網企業、行業用戶、安全企業、科研機構、高等院校等建立零信任聯合創新中心、聯合實驗室等，打造創新試驗床，促進研究成果應用轉化，保障零信任產品創新能力持續供給，同時定期開展零信任技術專題研討，助力零信任技術創新以及產品研發。

3）增強產業協同，構建零信任健康產業生態

積極推動供需聯動，釋放中國零信任集群效應。針對中國大型網絡安全供應商提供政策優化保障，打造可以帶動跨領域、跨行業能力整合的龍頭企業，帶動中小型企業蓬勃發展。依托算網融合產業及標準推進委員會等第三方產業平臺，提供交流論壇、項目推介、實踐比賽、案例評優等多舉措多層次供需對接服務，切實強化零信任產業合作。聚焦零信任產業鏈上下游，繪制零信任產業圖譜，適配黨政、金融、能源、交通等領域建立多維度零信任能力評估體系，從核心技術功能、應用解決方案、關鍵能力成熟度等多維度，引導以優秀產品服務能力為導向的零信任市場良性發展。