前言

感谢阅读本书！在充斥着威胁的网络中构建可信的系统，是网络安全从业者多少年来孜孜以求的目标。在设计和构建可信系统的过程中，人们在解决一些根本性安全问题时遇到了挫折，而这些安全问题一直困扰和折磨着网络安全从业者。因此，我们非常希望业界同仁直面这些根本性的安全问题，更加积极主动地推进能够解决这些问题的安全系统的建设。

为了实现这个目标，建议在建设和维护安全的计算机网络时采取全新的立场：安全应当与系统的运营管理从根本上融为一体，而不是建立在系统之上；安全应当自始至终与系统并存，要为系统赋能而不能成为其运行的障碍。正因为如此，本书提出了一系列在系统设计时需要考虑的安全设计模式和注意事项，以使得系统具备足够的安全弹性，能够应对现今主流的攻击。

将这一系列设计模式和注意事项作为一个整体，得到的就是零信任模型。在这个模型中，默认的信任是不存在的，每一个访问请求，无论是来自咖啡馆里的一台个人终端电脑，还是来自数据中心的一台服务器，都需要经过严格的检查，并确认其拥有合法的授权。采用零信任模型，可以从根本上解决外部攻击者在网络中的横向移动问题、令人头痛的VPN配置管理问题，以及防火墙集中式安全策略管理带来的管理开销问题等。零信任模型与传统安全模型存在根本性的差别，我们深信它代表着网络和基础设施安全架构的未来。

网络安全是一个技术复杂且快速变化的工程领域。网络安全从业者需要深入理解系统多个层面的技术，并明确系统各个层面的漏洞和缺陷，因为攻击者往往正是利用这些漏洞和缺陷来破坏系统的访问控制和保护措施。安全的复杂性与多变性给系统的安全防护带来极大的挑战，但同时也给我们带来极大的成就感，并使我们享受不断学习、应对挑战的乐趣！

本书的目标读者

你是否已经发现，采用集中式安全策略管理的防火墙在实际应用中存在很多限制，甚至遇到过在某些特定情况下无法有效地管理、运营防火墙的情形？你是否在VPN管理上遇到过令人头疼的问题，如多应用和多语言情形下的TLS配置问题、合规审计问题等？这些问题仅仅是零信任模型试图解决的一小部分问题。如果你正在思考有没有更好的办法来解决这些问题，那么你很幸运——这本书适合你。

网络工程师、安全工程师、CTO等，每个人都可以从零信任模型的学习中受益。即便没有相关的专业背景知识，也可以很容易地理解本书描述的许多原则。本书能够帮助领导者理解零信任模型的基本概念，在零信任模型的实践中做出正确的决策，从而逐步改善组织的整体安全状况。

此外，如果具有配置管理系统（Configuration Management System, CMS）使用经验，会发现可以使用与CMS类似的想法构建更加安全、更容易运营的网络，使得网络中的资源在默认情况下得到很好的安全防护。在这种全新的网络设计中，自动化系统如何助力细粒度访问控制的广泛应用，也是一个备受关注的问题。

最后，本书还探讨了零信任网络成熟应用的设计要点，以帮助那些已经采纳零信任理念的组织进一步增强其安全系统的鲁棒性。

本书的写作目的

2014年，我们开始在行业会议上谈论我们在系统和网络设计中采用的新方法。当时，我们使用CMS严格定义系统的状态，以编程方式处理网络拓扑的变更。结果，在使用自动化工具的过程中，我们发现可以用编程的方式处理网络执行的细节，来代替人工管理这类配置。同时还发现，用这种方式自动化获取系统的设计，能够让我们比过去更加轻松地部署和管理安全特性，比如访问控制、加密等。此外，这样做还有更大的好处：在构建安全系统时极大地降低了对网络信任的依赖，这是在公有云或混合云场景下设计安全系统时需要考虑的关键因素。

大约在同一时期，Google发布了BeyondCorp项目的第一篇论文，阐述了Google在系统和网络安全设计方面的重新思考，目的是消除对网络信任的依赖性。从这篇论文中发现，Google试图解决的安全问题、设计安全架构的理念等，在许多方面与我们自己设计的安全系统非常相似。很显然，降低对网络信任的依赖性，不只是我们自己的设计偏好，也是整个安全行业的发展方向。通过比较BeyondCorp论文和我们自己的工作，我们的理解也更加深刻，并开始在各种会议上分享这种安全架构和安全理念。与会者都对我们正在做的事情非常感兴趣，但我们也经常听到这样的问题：“我也想在系统中实践这种安全理念和架构，在哪里可以学习和了解详细内容？”遗憾的是，我们的回答通常是“嗯，好像渠道不是很多……这样吧，可以来找我们讨论。”缺乏公开的信息和指导渐渐成为这一安全理念和安全架构推广的障碍，于是，我们决定撰写这本书来改变这种局面。

在本书的撰写过程中，我们访谈了数十家企业的相关人员，了解他们对网络安全设计的看法。我们发现，其中不少企业已经采取了大量的措施，努力减少对其内部网络的信任。不同的公司在设计安全系统时采用的方法不尽相同，但是很明显，他们的工作都是在类似的威胁模型下展开的，因此构建出的解决方案有许多共同之处。

本书的目标不是阐述一两个特定场景的安全设计方案，而是试图定义一个建立在“不可信网络”基础上的安全模型。因此，本书的侧重点不是介绍具体的软件或实现方式，而是探讨零信任网络的理念和基本概念。通过阅读本书，希望你能够理解零信任模型的基本概念，建立清晰的思维模型并利用这一思维模型设计和建设安全系统，甚至构建针对这类问题的可重用的解决方案。

零信任网络现状

零信任模型这个概念最初是由Forrester的分析师John Kindervag于2010年提出的。多年来，他一直致力于建立零信任网络的架构模型和指导原则，并为许多大型企业提供咨询，帮助它们从当前的安全状态逐步演进到零信任网络。John一直是这个领域的重要参与者，他的工作极大地促进了我们对零信任网络的理解。非常感谢John在零信任模型形成初期的大力普及和推广。

目前零信任网络主要是利用现有的软件组件和定制化软件，以全新的方式集成在一起构建起来的。因此，部署零信任网络并不像安装和配置现成的软/硬件那么容易。希望你在学习零信任网络时意识到这一点。

从另一方面来说，缺少易于部署且能够很好地协同工作的组件也是一个机会，一套开源工具可以推动零信任网络的广泛采用。

本书的主要内容

本书的内容组织如下。

• 第1章和第2章讨论了零信任网络的基本概念。

• 第3章和第4章探讨了成熟的零信任网络中常用的两个新概念——网络代理和信任引擎。

• 第5章～第8章详细描述了如何在网络的各个参与方之间建立信任。这些章节探讨的大多数内容都聚焦在现有的技术上，即使是传统的网络安全模型也可以使用。

• 第9章将之前讨论的技术集成在一起，探讨如何构建零信任网络，并给出了两个案例分析。

• 第10章则从攻击者的视角审视零信任模型，探讨如何解决网络安全问题。

排版约定

本书采用下列排版约定。

斜体

表示新词、E-mail地址、文件名，以及文件扩展名。

等宽

用于程序列印，以及在文字中表示命令、模块和程序元素，如变量或函数名、数据库、数据类型、环境变量、语句和关键字。

等宽加粗

表示命令或其他需要用户原封不动输入的文字。

等宽斜体

表示需要被替换成用户指定的值或根据上下文决定的值。

表示提示或建议。

表示一般附注。

表示警告或注意。

Safari® 在线图书

Safari在线图书（Safari Books Online）是一个面向企业、政府、教育工作者和个人的会员制培训和参考平台。

会员可以访问来自250多家出版商的数千本图书、培训视频、学习路径、互动教程以及策划列表，出版商包括O'Reilly Media、Harvard Business Review、Prentice Hall Professional、Addison-Wesley Professional、Microsoft Press、Sams、Que、Peachpit Press、Adobe、Focal Press、Cisco Press、John Wiley & Sons、Syngress, Morgan Kaufmann、IBM Redbooks、Packt、Adobe Press、FT Press、Apress, Manning、 New Riders、McGraw-Hill, Jones & Bartlett和Course Technology等。欲获得有关Safari Books Online的更多信息，请登录其网站查询。

联系方式

如果你想就本书发表评论或有任何疑问，敬请联系出版社：

O'Reilly Media, Inc.

1005 Gravenstein Highway North

Sebastopol, CA 95472

800-998-9938 （美国或加拿大）

707-829-0515 （国际或本地）

707-829-0104 （传真）

关于本书的勘误、示例和其他信息，请访问官方页面。

关于本书的技术性问题或建议，请发邮件到：bookquestions@oreilly.com。了解更多有关我们的图书、课程、会议的信息以及最新动态，请访问我们的官方推特，也可以在Youtube上观看。

致谢

感谢本书的编辑Courtney Allen，谢谢她在本书写作过程中给予的指导和帮助。还要感谢Virginia Wilson、Nan Barber和Maureen Spencer在本书审校过程中的努力和付出。

在撰写本书的过程中，我们有机会和许多人一起讨论其中的内容，感谢他们提出建议并把该领域其他人的工作情况介绍给我们。感谢Rory Ward、Junaid Islam、Stephen Woodrow、John Kindervag、Arup Chakrabarti、Julia Evans、Ed Bellis、Andrew Dunham、Bryan Berg、Richo Healey、Cedric Staub、Jesse Endahl、Andrew Miklas、Peter Smith、Dimitri Stiliadis、Jason Chan和David Cheney。

特别感谢Betsy Beyer为本书编写了Google BeyondCorp的案例分析部分！

感谢我们的技术审稿人Ryan Huber、Kevin Babcock和Pat Cable，你们的意见非常有价值。再次感谢你们抽出宝贵的时间仔细阅读本书的初稿。

Doug在本书的写作过程中花费了大量的时间，因此要感谢他的妻子Erin、女儿Persephone和Daphne，感谢她们的理解与支持。

Evan要感谢他的伴侣Kristen在本书写作过程中的支持和帮助，还要感谢Kareem Ali和Kenrick Thomas，没有他们的支持与帮助，本书不可能问世。