来自Forrester Research的前分析师John Kindervag，是第一个介绍2010年零信任模型当时的重点是更多的应用层上。但是，一旦我听说从Techvision研究索雷尔斯莱梅克在网络层面推动的话题，我忍不住给他打了电话，讨论将军零信任网络（ZTN）。在谈话中，他照在约零信任网络众多的已知和未知的事实可能证明是有益的任何一盏灯。
传统世界联网开始与静态域。经典的网络模型分为客户端和用户分成两组 - 可信和不可信。受信任的是那些在内部网络中，不可信是外部的网络，这可能是移动用户或合作伙伴网络。重铸不可信，成为值得信赖的，一个通常会使用虚拟专用网络（VPN）访问内部网络。
然后，将内部网络将被划分成多个区段。一个典型的交通流将进入非军事区（DMZ）进行检查，并从那里获得可以得到内部资源。用户被授予访问表示层。然后将表示层将传送到应用层，这反过来将访问数据库层。最终，这个架构展示了很多北向南流量，也就是说，大部分流量将进入和离开数据中心。雷竞技电脑网站
虚拟化技术的诞生，改变了很多东西，因为它有一个显着的影响，对交通流。有现在大量的数据中心中的应用程序所要求的交叉通信。雷竞技电脑网站这引发交通的一个新的流程，被称为东到西。为传统模式所面临的挑战是，它并没有对东部提供任何保护向西交通流量。
传统网络被分解成其通常被视为区的各种片段。这是一个常见的做法将类似的服务器类型分为无安全控制区，以筛选内部流量。通常，给定区域内的服务器可以自由地与对方通话和共享共同的广播域。
如果一个坏演员在该区域中的数据库服务器中的一个发现的一个漏洞，坏演员可以轻松地尝试和妥协其他数据库服务器移动。这是网络和安全模型是如何应运而生。不幸的是，它仍然是常见的企业架构目前正在使用中。它已经过时，没有安全，但仍最广泛采用。在这个时代，你需要在安全的右侧。
坏演员总是会寻找最薄弱的环节，一旦链接被破坏，他们追求更高的目标资产的移动被忽视。从那里，你不仅需要保护北到南的流量，你还需要保护东到西。为了弥合我们通过一些阶段去的差距。
微分段
向东保护向西的交通目前最好的和最优选的做法是微分段。微分段是一种机制，允许你从细分用户的虚拟化计算。它通过减少对任何给定段的设备和用户的数量进一步降低了攻击面。如果一个坏演员获得访问到数据区中的一个片段，他是从区域内影响其他服务器的限制。
让我们来看看它从不同的角度。试想一下，互联网就像是我们的道路系统，所有的房屋和公寓的道路上的计算机和设备。在这种情况下，微分段定义的附近，住在附近的人的数量。每个人都在附近有导航到你的门，试图访问你的房子的能力。在这里，我们要作一个假设，在附近的人越少，就越有可能你的房子会被抢劫。
同样，在微分段的情况下，我们不仅段我们的应用程序和服务，但我们也开始细分用户。它细分不同用户使用不同的网络分成不同的部分。这是朝着正确方向迈出的一步，因为今天它控制着北南部和东部交通的西部动作，进一步隔离广播域的大小。
它配备了一些缺点。其中最大的缺陷在于它是IP地址为中心，依靠这是不符合物联网的兼容，并依靠二进制规则VPN或NAC客户。我们利用二元决策过程;允许或拒绝。一个ACL并没有真正做多。您可以允许或拒绝对一个IP或端口号，但它是非常静态的，二进制过程。
事实，对于今天的应用，需要我们用更智能的系统，其中附加条件可以允许或拒绝使用一起。相比之下，次世代防火墙可以作出更明智的决策。它们由一组规则，例如，允许源和目的地对为只在一定的业务小时，从特定网络段进行通信。他们是更精细，并且如果用户通过多因素认证（MFA）的方法还可以注册。
会话层
所有哪里智能工作进行的？会话层！会话层提供用于打开，关闭，和管理最终用户和应用程序之间的会话的机制。会话状态和终端到终端。
它是会话层，由此状态和安全控制。我们有防火墙的原因是，路由器不管理状态。中间件被添加到管理状态，它是在国家层面，所有的安全控制出口，如加密，认证，分割，身份管理和异常检测，仅举几例。
为了有一个零信托高度安全的网络，网络必须变得更聪明，它有可能成为层5感知管理状态和安全性。由于这是网络特定的，你仍然应该有适当的安全控制在堆栈上涨。
在某些阶段，而不需要在所有这些螺栓“中间件”，网络路由器必须本身在下一代软件定义网络（SDN），从所述控制平面分离数据面提供这些功能。
今天，我们看到了很多的关注，在SD-WAN市场。然而，SD-WAN用途隧道和覆盖如IPsec和虚拟可扩展的LAN（VXLAN）缺乏端至端应用程序的性能和安全控制。
在一个SD-WAN你没有很多的安全控制。隧道是点至点，而不是最终到终端。所有会议都在经历一个隧道，在隧道;你有过，交通没有安全控制。
虽然正在取得进展，我们正朝着正确的方向前进，这是不够的。我们需要开始对下一阶段的思考 - 零信任网络。我们需要铭记的是，在ZTN的世界里，所有的网络流量是不可信的。
引入零信任网络
零信任网络的目标是在网络边缘阻止恶意流量被允许探索，识别和攻击其他网络设备之前。
零信托在其最简单的形式增强了分割到一对一的模型。它采用分割一路每一个用户，设备，服务和网络应用上的绝对终点。
在这个模型中，受保护的内容可以是用户，“东西”，服务或应用程序。真正定义是，没有用户数据报协议（UDP）或传输控制协议（TCP）会话被允许未经事先验证和授权被建立。
我们正在做分割一路下跌到端点。在零世界信任，第一条规则是拒绝所有。从字面上看，你信任什么，然后你开始打开一个白名单，因为你需要它是能够得到动态和颗粒。
My first reaction to Zero Trust Networking was that this type of one-to-one model must add some serious weight to the network i.e. slow it down, add latency etc. However, that is actually not the case, you only need the ability to control the first set of packets. You only have to allow the session to be established. In the TCP world, it is the TCP SYN and SYN-ACK process. For the rest of the session, you can stay out of the data path.
网络管理者必须花时间去真正了解他们的网络上的用户，物联网，服务，应用程序和数据。此外，管理者必须衡量谁访问了什么。好消息是，有很多的信息在IAM目录，只需要被映射到路由网络已经存在。
你如何衡量安全性？
这将是一个好主意，问自己。如何测量我的安全漏洞？如果你无法衡量它，你如何管理呢？我们需要能够计算出攻击面。
随着ZTN，我们现在有一个公式，基本运算网络攻击面。这是衡量网络接入的安全风险的有效途径之一。越低的攻击面，更安全的网络资产。
此前零信托基金，用于攻击面的变量之一是广播域。这是一个终端主机，可以发送广播地址解析协议（ARP），看看别的是在网络上。这是一个相当大的攻击面。
攻击面本质上定义了网络如何打开的攻击。如果您安装，例如，物联网监控摄像头，摄像头只能够打开一个传输层安全（TLS）会话选定的一组服务器。在这种模式下，攻击面是1.自动数以百万计不安全的物联网设备的恶意软件的蔓延，这是当今时代的必需品。
最好的攻击面数显然是1，但设计不良的网络数量可能会显著较高。例如，虽然增加一个物联网监控摄像头的仓库局域网有其他50台连接的设备和相机有40个开放的端口，但它是不加密的，并有关于谁被允许发起会话没有方向性的规则。这导致了的攻击面，以20万次，这是在攻击面的巨大差距。这种差距是所面临的风险水平。
周长溶解
周边已经解散你的用户，物联网，服务，应用和数据无处不在。作为全球移动到云计算，移动和物联网，有能力控制和安全的一切都在网络中是不再可用。
如网络访问控制（NAC），防火墙，入侵防御和虚拟专用网络（VPN）所有传统的安全控制是基于这样的假设，有一个安全的周边。一旦你获得接入局域网，假定一切都是自动的信任。该模型还假定所有的端点运行相同的VPN或NAC客户端，这是很难在这种分布式数字世界中执行。
零信托要求相反。一切内部或外部是否超出信任域。从本质上讲，任何在网络上是可信的。该用户与其他用户或应用程序必须通过身份验证，授权，并在那里建立了网络会话的网络的边缘占到创建的每个会话。
如今，每个人都可以离开自己的家，前往你的房子和敲你的门。虽然，他们可能没有钥匙开门，但他们可以等待一个漏洞，如打开的窗口。
反之，ZTN是说，任何人都不得离开自己的房子，你的门敲不正确的身份验证和授权。它首先的前提是恶意流量应在其原产地停下来，它在网络试图访问一个端点或应用已渗透而不是之后。
概要
定义网络安全态势与拒绝所有的网络访问的默认，然后建立白名单将最终减少DDoS攻击，恶意软件感染和数据泄露的风险。
如果一个坏演员甚至不能对资产的“前门”，那么他们将不必去到下一个步骤，并尝试突破它的能力！“即插即祈祷”的旧时代不会在今天的时代作品。因此，网络必须变得足够聪明，只允许经过身份验证和授权来源。在数字世界里，没有什么应该是可信的。