秦益飛，張英濤，張曉東

（江蘇易安聯(lián)網(wǎng)絡(luò)技術(shù)有限公司，江蘇 南京 210012）

0 引 言

零信任的概念已經(jīng)深入人心，一夜之間，仿佛每個安全廠家都有了自己的零信任產(chǎn)品，每個企業(yè)都在準(zhǔn)備零信任轉(zhuǎn)型，然而，面對企業(yè)網(wǎng)錯綜繁瑣的應(yīng)用系統(tǒng)和紛雜散亂的安全產(chǎn)品，如何再去部署一套零信任的產(chǎn)品、如何才能在不影響現(xiàn)有業(yè)務(wù)的前提下完成改造、如何才能最大化的遵循零信任的理念、如何才能構(gòu)筑統(tǒng)一的安全管理平臺，一系列的問題擺在了企業(yè)領(lǐng)導(dǎo)和安全負(fù)責(zé)人的面前。

1 零信任落地路徑概述

1.1 零信任理念已被廣泛接受

隨著信息技術(shù)的快速發(fā)展，云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動互聯(lián)、人工智能等新興技術(shù)為政府部門、各類企業(yè)的信息化發(fā)展及現(xiàn)代化建設(shè)帶來了新的生產(chǎn)力，但同時也給信息安全帶來了新挑戰(zhàn)。一方面，云計(jì)算、移動互聯(lián)導(dǎo)致的企業(yè)邊界瓦解，難以繼續(xù)基于邊界構(gòu)筑企業(yè)的安全防線；另一方面，外部攻擊和內(nèi)部攻擊愈演愈烈，各種高級持續(xù)攻擊仍然能找到各種漏洞突破企業(yè)的邊界，同時，內(nèi)部業(yè)務(wù)的非授權(quán)訪問、雇員犯錯、有意的數(shù)據(jù)竊取等內(nèi)部威脅層出不窮[1]。

傳統(tǒng)的網(wǎng)絡(luò)安全模型基于邊界防護(hù)的思想，已經(jīng)無法適應(yīng)當(dāng)前的需求，零信任網(wǎng)絡(luò)安全技術(shù)應(yīng)運(yùn)而生，零信任的不做任何假設(shè)、不相信任何人事物、任何事物都要驗(yàn)證等理念逐步被認(rèn)可和接受。并迅速成為當(dāng)前網(wǎng)絡(luò)空間安全技術(shù)研究熱點(diǎn)[2-3]。

1.2 企事業(yè)零信任轉(zhuǎn)型的普遍目標(biāo)

零信任打造了一種全新安全訪問模式，但對于目前絕大多數(shù)企事業(yè)單位來說，主要還是用零信任解決遠(yuǎn)程辦公、身份管理和應(yīng)用微隔離三方面的問題：

（1）近年來由于VPN漏洞造成的數(shù)據(jù)泄露事件頻頻發(fā)生，因而眾多企事業(yè)單位將目光轉(zhuǎn)向了零信任網(wǎng)絡(luò)安全，通過零信任安全改造，解決員工、分支機(jī)構(gòu)和三方人員的遠(yuǎn)程安全接入問題；

（2）隨著企事業(yè)的數(shù)字化發(fā)展，用戶賬號的分布更加復(fù)雜和多樣化，身份認(rèn)證方式從傳統(tǒng)的“賬號+密碼”逐漸向“社交賬號+多因素認(rèn)證”方式轉(zhuǎn)變，因此有效的身份管理成為保障組織各項(xiàng)數(shù)字業(yè)務(wù)安全、高效開展的前提條件；

（3）同時為了防止東西向的風(fēng)險，眾多企事業(yè)單位考慮在傳統(tǒng)的物理隔離基礎(chǔ)上進(jìn)行基于零信任的應(yīng)用隔離，這種應(yīng)用微隔離方式不需要考慮應(yīng)用的網(wǎng)絡(luò)和物理位置，只需要考慮應(yīng)用的類別和邏輯關(guān)系，可以對每個類別的應(yīng)用制定對應(yīng)的安全策略。

1.3 零信任落地的方式和步驟

各企事業(yè)單位的網(wǎng)絡(luò)基礎(chǔ)設(shè)施已經(jīng)變得越來越復(fù)雜，零信任的落地方式也沒有標(biāo)準(zhǔn)的流程可依，目前有兩種主流的方式：一是按照物理或網(wǎng)絡(luò)位置按片區(qū)逐步部署的方式；二是基于應(yīng)用邏輯分類的落地方式。前者的優(yōu)點(diǎn)是部署便捷、對網(wǎng)絡(luò)和應(yīng)用幾乎無任何影響，缺點(diǎn)是僅對端側(cè)和訪問通道進(jìn)行防護(hù)；后者的優(yōu)點(diǎn)是可以對企業(yè)的應(yīng)用和數(shù)據(jù)進(jìn)行徹底的零信任改造，缺點(diǎn)是部署和實(shí)施周期長，可能涉及應(yīng)用的改造[4]。

零信任的宗旨是保護(hù)數(shù)據(jù)和應(yīng)用，零信任架構(gòu)構(gòu)建了從用戶到應(yīng)用的安全訪問空間，因此零信任的落地實(shí)施路徑應(yīng)該以數(shù)據(jù)和應(yīng)用的分類、改造為起點(diǎn)，以用戶和設(shè)備的識別為基礎(chǔ)，以SDP架構(gòu)為核心，以用戶角色為依據(jù)，以過渡白名單為保障，在業(yè)務(wù)使用影響最小的前提下實(shí)現(xiàn)對數(shù)據(jù)、應(yīng)用和用戶的零信任改造，逐步實(shí)現(xiàn)企事業(yè)單位的零信任轉(zhuǎn)型。

2 基于應(yīng)用分類和用戶角色的零信任落地路徑

零信任落地路徑，包括應(yīng)用、用戶、策略幾個方面。

2.1 應(yīng)用分類，界定保護(hù)范圍

零信任改造是一個過程，面對企事業(yè)單位少則上百多則上千的應(yīng)用，不建議也不可能一次改造完成，畢其功于一役的想法是不能存在的。正確的做法首先是要把所有的應(yīng)用按照邏輯和場景進(jìn)行梳理，基于業(yè)務(wù)類別分類，同時要保證業(yè)務(wù)連續(xù)性并考慮實(shí)施難度，選取部分應(yīng)用進(jìn)行零信任改造。對于首次改造，主要考慮兩類應(yīng)用，核心應(yīng)用和需要遠(yuǎn)程訪問的應(yīng)用（如圖1所示）。

圖1 應(yīng)用邏輯分類

2.2 應(yīng)用微隔離

通過在所有待保護(hù)的應(yīng)用上安裝應(yīng)用訪問網(wǎng)關(guān)插件，實(shí)現(xiàn)對被保護(hù)應(yīng)用的代理和隱藏，所有對應(yīng)用的訪問，都需要通過應(yīng)用網(wǎng)關(guān)，以保障每一次應(yīng)用訪問的安全和細(xì)粒度的權(quán)限控制。同時基于業(yè)務(wù)分類進(jìn)行應(yīng)用級的邏輯隔離，對每類應(yīng)用制定特有的安全策略，不同類別之間的調(diào)用需要通過部署API網(wǎng)關(guān)實(shí)現(xiàn)統(tǒng)一的API驗(yàn)證和調(diào)用，規(guī)范各應(yīng)用類別之間、各微服務(wù)間的API接口，快速完成組織內(nèi)部系統(tǒng)的前后端分離，實(shí)現(xiàn)可視化的安全互訪，解決業(yè)務(wù)開展、數(shù)據(jù)共享、數(shù)據(jù)安全的問題，同時API網(wǎng)關(guān)減小了惡意軟件或病毒在內(nèi)網(wǎng)的傳播和擴(kuò)散，對接口的統(tǒng)一管理也便于新增業(yè)務(wù)的部署和內(nèi)外網(wǎng)業(yè)務(wù)的調(diào)用（如圖2所示）。對于同一類別下各個應(yīng)用之間，考慮彼此之間的互相調(diào)用和訪問頻繁程度，采用ACL方式控制，后續(xù)可以根據(jù)企事業(yè)對零信任的要求和業(yè)務(wù)改造的實(shí)際情況逐步遷移到通過API網(wǎng)關(guān)統(tǒng)一管理。

圖2 應(yīng)用邏輯隔離

為了保障企事業(yè)單位的數(shù)據(jù)安全，在部署API網(wǎng)關(guān)的同時，還需要對企業(yè)的數(shù)據(jù)庫進(jìn)行安全審計(jì)，尤其是針對運(yùn)維場景中運(yùn)維人員的訪問及操作。通過數(shù)據(jù)庫審計(jì)系統(tǒng)對各類操作進(jìn)行審計(jì)，包括嵌套、函數(shù)、綁定變量、長語句、返回結(jié)果、腳本等復(fù)雜和隱秘統(tǒng)方等，構(gòu)建立體防御系統(tǒng)，深度識別和立體分析，準(zhǔn)確防范各種危險統(tǒng)方等行為。審計(jì)不僅僅是數(shù)據(jù)庫審計(jì)，還要包括對應(yīng)的應(yīng)用，精準(zhǔn)定位到“人”，同時與零信任安全策略中心聯(lián)動，進(jìn)行策略管控及行為審計(jì)日志上報(bào)，當(dāng)異常情況發(fā)生時，可以通過告警、調(diào)整權(quán)限、阻斷等方式規(guī)避風(fēng)險并精準(zhǔn)溯源，保障組織的數(shù)據(jù)安全。

2.3 統(tǒng)一身份認(rèn)證

零信任的基本要求就是對用戶持續(xù)的驗(yàn)證，對用戶和設(shè)備的識別是零信任改造的基礎(chǔ)和前提，需要用戶管理系統(tǒng)（Identity and Access Management，IAM），對企業(yè)復(fù)雜的賬號和權(quán)限體系進(jìn)行統(tǒng)一治理，統(tǒng)一管理用戶在各個應(yīng)用系統(tǒng)中的賬號，提供用戶的全生命周期管理，當(dāng)員工入職、轉(zhuǎn)崗或離職時，數(shù)據(jù)庫都要相應(yīng)更新，以保障用戶身份的可信。

零信任針對內(nèi)外網(wǎng)絡(luò)數(shù)據(jù)的核實(shí)，從而高強(qiáng)度把控多種數(shù)據(jù)身份，針對多種不可信的訪問信息尋求多重信息關(guān)卡設(shè)置，增加加密權(quán)限以及綜合認(rèn)證，強(qiáng)化總體信息權(quán)限，集合整理多種關(guān)聯(lián)性的信息內(nèi)容，并對其采取零信任的管理方式，在多次登錄中進(jìn)行多重的安全檢驗(yàn)，此種信任程度會根據(jù)動態(tài)的權(quán)限變化從而做出調(diào)整，促使在最終的訪問限制結(jié)構(gòu)中可以遵循相對應(yīng)的權(quán)限客體，從而創(chuàng)建一層動態(tài)化的綜合信任聯(lián)系[5]。

用戶管理系統(tǒng)不僅要管理所有用戶的崗位分類、用戶名和群組成員關(guān)系，為用戶提供統(tǒng)一的認(rèn)證接口，根據(jù)用戶的權(quán)限級別來確保對應(yīng)業(yè)務(wù)安全級別的準(zhǔn)確性，同時還需要支持多因素認(rèn)證能力，包括但不限于：密碼、郵箱、手機(jī)、令牌、X.509證書、智能卡、定制表單和生物識別，及多種認(rèn)證方法組合。多因素認(rèn)證應(yīng)該滿足的基本原則：同一安全域之間鑒權(quán)方式簡單易用滿足一定的多因子交叉，跨安全域（尤其是低級向高級訪問時）需要增加二次驗(yàn)證，保證安全性提升。簡言之，同級安全域之間保證單點(diǎn)能力的便捷性，而跨域時保證安全性前提下，滿足便捷性。

2.4 可信設(shè)備識別

除了身份可信，還需要設(shè)備可信，所有訪問應(yīng)用的設(shè)備都必須是可管可控的設(shè)備，只有受控設(shè)備才能訪問企業(yè)應(yīng)用。設(shè)備管理確保用戶每次接入網(wǎng)絡(luò)的設(shè)備是可信的，系統(tǒng)要為每個設(shè)備生成唯一的硬件識別碼，并關(guān)聯(lián)用戶賬號，確保用戶每次登陸都使用的是合規(guī)、可信的設(shè)備，對非可信的設(shè)備要進(jìn)行強(qiáng)身份認(rèn)證，用戶通過后則允許新設(shè)備入網(wǎng)。對可信設(shè)備的管理還包括設(shè)備狀態(tài)的識別，比如識別設(shè)備當(dāng)前的狀態(tài)是否通過安全基線，殺毒軟件、系統(tǒng)補(bǔ)丁等，確保設(shè)備自身狀態(tài)足夠安全。

系統(tǒng)在確保用戶在正確的設(shè)備上使用正確的賬號登錄的同時，對賬戶的登錄時間、登錄地點(diǎn)及IP地址進(jìn)行嚴(yán)格控制，以防止非法人員非法接入業(yè)務(wù)系統(tǒng)，而且一次授權(quán)不會伴隨終生，信任度和風(fēng)險度會隨著時間和空間發(fā)生變化，系統(tǒng)會根據(jù)安全等級要求，環(huán)境因素，不斷評估，達(dá)到信任和風(fēng)險的平衡，對疑似違規(guī)的用戶，系統(tǒng)會降低其訪問權(quán)限或者直接強(qiáng)制下線。

2.5 構(gòu)建零信任架構(gòu)

完成了應(yīng)用分類、身份認(rèn)證、設(shè)備可信這些基礎(chǔ)準(zhǔn)備工作之后，就可以開始部署零信任架構(gòu)了。基于云安全聯(lián)盟提出的零信任SDP架構(gòu)，考慮企事業(yè)單位對系統(tǒng)可靠性的要求，常見的部署方式有主備模式和集群模式。集群模式也被稱作高可用方案，是指將SDP方案中的控制中心和應(yīng)用網(wǎng)關(guān)分別集群化部署、同時提供接入網(wǎng)關(guān)實(shí)現(xiàn)訪問接入和負(fù)載均衡。

高可用方案將安全接入網(wǎng)關(guān)部署在被保護(hù)的應(yīng)用系統(tǒng)之前，作為負(fù)載分擔(dān)將業(yè)務(wù)有序的發(fā)送至對應(yīng)的控制器，由控制器下發(fā)策略到應(yīng)用網(wǎng)關(guān)上，控制中心建立集群方式承擔(dān)所有請求，當(dāng)其中某一臺設(shè)備出現(xiàn)故障后不影響業(yè)務(wù)的快速轉(zhuǎn)發(fā)，應(yīng)用網(wǎng)關(guān)同樣采用集群方式，可以根據(jù)需要彈性擴(kuò)展，同時有效規(guī)避了單點(diǎn)故障對應(yīng)用訪問的影響（如圖3所示）。

圖3 零信任架構(gòu)

相比較主備模式，首先高可用方案將控制中心和應(yīng)用網(wǎng)關(guān)分離，實(shí)現(xiàn)了控制流和數(shù)據(jù)流的分離，為應(yīng)用提供了更好的安全防護(hù)，其次高可用方案具備更好的穩(wěn)定性，實(shí)現(xiàn)單點(diǎn)故障無感知，保障系統(tǒng)持續(xù)穩(wěn)定運(yùn)行和應(yīng)用訪問無間斷，最后高可用方案具備彈性擴(kuò)展的能力，后續(xù)擴(kuò)容僅需要增加應(yīng)用網(wǎng)關(guān)虛擬機(jī)即可，不需要改造網(wǎng)絡(luò)或變更設(shè)備。

2.6 應(yīng)用統(tǒng)一門戶

提供企事業(yè)單位應(yīng)用訪問統(tǒng)一門戶，實(shí)現(xiàn)企事業(yè)單位互聯(lián)網(wǎng)統(tǒng)一入口，實(shí)現(xiàn)跨設(shè)備的統(tǒng)一管理，一方面提升用戶的使用體驗(yàn)；另一方面隱藏原有的需要對外開放的應(yīng)用和端口，保障數(shù)據(jù)與應(yīng)用安全。用戶通過統(tǒng)一入口登錄后，用戶首頁僅顯示用戶角色有權(quán)限訪問的應(yīng)用快捷鏈接，并且基于動態(tài)權(quán)限控制允許用戶訪問其角色范圍內(nèi)的全部或部分應(yīng)用，同時支持單點(diǎn)登陸(SSO)功能，實(shí)現(xiàn)應(yīng)用程序、業(yè)務(wù)門戶、統(tǒng)一安全訪問域的各業(yè)務(wù)系統(tǒng)一次登錄，多業(yè)務(wù)共享登錄標(biāo)識，無需再次登錄鑒權(quán)。通過單點(diǎn)登錄和統(tǒng)一鑒權(quán)，解決系統(tǒng)多應(yīng)用，多賬戶的問題，實(shí)現(xiàn)細(xì)粒度的用戶權(quán)限集中控制。

2.7 制定零信任策略

部署零信任產(chǎn)品，遵循零信任訪問模式，這僅僅是零信任改造的開始，零信任理念是要持續(xù)監(jiān)測用戶的行為和環(huán)境的狀態(tài)，不斷地驗(yàn)證和動態(tài)調(diào)整訪問策略，因此一個好的訪問策略，是零信任成功落地的關(guān)鍵。在企事業(yè)單位零信任改造過程中，需要制定基于信任得分的動態(tài)訪問策略（如圖4所示）。

圖4 動態(tài)訪問策略

在這種訪問策略下，用戶每一次訪問應(yīng)用都會對用戶身份、使用設(shè)備和接入環(huán)境進(jìn)行驗(yàn)證并給出信任級別分?jǐn)?shù)，同時對每個應(yīng)用設(shè)置安全等級分?jǐn)?shù)，只有信任級別分?jǐn)?shù)大于安全等級分?jǐn)?shù)，才允許用戶訪問應(yīng)用，否則將限制或者拒絕本次訪問。這種基于得分的訪問策略可以靈活的細(xì)化為針對具體應(yīng)用的訪問策略，比如限制只有最高信任等級的受控設(shè)備可以訪問；限制只有最高信任等級的全職和兼職工程師可以訪問；限制只有全職工程師且使用工程設(shè)備才可以登錄研發(fā)類系統(tǒng)；限制只有財(cái)務(wù)部門的全職和兼職員工使用受控的非工程設(shè)備才可以訪問財(cái)務(wù)系統(tǒng)（如表1所示）。

表1 用戶信任級別和應(yīng)用安全級別

每個用戶和/或設(shè)備的訪問級別可能隨時改變。通過查詢多個數(shù)據(jù)源，能夠動態(tài)推斷出分配給設(shè)備或用戶的信任等級。例如，如果一個設(shè)備沒有安裝操作系統(tǒng)的最新補(bǔ)丁，或者沒有安裝殺毒軟件，其信任等級會被降低；某一類特定設(shè)備，比如特定型號的手機(jī)或者平板電腦，會被分配特定的信任等級；一個設(shè)備長期未使用，會被降低信任等級；一個從新位置訪問應(yīng)用的用戶會被分配與以往不同的信任等級。信任等級可以通過靜態(tài)規(guī)則和啟發(fā)式方法來綜合確定。

動態(tài)訪問策略的有效執(zhí)行，離不開日志審查和異常行為關(guān)聯(lián)分析。在傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)中，一般都是在網(wǎng)絡(luò)邊界處布置防火墻，檢查進(jìn)/出流量。但是現(xiàn)在，邊界安全已不再滿足需要?，F(xiàn)代網(wǎng)絡(luò)安全控制必須深入所有網(wǎng)段，審查橫向流量、云端網(wǎng)絡(luò)通信，以及根本不觸及公司網(wǎng)絡(luò)的SaaS遠(yuǎn)程網(wǎng)絡(luò)通信。換句話說，所有網(wǎng)絡(luò)流量都應(yīng)納入審查覆蓋范圍。網(wǎng)絡(luò)安全檢測和保護(hù)的觸角越來越往用戶和應(yīng)用服務(wù)處延伸。

基于零信任架構(gòu)，網(wǎng)絡(luò)和應(yīng)用的操作和訪問信息都可以在控制中心統(tǒng)一管理。用戶側(cè)，客戶端將用戶的每一次網(wǎng)絡(luò)登陸訪問操作的信息(比如時間、IP地址)、用戶的環(huán)境信息(比如操作系統(tǒng)版本和補(bǔ)丁號，病毒庫信息)、用戶的驗(yàn)證信息、用戶訪問請求信息等實(shí)時同步到控制中心日志中心。服務(wù)器側(cè)，零信任網(wǎng)關(guān)記錄用戶的每一次應(yīng)用訪問信息，這個訪問信息一般都是對于一個URL資源的訪問信息，同時網(wǎng)關(guān)側(cè)接收到的異常信息，也可以以告警的形式，同步到控制中心。控制中心，是統(tǒng)一的用戶日志和策略中心，日志記錄以用戶為中心，記錄操作和訪問的行為，從用戶請求網(wǎng)絡(luò)連接開始，到訪問服務(wù)返回結(jié)果結(jié)束，真正能夠做到端到端的行為記錄。

通過日志審查，可以發(fā)現(xiàn)各種異常情況，并作為動態(tài)訪問策略的輸入條件。這些異常情況包括用戶訪問行為異常，網(wǎng)絡(luò)入侵異常和內(nèi)部威脅異常等。例如，頻繁更換賬號登錄、登錄地點(diǎn)變更、頻繁更換登錄設(shè)備、頻繁登錄失敗、瞬時訪問流量過大、非正常時間段訪問、密碼暴力破解、端口掃描、Web入侵等。

2.8 基于應(yīng)用類別和用戶角色逐步遷移

零信任轉(zhuǎn)型不是一步到位，而是一個過程，首次進(jìn)行零信任改造的企事業(yè)單位應(yīng)該只選擇部分應(yīng)用和部分用戶，即便如此，這部分應(yīng)用和部分用戶也要逐步遷移，以不影響業(yè)務(wù)為前提完成零信任的切換。

（1）使用應(yīng)用網(wǎng)關(guān)代理遠(yuǎn)程辦公類應(yīng)用和選中的核心應(yīng)用。被代理的應(yīng)用提供通過應(yīng)用網(wǎng)關(guān)代理訪問的方式，同時保留原來的通過內(nèi)網(wǎng)直接訪問的方式；對于原來需要在外網(wǎng)通過VPN訪問的應(yīng)用，保留原有的VPN方式，同時增加通過應(yīng)用網(wǎng)關(guān)代理訪問的方式。

（2）確定需要使用零信任訪問的用戶，包括原有的使用VPN的用戶和內(nèi)部需要訪問核心數(shù)據(jù)的用戶，考慮用戶的使用習(xí)慣，我們首先將原有的使用VPN的用戶按照部門確定用戶群組遷移的優(yōu)先級并逐步遷移到零信任體系下，然后再將內(nèi)部需要訪問核心數(shù)據(jù)的用戶逐步遷移到零信任體系下。

（3）隨著原來使用VPN 的用戶逐步通過訪問代理訪問，我們開始阻止用戶使用VPN，包括：刪除VPN用戶的訪問權(quán)限；只有經(jīng)證實(shí)確有需要的用戶才能使用VPN訪問。對于內(nèi)部訪問核心數(shù)據(jù)的用戶，公司前期強(qiáng)制要求使用零信任客戶端訪問，后期通過應(yīng)用和端口隱藏或訪問控制列表的方式禁止用戶直接訪問。

（4）過渡白名單策略，為了不影響企業(yè)業(yè)務(wù)的正常訪問，在零信任轉(zhuǎn)型的過程中，需要考慮過渡白名單策略，即通過白名單允許用戶通過原有的方式訪問應(yīng)用，待用戶已經(jīng)遷移到零信任訪問模式下并運(yùn)行一段時間經(jīng)過驗(yàn)證沒有問題之后，再逐步修正白名單的內(nèi)容直至最后完全遷移成功。

3 結(jié) 語

零信任落地沒有統(tǒng)一的標(biāo)準(zhǔn)路徑，各個企事業(yè)單位可以按照自身的特點(diǎn)選擇最合適的方式和步驟，基于應(yīng)用分類和用戶角色的零信任落地路徑能夠幫助企事業(yè)單位快速完成零信任轉(zhuǎn)型的第一步，實(shí)現(xiàn)對遠(yuǎn)程接入用戶、內(nèi)網(wǎng)訪問敏感數(shù)據(jù)用戶，和內(nèi)網(wǎng)核心應(yīng)用的零信任改造，給遠(yuǎn)程用戶提供統(tǒng)一安全接入門戶，同時對核心應(yīng)用數(shù)據(jù)進(jìn)行了微隔離處理，在保障外網(wǎng)訪問安全的同時，也減少內(nèi)網(wǎng)東西向擴(kuò)展的可能，全方位提升企業(yè)的安全。

零信任改造的終極目標(biāo)是完全摒棄內(nèi)外網(wǎng)的差別，所有的用戶都采用統(tǒng)一的訪問方式，所有的應(yīng)用都需要隱藏保護(hù)和微隔離處理，同時還需要和已有的傳統(tǒng)安全產(chǎn)品對接以形成完整統(tǒng)一的安全管理平臺。因此徹底的零信任之路是很漫長的，這取決于領(lǐng)導(dǎo)者的決心、零信任本身的技術(shù)以及企業(yè)的成熟度等多種因素。