国内首个零信任技术标准《零信任系统技术规范》出炉

近日，中国电子工业标准化技术协会发布了国内首个零信任技术实现标准——T/CESA 1165-2021《零信任系统技术规范》（以下简称《规范》）团体标准。

随着全球数字化和万物互联的加速，传统物理边界已经被彻底打破，以“零信任”理念重构安全防御体系近年来被广泛认可。但在方案设计、技术实现、测试评估、实际部署等阶段缺乏统一、准确的标准指导，一直是零信任产业发展的一大桎梏。

《规范》的发布填补了国内零信任领域的技术标准空白。据了解，其由腾讯安全牵头起草，联合公安部第三研究所、国家计算机网络应急技术处理协调中心、中国移动设计院等业内16家零信任厂商、测评机构及用户共同编制。编制过程充分借鉴国际零信任标准构建的相关理念和实践经验，并深入考虑国内的市场现状和未来发展需求，对零信任理念及相关技术在国内的发展和应用具有重要的指导作用。

从内容来看，《规范》规定了零信任系统用户在“访问资源”和“服务之间调用”两种场景下，应有的功能及性能技术要求和相应的测试方法，包括逻辑架构、认证、访问授权管理、传输安全、安全审计、自身安全等方面。适用于零信任系统的设计、技术开发和测试，让“零信任”行业拥有了标准化技术规范，对于引导产业技术发展以及企业开展零信任实践，都具有很强的借鉴意义和参考价值。


零信任的应用场景

零信任在所有需要对资源访问进行安全防护的场景都可以使用，主要场景分为两类，一类是站在发起方，用户访问资源的场景，指的是用户访问内部资源时，如何验证用户是可信的， 如何确保访问来源终端可信，如何确认拥有访问资源权限。

另外一类是站在服务方，即服务资源之间如何安全的互相访问。但是否采用，应根据企业可接受的安全风险水平和投入综合考虑决定。

用户访问资源场景技术要求

用户访问资源场景下，主要包括四个逻辑组件：访问主体，零信任网关，零信任控制中心和访问客体。其中访问主体为资源访问发起方，零信任网关提供对来访请求的转发和拦截功能，零信任控制中心提供对来访请求的认证和持续访问控制功能，访问客体提供被访问的资源。

另外，系统还可以通过联动接口，与身份认证、安全分析、入侵检测方面的其他系统进行对接。


服务之间访问场景技术要求

服务之间访问场景下，主要包含两个逻辑组件：策略控制点和策略执行点。策略控制点负责鉴权和授权判断，并提供业务流的可视化能力；策略执行点用于执行访问控制决策，允许/拒绝通信或进行协商加密；有时也会将工作负载的相关信息同步给安全控制中心，从而辅助其进行决策。

策略执行点有两种形态：一是部署在工作负载上的服务端代理，另一种是运行在网络上的网关。


此外，《规范》还对“用户访问资源”和“服务之间访问”场景下，应有的功能、系统自身安全、性能、部署、容灾技术要求以及测试方法进行了具体解读。