今年年初，Gartner发布了“2022-23八大网络安全预测”，警告企业不仅需要为坏性更强的网络攻击做好准备，同时还要在业务和管理层中确立新的安全价值观。Gartner建议企业优先考虑将网络安全投资作为风险管理的核心，并将其视为对业务的投资。其中，零信任被提及，被指出“零信任将在风险管理中发挥关键作用。”

“Gartner将零信任架构(ZTA)定义为一种‘用基于身份和上下文的持续评估的风险和信任级别取代隐式信任的架构，以适应风险优化的安全态势。’”这意味着信任必须是明确的，任何访问零信任架构资源的请求都需要进行风险计算。风险计算综合考虑了各种信号，例如设备位置、用户断言的可信度、威胁情报、时间日期以及所请求应用程序的数据敏感性。只有当计算出的风险小于扩展访问权限的价值时，用户才会被授予访问权限。

零信任“永不信任、始终验证”的特性，正是将信任的边界划分的更清晰，明确了概念。包括企业在实施零信任策略时，可以遵循如下步骤：

步骤1:分割网络

传统的网络安全有一个犹如护城墙的信任边界：企业网络的边界。而零信任是无边界的，它是基于用户划分访问权限的。所以，在分割的网络中有许多安全区域，只有具有访问权的人才能访问。零信任消除了攻击者获得一个安全区域的访问权后自动获得其他安全区域访问权的可能性。

步骤2:实现访问管理和身份验证

无论是否为零信任，多因素身份验证(MFA)都是实现更好安全性的基本组成部分。在零信任系统下，应该要求用户使用至少两种或两种以上身份验证方法，并且可能针对不同设备的访问使用不同的方法。除了MFA还需要具有细粒度访问控制的能力，严格限制用户访问权限。

步骤3:将最小权限原则扩展到防火墙

零信任不仅涉及用户用来连接到网络的资产，还涉及产生的网络流量。所以，应建立防火墙规则，将网段之间的网络流量限制为完成任务绝对需要的流量，而不是从一开始就打开端口，为攻击者留下一个开放的路径。

步骤4:防火墙应该能够根据上下文感知流量

如果合法应用程序被恶意劫持，或者DNS欺骗将用户发送到恶意网页，该怎么办?为了防止类似的问题，必须确保防火墙正在查看所有入站和出站流量，以确保它看起来符合应用程序的目的，并根据黑名单、DNS规则等其他数据进行检查。

步骤5:收集并实际分析安全日志事件

零信任，就像任何其他网络安全框架一样，需要不断分析，以发现其弱点，并确定在哪里加强其能力。可以使用SIEM系统来做大量的分析工作，节省安全事件分析的时间，这样IT领导者就可以为未来的攻击做更多的计划。

这五个步骤虽然没有涉及NIST模型或其它类型的完全构思的零信任架构的更详细的元素，却是实现零信任的基础。云至深作为零信任SDP专业厂商，自研设计的深云SDP产品以软件为边界，结合深云SDP网关，基于端口动态授权的网络隐身技术构建起一张隐形的互联网（或者在专网中构建起一张隐形的虚拟边界小专网，以下仅以互联网应用为例说明），即互联网应用只对“特定用户+特定设备”可见，对其他人完全不可见，并且该用户访问应用的行为可以进行严格控制和记录。

这种模式很好地解决了政府部门/企业移动办公、上云带来的应用暴露在公网的问题，同时也可以加固现有内网办公的安全性。打个比喻来说，该产品帮助政府部门/企业构建起了一座外界看不见的数字“地下城”（如下图所示）。而且该产品和传统攻防安全并不矛盾，可以叠加使用。