零信任代表未来安全架构的发展方向，零信任安全核心观点是不自动信任何访问者或设备,任何访问都应该进行认证、授权或者访问控制，以避免内网渗透等安全风险。在本文中，笔者主要从主机领域分析零信任框架的落地与零信任实践。

零信任实践场景1：东西向移动

以近期被肆虐的勒索病毒为例，我们在回溯了多起勒索病毒事件的入侵轨迹后发现，黑客均是先攻击业务系统中安全防御能力较弱的主机，再利用业务系统中主机间的“信任”关系，东西向移动至核心系统，渗透成功后锁定核心业务、窃取数据或者勒索用户，也就说在“默认内网安全”的架构下，无论核心业务系统的安全防御能力多强，只要业务系统中还存在安全薄弱点，都一样可能遭受黑客入侵。
解决主机间东西向移动的零信任架构是微隔离技术，微隔离从2016年开始连续三年入选Gartner 10大安全技术，其本质是基于主机agent的分布式防火墙技术，目标是解决进入云计算时代后安全边界模糊导致的防火墙策略丢失，以应对云计算时代的东西向流量防护。
云锁将微隔离技术衍生为二个模块：流可视化、微隔离（东西向流量防护、南北向流量防护），以实现业务系统主机间的零信任安全框架。
流可视化
流可视化的功能分为两部分：1，业务资产可视化；2，业务资产间访问关系可视化。
下图中图标代表安装agent的主机资产，主机间的线代表访问关系，线的颜色代表访问绿色-合规流量；红色-违规流量（被拦截）；灰色-未设置规则流量；黄色-监控模式流量。
微隔离
微隔离采用白名单机制，可以细粒度控制主机、主机应用间的访问关系。分为两个部分：
1.东西向流量防护
可以基于角色、标签定义主机、主机应用间的细粒度访问控制策略。比如在一个安全域内允许A类主机（如web服务器）去访问B类主机（如数据库），其他类型的主机去访问B类主机将被禁止；或者A类主机的web应用可以去访问B类主机的数据库应用，A类主机的其他应用访问B类主机的数据库应用将被禁止。

1. 南北向流量防护
   主要解决主机非法外连问题，可以定义主机允许访问的特定IP、IP段、域名，不在规则外的访问将被禁止。
   在流可视化和微隔离的访问控制下，实现了主机间访问关系的零信任，内网主机再也无法成为黑客东西向横向移动的“跳板”。

   零信任实践场景2：应用漏洞利用

   微隔离解决了主机与主机间的零信任问题，而主机内部应用间的零信任模型如何建立？应用漏洞利用是黑客常用的攻击手段，在主机内部应用之间的默认“信任”的前提下，利用存在漏洞的应用发起一系列攻击，最终获得服务器权限。
   主机的零信任安全实践
   应对应用漏洞攻击的零信任架构，1，在内核层剥离应用过高权限；2，对在易受攻击应用中注入rasp应用运行时自我防护技术。
   ASVE虚拟化安全域是云锁在内核层的应用权限控制技术，可以将web服务、数据库服务等高权限应用隔离在受限环境，实现主机内部应用“零信任”，可以有效抵御提权等利用应用漏洞的黑客攻击，如限制WEB服务器进程权限，禁止执行cmd.exe等；限制数据库进程权限，禁止创建可执行文件等。
   Rasp应用运行时自我防护
   Rasp(Runtime Application Self Protection)技术不再单纯关注应用漏洞本身，而是将监控与防护移至命令执行、脚本解析等攻击发起点，实现对应用系统的流量、上下文、行为的持续监控。
   Rasp技术的核心思想是默认应用是不可被信任的，应用自身需要具备对抗黑客攻击的能力，解决了应用补丁的滞后性问题，缩短attack free攻击时间差，降低了0day漏洞的安全威胁。
   结束语：
   主机是信息安全的最后一道防线，主机安全也必将成为零信任安全框架落地的重要构成。
   越来越多的企业意识到需要在企业内部和外部生态环境中营造信任。下一代互联网访问，零信任已成必然趋势。国内外踊跃的零信任安全厂商中，不乏有许多已经为终端用户部署落地的案例。下面小编就给大家分析零信任的未来展望。

   蒲公英零信任安全网络访问有哪些应用场景？

   零信任即无边界访问控制，打破传统“内部等于可信任”、“外部等于不可信任”的传统旧安全观念。蒲公英基于SD-WAN延伸出全新的访问边界及安全模型，对于企业数字化转型提供了可扩展性和易用性。
   蒲公英零信任架构通过对访问身份权限的动态管控，持续进行信任评估和动态访问控制，实现最终业务安全访问。优势如下：
   建立基于应用的安全边界，打破传统基于防火墙的网络边界，建立基于应用的更细粒度的访问策略管理；
   建立基于身份的接入验证，身份权限动态管控，所有成员身份无差别信任与验证；
   建立基于安全的数据保护，终端数据、应用分级隔离，企业数据通过加密隧道传输。
   蒲公英零信任安全网络访问应用场景：
   远程移动办公。随着远程办公及移动办公越来越普及，外部访问量激增，而企业访问边界的模糊化和访问设备的可信度管控缺失，导致企业数据安全面临较大挑战。但大部分企业基于已有的网络架构无法瞬时改变，这时蒲公英基于SD-WAN的零信任安全访问就能快速接入，重建企业网络访问边界，加强网络安全；
   助力数字化转型。随着物联网、5G时代的到来，企业数字化转型已成为必然的趋势，这种情况下，业务平台及员工身份属性的多样化将越来越强烈。零信任在此基础下可重塑信任体系及访问策略，有效内外访问成员的安全属性进行监控；
   
   通过本文介绍的零信任实践场景，我们了解到，零信任可以应用于整个计算架构的各个方面，提倡对于所有身份进行授权访问，并动态监控授权身份的访问行为，所有账号无差别信任与认证，保障网络安全访问，同时可以极大的提高企业在数字化转型过程中的抗安全风险能力。

所谓“君子生非异也，善假于物也”。一个人想要快速实现成功，那就需要善于借用有利的器物，作为企业，也是如此，想要达到保证网络安全的目的，自然也要用到专业的器物才行，比如零信任。话不多说，小编这就为大家介绍一下什么是零信任实践？如何利用蒲公英实现零信任？希望这些内容，能帮到有需要的人们。

什么是零信任实践？

与传统的边界安全模式不同，零信任架构摒弃了将网络隔离作为防护敏感资源的主要机制。取而代之的是，所有的应用都部署在公网上，通过用户与设备为中心的认证与授权工作流进行访问。
这就意味着，作为零信任安全架构，将访问控制权从边界转移到个人设备与用户上。由此员工可以实现在任何地点的安全访问。
零信任安全架构涉及复杂的库存管理，记录具体谁拥有网络里的哪台设备。设备库存服务来从多个系统管理渠道搜集每个设备的各种实时信息，比如活动目录（Active Directory）或 Puppet.
对于用户的认证则基于一套代表敏感程度的信任层。无论员工使用什么设备或身处何处，都能得到相应的访问权限。低层次的访问不需要对设备做太严格的审核。
对于访问授权是基于上下文：“你是谁，是否经过严格认证？你使用什么设备？对你的设备了解情况如何？”
在网络中不存在特权用户。使用安全密钥进行身份管理，比密码更难伪造。每个入网的设备都有颁发的证书。网络的加密则是通过TLS（传输层安全协议）来实现。
与传统的边界安全模型不同，零信任交够不是以用户的物理登录地点或来源网络作为访问服务或工具的判定标准，其访问策略是建立在设备信息、状态和关联用户的基础上，更偏向用户行为和设备状态的分析。

如何利用蒲公英产品实现零信任？

零信任即无边界访问控制，打破传统“内部等于可信任”、“外部等于不可信任”的传统旧安全观念。蒲公英基于SD-WAN延伸出全新的访问边界及安全模型，对于企业数字化转型提供了可扩展性和易用性。
蒲公英零信任架构通过对访问身份权限的动态管控，持续进行信任评估和动态访问控制，实现最终业务安全访问。优势如下：
建立基于应用的安全边界，打破传统基于防火墙的网络边界，建立基于应用的更细粒度的访问策略管理；
建立基于身份的接入验证，身份权限动态管控，所有成员身份无差别信任与验证；
建立基于安全的数据保护，终端数据、应用分级隔离，企业数据通过加密隧道传输。
蒲公英零信任安全网络访问应用场景：
远程移动办公。随着远程办公及移动办公越来越普及，外部访问量激增，而企业访问边界的模糊化和访问设备的可信度管控缺失，导致企业数据安全面临较大挑战。但大部分企业基于已有的网络架构无法瞬时改变，这时蒲公英基于SD-WAN的零信任安全访问就能快速接入，重建企业网络访问边界，加强网络安全；
助力数字化转型。随着物联网、5G时代的到来，企业数字化转型已成为必然的趋势，这种情况下，业务平台及员工身份属性的多样化将越来越强烈。零信任在此基础下可重塑信任体系及访问策略，有效内外访问成员的安全属性进行监控；业务安全保障。
蒲公英名字好记，用起来简单，对于工作内容繁多且要求效率的人来说，是十分贴心的存在，而且它的功能很齐全，不仅可以帮助企业保护数据安全，还能帮助不便到公司办公的人牵线搭桥，远程访问数据。怎么样？有没有心动的小伙伴呢？如果想要了解更多，可以去官网一看哦。