7月27-29日，由中国互联网协会、360 互联网安全中心等多家机构联合主办的 ISC 2021 第九届互联网安全大会在北京国家会议中心拉开巨幕，作为身份云行业领先的零信任解决方案提供商， Authing 受邀出席本次大会，并分享《以身份为基石的零信任网络，让互联网不再有隐秘的角落》的主题演讲。

随着现在世界越来越多地采用移动和云技术，也就有越来越多的工作在企业安全网络之外完成，企业的敏感资产不再有一堵围墙：员工、合作伙伴和供应商都可以跨传统边界访问企业数据。

安全领域的这种转变导致了零信任模型的诞生。Gartner 在其 2017 年的 CARTA 框架中，特意强调零信任不仅需要更加关注入口的认证和授权，还要通过自适应的、基于风险的评估来识别潜在访问威胁，持续贯穿用户体验。Forrester Reserch 公司将单点登录 (SSO) 等功能称为一项关键功能，并指出多重身份验证 (MFA) “可成倍地减少访问威胁”。

虽然技术演变，但是零信任核心概念依旧保持不变：在当今的安全环境中，它不再与网络有关，而是与访问您系统的人员以及对这些人的访问控制有关。

5个步骤实现无边界安全

01.在用户身份中建立信任

第一个步骤是将 MFA 部署到所有应用程序和用户设备中。这之后你会得到一份完整的用户和设备列表，对接下来的步骤很有帮助。

部署 MFA 是一个可以让用户轻松过渡到零信任模式的很好方式。同时也会产生一些挑战，比如管理员需要时间来适应无边界安全的理念，用户样需要时间来习惯每次登录时采取额外的安全措施。

02. 用户设备和行为可视化

当已经有了一套系统来确定是否信任用户的身份，接下来要做的是了解他们访问应用程序的设备。 

这一步的核心是创建并维护企业和个人所有设备的列表。这能让你能看到所有设备相关的情况，也能帮你捕捉到有关这些设备安全性的关键信息。这非常重要，因为它可以帮你衡量与用户和设备相关的安全⻛险，从而更好地掌握到底是什么类型的设备在访问应用。 

03. 确保用户设备的可信度

用户和设备的 “可信度判定 “永远在访问应用程序之前。例如，如果用户拥有正确的凭证，但试图从一个在不符合规定的设备登录他们的工作邮箱， 他们仍然会被拒绝访问。 

这套策略也被叫做 PBAC (基于策略的权限控制）。

04. 执行基于风险的自适应的访问策略

接下来，需要创建与用户和设备双重相关的安全策略。

例如，如果一个用户在上午 9 点从家里登录检查电子邮件，这可以被认为是典型的行为，是可以被授权的。但如果同一个用户在周末登录，并在 Salesforce 中检查他们以前没有访问过的客户数据，那就可以认为是异常的，基于风险的模型可以捕捉到这一点。 

而且由于与用户及其设备相关的⻛险可能会在访问尝试之间发生变化，例如，用户的设备软件过时了，你的访问策略也必须适应不断变化的条件，以保持可接受的⻛险水平。 

05. 安全连接所有应用

一旦用户验证了自己的身份和设备的有效性，并且验证了用户-设备策略，用户就可以在其设备和企业的应用程序之间建立安全连接。 

首先将零信任模型推广到最高⻛险的应用程序。企业最终需要保护所有应用程序，所以从最重要的应用程序开始，然后逐级下降。需要注意的是，与应用程序的连接并不是根据访问来源的网络来推断是否信任，而是验证用户和设备。

传统身份认证管理（IAM）的困境

系统结构复杂耗时耗资· 扩展性差难以集成新系统· 无法满足分布式身份与权限管理的诉求· 安全保护机制单一数据泄露风险高· 无法应对组织身份和应用快速增长的诉求

Authing 现代化的身份云平台

昨天：身份是网络的一部分，网络本身是边界今天：传统边界正在消失，身份是新的边界明天：以身份为中心的零信任网络，Authing 作为身份标准和通用平台

身份是零信任网络安全的基础，Authing 身份云平台经过严肃、精心的设计重构，是以开发者为中心，独立的、中立的、安全的全场景身份云平台，最大化地赋能开发者释放生产力，帮助企业更好地面对各种复杂的业务生态与变化。

Authing 身份云

Authing 是国内首款以开发者为中心的全场景身份云产品，集成了所有主流身份认证协议，为企业和开发者提供完善安全的用户认证和访问管理服务。Authing 被科技部认定为「2020 国家高新技术企业」，被中国信息通信研究院评选为「国内身份管理与访问控制领域创新企业」，并被录入《2019 网络安全产业白皮书》。Authing 已为中国石油、国家电网、招商银行、日本丰田、德高集团等国内外优秀企业打造了卓越的开发方式、高效的办公流程和安全的 IT 管理体系。