零信任安全的4W1H

　　对于尚无基础设施转型计划的企业来说，实施部分零信任安全实践也未尝不可，但企业必须意识到，这个过程难以一蹴而就，毕竟Google建设BeyondCorp耗时也超过六年，一种可能的实施方案是基于现代身份管理平台建设应用级的访问控制，确保应用访问的身份识别、授权策略的统一。

　　零信任安全是一种架构理念，因此，企业何时、如何实施零信任安全并无放之四海而皆准的金科玉律，企业应该遵循零信任安全基本理念，结合现状，逐步规划实施零信任，当企业完成数字化转型之时，零信任安全也就水到渠成了。

　　HOW：如何实现零信任安全?

　　前文提到，从技术方案层面来看，零信任安全是借助现代身份管理平台实现对人/设备/系统的全面、动态、智能的访问控制，下面以360ID零信任身份安全解决方案为例，介绍零信任安全的关键实践，包括：

　　1. 以身份为中心

　　通过手机即令牌的方式提供指纹识别、人脸识别等生物识别技术对用户进行身份确认，同时对用户智能手机终端进行病毒查杀、root/越狱检测，通过注册建立用户与设备的唯一绑定关系。确保只有同时满足合法的用户与可信的终端两个条件才能接入到业务系统。为了提高用户的使用便捷性，用户认证支持动态口令、二维码扫描、推送验证的多种身份认证方式。

　　2. 业务安全访问

　　通过可信接入网关接管企业所有应用、资源、服务器的访问流量，将访问控制规则设定为只允许通过可信接入网关对应用进行访问，防止内网访问逃逸问题。所有的业务隐藏在可信接入网关之后，只有通过身份安全认证与终端可信检测的用户才可以访问业务系统。

　　3. 动态访问控制

　　用户发起访问请求后，360ID智能身份平台基于多种源数据分析，包括安全策略、用户属性、环境属性、其他风险因子等，对此次访问进行授权判定，得到一个信任等级，最终根据评估得出的信任等级分配用户一个最小访问权限。

　　当然，如上几点关键实践离不开敏捷、智能、安全的现代身份管理技术的支撑，360企业安全集团基于强大的云计算和大数据计算技术和经验，利用360强大的安全积累，推出的360ID智能身份平台正是足以支撑零信任安全的现代身份管理平台。

　　结语

　　数字化转型推动了大数据、云计算、物联网、人工智能为代表的新一代信息技术应用，也掀起了以现代身份管理平台为技术基础的零信任安全热潮，安全从0开始，让业界携手同行，基于身份构筑新的安全边界!

（编辑：温州站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!