2010 年，Forrester Research 分析师 John Kindervag 提出了一种他称为“Zero Trust”的解决方案。 

该解决方案将“信任，但也要验证”这一策略转变为了“永不信任，始终验证”。在 Zero Trust 模式下，在验证身份和授权之前，不信任要访问资源的任何用户或设备。这种策略适用于通常在专用网络内的人员，例如在家里通过公司计算机远程办公的员工，或者在世界各地参加会议时使用移动设备的员工，也适用于专用网络之外的每个人或设备。无论您之前是否访问过网络或是访问过多少次，都没有区别，您在每次访问时都需要验证身份，否则就无法获得信任。其理念是，除非经过验证，否则您应该假设每一个机器、用户和服务器都不可信。

在过去，城堡和护城河安全策略似乎是可行的，并且一度盛行，而网络边界策略的概念是网络边界（或防御层）之外的所有人都是“坏人”，边界之内的所有人都是“好人”。在现实世界中，城堡和护城河已成历史；在网络世界中，城堡和护城河式安全策略也应当淘汰。想想远程办公的现状。如今的员工队伍和工作场所已经发生了变化，人们工作的时间、方式和地点均已经突破了办公室的限制。随着云的兴起，以往的网络边界不复存在。用户和应用程序有可能位于防御层之外，也有可能位于防御层之内，两种情况的可能性相当。这给边界带来了漏洞，而恶意攻击者可以利用这些漏洞发起攻击。攻击者一旦突破防御层，就可以自由移动，访问资源和高价值资产，如客户数据（相当于以前的皇冠上的宝石！），或发起勒索软件攻击。

想象一下， Zero Trust 模式 就像一名警惕性极强的保安，即使认出了您，在允许您进入办公楼之前，也会有条不紊地反复检查您的证件，而且在您每次要进入办公楼时，都会重复这套流程，验证您的身份。 

Zero Trust 模式依赖于对每个设备和个人的高强度身份验证和授权，无论设备和个人是在网络边界之内还是之外，验证通过后才能在专用网络上进行任何访问或数据传输。该过程还会结合分析、筛查和记录来验证行为的正确性，以及持续监控入侵信号。如果用户或设备表现出不同以往的行为迹象，则会将其记录下来并视为疑似威胁进行监控。例如，Acme Co. 的 Marcus 通常从美国俄亥俄州哥伦布市登录内网，但这一天，他尝试从德国柏林访问 Acme 的内网。即使 Marcus 的用户名和密码输入正确，Zero Trust 策略也会识别出 Marcus 行为中的异常并采取措施，例如向 Marcus 提出其他身份验证质询，以核实他的身份。 

这种策略上的基本转变有效抵御了许多常见安全威胁。攻击者无法再利用边界中的漏洞，然后通过进入防御层来滥用您的敏感数据和应用程序。现在没有护城河了。只有应用程序和用户，每个应用程序或每位用户在访问发生前均必须相互验证身份并验证授权。当两方同时相互验证时，就会发生“相互身份验证”，例如具有登录名和密码的用户，以及用户通过数字证书连接的应用程序。

如今的 Zero Trust 安全模式已经得到拓展。基于其原则的实现形式众多，包括 Zero Trust 架构 (ZTA)、Zero Trust 网络访问 (ZTNA) 和 Zero Trust 边缘 (ZTE)。Zero Trust 安全有时也称为“无边界安全”。

不要将 Zero Trust 视为一种单独的技术。相反，Zero Trust 架构利用了各种不同的技术和原则，通过防御型技术应对常见安全挑战。随着工作和家庭之间的界限不复存在，日益分散的远程办公员工队伍成为常态，这些组件旨在提供高级威胁防护。

• 控制所有资产之间的网络流动
• 验证身份并授予云访问权限
• 身份验证和授权，包括多重身份验证 (MFA)
• 提供特定应用程序访问权限，而非整个网络的访问权限
• 对所有应用程序（IaaS、SaaS 和本地）的最低权限用户访问
• 淘汰 VPN
• 服务插入
• 边缘安全
• 应用程序性能得到提升
• 加强安全状况，抵御高级威胁

Zero Trust 架构可为用户无缝运行，有助于防御网络攻击并简化基础架构要求。Zero Trust 架构的不同组件可以：

IT 团队需要确保用户和设备可以安全连接到互联网（无论用户和设备从何处连接），并且无需面对与传统方法相关的复杂性。此外，IT 团队还需要主动识别、阻止和抵御定向威胁，例如恶意软件、 勒索软件、网络钓鱼、DNS 数据外泄以及高级零日攻击，以保障用户安全。Zero Trust 安全可以改善安全状况，同时降低恶意软件的风险。

传统的访问技术（比如 VPN）依赖于过时的信任原则，特别容易因用户凭据被盗而产生漏洞。IT 部门需要重新考虑其访问模式和技术以确保业务安全，同时仍然要为所有用户（包括第三方用户）提供快速、简单的访问服务。Zero Trust 安全可以降低风险和复杂性，同时提供一致的用户体验。

企业访问和安全性是复杂且不断变化的。使用宝贵的资源对传统企业技术进行更改通常需要数天时间（常会涉及许多硬件和软件组件）。Zero Trust 安全模式可以降低架构复杂性。

总而言之，越来越多的现代员工采用移动办公模式，从业务边界之外的多个设备访问应用程序。在过去，许多企业采用“验证，然后信任”的模式，这意味着，如果某人拥有正确的用户凭据，就可以使用请求的任何网站、应用程序或设备。这导致暴露的风险增加，从而瓦解了曾经值得信任的企业控制区域，并使许多公司面临数据泄露、恶意软件和勒索软件攻击的风险。现在需要在应用程序、数据以及用户和设备所在的特定数字基础架构中提供保护。

• 用户、设备、应用程序和数据正在移至企业边界和控制区域之外，远离传统数据中心
• 数字化转型带来的新业务要求增加了风险
• “信任，但也要验证”的理念不再适用，因为高级定向威胁正在移至企业边界之内
• 传统防御层非常复杂，会增加风险，并且不再与当今的业务模型兼容
• 为了提高竞争力，企业需要一种 Zero Trust 网络架构，该架构必须能够保护企业数据（无论用户和设备在哪里），同时还要确保应用程序快速无缝地运行

结合 Akamai 的云安全服务，构建适合您特定业务需求的完整 Zero Trust 解决方案。通过在云原生世界中实现安全的应用程序访问，您就可以安心淘汰内部公司网络。

通过我们高级的分布式 ZTNA 解决方案以及 20 多年全球 Akamai Intelligent Edge Platform 提供的强大助力，您可以轻松地迁移到一个没有边界的环境中，在此过程中，您将分阶段过渡应用程序，保护您的业务并实现增长。

Akamai MFA 可以防范员工帐户接管攻击和数据泄露，并提供出色的安全性。通过端到端加密和密封的质询/响应流程提供安全保护。这种方法使得身份验证过程兼顾了防钓鱼功能和保密性。

《Zero Trust 安全架构发展蓝图》

操作指南：Zero Trust 安全转型