随着全球数字化和万物互联的加速发展，传统网络的物理边界已经被彻底打破，以 “零信任”理念重构网络安全防御体系近年来得到广泛认可。

近日，中国移动应急4A工程中的零信任安全体系正式启用。该平台采用了最新的软件定义边界（SDP）技术，以“除非被证明可信，否则永不信任”为基本原则，以“不以边界作为信任条件”前提，构建出符合当下异构网络和业务的发展需求的安全防护体系，可对关键业务系统、网络资源进行重点防护。

推动零信任《规范》建设，SDP应用率先落地

2020年至今，突如其来的新冠疫情让远程办公成为新常态。另一方面，数字化加速落地，企业业务上云成为产业互联网发展的重要趋势。二力合一，加速了全球企业对新型网络安全技术和产品的探索和实践，其中之一便是“零信任”。

传统的网络边界，无论多么坚固，墙就在那里，攻防双方陷入技术攀比的循环，一个拆、一个补。直到零信任技术的出现，改变了这个局面，墙还在那里，但看不见，摸不着。

零信任倡导“持续验证、永不信任”，也就是我们不应该自动信任网络中的任何人、设备和位置，“零信任”架构下，意味着每个用户、设备、服务或应用程序都是不可信任的，基于这样的“怀疑”准则，必须通过持续认证才能获得最低级别的信任和关联访问特权，实现更安全地对资源的访问，不遗漏任何可疑因素，这种思路给我们提供了全新的方法论和安全工具。

依靠需求与技术的多重推动，全球“零信任”市场按下了“加速键。在此背景下，中国移动率先积极参与国内相关零信任技术规范，同时在行业内率先启动零信任平台建设，并与安全厂商一起针对相关技术在运营商行业内的应用进行积极的研究和实践。

从物理边界向软件定义边界（SDP）转变

在项目规划阶段，中国移动网络事业部制定了以4A身份为基石，基于全面身份化认证模式，为用户、设备、应用程序、业务系统等实体，建立统一的数字身份标识和治理流程的目标，确保只有合法的用户、从合法设备上才能访问网络。

在建设过程中，中国移动联合亚信安全，充分利用其SDP解决方案所具备的网络隐身属性、网络控制属性、可信应用、终端准入、事中控制等特性，有效了解决网络边界模糊带来的安全问题。

•  网络隐身能力搭建：

基于UDP的单包认证、先认证后连接的特性能很好的起到内网保护的作用，同时解决了由于TCP握手而导致的SYN洪泛问题，有效解决互联网暴露面的问题。

•  网络控制&URL控制：

基于用户（账号）访问资源的动态网络控制，能针对不同角色的人员授权不同的访问网络和URL，有效解决防火墙无法针对用户、角色进行动态的细粒度网络隔离的问题。

•  可信应用&终端准入：

基于应用的白名单控制策略，保证访问内网的流量是通过可信应用产生的；基于恶意进程和端口的的黑名单控制策略，有效解决了带病终端接入内网对内网产生的危害。

•  事中行为控制：

基于持续认证策略，对用户行为进行支持评估，针对高危操作进行持续认证和实时的阻断。

由“网络中心化”走向“身份中心化”

在已建设的平台能力基础上，中国移动还将持续探索，并充分发挥SDP解决方案的“多”点多面全联动、“快”捷访问一站式、“全”业务场景覆盖、“细”溯源安全审计等特点，开展零信任安全保障体系建设，重塑网络安全边界。

项目正式落地之后，中国移动安全体系架构规划将由“网络中心化”走向“身份中心化”，建立以“人”为中心进行访问控制，解决因网络环境开放，用户角色复杂引发的各种身份安全风险、设备安全风险和行为安全风险，做到非法用户进不来，合法用户不能乱来，斩断黑客的黑手，保障网络及业务安全。