白皮书已划好重点，速看！

零信任与传统边界安全理念的比较

零信任先假定人、终端、资源等都是不可信的，通过建立人到终端到资源的信任链，并动态实时校验信任链，来实现对资源安全可信请求，阻断攻击数据。在零信任架构下，传统的边界（网络位置）已经不再重要，每一次对资源的请求，都要经过信任关系的校验和建立。

对比零信任理念和传统边界安全理念，二者各有优缺点，如下表：


纯内网安全管理的增强需求、企业办公网络建设规划管理的环境变化是企业网络防护从传统边界安全理念到零信任理念演变的原因。总体而言，零信任的安全防护能力更强，但安全没有万能的解决方案，用一个新的方案解决安全风险时，也会带来新的风险，系统总结零信任理念存在的风险点，有利于后续零信任标准的持续打磨和优化，也方便企业选择适合的安全方案。

用户对资源访问模式
在用户对资源访问模式中，零信任最核心最重要的理念包括用户、终端设备、链路、资源权限应是安全、可信的；应建立起用户、终端设备和资源权限的信任链；应持续、动态的检验，信任链是否还安全可信。

服务之间调用场景实现

对于服务之间调用的零信任实现方式，主要参考 Gartner相关报告，包括云原生控制、基于第三方防火墙、基于代理模式、混合模式四种工作负载之间隔离的实现方式。

零信任应用场景

办公安全：在零信任安全网络架构下，默认网络无边界，访问人员无论在哪里，使用任意终端，对内网办公应用或是业务资源的访问，都不需要使用VPN，同时更为多元的可信认证和更为精细的鉴权访问控制，实现远程办公安全、多分支机构访问集团内部资源、跨境跨运营商办公安全。

数据中心内部访问：数据访问需求结合零信任理念，将控制平面与数据平面分离，通过微隔离组件和相应的配置实现流量的加密、隔离和访问控制，实现主机间加密、云数据中心虚拟机间访问、k8s容器间访问。

大数据：在大数据应用场景下，针对终端用户、外部应用或数据服务平台、数据分析和运维人员的数据访问，部署零信任方案，在用户身份、设备安全、应用安全、链路安全等信任属性基础上，增加数据类别、数据级别、数据操作（增删改查）等更多数据本身的属性，实施动态、细粒度的访问控制。

物联网：主要根据实际应用场景的需求，安全防护痛点，有针对性的形成集中管控、资产可视、网络可控和安全可视的整体安全防护解决方案。

多云安全访问和混合云服务器运维：为终端设备提供多个公有云连接通道的能力，多个云复用同一个零信任控制中心，提供统一的访问控制策略，通过低流量的策略同步或者其他不影响带宽的机制，做到统一的授权管理实现多云安全访问。通过安全网关进行对运维人员集中身份认证，对用户和终端设备身份认证、安全评估和访问授权，为当前会话临时生成证书，作为服务器登录的票据，解决服务器运维登录问题，实现混合云服务器运维。

私有机房对外访问入口的安全防护：通过提供一个额外的云上接入安全服务，提供对各种入口流量的安全处理，实现对来源流量的网络策略管理。

零信任案例

以腾讯为例的全球综合性互联网企业应用

全球综合性互联网企业规模大、业务种类多、职场分布多、协作厂商多，同时存在高级威胁、员工体验、天灾或其他应急情况等问题，需要一种灵活的安全解决方案，保护访问企业内部资源的安全。

基于上述情况，腾讯通过建立iOA零信任网络，实现身份安全可信、设备安全可信、应用进程可信、持续访问控制、链路保护与加速优化、基线变化和企业内部SOC 做动态的访问控制、垂直业务流量联动登录、提升用户体验和其他办公体验改进等多种功能。2020年疫情期间，腾讯内部6 万余员工、10万余终端通过使用零信任网络通道，远程办公安全网络通道机器从 6 台快速扩容到 140 台、增长23 倍，承载流量从不到 1G 增长至最高 20G、增长将近 20 倍，完整支持各类办公场景，包括办公、运维、研发、测试、客服、设计等。

除腾讯外，白皮书还收录了完美世界、蔷薇灵动、天融信、绿盟、任子行、谷歌等企业在互联网金融、政府单位、央企集团、游戏等行业领域的应用案例，感兴趣的朋友可以关注“腾讯安全”微信公众号，回复“实战白皮书”获取全文。