零信任架构和传统网络安全模式的

零信任到底是一个什么类型的模型？什么类型的思想或思路，它是如何实现的，我们要做零信任，需要考虑哪些问题？

    零信任最早是约翰金德瓦格提出的安全模型。早期这个模型也是因为在安全研究上考虑的一个新的信任式模型。他最主要的宗旨是在于防止数据滥用，破坏，泄露的安全策略。

    所以从当前我们描述的情况来看，它并不是一个产品
，这也是为什么今天要讲的一个话题，因为市面上大家都在推零信任产品。

    零信任在十几年前被提出到gartner（ps：美国已经在全面落地），直接在未来的发展趋势上进行了明确的提出和延伸，这个也是基于当前模糊化边界，或是边界消亡以及新的一些应用场景的产生，包括byod ,IoT,云计算
，远程办公等等。在当前全世界疫情的阶段，零信任的安全模型已被广泛的远程办公解决方案所覆盖。

    我们对于零信任模型的落地情况可以做一个了解，针对于当前零信任的应用，我们也可以说是确保了只有在正确的环境下，正确的人或者是资源，才能通过正常的途径，在正确设备上，对资源和数据服务
进行正确的访问。零信任从当前我们所说的这种方式也就避免了，网络攻击者在进入内部网络环境之后的平行移动攻击！

    我们当前在从安全的角度对内部的行为进行控制，综合来说是一个大方案，从现有的网络，到我们后端的一些资源服务，最终都是靠一个访问控制的方式来进行逐层的管理。那在这里我们就可以得出并非网络可用不可用的问题，而是在访问控制上如何管理。当然，如果我们一刀切的方式也可以实现安全的有效管控，但对于业务的灵活性，就会造成很大的风险，所以这也是为什么会出现零信任模型，在可用的基础上来增加访问控制的力度，持续验证，保证数据的安全性以及访问的安全性。

    另外我们从访问的内容上，也可以做一个维度分析，针对不同的目标，我们可以在零信任模型上进行策略的定制和优化，根据访问内容的敏感重要程度制定策略！

    如何有效的实施零信任策略？

    

    对于零信任策略的实施，我们可以遵循以下5个基本的步骤来构建零信任网络。

    

    第一，定义保护面，也就是要保护什么内。

    第二，定义工作方式及流程，业务流程如何协同工作？

    第三，构建环境，控制措施尽可能靠近保护面，以边定义为边界，缩小保护范围，减少安全难度。

    第四，创建零信任的策略通过5W 1H的分析方法，建立安全策略。

    第五，验证零信任策略落地情况，并进行持续监控以及维护环境配置。在这里我们可以通过一些人工智能继续学习以及大数据分析的方式，来确保当前的实施可视化，效果可视化，并对已知的已发现的一些问题进行快速响应和优化。

    值得注意的是

    1〕零信任策略并不是一个一成不变的，一方面他要根据业务环境的变化而调整，第二方面策略本身也要从当前攻击面的不同而变化，他是一个增量型的趋势！

    2〕零信任在保护面上，首次我们要尽量选取非重要数据，非敏感环节内容。其目的也是为了尽量减少用户业务侧的干扰，并同时建立相应的一些安全策略或模型，更有效的方便于后期对核心数据进行零信任模型的落地。

对于您信任，我们可以用今年的一句话总结，那就是：永不信任，持续验证。

    tips:我们当前的身份认证系统如RFID本身已经建立有信任的访问控制方式，都不在信任体系里面，因为本身设计了信任体系，它就是有风险问题的！所以我们当前在市面上看过很多类似的被包装过的零信任产品，都不能很好的说明您信任的这一概念问题！

网络安全学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

需要网络安全学习路线和视频教程的可以在评论区留言哦~

最后

• 如果你确实想自学的话，我可以把我自己整理收藏的这些教程分享给你，里面不仅有web安全，还有渗透测试等等内容，包含电子书、面试题、pdf文档、视频以及相关的课件笔记，我都已经学过了，都可以免费分享给大家！

给小伙伴们的意见是想清楚，自学网络安全没有捷径，相比而言系统的网络安全是最节省成本的方式，因为能够帮你节省大量的时间和精力成本。坚持住，既然已经走到这条路上，虽然前途看似困难重重，只要咬牙坚持，最终会收到你想要的效果。

黑客工具&SRC技术文档&PDF书籍&web安全等（可分享）

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。

特别声明：
此教程为纯技术分享！本教程的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本教程的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失