零信任安全是一种IT安全模型，要求每个试图访问私有网络资源的人员和设备都进行严格身份验证，无论他们是在网络边界内还是外部。 ZTNA是与零信任架构相关的主要技术；但零信任是一种综合性的网络安全方法，涵盖了多种原则和技术。
简单来说，传统的IT网络安全信任网络内部的任何人和任何事物。零信任架构则不信任任何人和任何事物。
传统的IT网络安全基于城堡和护城河的概念。在城堡和护城河安全中，从网络外部获得访问权限很困难，但网络内部的每个人默认都是受信任的。这种方法的问题在于一旦攻击者获得对网络的访问权限，他们就可以自由地控制网络内的一切。
城堡和护城河安全系统中的这种漏洞加剧了一个事实，即公司不再只将其数据存储在一个地方。如今，信息通常分散在云供应商之间，这使得对整个网络拥有单一安全控制变得更加困难。
零信任安全意味着无论是来自网络内部还是外部的任何人都不能默认受信任，并且每个试图访问网络资源的人都需要进行验证。这个额外的安全层已经被证明可以防止数据泄露。研究表明，单个数据泄露的平均成本超过300万美元。考虑到这个数字，许多组织现在急于采用零信任安全策略也就不足为奇了。
零信任的主要原则
持续监视与验证
零信任网络背后的理念是假设网络内外都存在攻击者，因此不应自动信任任何用户或机器。零信任验证用户身份和权限，同时验证设备身份和安全性。一旦建立，登录和连接会定期超时，强制用户和设备持续进行重新验证。
最小特权访问
零信任安全的另一个原则是最小特权访问。这意味着仅授予用户所需的访问权限，就像一位军事将领根据需要告知士兵的信息一样。这将最小化每个用户对网络敏感部分的曝露。
设备访问控制
除了对用户访问的控制外，零信任还要求对设备访问进行严格控制。零信任系统需要监控试图访问其网络的设备数量，确保每个设备都经过授权，并评估所有设备以确保它们没有被入侵。这进一步减小了网络的攻击面。
微分割
零信任网络还利用微分割。微分割是将安全边界分割成小区域的做法，以保持网络不同部分的独立访问。例如，一个使用微分割的存储文件在单个数据中心的网络可能包含数十个独立的安全区域。拥有对其中一个区域的访问权限的个人或程序将无法在没有单独授权的情况下访问任何其他区域。
防止横向移动
在网络安全中，"横向移动"是指攻击者在获得对网络的访问权限后在网络内移动的行为。即使攻击者的入口点被发现，横向移动也很难被检测到，因为攻击者已经成功入侵了网络的其他部分。
零信任旨在限制攻击者的行动范围，使其无法进行横向移动。由于零信任访问是分段的，并且需要定期重新建立，攻击者无法跨越网络中的其他微分割。一旦发现攻击者的存在，被入侵的设备或用户帐户可以被隔离，断开与进一步访问的联系。（在城堡和护城河模型中，如果攻击者可以进行横向移动，隔离原始被入侵的设备或用户几乎没有效果，因为攻击者已经进入了网络的其他部分。）
多因素认证（MFA）
多因素认证（MFA）也是零信任安全的核心价值之一。MFA意味着需要多个证据来验证用户身份；仅输入密码是不足以获得访问权限的。常见的MFA应用是在Facebook和Google等在线平台上使用的两因素授权（2FA）。除了输入密码外，启用这些服务的2FA的用户还必须输入发送到另一个设备（如手机）的代码，从而提供了两个证据，证明他们是他们所声称的身份。
零信任的好处有哪些？
相较于传统的安全方法，零信任作为一种理念更适合现代IT环境。由于许多用户和设备都需要访问内部数据，而数据存储在网络内外（云中），假设没有用户或设备是可信的，要比假设预防性安全措施已经填补了所有漏洞更安全。
应用零信任原则的主要好处是帮助减少组织的攻击面。此外，通过微分割将入侵限制在一个小区域内，零信任在攻击发生时减少了损害，并降低了恢复的成本。通过要求多个身份验证因素，零信任减少了用户凭据盗窃和网络钓鱼攻击的影响。它有助于消除绕过传统以周边为导向的保护的威胁。
通过验证每个请求，零信任安全降低了脆弱设备（包括物联网设备）带来的风险，这些设备通常难以保护和更新（参见物联网安全）。
零信任的最佳实践
监控网络流量和连接设备：为了验证和认证用户和设备，可见性至关重要。
保持设备更新：漏洞需要尽快修补。零信任网络应该能够限制对脆弱设备的访问（这也是监控和验证的关键原因之一）。
对组织中的每个人应用最小特权原则：从高管到IT团队，每个人应该拥有他们所需的最小访问权限。如果一个终端用户帐户被入侵，这将最小化损害。
划分网络：将网络划分为较小的部分有助于确保入侵在传播之前被及早隔离。微分割是一种有效的方法。
假设网络边界不存在：除非网络完全隔离（这是罕见的），与互联网或云接触的点可能太多，无法消除。
使用安全密钥进行多因素认证：基于硬件的安全令牌明显比通过短信或电子邮件发送的一次性密码（OTP）等软令牌更安全。
整合威胁情报：由于攻击者不断更新和完善他们的策略，订阅最新的威胁情报数据源对于在威胁传播之前识别威胁至关重要。
避免激励终端用户绕过安全措施：就像过于严格的密码要求会激励用户反复使用相同的密码一样，强制用户每小时通过多个身份因素重新进行身份验证可能过于繁琐，反而会降低安全性。始终牢记终端用户的需求。
原文：https://www.cloudflare.com/learning/security/glossary/what-is-zero-trust/
