Zero-Trust

2023-09-09

Zero-Trust

大家好,有同学要扶墙老师聊聊Zero Trust,那我们今天就聊聊Zero Trust

Zero Trust最早是1994年提出的概念,但很长一段时间内,我们都是基于“城堡与护城河模型”构建企业的信息安全体系的,最典型的就是分内网和外网,虚拟专用网(也就是VPN)就是这种传统模型的典型一员。

但传统的“城堡与护城河模式”有一个缺陷,那就是一旦有人“蒙混过关”进了内网,那就可以一马平川的搞破坏了。所以, 为了进一步提升企业的信息安全防护体系,Zero Trust逐渐跃上历史舞台,比如,早几年前开始,Google公司就已经取消了内网和外网之分。

Zero Trust的核心原则是“Never Trust, Always Verify”,翻译过来就是“谁也不信任,每次都得(重新)验证”, 从这个核心原则又可以衍生出像“implement least privilege”或者“Assume Breach”等原则, 总结起来就是“从严管理”,所以,像“划分更细的边界粒度来治理和管控”,也算是Zero Trust理念的一种体现。

打个不恰当的比方,现在(也就是2022年)的疫情管控下,每个省、每个城市、每个乡镇、每个村庄,如果都各自不信任,各自验证各种码,各自制定标准并承担风险,其实也就是一种Zero Trust。

战国四公子之一有一个叫信陵君,他“窃符救赵”的故事都听过吧? 大家能从中看到Zero Trust的影子吗? ;)