再看零信任，IAM為什么是它的核心？

2019年，美國國家標(biāo)準(zhǔn)委員會NIST對外正式發(fā)布了《零信任架構(gòu)》（《NIST.SP.800-207-draft-Zero Trust Architecture》），強(qiáng)調(diào)了零信任是一組不斷發(fā)展的網(wǎng)絡(luò)安全范例的術(shù)語。

在國內(nèi)引進(jìn)零信任概念后，建立了以“SIM”為核心的零信任解決方案，即SDP（軟件定義邊界），IAM（增強(qiáng)身份管理），MSG（微隔離）。

其中，SDP 旨在使應(yīng)用程序所有者能夠在需要時(shí)部署安全邊界，以便將資源與不安全的網(wǎng)絡(luò)隔離開來。SDP通過隱藏應(yīng)用程序和資源，將網(wǎng)絡(luò)資源從公共網(wǎng)絡(luò)隔離，只允許經(jīng)過身份驗(yàn)證的用戶會話通過安全網(wǎng)絡(luò)隧道連接到所需資源，從而幫助保護(hù)應(yīng)用程序和數(shù)據(jù)資產(chǎn)免受網(wǎng)絡(luò)攻擊和未經(jīng)授權(quán)的訪問。

IAM，傳統(tǒng)的基于身份的訪問控制管理技術(shù)，從賬號、認(rèn)證、授權(quán)、審計(jì)維度對主體訪問客體的行為進(jìn)行靜態(tài)的訪問控制管理。而零信任架構(gòu)中的IAM是一種增強(qiáng)的IAM。

Gartner對其管控范圍進(jìn)行了重新定義，要求從管理、保證、授權(quán)、分析維度對身份的整個(gè)生命周期進(jìn)行管理，包括用戶身份的注冊、創(chuàng)建、轉(zhuǎn)移及在各個(gè)應(yīng)用系統(tǒng)中的權(quán)限控制；更加強(qiáng)調(diào)動態(tài)的訪問控制能力，甚至采用更加先進(jìn)的AI技術(shù)分析用戶訪問行為，從而更能適應(yīng)不斷變化的風(fēng)險(xiǎn)威脅。

微隔離是一種能夠適應(yīng)虛擬化部署環(huán)境，識別和管理數(shù)據(jù)中心內(nèi)部流量的一種隔離技術(shù)，其核心是對全部東西向流量的可視化識別與訪問控制。

它是一種區(qū)別于傳統(tǒng)防火墻的安全域隔離的技術(shù)，通過訪問控制策略和加密能力，對數(shù)據(jù)中心的工作負(fù)載、應(yīng)用、服務(wù)進(jìn)行更加細(xì)粒度的訪問控制，旨在收縮暴露面，并阻止病毒或風(fēng)險(xiǎn)的橫向移動，減少風(fēng)險(xiǎn)爆炸半徑。

那為什么說IAM是三大組件中的核心呢？IAM是數(shù)字世界與現(xiàn)實(shí)世界融合的交界點(diǎn)，無論是SDP還是微隔離本身就是一種可以使用的資源，在被使用或操作時(shí)首先需要進(jìn)行身份鑒別和控制。

例如，SDP作為主體接入零信任網(wǎng)絡(luò)的入口點(diǎn)，本身就需要借助IAM的身份鑒別能力，來確認(rèn)人、應(yīng)用、客戶端設(shè)備等身份，還需要借助IAM的風(fēng)險(xiǎn)識別模塊對主體的安全性進(jìn)行分析，只有確認(rèn)主體的身份和安全性后才能讓其接人零信任網(wǎng)絡(luò)。

其次，增強(qiáng)IAM，它不僅有傳統(tǒng)4A的能力，還有持續(xù)動態(tài)認(rèn)證的能力，包括能夠?qū)τ脩粼L問的所有會話進(jìn)行用戶行為的風(fēng)險(xiǎn)分析，以對風(fēng)險(xiǎn)進(jìn)行評估并能實(shí)時(shí)阻止風(fēng)險(xiǎn)訪問。當(dāng)用戶訪問后端資源時(shí)，需要做到身份鑒別，風(fēng)險(xiǎn)鑒別，以及權(quán)限鑒別，進(jìn)行身份優(yōu)先的全鏈路的安全防控。

最后，MSG，Gartner直接將MSG改為身份定義微隔離（Identity-Based segmentation），注重用身份來鑒別服務(wù)與服務(wù)之間的訪問，以做到更加細(xì)粒度的訪問控制能力。我們在服務(wù)之間無人參與的過程，更加需要為應(yīng)用或服務(wù)定義身份和權(quán)限，因此微隔離的解決方案也對IAM有很高的依賴。

回到企業(yè)現(xiàn)實(shí)業(yè)務(wù)場景，現(xiàn)代企業(yè)IT環(huán)境雙態(tài)化（敏態(tài)和穩(wěn)態(tài)）。傳統(tǒng)的網(wǎng)絡(luò)界限也在上云、數(shù)字化等過程中逐步消失。現(xiàn)代企業(yè)的IT業(yè)務(wù)場景應(yīng)該允許在任何設(shè)備上的任何地方和任意時(shí)間工作，并可以安全的訪問任何數(shù)字化生態(tài)系統(tǒng)中的工具、系統(tǒng)和數(shù)據(jù)，以滿足數(shù)字化平臺真正的生態(tài)化。

與此同時(shí)，企業(yè)安全威脅的嚴(yán)重性和復(fù)雜性繼續(xù)增加。這些都促使企業(yè)組織亟需一套整體的安全解決方案，以身份為優(yōu)先的一體化零信任解決方案也因此越來越受到企業(yè)CIO的認(rèn)可。

零信任方案將安全能力從傳統(tǒng)網(wǎng)絡(luò)安全邊界擴(kuò)展到主體、行為、客體資源，從而構(gòu)建“主體身份可信、業(yè)務(wù)訪問動態(tài)合規(guī)、客體資源安全防護(hù)、信任持續(xù)評估”的動態(tài)綜合縱深安全防御能力。

而IAM恰好能解決其中的核心問題。我們都知道人和設(shè)備無處不在，這不應(yīng)該成為獲取服務(wù)的障礙。我們的首要任務(wù)是需要確保設(shè)備是安全的和可信的，當(dāng)你讓它們訪問這些服務(wù)時(shí)，需要對人、設(shè)備進(jìn)行安全控制。

這個(gè)過程中，最好的保障方式之一就是賦予身份，并進(jìn)行身份和訪問控制管理。從而，確保正確的訪問主體在正確的設(shè)備、時(shí)間、地點(diǎn)和正確授權(quán)下訪問正確的數(shù)據(jù)、資產(chǎn)，并全程審計(jì)留痕。

所以，無論是從零信任的技術(shù)核心來看，還是回到企業(yè)實(shí)際的安全現(xiàn)狀與背景，IAM都是企業(yè)實(shí)施零信任解決方案的重中之重。這也是為什么業(yè)界稱零信任安全的本質(zhì)是以身份為中心進(jìn)行動態(tài)訪問控制。