零信任网络访问技术专题汇报[PPT模板成品+免费文案]

传统模型假设：组织网络内的所有事物都应受到信任。事实上，一旦进入网络，用户（包括威胁行为者和恶意内部人员）可以自由地横向移动、访问甚至泄露他们权限之外的任何数据。这显然是个很大的漏洞。

零信任网络访问(Zero-Trust Network Access，以下称ZTNA)则认为：不能信任出入网络的任何内容。应创建一种以数据为中心的全新边界，通过强身份验证技术保护数据。😀PPT超级市场AIPPT

在图1的抽象模型中，当主体需要访问企业资源时，其需要通过策略决策点（PDP）和相应的策略执行点（PEP）授予访问权限。😀PPT超级市场AIPPT

图2中的概念框架模型显示了组件及其相互作用的基本关系。注意，这是显示逻辑组件及其相互作用的理想模型。策略判定点（PDP）被分解为两个逻辑组件：策略引擎（PE）和策略管理器（PA）ZTA逻辑组件使用单独的控制平面进行通信，而应用数据则在数据平面上进行通信。PPT超级市场

企业可以通过多种方式为工作流引入零信任架构ZTA。这些方案因使用的组件和组织策略规则的主要来源而有所差异。每种方案都实现了零信任的所有原则，但可以使用一个或两个（或一个组件）作为策略的主要驱动元素。

基于增强身份治理的ZTA使用参与者身份作为策略创建的关键组件。如果不是请求访问企业资源的主体，则无需创建访问策略。对于这种方案，企业资源访问策略基于身份和分配的属性。资源访问的主要诉求是基于给定主体身份的访问授权。其他因素，如使用的设备、资产状态和环境因素，可以改变其最终信任评分计算（和最终访问授权），或者以某种方式调整结果（例如，基于网络位置仅授予对给定数据源的部分访问权限）。保护资源的PEP组件必须有能力可以把请求转发到策略引擎服务，在访问授权之前进行主体身份认证和请求核准。[PPT超级市场

基于增强身份治理的企业ZTA方案通常使用开放网络模型，或允许外部访问者访问的企业网络，或允许网络上的常见非企业设备（如下面第4.3节中的用例）。网络访问初始被授予在具有访问权限的资产上，仅限于具有适当访问权限的身份。授予基本的网络连接有一个缺点，因为恶意行为者仍然可以尝试网络侦查和/或利用网络对内部或第三方发起拒绝服务攻击。企业仍然需要在这种行为影响工作流程之前对其进行监控和响应。PPT 超级市场

企业可以将单个或一组资源放在由网关安全组件保护的私有网段上来实施ZTA。在这种方案中，企业将智能交换机(或路由器)、下一代防火墙(NGFWs)等基础设施设备或特殊用途的网关设备作为保护每个资源（或一小组相关资源）的PEP。或者（或额外），企业可以选择使用软件代理或端点资产上的防火墙来实现基于主机的微隔离，这些网关设备动态授权访问来自客户端资产的各个请求。根据模式的不同，网关可以是唯一的PEP（PolicyEnforcementPoint）组件，也可以是由网关和客户端代理组成的多部分PEP的一部分。

由于保护设备充当PEP，而该设备的管理充当PE/PA组件，因此该方法适用于各种用例和部署模型。此方法要求身份管理程序(IGP)完全发挥作用，但依赖网关组件充当PEP，从而保护资源免受未经授权的访问和/或发现。

最后一种方案是使用网络基础设施来实现ZTA。零信任的实现可以通过使用顶层网络来实现（即第7层，但也可以将其部署在更低的ISO网络协议栈）。这种方案有时称为软件定义边界（SDP）方法，并且经常包含SDN[SDNBOOK]和基于意图的联网（IBN）[IBNVN]的概念。在这种方案中，PA充当网络控制器，根据PE做出的决定来建立和重新配置网络。客户端继续请求通过PEP（由PA组件管理）进行访问。[PPT超级市场