【零信任安全架构】NIST SP 800-207 架构深度拆解：不只是 7 条原则
内容提要
本文分析了NIST SP 800-207零信任架构，重点讨论逻辑组件模型、信任算法及三种部署变体。核心组件包括策略执行点（PEP）和策略决策点（PDP），二者需逻辑分离以确保安全。信任算法的输入源多样，决策模型包括基于条件、分数和上下文的评估。NIST在工程决策中留白，涉及状态管理和策略传播延迟等，需根据组织环境灵活选择。
关键要点
-
NIST SP 800-207 将零信任架构拆分为多个逻辑组件，包括策略执行点（PEP）和策略决策点（PDP），二者需逻辑分离以确保安全。
-
PEP 负责拦截访问请求并向 PA 请求决策，持续监控会话并根据 PA 的指令建立或终止连接。
-
PDP 包含策略引擎（PE）和策略管理器（PA），PE 负责做出决策，PA 负责执行决策。
-
信任算法是 NIST 文档中的重要概念，输入源包括用户身份、设备安全态势、威胁情报等，决策模型包括基于条件、分数和上下文的评估。
-
NIST 提供了三种零信任架构的部署变体：增强的身份治理、微分段和软件定义边界（SDP）。
-
NIST 在文档中留白了一些工程决策问题，如 PDP 的状态管理、策略传播延迟等，需根据组织环境灵活选择。
-
NIST SP 800-207 的真正价值在于逻辑组件模型和信任算法的动态计算，而非单一的产品解决方案。
延伸解读
逻辑组件模型的重要性
NIST SP 800-207 将零信任架构拆分为多个逻辑组件，如策略执行点（PEP）和策略决策点（PDP），强调了它们的逻辑分离。这种分离不仅有助于提升安全性，还能在不同的实现中灵活组合，适应不同组织的需求。理解这些组件的功能和相互关系是实施零信任架构的基础。
信任算法的复杂性
信任算法是 NIST 文档中的核心概念，其输入源多样且更新频率不一，这使得在实际应用中面临挑战。组织在实现时需关注如何处理输入源的过期问题，以确保决策的准确性和安全性。选择合适的信任模型（如基于条件或基于分数）也将直接影响到系统的灵活性和安全性。
工程决策的留白
NIST 在 SP 800-207 中故意留白了一些工程决策问题，如 PDP 的状态管理和策略传播延迟。这意味着组织在实施零信任架构时，需根据自身环境和风险偏好做出相应的选择。这种灵活性虽然带来挑战，但也为不同组织提供了定制化的解决方案空间。
延伸问答
NIST SP 800-207 零信任架构的核心组件有哪些？
核心组件包括策略执行点（PEP）和策略决策点（PDP），二者需逻辑分离以确保安全。
信任算法在 NIST SP 800-207 中的作用是什么？
信任算法用于根据多种输入源评估信任水平，并做出访问决策。
NIST 提供了哪些零信任架构的部署变体？
NIST 提供了增强的身份治理、微分段和软件定义边界（SDP）三种部署变体。
PEP 和 PDP 之间的逻辑分离有什么重要性？
逻辑分离确保决策过程与数据流量分开，防止攻击者通过数据通道干扰决策。
NIST SP 800-207 中提到的信任算法模型有哪些？
信任算法模型包括基于条件的、基于分数的和单一与上下文评估模型。
NIST SP 800-207 留白的工程决策问题有哪些？
留白的问题包括 PDP 的状态管理、策略传播延迟和设备姿态数据库的一致性等。
