第?1?章著重講解數(shù)字化時代企業(yè)安全面臨的挑戰(zhàn)，包括：混合辦公、業(yè)務上云的安全挑戰(zhàn)，移動終端面臨的威脅，內(nèi)網(wǎng)邊界被突破的威脅，數(shù)據(jù)安全的監(jiān)管合規(guī)約束，身份安全的治理難點，用戶訪問場景安全的平衡性挑戰(zhàn)。
第?2?章對零信任的核心概念、解決方案及標準進行介紹。首先，講解零信任的理念和相關(guān)概念，以及重要的解決方案。其次，介紹國內(nèi)外零信任相關(guān)標準的發(fā)展進程。
第?3?章對零信任體系結(jié)構(gòu)進行講解，包括NIST、SDP的零信任體系結(jié)構(gòu)及通用的零信任體系結(jié)構(gòu)，以及這些體系結(jié)構(gòu)在不同場景的應用，后介紹了零信任體系結(jié)構(gòu)面臨的相關(guān)威脅。
第?4?章主要分析用戶訪問服務場景及技術(shù)方案，包括場景分析、零信任網(wǎng)絡接入的技術(shù)實現(xiàn)和擴展體系結(jié)構(gòu)。其中技術(shù)實現(xiàn)分為有端和無端兩種不同的接入場景，分別講解了不同的實現(xiàn)方案，同時提供了容災方案。而擴展體系結(jié)構(gòu)部分則從身份安全、網(wǎng)絡流量安全、終端設備安全、數(shù)據(jù)安全、企業(yè)安全建設路徑等方面展開講解，涉及具體安全能力和聯(lián)動建議。
第?5?章主要講解服務訪問服務場景及技術(shù)方案。首先分析工作負載的安全需求和合規(guī)需求。然后著重介紹了微隔離的技術(shù)實現(xiàn)，包括跨平臺統(tǒng)一管理、工作負載標簽化管理、東西向連接可視化、東西向流量策略管理、策略自適應計算。接著講解了云應用隔離的技術(shù)實現(xiàn)，包括Service Mesh、PKI等方面。
第?6?章首先講解零信任體系規(guī)劃，然后從安全團隊建設、戰(zhàn)略、建設價值、實施范圍、業(yè)務場景的實現(xiàn)方案、實施過程管理等角度提供了完善的零信任建設方法論，并且通過零信任成熟度來合理評估建設結(jié)果。
第?7?章主要通過9個真實的企業(yè)案例來講解零信任落地方案。這些案例覆蓋通信、金融、能源、互聯(lián)網(wǎng)等行業(yè)，其中有些來自央企/國企集團。為各個安全領(lǐng)域的讀者提供了豐富的實踐參考。
（1）作者權(quán)威：蔡東赟有十幾年安全領(lǐng)域從業(yè)經(jīng)驗，先曾任職于金山、奇虎360、騰訊安全部門，主導或參與了國際、行業(yè)的首個零信任標準制定。
（2）專家力薦：騰訊企業(yè)安全中心高級總監(jiān) 蔡晨、零信任產(chǎn)業(yè)標準工作組秘書長黃超、信通院開源和軟件安全部主任 郭雪、賽博英杰/正奇學苑創(chuàng)始人 譚曉生，閱后好評，領(lǐng)銜推薦。
（3）個人實戰(zhàn)借鑒：融合18家企業(yè)機構(gòu)44位安全專家的一線建議與案例，總結(jié)百萬級用戶量的零信任產(chǎn)品的設計研發(fā)、落地實施經(jīng)驗。
（4）企業(yè)落地參考：提供9個真實的企業(yè)案例，覆蓋通信、金融、能源、互聯(lián)網(wǎng)等行業(yè)，涉及央企/國企集團，為企業(yè)提供完整的零信任建設思路。
為什么要寫這本書
隨著企業(yè)遠程辦公需求的增加及數(shù)字化轉(zhuǎn)型的迅速發(fā)展，企業(yè)越發(fā)關(guān)注安全建設，零信任市場呈現(xiàn)火熱態(tài)勢。國內(nèi)外各大型網(wǎng)絡安全會議的召開，也使得零信任議題格外突出，大量與零信任相關(guān)的產(chǎn)品、論壇、詞匯和概念頻繁出現(xiàn)，許多人對這些概念及其關(guān)系感到困惑。業(yè)界各類角色，如客戶、政府、廠商、研究機構(gòu)，由于接觸到的信息不同，也存在著各說各話、溝通不暢的問題。
隨著零信任建設的推進，到2023年，已經(jīng)出現(xiàn)了許多零信任架構(gòu)標準、技術(shù)實現(xiàn)標準甚至評估標準。對于技術(shù)實現(xiàn)，不同角色有自己的考量，具體的實施方案因人而異�，F(xiàn)在業(yè)界形成了多樣化的方案，積累了豐富的落地實踐經(jīng)驗。在開放性上，筆者以前所從事的界面開發(fā)框架、后臺服務組件等領(lǐng)域能夠通過開源方式促進技術(shù)的交流與發(fā)展，而在安全領(lǐng)域，開源受到制約，原因是：首先，產(chǎn)品進行開源確實會增加被攻擊利用的風險；其次，客戶也會對此有一些安全上的擔憂。
在此背景下，筆者認為，撰寫一本介紹零信任安全的書將有利于業(yè)界的技術(shù)交流，幫助更多從業(yè)者了解這一方向的方案和技術(shù)。此外，筆者曾主導或參與過一些零信任標準制定工作，認識到相關(guān)標準對于推動零信任落地的重要性，因此本書還介紹了國內(nèi)和國際上的主要零信任標準。
無論企業(yè)還是研究機構(gòu)，深入了解零信任，提升認知，更能達成廣泛的共識，加速這個行業(yè)的發(fā)展。這也是筆者撰寫本書的初衷。
讀者對象
企業(yè)信息化建設人員
企業(yè)數(shù)字化轉(zhuǎn)型人員
網(wǎng)絡安全部門決策者
網(wǎng)絡安全領(lǐng)域從業(yè)人員
其他對零信任安全感興趣的人員
如果你是一位初學者，本書會是一本不錯的入門工具書，可以幫你理順并串聯(lián)起分散于社區(qū)文檔、博客文章和報告中的關(guān)于零信任的零散概念和前沿研究。
如果你是一位有經(jīng)驗或資深的從業(yè)者，本書會是一份實用的零信任建設指導手冊，帶你深入探索零信任的整體實施方案。
如何閱讀本書
本書共7章內(nèi)容。
第1章著重講解數(shù)字化時代企業(yè)安全面臨的挑戰(zhàn)，包括：混合辦公、業(yè)務上云的安全挑戰(zhàn)，移動終端面臨的威脅，內(nèi)網(wǎng)邊界被突破的威脅，數(shù)據(jù)安全的監(jiān)管合規(guī)約束，身份安全的治理難點，用戶訪問場景安全的平衡性挑戰(zhàn)。
第2章對零信任的核心概念、解決方案及標準進行介紹。首先，講解零信任的理念和相關(guān)概念，以及重要的解決方案。其次，介紹國內(nèi)外零信任相關(guān)標準的發(fā)展進程。
第3章對零信任體系結(jié)構(gòu)進行講解，包括NIST（美國國家標準技術(shù)研究所）、SDP（軟件定義邊界）的零信任體系結(jié)構(gòu)及通用的零信任體系結(jié)構(gòu)，以及這些體系結(jié)構(gòu)在不同場景的應用，最后介紹了零信任體系結(jié)構(gòu)面臨的相關(guān)威脅。
第4章主要分析用戶訪問服務場景及技術(shù)方案，包括場景分析、零信任網(wǎng)絡接入的技術(shù)實現(xiàn)和擴展體系結(jié)構(gòu)。其中技術(shù)實現(xiàn)部分分為有端和無端兩種不同的接入場景，分別講解了不同的實現(xiàn)方案，同時提供了容災方案。而擴展體系結(jié)構(gòu)部分則從身份安全、網(wǎng)絡流量安全、終端設備安全、數(shù)據(jù)安全、企業(yè)安全建設路徑等方面展開講解，涉及具體安全能力和聯(lián)動建議。
第5章主要講解服務訪問服務場景及技術(shù)方案。首先分析工作負載的安全需求和合規(guī)需求。然后著重介紹了微隔離的技術(shù)實現(xiàn)，包括跨平臺統(tǒng)一管理、工作負載標簽化管理、東西向連接可視化、東西向流量策略管理、策略自適應計算。接著講解了云應用隔離的技術(shù)實現(xiàn)，包括Service Mesh（服務網(wǎng)格）、PKI（公鑰基礎(chǔ)設施）等方面。
第6章首先講解零信任體系規(guī)劃，然后從安全團隊建設、戰(zhàn)略、建設價值、實施范圍、業(yè)務場景的實現(xiàn)方案、實施過程管理等角度提供了完善的零信任建設方法論，并且通過零信任成熟度來合理評估建設結(jié)果。
第7章主要通過9個真實的企業(yè)案例來講解零信任落地方案，這些案例覆蓋通信、金融、能源、互聯(lián)網(wǎng)等行業(yè)，其中有些來自央企/國企集團。
勘誤和支持
由于筆者的水平有限，書中難免會出現(xiàn)一些錯誤或者不準確的地方，懇請讀者批評指正。
蔡東赟
擁有十幾年的信息安全領(lǐng)域從業(yè)經(jīng)驗，先后在金山、奇虎 360 和騰訊任職。
在個人經(jīng)歷方面，具備甲乙兩方的安全建設和產(chǎn)品研發(fā)經(jīng)驗，曾負責 360 天擎架構(gòu)和騰訊內(nèi)網(wǎng) iOA的重構(gòu)，推動了騰訊 iOA 對外商業(yè)化輸出。負責的項目涉及零信任安全、終端安全防護、APT 威脅檢測、網(wǎng)絡準入、身份認證、數(shù)據(jù)安全等方案或產(chǎn)品的研發(fā)和建設工作。曾獲得 Forrester ZTX-I 安全專家資質(zhì)認證 / 安全戰(zhàn)略專家認證。
在行業(yè)貢獻方面，擔任技術(shù)支撐角色，參與制定了首個國際零信任標準——ITU-T“Guidelines
for continuous Protection of the service access process”, 參與制定了首個行業(yè)零信任標準——《零信任安全技術(shù)參考框架》，已獲工信部通過。作為零信任產(chǎn)業(yè)標準工作組的首席技術(shù)專家，主導產(chǎn)出了《零信任實戰(zhàn)白皮書》《零信任系統(tǒng)接口應用白皮書》《零信任數(shù)據(jù)安全白皮書》等技術(shù)研究成果。
前言
特別鳴謝
第1章 企業(yè)安全面臨的新挑戰(zhàn)1
1.1 混合辦公、業(yè)務上云的安全挑戰(zhàn)1
1.1.1 混合辦公2
1.1.2 業(yè)務上云2
1.2 移動終端面臨的威脅3
1.2.1 移動終端存在安全隱患3
1.2.2 跨團隊協(xié)作更加頻繁，員工主動泄密風險加大4
1.2.3 業(yè)務混合云部署的安全風險加大4
1.3 內(nèi)網(wǎng)邊界被突破的威脅4
1.3.1 辦公網(wǎng)絡面臨威脅4
1.3.2 數(shù)據(jù)中心內(nèi)部流量管控難度加大5
1.4 數(shù)據(jù)安全的監(jiān)管合規(guī)約束6
1.4.1 企業(yè)數(shù)據(jù)合規(guī)風險激增6
1.4.2 海量數(shù)據(jù)的分級分類訪問控制面臨新挑戰(zhàn)6
1.4.3 企業(yè)內(nèi)部人員泄密更加隱蔽和難以防范7
1.4.4 個人隱私保護面臨挑戰(zhàn)7
1.5 身份安全的治理難點7
1.5.1 身份管理對象復雜8
1.5.2 身份統(tǒng)一管理的需求激增8
1.5.3 權(quán)限治理的實時性挑戰(zhàn)增大8
1.6 用戶訪問場景安全的平衡性挑戰(zhàn)9
1.6.1 在不影響業(yè)務效率的情況下保障安全9
1.6.2 保證安全彈性，適應業(yè)務需求變化9
第2章 零信任的核心概念、解決 方案及標準10
2.1 零信任理念和相關(guān)概念11
2.1.1 零信任理念11
2.1.2 零信任模型14
2.1.3 零信任系統(tǒng)16
2.1.4 零信任網(wǎng)絡17
2.1.5 零信任體系結(jié)構(gòu)18
2.2 零信任解決方案19
2.2.1 微分區(qū)20
2.2.2 微隔離20
2.2.3 軟件定義邊界20
2.3 國內(nèi)外相關(guān)標準21
2.3.1 標準化的原因及作用21
2.3.2 零信任國際標準進程23
2.3.3 零信任國內(nèi)標準進程27
2.3.4 國內(nèi)實踐在國際標準上的突圍28
2.3.5 現(xiàn)狀：零信任在標準中的定義29
第3章 零信任體系結(jié)構(gòu)30
3.1 零信任體系結(jié)構(gòu)的定義30
3.2 零信任體系結(jié)構(gòu)的基本原則31
3.3 典型的零信任體系結(jié)構(gòu)31
3.3.1 NIST零信任體系結(jié)構(gòu)32
3.3.2 SDP 零信任體系結(jié)構(gòu)34
3.4 通用的零信任體系結(jié)構(gòu)35
3.5 不同場景的零信任體系結(jié)構(gòu)
應用36
3.5.1 用戶訪問資源場景36
3.5.2 服務間訪問場景38
3.6 零信任體系結(jié)構(gòu)的相關(guān)威脅 40
3.6.1 破壞訪問決策過程40
3.6.2 拒絕服務或網(wǎng)絡中斷40
3.6.3 憑證被盜和內(nèi)部威脅40
3.6.4 網(wǎng)絡攻擊威脅41
3.6.5 系統(tǒng)存儲網(wǎng)絡訪問信息41
3.6.6 依賴專有的數(shù)據(jù)格式或解決方案42
3.6.7 體系結(jié)構(gòu)管理中非個人實體的使用42
第4章 用戶訪問服務場景及技術(shù) 方案44
4.1 場景概述44
4.1.1 主流辦公場景分析44
4.1.2 政策合規(guī)場景分析45
4.2 零信任網(wǎng)絡接入52
4.2.1 零信任網(wǎng)絡接入的實現(xiàn)框架52
4.2.2 有端接入場景和實現(xiàn)方案53
4.2.3 無端接入場景和實現(xiàn)方案78
4.2.4 部署容災方案79
4.3 零信任網(wǎng)絡接入的擴展體系結(jié)構(gòu)80
4.3.1 身份安全82
4.3.2 網(wǎng)絡流量安全93
4.3.3 終端設備安全96
4.3.4 數(shù)據(jù)安全97
4.3.5 企業(yè)安全建設路徑100
第5章 服務訪問服務場景及技術(shù) 方案101
5.1 場景概述101
5.1.1 工作負載訪問場景分析101
5.1.2 政策合規(guī)場景分析103
5.2 技術(shù)實現(xiàn)105
5.2.1 微隔離技術(shù)實現(xiàn)105
5.2.2 云應用隔離技術(shù)實現(xiàn)117
第6章 零信任體系規(guī)劃和建設 指引123
6.1 零信任體系規(guī)劃123
6.1.1 體系規(guī)劃概述124
6.1.2 關(guān)鍵對象的安全規(guī)劃125
6.1.3 安全指標142
6.2 零信任建設指引145
6.2.1 安全團隊建設145
6.2.2 零信任戰(zhàn)略147
6.2.3 零信任建設價值147
6.2.4 零信任實施范圍151
6.2.5 實際業(yè)務場景的實現(xiàn)方案153
6.2.6 零信任實施過程管理155
6.2.7 零信任成熟度167
第7章 核心行業(yè)的零信任應用 實戰(zhàn)172
7.1 通信行業(yè)應用實戰(zhàn)172
7.1.1 某運營商遠程辦公的零信任建設案例172
7.1.2 某移動通信公司DCN網(wǎng)絡的零信任建設案例176
7.2 金融行業(yè)應用實戰(zhàn)181
7.2.1 某互聯(lián)網(wǎng)金融企業(yè)的零信任建設案例181
7.2.2 某頭部證券公司的零信任建設案例186
7.3 能源行業(yè)應用實戰(zhàn)：某能源集團
數(shù)字化轉(zhuǎn)型的零信任建設案例190
7.4 互聯(lián)網(wǎng)行業(yè)應用實戰(zhàn)193
7.4.1 某全球綜合性公司的零信任建設案例193
7.4.2 某大型智能科技集團的零信任建設案例199
7.5 央企/國企應用實戰(zhàn)204
7.5.1 某央企集團的零信任建設案例204
7.5.2 某大型國企集團的零信任建設案例208
后記214
書單推薦
