“零信任”（Zero Trust），這一安全行業(yè)內(nèi)的熱詞正在迅速從“營(yíng)銷”概念向務(wù)實(shí)轉(zhuǎn)變，從安全范式向落地實(shí)踐過渡，并在逐漸驗(yàn)證面對(duì)新安全威脅時(shí)其有效性和前瞻性。本書首先介紹零信任的起源、概念，其次介紹零信任的關(guān)鍵技術(shù)及框架，接著列舉部分零信任的實(shí)踐應(yīng)用，最后對(duì)零信任進(jìn)行總結(jié)和展望。另外，本書還對(duì)零信任的一些行業(yè)應(yīng)用案例進(jìn)行梳理，以期對(duì)計(jì)劃實(shí)施零信任的企業(yè)單位及安全從業(yè)人員提供一些參考和啟發(fā)。安全行業(yè)沒有“銀彈”，零信任也不例外。零信任仍然在不斷發(fā)展和完善之中，還有很多需要改進(jìn)的地方，如在落地過程中還存在諸多挑戰(zhàn)有待解決。在選擇零信任過程中，還需理智對(duì)待。零信任是一種戰(zhàn)略，實(shí)施零信任將是一個(gè)漫長(zhǎng)的旅程，有待讀者和我們一起在未來的零信任之路上，共同探索，共同思考，共同成長(zhǎng)。本書適合信息安全從業(yè)人員閱讀，特別適合對(duì)零信任感興趣或希望對(duì)零信任有較深入了解的人員閱讀和參考。
陳本峰，教授、西塞數(shù)字安全研究院院長(zhǎng)、國(guó)家高層次人才特聘專家、零信任SDP國(guó)際標(biāo)準(zhǔn)作者之一、CSA GCR Fellow/零信任工作組組長(zhǎng)、CCF中國(guó)計(jì)算機(jī)學(xué)會(huì)零信任網(wǎng)絡(luò)隱身協(xié)議NHP標(biāo)準(zhǔn)工作組組長(zhǎng)。曾就職于美國(guó)微軟總部，專注于互聯(lián)網(wǎng)基礎(chǔ)技術(shù)標(biāo)準(zhǔn)研究20余年，主導(dǎo)編著了國(guó)內(nèi)外數(shù)十項(xiàng)零信任安全標(biāo)準(zhǔn)、發(fā)明專利、技術(shù)白皮書，以及《CZTP零信任安全專家認(rèn)證》教材與電子工業(yè)出版社《零信任網(wǎng)絡(luò)安全——軟件定義邊界SDP技術(shù)架構(gòu)指南》等圖書。賈良鈺，北京理工大學(xué)本科及碩士，加拿大博士進(jìn)修。浙江省外專局A類人才、北京市和浙江省特聘專家；世界500強(qiáng)高管和創(chuàng)業(yè)經(jīng)歷，帶領(lǐng)公司上市、國(guó)際化和并購整合；目前，所帶領(lǐng)的公司中有兩家公司上市、兩家公司在美國(guó)被并購；天使投資人、風(fēng)投機(jī)構(gòu)合伙人和多家公司董事及顧問；聯(lián)合國(guó)WDTA/國(guó)際CSA研究院副院長(zhǎng)，中科院、浙大等多所大學(xué)客座和政府顧問，花園經(jīng)濟(jì)發(fā)起人。魏小強(qiáng)，Stanford大學(xué)SELP, 北京大學(xué)國(guó)家發(fā)展研究院MBA�，F(xiàn)任亞信安全業(yè)數(shù)產(chǎn)品戰(zhàn)略官、CSA大中華區(qū)多云工作組組長(zhǎng)，曾任360天樞智庫首席研究員、360云安全研究院副院長(zhǎng)、以色列Trusteer亞太區(qū)總經(jīng)理、IBM大中華區(qū)高級(jí)專家（Tiger）、Entrust亞太區(qū)總經(jīng)理等， 20余年安全行業(yè)經(jīng)驗(yàn)，致力于創(chuàng)新、行為和組織文化的研究，在數(shù)據(jù)安全治理、安全運(yùn)營(yíng)、零信任、SASE、XDR等領(lǐng)域擁有軟著、專利、論文等成果20余項(xiàng)。董雁超，碩士研究生學(xué)歷，在網(wǎng)絡(luò)安全及零信任安全領(lǐng)域工作多年，參與零信任安全、SASE安全、數(shù)據(jù)安全、區(qū)塊鏈等多個(gè)行業(yè)課題的研究和編撰，基于當(dāng)前網(wǎng)絡(luò)現(xiàn)狀為多家大型企業(yè)設(shè)計(jì)零信任安全、數(shù)據(jù)安全框架和實(shí)施方案。
目 錄
第1章 為什么是零信任 1
1.1 網(wǎng)絡(luò)安全不斷演進(jìn) 2
1.1.1 網(wǎng)絡(luò)安全的定義 2
1.1.2 網(wǎng)絡(luò)安全經(jīng)典事件回顧 2
1.1.3 我國(guó)網(wǎng)絡(luò)安全發(fā)展階段回顧 4
1.2 傳統(tǒng)安全防御體系面臨挑戰(zhàn) 5
1.2.1 遠(yuǎn)程辦公導(dǎo)致網(wǎng)絡(luò)安全風(fēng)險(xiǎn)急劇增加 5
1.2.2 物聯(lián)網(wǎng)設(shè)備越來越多 5
1.2.3 傳統(tǒng)安全防御體系的安全盲點(diǎn) 5
1.3 零信任安全是網(wǎng)絡(luò)安全的新選擇 6
1.3.1 數(shù)字化正在改變安全 6
1.3.2 零信任是新的安全范式 6
1.3.3 零信任的商業(yè)模式 7
1.4 本章小結(jié) 7
第2章 零信任概述 9
2.1 零信任的發(fā)展現(xiàn)狀 9
2.1.1 零信任概念的提出 9
2.1.2 零信任的早期踐行者 10
2.1.3 零信任相關(guān)技術(shù)發(fā)展概述 10
2.1.4 零信任產(chǎn)業(yè)聯(lián)盟介紹 11
2.1.5 零信任相關(guān)技術(shù)標(biāo)準(zhǔn)化進(jìn)展 11
2.2 國(guó)家層面對(duì)零信任的關(guān)注 13
2.2.1 中國(guó) 13
2.2.2 美國(guó) 14
2.2.3 其他國(guó)家 15
2.3 零信任的基本概念 16
2.3.1 零信任的定義 16
2.3.2 零信任抽象架構(gòu) 16
2.3.3 零信任的核心關(guān)鍵能力 17
2.3.4 零信任三大實(shí)踐技術(shù)綜述 17
2.3.5 信任評(píng)估算法 19
第3章 身份管理與訪問控制（IAM） 20
3.1 身份管理與訪問控制現(xiàn)狀 21
3.1.1 身份管理現(xiàn)狀 21
3.1.2 身份認(rèn)證現(xiàn)狀 22
3.1.3 系統(tǒng)訪問權(quán)限控制現(xiàn)狀 24
3.1.4 用戶訪問行為審計(jì)現(xiàn)狀 25
3.2 身份管理與訪問控制的基本概念 26
3.2.1 IAM的定義與總體架構(gòu) 26
3.2.2 IAM的應(yīng)用領(lǐng)域 28
3.2.3 IAM產(chǎn)品形態(tài)及部署模式 28
3.3 身份管理 30
3.3.1 身份管理主體對(duì)象 31
3.3.2 身份管理實(shí)體內(nèi)容 32
3.3.3 身份管理客體對(duì)象 34
3.3.4 身份識(shí)別服務(wù) 36
3.3.5 身份全生命周期管理 36
3.3.6 特權(quán)賬號(hào)管理 38
3.3.7 身份信息同步模式 42
3.4 身份認(rèn)證 44
3.4.1 身份認(rèn)證的類型 44
3.4.2 常見身份認(rèn)證方式 45
3.4.3 多維度聯(lián)合認(rèn)證 50
3.4.4 單點(diǎn)登錄（SSO） 51
3.4.5 CAS協(xié)議 53
3.4.6 SAML協(xié)議 55
3.4.7 OAuth協(xié)議 56
3.4.8 OpenID協(xié)議 58
3.4.9 其他協(xié)議 60
3.5 訪問控制 62
3.5.1 訪問控制框架與模型 62
3.5.2 訪問控制過程 64
3.6 審計(jì)風(fēng)控 77
3.6.1 全方位審計(jì)機(jī)制 77
3.6.2 用戶行為風(fēng)險(xiǎn)分析 78
3.6.3 UEBA簡(jiǎn)介 81
3.7 IAM發(fā)展趨勢(shì)展望 84
3.7.1 IAM發(fā)展預(yù)測(cè) 85
3.7.2 CIAM發(fā)展漫談 86
3.7.3 物聯(lián)網(wǎng)IAM發(fā)展漫談 88
第4章 軟件定義邊界（SDP） 90
4.1 SDP的基本概念 90
4.1.1 SDP技術(shù)的由來 91
4.1.2 SDP技術(shù)的定義 93
4.1.3 SDP與零信任網(wǎng)絡(luò) 95
4.1.4 SDP技術(shù)商業(yè)與技術(shù)優(yōu)勢(shì) 97
4.1.5 SDP技術(shù)主要功能 99
4.1.6 SDP與十二大安全威脅 100
4.1.7 SDP標(biāo)準(zhǔn)規(guī)范《SDP 2.0》與《SDP 1.0》 101
4.2 SDP技術(shù)架構(gòu)與通信協(xié)議 103
4.2.1 SDP架構(gòu)概述 103
4.2.2 SDP組件介紹 104
4.2.3 SDP的工作原理與流程 106
4.2.4 SDP與訪問控制 108
4.2.5 單包授權(quán)（SPA） 109
4.2.6 mTLS通信協(xié)議 113
4.2.7 AH-控制器協(xié)議 113
4.2.8 IH-控制器協(xié)議 116
4.2.9 動(dòng)態(tài)隧道模式（DTM）下的IH-AH協(xié)議 118
4.2.10 SDP審計(jì)日志 120
4.3 SDP技術(shù)架構(gòu)部署模型 123
4.3.1 客戶端?服務(wù)器模式 123
4.3.2 服務(wù)器?服務(wù)器模式 124
4.3.3 客戶端?服務(wù)器?客戶端模式 125
4.3.4 客戶端?網(wǎng)關(guān)?客戶端模式 126
4.3.5 網(wǎng)關(guān)?網(wǎng)關(guān)模式 126
4.4 SDP與傳統(tǒng)網(wǎng)絡(luò)安全產(chǎn)品的關(guān)系 127
4.4.1 企業(yè)信息安全架構(gòu)全景圖 127
4.4.2 SDP與現(xiàn)有設(shè)備管理系統(tǒng) 128
4.4.3 SDP與SIEM系統(tǒng) 128
4.4.4 SDP與IDS/IPS 129
4.4.5 SDP與VPN 130
4.4.6 SDP與NGFW 131
4.4.7 SDP與IAM 131
4.4.8 SDP與NAC 132
4.4.9 SDP與WAF 132
4.4.10 SDP與CASB 133
4.4.11 SDP與PKI 133
4.4.12 SDP與SDN/NFV 133
4.5 SDP應(yīng)用實(shí)踐 134
4.5.1 采用SDP需考慮的問題 134
4.5.2 SDP應(yīng)用場(chǎng)景總結(jié) 135
4.6 SDP安全遠(yuǎn)程接入（替代VPN） 140
4.6.1 現(xiàn)有VPN存在的問題 140
4.6.2 SDP替代VPN的優(yōu)勢(shì) 140
4.7 SDP幫助企業(yè)安全上云 141
4.7.1 IaaS安全概述 141
4.7.2 IaaS技術(shù)原理 142
4.7.3 混合云及多云環(huán)境 149
4.7.4 替代計(jì)算模型 149
4.7.5 容器和SDP 150
4.8 SDP防御分布式拒絕服務(wù)（DDoS）攻擊 150
4.8.1 DDoS和DoS攻擊的定義 150
4.8.2 SDP防御DDoS攻擊 152
4.8.3 SDP防御HTTP泛洪攻擊 153
4.8.4 SDP防御TCP SYN泛洪攻擊 154
4.8.5 SDP防御UDP反射攻擊 155
4.8.6 網(wǎng)絡(luò)層次結(jié)構(gòu)與DDoS攻擊 156
4.8.7 針對(duì)Memcached的大規(guī)模攻擊 158
第5章 微隔離（MSG） 159
5.1 網(wǎng)絡(luò)安全挑戰(zhàn) 159
5.1.1 東西向流量安全面臨的挑戰(zhàn) 160
5.1.2 東西向流量常見安全問題 160
5.1.3 傳統(tǒng)安全模型的弊端 161
5.1.4 微隔離順勢(shì)出現(xiàn) 162
5.2 微隔離的基本概念及其技術(shù)的發(fā)展趨勢(shì) 163
5.2.1 微隔離的基本概念 163
5.2.2 微隔離技術(shù)的發(fā)展趨勢(shì) 165
5.3 微隔離的價(jià)值 166
5.3.1 微隔離正改變網(wǎng)絡(luò)安全架構(gòu) 167
5.3.2 微隔離助力云計(jì)算走向零信任 168
5.3.3 微隔離的價(jià)值總結(jié) 170
5.4 微隔離的4種技術(shù)路線 171
5.4.1 云自身控制 171
5.4.2 第三方防火墻 172
5.4.3 代理模式 173
5.4.4 混合模式 174
5.5 微隔離的技術(shù)趨勢(shì) 174
5.5.1 面向業(yè)務(wù)的策略模型 175
5.5.2 自適應(yīng)的執(zhí)行策略 175
5.5.3 軟件定義的策略管理 175
5.6 微隔離的部署實(shí)施 176
5.6.1 微隔離的五步法實(shí)施過程 176
5.6.2 微隔離實(shí)施過程的實(shí)例解析 181
5.6.3 微隔離的實(shí)施過程小結(jié) 182
5.7 微隔離最佳實(shí)踐 182
5.7.1 云原生控制 183
5.7.2 第三方防火墻 185
5.7.3 基于代理的模式 186
5.7.4 混合模式 187
5.7.5 微隔離最佳實(shí)踐小結(jié) 189
第6章 零信任應(yīng)用場(chǎng)景 190
6.1 應(yīng)用場(chǎng)景概述 190
6.1.1 員工遠(yuǎn)程訪問 191
6.1.2 外部人員遠(yuǎn)程訪問 192
6.1.3 服務(wù)器間數(shù)據(jù)交換 192
6.1.4 物聯(lián)網(wǎng)組網(wǎng) 193
6.1.5 安全合規(guī)要求的滿足 193
6.1.6 保護(hù)敏感數(shù)據(jù) 193
6.2 企業(yè)內(nèi)部的安全訪問場(chǎng)景 194
6.2.1 分支機(jī)構(gòu)的遠(yuǎn)程接入 194
6.2.2 出差員工的遠(yuǎn)程辦公 196
6.2.3 基于C/S應(yīng)用的遠(yuǎn)程接入 199
6.2.4 開發(fā)人員從企業(yè)內(nèi)部訪問后端系統(tǒng) 200
6.2.5 從外部訪問企業(yè)后端系統(tǒng) 201
6.2.6 同時(shí)訪問企業(yè)內(nèi)部與云上資源 202
6.2.7 啟動(dòng)云端服務(wù)實(shí)例 204
6.2.8 啟動(dòng)服務(wù)實(shí)例并訪問云上后端系統(tǒng) 205
6.2.9 訪問服務(wù)商提供的硬件管理平臺(tái) 206
6.2.10 移動(dòng)端遠(yuǎn)程辦公 207
6.3 企業(yè)與外部的協(xié)作場(chǎng)景 209
6.3.1 外包人員/訪客對(duì)企業(yè)資源的訪問 209
6.3.2 跨企業(yè)邊界的協(xié)作 212
6.3.3 抗DDoS攻擊 215
6.4 系統(tǒng)間的安全訪問 218
6.4.1 多云管理 218
6.4.2 微隔離防止內(nèi)網(wǎng)橫向攻擊 221
6.4.3 API數(shù)據(jù)交換 222
6.5 物聯(lián)網(wǎng)安全連接 226
6.5.1 物聯(lián)網(wǎng)安全面臨的挑戰(zhàn) 227
6.5.2 物聯(lián)網(wǎng)的零信任安全組網(wǎng) 230
6.6 安全與合規(guī)要求 233
6.6.1 SDP助力滿足等保2.0 234
6.6.2 IAM助力滿足等保2.0 264
6.6.3 微隔離助力滿足等保2.0 265
6.7 敏感數(shù)據(jù)的零信任方案 266
6.7.1 敏感數(shù)據(jù)安全防護(hù)的挑戰(zhàn) 266
6.7.2 基于零信任的敏感數(shù)據(jù)保護(hù)方案 267
第7章 零信任的戰(zhàn)略規(guī)劃與實(shí)施 269
7.1 零信任戰(zhàn)略綜述 269
7.1.1 零信任戰(zhàn)略的意義 269
7.1.2 零信任戰(zhàn)略實(shí)施的關(guān)鍵基礎(chǔ) 270
7.1.3 零信任戰(zhàn)略的實(shí)施線路 271
7.2 確立零信任戰(zhàn)略愿景 272
7.2.1 建立零信任安全思維 273
7.2.2 認(rèn)識(shí)零信任關(guān)鍵能力 274
7.3 編制零信任戰(zhàn)略行動(dòng)計(jì)劃 277
7.3.1 規(guī)劃先行的意義 277
7.3.2 零信任成熟度模型 277
7.3.3 編制階段性行動(dòng)計(jì)劃 281
7.4 零信任建設(shè)成效評(píng)估 283
7.4.1 基本原則 284
7.4.2 制定評(píng)估指標(biāo)框架 284
7.4.3 評(píng)估內(nèi)容分析 285
7.5 零信任實(shí)施問題及解決思路 285
7.5.1 保護(hù)賬戶憑證等身份標(biāo)識(shí) 286
7.5.2 減輕加密流量的安全風(fēng)險(xiǎn) 286
7.5.3 零信任架構(gòu)涉及的數(shù)據(jù)安全保護(hù) 286
7.5.4 零信任必須防范內(nèi)部威脅 286
7.5.5 零信任體系與外部系統(tǒng)對(duì)接 287
7.5.6 微隔離實(shí)施面臨的問題 287
7.5.7 云原生改造面臨的問題 288
7.6 本章小結(jié) 289
第8章 零信任落地部署模式——SASE 290
8.1 SASE簡(jiǎn)介 290
8.1.1 SASE背景現(xiàn)狀 290
8.1.2 SASE的定義 291
8.1.3 SASE的價(jià)值 292
8.2 SASE的系統(tǒng)架構(gòu) 293
8.3 SASE的核心特征 294
8.3.1 身份驅(qū)動(dòng) 294
8.3.2 云原生架構(gòu) 295
8.3.3 近源部署 295
8.3.4 分布互聯(lián) 295
8.4 SASE的核心技術(shù) 295
8.4.1 身份認(rèn)證 296
8.4.2 SD-WAN 297
8.4.3 云原生技術(shù) 299
8.4.4 邊緣計(jì)算 302
8.4.5 安全即服務(wù)（SECaaS） 303
8.5 SASE的現(xiàn)狀與應(yīng)用 307
8.5.1 標(biāo)準(zhǔn)化進(jìn)展 307
8.5.2 產(chǎn)業(yè)情況 308
8.5.3 應(yīng)用場(chǎng)景 308
8.6 SASE技術(shù)總結(jié) 311
第9章 零信任行業(yè)評(píng)估標(biāo)準(zhǔn) 312
9.1 零信任專家認(rèn)證 312
9.1.1 CZTP概述 312
9.1.2 CZTP核心課程內(nèi)容 313
9.1.3 CZTP考核方式 314
9.1.4 具備CZTP資質(zhì)的企業(yè) 314
9.2 零信任能力成熟度模型 314
9.2.1 零信任能力成熟度模型概述 315
9.2.2 零信任能力成熟度矩陣 315
9.2.3 零信任能力成熟度模型評(píng)估方法 323
第10章 零信任實(shí)踐案例 324
10.1 Google BeyondCorp實(shí)踐案例 324
10.1.1 項(xiàng)目背景 324
10.1.2 解決方案 325
10.1.3 實(shí)施效果 328
10.1.4 挑戰(zhàn)與經(jīng)驗(yàn) 328
10.2 政企行業(yè)的零信任實(shí)踐案例 329
10.2.1 行業(yè)特點(diǎn) 330
10.2.2 解決方案 331
10.2.3 優(yōu)點(diǎn) 332
10.3 金融行業(yè)的零信任實(shí)踐案例 334
10.3.1 行業(yè)特點(diǎn) 334
10.3.2 解決方案 336
10.3.3 優(yōu)點(diǎn) 337
10.4 運(yùn)營(yíng)商行業(yè)的零信任實(shí)踐案例 338
10.4.1 行業(yè)特點(diǎn) 338
10.4.2 解決方案 339
10.4.3 優(yōu)點(diǎn) 340
10.5 制造業(yè)的零信任實(shí)踐案例 341
10.5.1 行業(yè)特點(diǎn) 341
10.5.2 解決方案 341
10.5.3 優(yōu)點(diǎn) 344
10.6 能源行業(yè)的零信任實(shí)踐案例 345
10.6.1 行業(yè)特點(diǎn) 345
10.6.2 解決方案 345
10.6.3 優(yōu)點(diǎn) 347
10.7 醫(yī)療行業(yè)的零信任實(shí)踐案例 348
10.7.1 行業(yè)特點(diǎn) 348
10.7.2 解決方案 349
10.7.3 優(yōu)點(diǎn) 352
10.8 互聯(lián)網(wǎng)行業(yè)的零信任實(shí)踐案例 353
10.8.1 行業(yè)特點(diǎn) 353
10.8.2 解決方案 353
10.8.3 優(yōu)點(diǎn) 354
第11章 零信任總結(jié)與展望 355
11.1 網(wǎng)絡(luò)安全技術(shù)的演進(jìn)歷程 355
11.2 零信任理念及技術(shù) 357
11.2.1 零信任理念及架構(gòu) 357
11.2.2 零信任與IAM 359
11.2.3 零信任與SDP 360
11.2.4 零信任與微隔離 361
11.2.5 零信任的應(yīng)用場(chǎng)景與部署實(shí)施 362
11.3 零信任架構(gòu)的潛在威脅 362
11.3.1 零信任架構(gòu)決策過程被破壞 363
11.3.2 拒絕服務(wù)或網(wǎng)絡(luò)中斷 364
11.3.3 憑證被盜或者內(nèi)部威脅 364
11.3.4 網(wǎng)絡(luò)的可見性 365
11.3.5 系統(tǒng)和網(wǎng)絡(luò)信息的存儲(chǔ) 366
11.3.6 在零信任架構(gòu)管理中使用非人類實(shí)體 366
11.4 網(wǎng)絡(luò)安全技術(shù)發(fā)展展望 367
11.4.1 SASE 367
11.4.2 擴(kuò)展檢測(cè)和響應(yīng) 369
11.4.3 AI驅(qū)動(dòng)的安全 371
附錄A 縮略語 374
書單推薦
