A. 淺談零信任網路，入門必讀！
零信任網路是一種全新的安全架構，它打破了傳統基於邊界防護的網路架構。該架構的核心組件包括身份與訪問管理技術、終端設備環境風險評估技術、基於屬性的訪問控制模型和基於機器學習的身份分析技術。零信任的核心思想是「不信任任何內部或外部資源，始終在校驗」。
零信任網路的來由可追溯到2010年Forrester分析師Join Kinddervag提出的概念，旨在解決傳統網路架構中過度信任內網的問題。在此架構中，網路被劃分為不同的區域，每個區域被授予信任程度，以決定哪些資源可以被訪問。零信任網路完全顛覆了傳統的安全架構，不再依賴於網路位置劃分區域。這導致了對VPN的依賴減少，因為其主要功能在於身份認證和IP地址分配，建立加密隧道，而零信任架構則更側重於動態訪問控制。
零信任網路分為控制平面和數據平面兩部分。控制平面負責處理訪問請求，進行設備和用戶的身份認證和授權，同時根據組織中的角色、時間或設備類型進行細粒度授權。數據平面則負責轉發網路流量，通過高速處理數據包完成這一任務。
信任管理在零信任網路中至關重要。通過信任委託構建自動化系統，以安全可信的方式管理大規模網路。信任委託使得信任鏈（Trust Chain）和信任錨（Trust Anchor）成為可能，管理員可以將信任傳遞給特定系統，這些系統又可以信任其他系統，形成信任鏈，從而構建大規模網路。
威脅模型在零信任網路的設計中起著關鍵作用，它描述了潛在攻擊者及其目標，幫助人們合理部署防禦措施。可變信任也是零信任網路的一個重要特性，網路中的每個實體都必須經過動態評估和監控，以確定其訪問許可權，而不是基於預設的信任級別。
網路代理在零信任網路中扮演著授權角色，參與授權決策，但不包括認證。策略執行組件和策略引擎是零信任授權模型的核心，負責攔截訪問請求並進行授權決策。信任引擎評估網路請求的風險，數據存儲系統則存儲關鍵信息，如請求者的身份、行為和上下文。
零信任網路的核心概念包括基於身份的訪問控制、細粒度的授權決策、動態風險評估以及可變信任策略。它顛覆了傳統的網路架構，採用現代身份管理技術，關注"保護面"而非"攻擊面"，構建了一種更加動態、靈活且安全的網路環境。
網路安全架構是指在網路環境中，為了保護信息資產和網路資源，所採用的一系列安全措施和技術手段的集合。它確保了網路系統的可靠性、機密性、完整性和可用性。網路安全架構的核心目的是通過各種安全服務和安全機制的實施，構建一個安全可控的網路環境。
**安全服務主要包括：**
1. **鑒別服務**：這一服務用於確認實體的合法性和真實性，以防止假冒。鑒別服務可以應用於用戶或代表用戶的進程。
2. **訪問控制服務**：旨在防止未授權用戶非法訪問系統資源。這包括用戶身份認證和許可權確認，而在實際應用中，常針對用戶組提供保護，以提高效率。
3. **數據完整性服務**：該服務防止數據在傳輸過程中被非法實體修改、插入或刪除，確保數據的准確性。
4. **數據保密性服務**：保護數據在網路中傳輸時不被截獲或非法存取，提供加密保護。
5. **抗抵賴性服務**：防止發送方或接收方在交易後否認自己的行為，確保交易的不可抵賴性。
**安全機制主要包括：**
1. **加密機制**：通過使用對稱密鑰演算法和非對稱密鑰演算法，提供信息保密性。加密技術還可以結合hash函數實現數據完整性驗證。
2. **訪問控制機制**：通過檢查訪問者的相關信息，限制或禁止其使用資源，支持數據機密性、完整性、可用性等安全目標。
3. **數據完整性機制**：通過使用hash函數生成數據標記，接收方驗證數據是否被篡改。
4. **數字簽名機制**：類似於現實生活中的簽名，數字簽名用於鑒別信息的發送方，保證信息的完整性和真實性。
5. **交換鑒別機制**：通過交換信息來確定雙方的身份，常用技術包括口令、密碼技術和特徵實物等。
6. **公證機制**：通過第三方公證機構來中轉雙方交換的信息，提供證據以解決可能的糾紛。
7. **流量填充機制**：保護針對流量分析的安全，通過隨機生成並加密數據，保持流量穩定，避免泄露信息。
8. **路由控制機制**：指定數據傳輸路徑，確保數據通過安全的路由傳輸，以防止敏感數據受到安全威脅。