近兩年來，零信任（Zero Trust）和ATT&CK在安全圈著實火熱，特別是前者，大廠搖旗吶喊，小廠也擂鼓助威，都說自己是零信任理念的先行者， IAM相關廠商說零信任架構里面，身份是新邊界；NAC和防火墻廠商說策略檢查點是零信任的關鍵部件；VPN廠商說他們除了加密也支持多因素認證，符合零信任的特征...

　　“零信任”自從2010年被Forrester分析師約翰·金德維格正式提出到現(xiàn)在已有十年的歷史，在這十年中“零信任”一直都是安全圈內眾人不斷爭議和討論的對象，有人說它將是網絡安全發(fā)展的必然產物，也有人說這種理念難以實現(xiàn)。無論“零信任”如何飽受爭議，但事實證明隨著相關技術的發(fā)展它都已然成為當下企業(yè)最好的選擇。

11年前誕生的零信任安全模型已被網絡安全產業(yè)的思想領袖和企業(yè)CISO們廣泛接受。而當擁有無窮預算和資源的Google通過BeyondCorp項目踐行和驗證了零信任框架的有效性后，零信任安全模型進入了產品化和商業(yè)化的快車道。但是今天，對于大多數(shù)企業(yè)來說，通往零信任的道路上依然布滿了陷阱和誤區(qū)。

　　　“零信任：從不信任，永遠驗證。”零信任假設所有的訪問都是有風險的，并驗證每一個請求，就像它始終來自一個不受控的網絡一樣。這意味著無論是防火墻內外、終端上、服務器上還是云中，安全防護機制永遠不相信任何人或任何事件。

根據(jù)定義，零信任安全模型提倡創(chuàng)建區(qū)域和分段來控制敏感的IT資源。這還需要部署技術來監(jiān)視和管理區(qū)域之間的數(shù)據(jù)，更重要的是，一個區(qū)域內用戶之間的交互。