【打破传统企业内网预设安全思维，Zero Trust概念持续演进】网络安全架构新时代，用零信任面对现代资安威胁最新消息

美国国安局（NSA）在2021年2月发布“拥抱零信任安全模型”的技术指引。

近年来，在网络安全的观念上，零信任是越来越热门，不仅资安专家、厂商都在提倡，在2020年8月，美国国家标准暨技术研究院（NIST）发布了SP 800-207标准文件，不只是成为美国-所需的零信任原则网络安全架构，在国际上，也成为企业组织实践零信任的重要参考。

这股零信任的浪潮已经开始，并且持续发酵，在2020年10月，美国NIST旗下国家网络安全卓越中心（NCCoE）也预告，将推出相关SP 1800系列指引，帮助当地企业落实零信任。

不仅如此，到了2021年2月，美国国安局（NSA）发布了“拥抱零信任安全模型”的技术指引，同年5月，美国国防部国防资讯系统局（DISA）也宣布，将推出零信任参考架构。

显然，随着零信任架构的发展到了全新阶段，不只是资安业界提倡，如今，更是已经成为国家层级都相当看重的网络安全新策略。

而这股应用零信任的风潮，现在也正吹向台湾。其实在前两三年，我们就已看到不少厂商打出零信任的大旗，提倡新的网络安全观念，但在国内仍是少见且新鲜的议题，特别的是，在2021台湾资安大会上，许多讲者都开始探讨或提及零信任。

在这样的趋势之下，零信任已成网络安全防护的新焦点，加上2020年全球疫情持续至今，使得远端工作议题重新被思考，台湾在2021年也深受其影响，因此，对于零信任这样的网络安全趋势，势必成为台湾企业与组织，都值得参考与重视的资安思维。

零信任网络安全的发展，已历经10年的研究

关于零信任的网络安全战略，这股资安防护趋势其实酝酿已久，到了最近几年，才成为热门焦点。

事实上，随着BYOD与云端服务的兴起，以及远端存取等需求，许多年前，已经开始让企业的网络环境有所变化，传统单纯以“内”、“外”来区隔的企业防护，已经逐渐被打破而成为备受关注的议题，更深一层来看，其实，在这样的态势之下，已经逐渐促使企业网络内外的边界消失。而2020年后疫情影响下的大规模实施居家办公，以及近年推动的数位转型工程，再次让企业积极评估相关风险，并驱动着零信任网络架构的持续发展。

然而，尽管ZTA概念持续发展，在这10多年来逐渐成形，但还是有很多人对于ZTA的认知，仅有模糊的概念，而且，到底零信任本身的发展是否达到成熟的程度？可能还是许多人的疑问。

简单来说，自从2003年在Jericho论坛，开始有跨国工作小组探讨网络边界消弭（De-perimeterisation）的议题，到了2010年，有了较为具体的零信任概念浮上台面，因为时任Forrester Research首席分析师John Kindervag，在此时提出零信任模型（Zero Trust Model）。

Google实践与推动经验带动潮流

不过，要将零信任网络安全架构化为可能，还是需要实践，在2014年，Google释出了一份名为BeyondCorp的文件，成为焦点。

根据Google说明，当时几乎每家公司都使用防火墙来强化企业边界的安全，然而，这种安全模型是有问题的，因为当边界被破坏时，对攻击者而言，相对是容易存取公司内部网络。因此，Google在网络安全采取了不同的方法，取消内部网络特权的要求，之后他们并长期推动这项计划。

Google之所以这么做，是从他们在2009年遭遇网络攻击后，开始有了这样的构想。该起事件，被称之为极光行动（Operation Aurora），当时该公司的Gmail服务在12月中旬，遭遇了来自中国的APT攻击，同时还有20家业者也遭受类似的攻击，包括Adobe、Juniper Networks等。

在上述资安事件后，Google提出了新的内部计划，目的是希望能了解员工与设备是如何存取内部应用程序，并重新建构自家网络安全架构。

经过五年的酝酿，Google先是在2014年对外正式公开BeyondCorp的架构与存取流程，并在2016年公布他们本身是如何设计与部署。

从Google这七年来的努力来看，也意味着打造零信任网络安全环境，已经不再是空谈。

到了最近三到五年，基于零信任的网络安全，呈现高度发展并持续演化的局面。例如，在Google长期推动之下，他们后续又将BeyondCorp实作于Cloud IAP，再将此内部应用转化为商用服务，于2020年8月宣布推出BeyondCorp Remote Access解决方案，之后又扩大解决方案功能，在2021年1月发表BeyondCorp Enterprise。

事实上，不只是Google投入零信任，这几年我们看到许多科技与资安业者，都基于零信任概念，持续研究发展网络安全架构或产品。同时，对于零信任的探讨也不曾停歇。例如，在2018年，市调机构Gartner提出他们的看法，指出网络安全应基于风险与信任，做到持续监控、评估、学习与调整，达到精实的信任（Lean Trust），而零信任只是朝向此目标的第一步。

零信任已成美国国家级资安战略，-、企业与国防都看重

随着零信任概念的演进，不只是资安界与科技大厂关切，更是成为国家级资安战略，美国-甚至已经采取行动。

由于美国-倡议采用零信任原则与方法，来保护-资讯系统与网络，所以，在两年前，2019年2月，美国NIST及旗下美国国家网络安全卓越中心（NCCoE），在联邦-CIO联席会（CIO Council）授权下，正式启动零信任架构（Zero Trust Architecture）计划。

在2020年8月，NIST正式颁布SP 800-207标准文件，旗下NCCoE也已启动Implementing a Zero Trust Architecture计划，并在2020年10月，发布计划说明文件，预告将借由自家实验室提供ZTA导入范例，并推出零信任相关的SP 1800系列实践指南。

再加上2021年2月，美国国安局（NSA）发布了“拥抱零信任安全模型”的技术指引，解释采用零信任模型的优点之余，他们并强烈建议：美国当地的国家安全系统、国防安全网络，以及国防工业的关键网络系统，都应该考虑零信任安全模型。后续，美国国防部国防资讯系统局（DISA）也在同年5月宣布，将提供零信任参考架构。

网络安全零信任已然成形

整体而言，持续演进的零信任网络安全架构，到了这两年来，确实已经变得越来越具体，指出了传统边界防护策略的局限──举例来说，传统透过VPN让员工进入内网的作法，一旦VPN帐密或凭证被窃，内网就被轻易突破。

相对地，在零信任概念上，是假设使用者账户与装置都不能信任，因此强调内部网络应该如同外部网络，要有同样的安全政策。

这种不信任的态度，如同白名单先预设都封锁的作法，但零信任同时还强调了持续验证以确保安全，包括借由充分资料收集与分析，以及利用自动化达到即时决定，做到监控衡量现况与动态调整，以持续地活化整体防御。

无论如何，网络安全零信任已有长足的发展与推动，决定采用的态度也越来越明显，特别是在NIST SP 800-207发布之后，这不仅是让美国-对于零信任有遵循的依据，并可以让外界对于日后的相关讨论，能更有共识。

从这股零信任的发展潮流来看，对于台湾企业与组织而言，势必也成为必须关切的重要议题，最近一年以来，几乎成为各家厂商与专家都畅谈的议题。接下来，我们将介绍SP 800-207零信任架构，同时也找来熟悉这方面的资安专家与业者来解说，帮助大家更进一步理解与认识新世代网络安全策略。

零信任网络安全的五大重要演进历程

2003、2004年

Jericho论坛开始探讨网络边界消弭（De-perimeterisation）的议题，聚焦无边界趋势下的网络安全解决方案

2010年11月

《Build Security Into Your Network\'s DNA: The Zero Trust Network Architecture》

Forrester Research前副总裁John Kindervag提出零信任（Zero Trust Model）模型，预设不信任任何事物