面向IAM的零信任原则与指南
©2024云安全联盟大中华区版权所有1 ©2024云安全联盟大中华区版权所有2@2024云安全联盟大中华区－保留所有权利。你可以在你的电脑上下载.储存.展示.查看及打印，或者访问云安全联盟大中华区官网（https://www.c-csa.cn）。须遵守以下：（a）本文只可作个人.信息获取.非商业用途；（b）本文内容不得篡改；（c）本文不得转发；（d）该商标.版权或其他声明不得删除。在遵循中华人民共和国著作权法相关条款情况下合理使用本文内容，使用时请注明引用于云安全联盟大中华区。 ©2024云安全联盟大中华区版权所有3 ©2024云安全联盟大中华区版权所有4致谢报告中文版支持单位上海派拉软件股份有限公司成立于2008年，是国内最早从事身份安全研发的原厂商，致力于为企业和机构提供以“数字身份”为核心的数字化能力底座与安全基石，覆盖身份安全、应用安全、数据安全，在上海、北京、广州、武汉、成都、长春、深圳、济南、厦门、合肥、杭州、西安等地设有研发中心和服务机构，拥有600+行业专家和资深团队，服务能力遍布全国。派拉软件已成功为全球范围内的金融、制造、医疗、教育、零售、政府、地产、科研院所等多行业2000余家企业和机构提供极致体验的“全域数字身份统一安全管控”专业服务，覆盖五百强客户300余家。派拉软件是CSA会员单位，支持该报告内容的翻译，但不影响CSA研究内容的开发权和编辑权。主要贡献专家：茆正华徐安哲王育恒王磊在此感谢以上专家。如译文有不妥当之处，敬请读者联系CSAGCR秘书处给予改正！联系邮箱research@c-csa.cn；国际云安全联盟CSA公众号 ©2024云安全联盟大中华区版权所有5英文版本编写专家主要作者：HaniRaoudaJonathanFlackKevinDillawayPaulSimmondsRohiniSulatyckiShrutiKulkarniClementBetacorneIrshadJavidJohnYeohPaulSimmonds审校者：AnnaPasupathyCSA全球员工：ErikJohnsonRyanGiffordStephenLumpe ©2024云安全联盟大中华区版权所有6目录摘要..........................................................................................................................................................7目标受众...........................................................................................................................................7零信任的背景和推动因素.........................................................................................................................7零信任实施方法论............................................................................................................................9范围........................................................................................................................................................10引言........................................................................................................................................................10身份识别的实体和属性..........................................................................................................................11身份验证与确认.....................................................................................................................................12决策因子................................................................................................................................................14基于策略的授权.....................................................................................................................................18处理失败的策略决策..............................................................................................................................18业务价值................................................................................................................................................19总结........................................................................................................................................................20参考文献................................................................................................................................................21基础参考文献..................................................................................................................................22 ©2024云安全联盟大中华区版权所有7摘要身份及身份相关的属性，以及其他零信任（ZT）标识（零信任中关于身份的其他属性）是零信任架构的关键原则之一。零信任方法旨在通过基于风险的访问控制来减少网络攻击和数据泄露的几率。也就是说，在授予对资源（数据、系统）的访问权限之前，必须进行身份验证和授权。为了满足这一要求，重要的是要通过零信任的视角来审视现存和新的身份、访问管理和云解决方案。零信任是一个技术无关的指导性框架，将访问控制措施更加靠近受保护资产（保护面）。从身份、访问管理的角度来看，它提供了基于风险的决策授权能力，而不是仅基于单一访问控制方法的二元信任来进行授权访问。目标受众主要：零信任（ZT）实施和架构的技术经理次要：CISO/ISO/信息安全、IAM供应商零信任的背景和推动因素多年来，有各种论文谈论信任作为人类和社会现象，其中一些使用了“零信任”这个术语。2001年，开源安全测试方法手册（OSSTMM）开始解决信息技术中的信任问题，并在其第三版（2007年）中将“信任”标记为漏洞，并专门撰写了一整章来讨论这个主题。SunMicrosystems在1990年代引入了“ChewyCenter”①（智能糖果或M＆M糖果模型②）的概念。在2005-2007年期间，JerichoForum(visioningpaperandJerichoForum®Commandments)和OpenGroup为零信任做了一些基础工作，讨论了 ©2024云安全联盟大中华区版权所有8传统网络边界安全模型的失败以及去边界化的必要性，这是OpenGroup零信任安全准则的灵感来源。零信任网络（ZTN）概念是在21世纪初由美国国防部（DoD）提出的，当时正在定义全球信息网（GIG）网络运营黑核网络路由技术和路由寻址架构，这是DoD的网络中心服务战略的一部分。随着时间的推移演变为ZTN架构（ZTNA）和软件定义的边界（SDP）框架，并被DoD、CSA和NIST所采纳和进一步推广。在经过两年的研究，ForresterResearch的JohnKindervag于2010年正式将这些概念整合成我们现在所知道的零信任实践领域。John的工作独特之处在于他正式确定了成功实施这些架构所需的组件，并提供了一种可理解的实施零信任的方法，包括利用Kipling方法开发有效的零信任策略，以及启用扩展授权控制，例如基于上下文的访问控制。2019年左右，美国国防部（DoD）在与国家安全局（NSA）进行情报磋商后开始拥抱零信任，美国国防部认为当时的安全方法不再有效，且需要调整其安全战略，以更好地抵御日益复杂的网络攻击。2020年8月，NIST发布了SP800-207零信任架构。2021年5月，美国总统拜登签署行政命令（EO）14028，特别提到了零信任安全实践，要求联邦机构加强网络安全，为政府采用零信任提供了第一个重要的法规。虽然全球都对零信任的兴趣在最近几年不断增加，由于受到美国政府法规的影响，美国目前在零信任应用和相关指导方面处于领先地位。无论是来自NIST、DoD、CISA还是像CSA、ForresterResearch或英国NCSC这样的组织的专家贡献，其中相关的指导原则都基于相同的基本原则（最初在JohnKindervag的基础研究中描述），其中许多是已经确立为信息安全概念（例如“最小特权”，“拒绝所有，例外允许”）。 ©2024云安全联盟大中华区版权所有9关于零信任的一个关键要点是它不是预设架构或单一产品。零信任是一种策略和一系列指导原则，用于指导架构和采购决策。这使组织能够根据其特定的业务需求、资产、风险和优先事项从内部向外设计。零信任实施方法论美国国家安全电信咨询委员会（NSTAC）将零信任实施描述为一个5个步骤的过程。这五个步骤包括：●定义保护范围●映射事务处理流●构建零信任架构●制定零信任策略●监控和维护网络图1零信任实施步骤https:/blogs.nvidia.com/blog/2022/06/07/what-is-zero-trust/要进行零信任架构的战略规划和实施，定义组织的保护范围是重要的一环。 ©2024云安全联盟大中华区版权所有10范围本文的范围包括以不受技术限制的方式，透过零信任的视角来审视身份和访问管理，因此不会详细说明任何工程解决方案。本文阐述了在“授予访问权限之前进行身份验证和授权”的过程中，使用身份属性和其他标识的必要性。本文泛指“实体”，既包括个人也包括非个人。从身份和访问控制管理的角度来看，这两种实体都具有身份属性和标识，这些属性
