零信任安全机制是基于“隐性信任始终是一个漏洞”这一看法而创建的概念，因此必须根据“从不信任，始终验证”的策略来设计安全性。零信任的最简单形式是，它使用严格执行的身份和设备验证流程来限制对 IT 资源的访问。

零信任身份认证 (ZTI) 和零信任访问 (ZTA) 均可确保：在默认情况下，不会信任位于任何位置的任何类型的任何设备或用户，而零信任网络访问 (ZTNA) 则将经过验证的用户和设备限制为只能访问特定网段，而不是授予他们对整个网络的访问权限。

在用户和设备获得对受保护资源的访问权限之前，零信任对它们实施严格的安全控制。零信任身份验证和授权使用最低权限原则 (PoLP)，即在传输单个数据包之前授予使用给定功能所需的绝对最低权限。

由于访问网络资源的方式发生了变化，这种做法变得很有必要。存在网络边界或仅能通过 VPN 进行访问的日子已经一去不复返了；如今，越来越多的员工移动办公并且在家办公的趋势不断发展，这就要求考虑为用户采用新的安全方法，而容器和微服务计算的分布性日益提高意味着，设备间的连接也在不断增加。

因此，零信任要求相互进行身份验证来确认任何位置的设备的身份和完整性，以便根据设备身份、设备运行状况和用户身份验证的总置信度授予访问权限。

零信任网络体系架构解决了随着网络拓扑和使用情况的变化而演变的两个弱点。传统上，网络安全是由边界（即，企业网络“内部”和“外部”之间具有明确的分界点）定义的。这种方法通常会向网络边界“内”用户和设备授予广泛的访问权限，这样，一个网段上的设备可能会看到企业网络边界内的所有其他网段。

如今，计算设备和访问分布广泛，这要利用云、移动设备、边缘和物联网组件，这些组件的分界点变得模糊，使得保护边界变得越来越困难。由于 ZTNA 假设网络边界内外的一切都是不可信的，因此每次访问时都要针对每个事务和连接进行身份验证。通过身份验证后，ZTNA 会创建一个微分段网络，对该网络的访问极其有限。零信任身份认证不是基于 IP 地址，而是基于逻辑属性，如虚拟机名称。

零信任应用场景有很多，其中包括：限制供应商和承包商等外部第三方的访问、隔离物联网设备，以及为日益增多的移动办公员工提供安全的远程连接。

面向供应商和承包商的零信任。

有许多值得注意的安全泄露事件是由“受信任的”第三方造成的，例如臭名昭著的 Target 泄露事件。为外部企业提供广泛的访问权限可能是灾难性的。零信任通过两种方式解决此问题，第一种是使用多因素身份验证或其他身份和访问管理 (IAM) 平台进行严格的身份验证，该平台可为每个外部方分配一种权限类别，该权限类别定义了他们在网络中的访问权限。此外，分段可能会限制对与第三方一起执行任务或交易所需的网络部分的访问。

零信任和物联网。

物联网设备的增长速度持续加快，预计到 2023 年，物联网设备将达到近 150 亿台。它们无处不在（安全功能通常有限），因此，就通过物联网访问网络资源而言，需要采用零信任方法。例如，可以将物联网设备隔离到专为此目的而设计的单个网段，从而限制遭入侵的物联网设备访问其他更敏感的网络资产，并限制威胁横向扩展到这些资产。

面向远程员工的零信任。

随着越来越多的员工因公司政策或疫情而在传统网络边界外工作，ZTNA 通过确保所有员工（无论是通过 VPN 还是在星巴克的公共 Wi-Fi 工作）安全地连接到完成工作所需的数据、服务和资源，来提供安全的员工访问权限并限制受攻击面。

零信任的主要原则是“从不信任，始终验证”。任何设备或用户都不可信，无论他们的位置、IP 地址或网络访问方法是什么。无论源位于何处，网络上的每次交互都始终需要进行验证。此外，为了实现预期目标，网络访问应限制在尽可能小的网段，因为大多数网络都由互联区域组成，其中包括本地部署基础架构、云、远程和移动用户。

对于 VMware 而言，零信任安全机制意味着构建一个更加强大和动态的现代安全体系架构，并更深入、更全面地建立信任。

为了实现这种更全面的零信任方法，VMware 为零信任体系架构提供了 5 个支柱。

零信任的主要原则是“从不信任，始终验证”。任何设备或用户都不可信，无论他们的位置、IP 地址或网络访问方法是什么。无论源位于何处，网络上的每次交互都始终需要进行验证。此外，为了实现预期目标，网络访问应限制在尽可能小的网段，因为大多数网络都由互联区域组成，其中包括本地部署基础架构、云、远程和移动用户。

对于 VMware 而言，零信任安全机制意味着构建一个更加强大和动态的现代安全体系架构，并更深入、更全面地建立信任。
为了实现这种更全面的零信任方法，VMware 为零信任体系架构提供了 5 个支柱。

1.设备信任

通过实施设备管理、设备盘点、设备合规性和设备身份验证等解决方案，企业可以大大地限制未经授权的用户获得设备访问权限并出于恶意目的而利用该访问权限的风险。

2.用户信任

用户信任包括密码身份验证、多因素身份验证、条件访问和动态评份，所有这一切均用于“证明”此用户实际上是经过授权和验证的用户。

3.传输/会话信任

传输/会话参数通过限制用户的访问权限并应用所需最低权限来执行给定工作，增强了针对资源的最低权限访问原则。

4.应用信任

使用单点登录 (SSO)、隔离和任何设备访问等工具可以增强应用信任参数。

5.数据信任

数据信任是 VMware 零信任模式的最后一个支柱。数据信任策略包括通过加密或不变性、数据完整性（经常检查数据完整性）、DLP（数据丢失防护）和数据分类来保护静态数据。

零信任的这五大支柱中的每一个都由体系架构层（包括可见性和分析以及自动化和编排）提供支持。

• 分析和自动化
  
  零信任的这五大支柱一起提供一种全面的安全方法来助力实现分析和自动化。通过在这五大支柱方法的基础上叠放分析和自动化解决方案，企业可以获得有关其安全状况的有指导意义的数据。
  
  在日志定位、维护含全部日志的中央存储库、利用仪表盘进行监控以及利用集中式控制台进行故障排除这几个流程中，均能使用零信任的五大支柱解决方案中的分析和自动化功能。
• 自动化和编排
  
  若要制定强大的零信任策略，需要通过更多的流程和策略来实现这一更加安全的环境。自动化和编排可将手动冗余流程转变为自动化的经编排方法，从而使这一流程更容易实现。
  
  在这里，诸如在设备上维护合规性引擎、通过 API 与外部程序和上下文工作流集成以实现自动修复等策略都可以助力实现更加自动化和安全的零信任方法。
  

一些工具和技术有助于实现零信任的最佳实践。下面列了对于能否取得成功最关键的最佳实践：

• 不信任任何事物，对一切均进行身份验证。
  
  假设所有设备都遭到了入侵，并且，对于任何未经验证的设备，都永远不要信任。ZTI 工具将身份控制推送到端点，以帮助确保在授予对企业资源的访问权限之前先注册设备。设备注册还简化了对每台被授予访问权限的设备进行识别和验证的流程，并可确保设备满足 ZTNA 安全要求。


• 采用网络微分段
  
  零信任网络体系架构一次仅授予对小型网段的访问权限，并且仅将访问权限授予确认有权访问每个网段的用户。用户和设备身份验证均在微分段级别执行。与每个微分段的连接基于“需要了解”模式。不传输 DNS 信息、内部 IP 地址，也不会传输内部网络基础架构的可见端口。

若要访问任何单个网段，用户必须通过严格的身份认证和设备验证过程。在建立通信会话之前，必须对每个会话进行身份验证、授权和计费 (AAA)。

若要实现零信任身份认证，网络身份认证应基于逻辑属性，例如多因素身份验证 (MFA)，传输层安全性 (TLS) 证书、应用服务或使用逻辑标签/标记。

• 基于最低权限原则 (PoLP) 限制访问
  
  PoLP 可对执行特定任务所需的权限和访问权限进行限制，将其限制在绝对最低限度。如果用户只需要读取访问权限，则不要授予读取或执行访问权限。
  
  PoLP 同样适用于用户和设备，因此，应仅向物联网设备、互联应用和微服务授予完成事务所需的最低级别权限。
  
  
• 部署多因素身份验证 (MFA)
  
  MFA 已成为消费银行和金融网站中的流行趋势，并且 MFA 作为零信任环境的一部分也非常有意义。通常，MFA 要求用户至少提供以下几点内容中的两点：


• 已知信息。密码、PIN 或用户记住的短语等密码信息
• 拥有的内容。用户拥有的对象或 Token（如智能手机或智能卡）可以生成或显示将与已知信息一起提供的一次性使用代码。
• 人类信息。生物识别信息可能包括指纹、面部扫描或视网膜扫描

仅在两个（或更多）因素将用户验证为合法用户后，才会进行身份验证。

若要维护零信任网络，IT 部门必须：

• 清楚地了解有权访问网络的所有用户和设备，以及他们开展工作所需的访问权限。
• 确保网络安全策略保持最新状态，并定期测试策略有效性，以确保没有忽略的漏洞。
• 持续监控合规性，包括持续监控网络流量中是否存在异常或可疑行为。
• 在流量级别以及流程和数据上下文级别实现可见性，以便更好地将正常流量映射到目标的更卓越的不规则通信模式。

借助 VMware Service-defined Firewall，企业可以从单一窗口深入了解相关信息并实施全面的策略控制措施。

为了全面实施零信任网络体系架构，VMware 提供了 VMware Service-defined Firewall，这是一种基于 VMware NSX 构建的可横向扩展的内部分布式防火墙，用于保护多云环境中的东西向流量。