面对内外网络安全威胁变化和网络边界泛化模糊的新形势，以零信任架构为代表的创新安全防护理念应运而生。不过在实际建设中，企业网络安全团队往往有多种创新安全框架可以选择，这就需要根据企业整体安全态势的实际需求，来选择合适的安全模型和建设框架。多种安全方法可以同时应用于同一家企业，比如纵深防御和零信任。
什么是纵深防御?
纵深防御一词本身源自军事领域，意指战争过程中利用地理优势来设多道军事防线防御。在网络安全领域中，纵深防御代表着一种更加系统、积极的防护战略，它要求合理利用各种安全技术的能力和特点，构建形成多方式、多层次、功能互补的安全防护能力体系，以满足企业安全工作中对纵深性、均衡性、抗易损性的多种要求。
纵深防御策略需要结合使用多种安全工具和机制，如果一个安全工具失效或被攻击者绕过，其他正确配置的工具可防止未授权访问。目前，纵深防御被认为是现代企业网络安全建设中的基本性原则之一，原因主要有两个：
多管齐下的分层安全方法有助于确保减少安全策略之间的漏洞;
纵深防御有助于防止人为错误导致安全工具的配置错误。
如果没有落实纵深防御策略，漏洞和错误配置将为攻击者轻松入侵网络打开大门。
纵深防御的技术体系
什么是零信任安全
零信任安全在纵深防御基础上，融合了更多安全控制原则的创新安全防护模式。零信任的目标是，永远不要信任访问公司网络内的应用程序和服务，以及与之交互的任何人或机器。零信任使用最小特权原则，确保只有连接到网络的合适设备和用户以及公共和私有数据中心中的工作负载才可以传送和接收数据。
零信任构建关键步骤
构建零信任安全需要网络团队和安全团队的共同配合，并需要以下几个关键步骤：
- 通过身份和访问管理技术，识别试图连接到网络的用户和设备。
- 部署具有微隔离机制的下一代防火墙系统，为应用程序、文件和服务访问确立访问控制机制。
- 使用自动化的网络检测和响应技术，构建不断监控网络和设备行为的安全运营能力。
- 评估远程访问，以确保适当的安全和身份验证。
应用价值分析
零信任的价值体现在“从不信任，验证一切”。如采用零信任，从初步登录到登录之后，用户必须不断证明自己拥有适当的权限。这意味着，即使攻击者渗入到系统中，也不一定会造成任何破坏或外泄数据。尽管零信任听起来处处限制用户，但它可以通过单点登录等工具改善用户体验，并减少密码管理不当方面的担忧。
相比零信任，纵深防御的最大价值是，如果分层安全的某一层失效，安全架构中的其他层已落实到位，可确保关键数据免受攻击者的攻击。分层防御还可以减缓攻击者的速度，提高攻击者被安全机制或安全团队发现的可能性。
很多人会将纵深防御简单理解为分层安全(Layered security)，因为它们有着很多相似和连结。纵深防御基础架构需要具备分层抵御攻击的安全能力，但这并不是纵深防御的全部。纵深防御不仅是技术层面的问题，同时还需要确定组织将如何响应随时可能出现的攻击，以及对事件的报告和溯源机制。纵深防御不仅需要在技术层面具有多层化的安全工具，还要有一套与之相配合的安全管理理念与策略。
应用挑战分析
纵深防御体系的实施往往是一项艰巨的任务，而不是简单的交钥匙工程，它代表一种整体化的安全理念，需要持续性的运营制度来保障支撑。实施纵深防御的主要挑战是，攻击形势每天都在变化。昨天使用的技术可能不再流行，今天使用的新攻击技术也许能轻松绕过多个安全防御措施。
实施纵深防御的另一个挑战是如何有效整合各层安全能力，这在一定程度上会阻碍协作流畅性，还可能降低威胁检测速度。纵深防御有多层，也意味着安全团队的管理也会变得更复杂。
基于“零信任”安全架构虽然可更好地防御横向攻击，保护核心数据与系统，但全面实施“零信任”安全架构难度大、代价高，甚至可能影响业务高峰时系统访问性能。像纵深防御一样，零信任安全体系的管理和运营同样非常复杂，尤其在实施阶段。企业组织的规模越大，确保系统应用安全所需的身份验证和授权就越多。零信任安全的另一个常见挑战是，它需要更多的运营团队来支撑，甚至需要使用第三方托管服务提供商。
应用发展分析
如果单单着眼于纵深防御和零信任战略各自主要实现的目标，我们可能以为这是两种独立的网络安全架构模型。事实上，它们之间有着紧密的联系，可以相互融合发展。比如说，虽然整体纵深防御策略还包括零信任架构之外的一些其他安全防护系统和数据保护功能，但可以将零信任原则可以融入到纵深防御的整体策略中。
纵深防御在许多方面与零信任安全理念相吻合。零信任架构认为网络上的任何用户或设备都应该不断受到质疑和监控，以确保访问行为的真实可靠。这种理念需要纵深防御基础架构的支撑和保障，其中重要一点就是，组织现有的安全工具和策略能够对各种IT设备和业务系统进行有效的运行管控。
纵深防御的建设理念也可以融合到零信任安全部署环境中。比如说，安全管理员可以根据业务需要，严格锁定用户的账户，确保他们仅仅有权运行某些应用程序和服务。此外，管理员可以创建逻辑隔离的安全区，以限制用户访问他们权限以外的网络部分。如果用户帐户受到威胁，不仅可以对该账户的访问权限进行限制，而且可以对其所在的安全区进行针对性的保护措施。
