前言

感謝閱讀本書！在充斥著威脅的網絡中構建可信的系統，是網絡安全從業者多年來孜孜以求的目標。在設計和構建可信系統的過程中，人們在解決困擾業界的一些根本性安全問題時遇到了挫折，因此我們非常希望業界同人更加積極主動地構建能夠解決這些問題的系統。

為此，建議在建設和維護安全的計算機網絡時采取全新立場，將安全融入系統運營管理，而不是疊加在建立后的系統上。安全應自始至終與系統并存，要為系統運維賦能而不能成為絆腳石。鑒于此，本書提出了一系列設計模式和考量，它們讓系統富有彈性，能夠抵御現今的大部分攻擊向量。

這一系列設計模式和考量被統稱為零信任模型。在這種模型中，不存在默認的信任，對于每個訪問請求都要求經過嚴格的檢查，并確認其擁有合法的授權，而不管它是來自咖啡館的客戶端還是數據中心的服務器。借助于零信任模型，幾乎可以解決橫向移動問題、令人頭痛的VPN配置管理問題，減輕集中式防火墻的管理負擔。零信任模型完全不同于傳統的安全模型，我們深信它代表著網絡和基礎設施安全設計的未來。

本版擴大了覆蓋范圍，新增了零信任的最新進展。具體地說，新增了兩個全新的章節，同時在大部分原有章節末尾增加了場景介紹。為了幫助讀者更深入地了解NIST、CISA、DoD等頭部組織眼中的零信任，新增了第11章，討論零信任架構、標準和指導原則。鑒于零信任計劃實施起來并不容易，我們專門在第12章討論了零信任計劃實施過程中面臨的挑戰，提供了實用的應對建議，在該章末尾，還探討了最新技術（包括人工智能、量子計算和隱私增強技術）的進展，因為它們都與零信任和網絡安全緊密相關。

目標讀者

你是否已經發現，集中式防火墻存在局限性，有時甚至效果不彰？你是否曾經因VPN難題、多應用和多語言環境下的TLS配置問題、合規性問題或審計難題而舉步維艱？這些只是零信任模型可解決的眾多問題中的很小一部分。如果你正考慮另辟蹊徑，尋求更佳的解決之道，那么恭喜你，本書正是為你而寫的。

網絡工程師、安全工程師、CTO等都可受益于學習零信任模型，即便沒有相關的專業背景知識，也能輕松地理解本書介紹的很多原則。本書還可促使領導者下定決心，借助于零信任模型逐步改善組織的整體安全態勢。

另外，具備配置管理系統使用經驗的讀者將發現，可將同樣的理念應用于構建更安全、運維起來更容易的網絡系統——一個默認保障資源安全性的系統。因此，通過閱讀本書，他們將了解自動化系統如何實現新型網絡設計，從而更輕松地進行細粒度的安全控制。最后，本書探討了一種成熟的零信任設計，可幫助已接受零信任理念的人進一步提高安全系統的健壯性。

寫作目的

在2014年的行業會議上，我們開始談論要采用的系統和網絡設計新方法。當時，我們使用配置管理系統嚴格地定義系統狀態，以便在網絡拓撲發生變化時以編程方式修改配置。通過以這樣的方式使用自動化工具，能夠以編程方式處理網絡執行細節，而無須人工管理配置。同時，借助于自動捕獲系統設計，能夠比以前更輕松地部署和管理安全功能，如訪問控制、加密等。更重要的是，這還讓我們能夠最大限度地降低對網絡的信任度，而這正是公有云環境中的重要安全考量。

在撰寫本書的過程中，我們與數十家企業的相關人員交流，旨在了解他們對網絡安全設計的看法。我們發現，其中不少企業正在降低對內部網絡的信任度。雖然不同的公司在設計安全系統時采用的方法不盡相同，但有一點很明顯，那就是他們的工作都是基于相同的威脅模型展開的，因此構建出的解決方案有很多共同點。

本書并非闡述一兩個特定的安全系統，而是力圖定義一種默認不信任通信網絡的安全模型。因此，本書的側重點不是具體的軟件或實現，而是構建零信任網絡所基于的概念和理念。希望通過閱讀本書，讀者能夠對如何構建零信任系統有清晰的認識，甚至能夠構建可復用的零信任解決方案。

主要內容

本書涵蓋如下內容。

● 第1～2章討論零信任安全模型中的基本概念。

● 第3～4章探討成熟的零信任網絡中常見的兩個新概念——上下文感知代理和信任引擎。

● 第5～8章詳細描述如何在各種網絡參與者之間建立信任，重點是設備、身份、應用和網絡流量的信任。這些章節主要探討了那些在傳統網絡安全模型中同樣具有應用價值的現有技術。每章末尾都有場景介紹，旨在幫助讀者理解零信任核心原則在真實場景中的應用。

● 第9章討論如何使用學到的知識來構建零信任網絡，并提供兩個案例研究。

● 第10章從攻擊者的視角審視零信任安全模型，探討該模型存在的弱點，以及哪些弱點得到了很好的緩解，哪些沒有。

● 第11章探討NIST、CISA、DoD等組織推出的零信任架構、標準和框架，旨在幫助讀者了解行業頭部組織眼中的零信任安全模型。

● 第12章概述組織在實施零信任計劃的過程中將面臨的職能和技術障礙，并提供可幫助組織有效應對這些挑戰的粗略建議。另外，還探討人工智能、量子計算和隱私增強技術給零信任安全模型帶來的影響。鑒于這些技術在網絡安全策略中扮演著重要角色，因此讀者必須熟悉它們，這至關重要。

排版約定

本書采用下述排版約定。

斜體（Italic）

表示新術語、URL、電子郵件地址、文件名和文件擴展名。

等寬字體（Constant width）

表示代碼，段落內表示與代碼相關的元素，如變量或函數名稱、數據庫、數據類型、環境變量、語句和關鍵字。

O’Reilly在線學習平臺

近40年來，O’Reilly Media致力于提供技術和商業培訓、知識和卓越見解，幫助眾多公司取得成功。

我們擁有獨一無二的專家和創新者組成的龐大網絡，他們通過圖書、文章、會議和我們的在線學習平臺分享知識和經驗。O’Reilly的在線學習平臺為您提供按需訪問的直播培訓課程、深入的學習路徑、交互式編程環境，以及來自O’Reilly和200多家出版商的大量文本和視頻資源。更多信息請訪問http://oreilly.com。

聯系方式

如果讀者對本書有任何的評論或疑問，可以與出版社聯系。

美國：

??O’Reilly Media,Inc.

??1005 Gravenstein Highway North

??Sebastopol,CA 95472

中國：

??北京市西城區西直門南大街2號成銘大廈C座807室（100035）

??奧萊利技術咨詢（北京）有限公司

我們還為本書建立了一個網頁，其中包含勘誤表、示例和其他信息。讀者可以在O’Reilly官方網站訪問本書對應的網頁。

關于本書的技術性問題或建議，請發電子郵件到errata@oreilly.com.cn。

要查看更多的圖書、課程信息，可以訪問https://oreilly.com。

第一版致謝

感謝編輯 Courtney Allen 在寫作過程中給予的指導和幫助，還要感謝 Virginia Wilson、Nan Barber 和Maureen Spencer在審校過程中給予的幫助。

在本書編寫期間，我們得以有機會接觸到很多人，感謝他們同我們交流，并向我們引見該領域的其他人。感謝 Rory Ward、Junaid Islam、Stephen Woodrow、John Kindervag、Arup Chakrabarti、Julia Evans、Ed Bellis、Andrew Dunham、Bryan Berg、Richo Healey、Cedric Staub、Jesse Endahl、Andrew Miklas、Peter Smith、Dimitri Stiliadis、Jason Chan和David Cheney。

特別感謝Betsy Beyer為本書編寫了Google BeyondCorp案例分析部分。

感謝技術審校Ryan Huber、Kevin Babcock和Pat Cable，你們的意見極具價值，感謝你們抽出寶貴的時間仔細閱讀本書的初稿。

Doug要感謝妻子Erin、女兒Persephone和Daphne，感謝她們在本書寫作期間給予的理解與支持。

Evan要感謝伴侶Kristen在本書寫作期間給予的支持和幫助，還要感謝Kareem Ali和Kenrick Thomas，如果沒有他們，本書不可能付梓。

第二版致謝

這里要特別感謝策劃編輯Michele Cronin在整個編寫過程中給予的幫助和指導，同時要感謝策劃編輯Simina Calin引導本書走上了成功之路。

衷心感謝技術審校Kim Crawley、Steve Winterfeld和Karan Dwivedi給予大量反饋和建議，讓本書的各個方面都更上一層樓。萬分感謝！

Razi要感謝妻子Javeria、母親Zahida和妹妹Khaizran，感謝她們在本書編寫期間矢志不渝的支持。

Christina要感謝丈夫和孩子們，感謝他們在本書編寫期間堅定不移的支持和耐心。