信域安全云网遵循零信任安全原则设计，是零信任网络的一种简单、快速的实现方案。
企业落地零信任的本质就是从传统边界型 IP 网络升级为分布式 ID 网络（身份网络），无论是网络访问控制还是基于网络的行为分析，都不再依赖 IP 地址，而是始终聚焦身份。
零信任实际就是对 IP 地址不再信任，在一个快速变化、全球分布的网络中，IP 地址本身既无法代表个人也没有安全状态的内涵，以 IP 地址为要素进行访问控制或行为研判已经没有任何意义，因此要把访问控制的核心要素从 IP 地址转变为实体身份。
零信任的核心变革就是让企业网从 IP 网络升级到 ID 网络。
信域安全云网的点对点云化网格架构、网络数据包的身份化、基于身份的分布式访问控制引擎等特性为企业提供了一个天然的零信任网络环境，让企业落地零信任变得更加容易。
信域安全云网实现零信任网络的核心原则的方法如下：
原则 1： 身份是访问控制的基础
传统边界网络模型里，网络访问控制基于 IP 地址设计和执行。但在分布式企业里，网络变得越来越碎片化，员工可能从任意位置接入并访问业务资源。网络 IP 地址只能代表网络位置，并不能代表人或者终端，在分布式网络里继续使用传统边界网络模型必然会让安全策略越来越偏离对人或者终端的控制，带来大量的隐含信任漏洞以及安全运维工作量。
大多企业都已具备统一身份管理系统，无论是使用 AD/LDAP、钉钉或者企业微信等，企业的每一个员工都具备唯一的数字身份。在企业落地零信任并非是要再重新建立一套新的身份体系，而是要将企业已有的统一身份应用到网络访问控制上。
信域安全云网将企业的统一身份植入到每一个网络数据包里，从网络底层实现了身份化，同时采用基于身份的分布式访问控制引擎，不再依赖 IP 地址，而是基于企业的统一身份进行全网的网络访问控制。
原则 2： 最小权限原则
信域安全云网将企业业务资源都隐藏在业务局域网中，对外不开放任何 IP 地址和端口，避免了来自不可信网络的直接访问。所有业务访问需要经过信域网关代理转发，信域网关只接受来自信域客户端发过来的 UDP 网络数据包，不主动对任何数据包进行回应，对每一个数据包进行身份校验，如果校验失败则立即丢弃。
授权策略基于帐号、终端、客户端应用程序、业务资源、服务端口、应用层 URI 或指令集设计，并根据对用户、终端的可信研判结果，动态的调整细粒度控制策略，实现持续地最小授权。
原则 3： 实时计算访问控制策略
信域的细粒度访问控制策略通过计算生成，管理员通过业务语言基于帐号、终端、业务的属性集中地配置授权策略，信域根据企业随时变化的帐号、终端和业务现状，实时地生成细粒度的访问控制策略，并将细粒度访问控制策略同步到每一个信域客户端和信域网关上分布式执行。
信域智能分析平台，利用终端环境数据、用户业务访问的行为数据，实时地对终端用户进行可信分析，根据可信分析结果实时地调整细粒度访问控制策略。
原则 4： 资源受控安全访问
信域采用分布式访问控制引擎，细粒度的访问控制策略在信域客户端与信域网关上同时执行，对每一个访问数据包进行认证和鉴权，执行逐包加密，逐包认证的强制管控策略。
如果用户或者终端无权访问业务资源，则终端无法发出访问此业务资源的任何数据包，网关也不对来自此终端的业务访问数据包进行解密和转发；如果终端用户有权访问，则信域客户端将帐号和终端的身份信息植入到数据包里，加密后发送到对端信域网关，网关在收到数据包后对数据包进行身份校验、解密和转发。
原则 5： 基于多源数据进行信任等级持续评估
信域智能分析平台采集全网身份化的网络流量数据与终端环境数据，并利用 AI 技术对访问主客体进行安全建模，对人和终端进行可信分析，对业务访问行为和敏感数据访问行为进行威胁研判，并根据检测和分析结果动态调整访问权限，实时处置异常或恶意的帐号和终端。
本文采用 署名-非商业性使用-相同方式共享 4.0 国际 许可协议，转载请注明出处。
