X-SDP：零信任新纪元

全新的零信任解决方案，在SDP架构的基础上扩展主动防御能力，并在ATT&CK框架和D3FEND防御框架的指导下，形成攻防一体化纵深防御架构

通过Right Data实现零误报

系统梳理网络安全领域的基本概念

全面盘点办公访问场景下典型方案

并非纯理论推演，结合大量实际应用场景和甲方调研，实战经验沉淀

对防入侵领域全面而深入的思考

SDP 是零信任三大落地技术之一，主要解决终端到应用的访问安全问题。本书提出的 X-SDP 是 SDP 的扩展实现，将 SDP 的被动防御等级提升至主动防御，真正确保终端到应用场 景的访问安全。 本书介绍了终端到应用场景的现状及典型安全解决方案、零信任网络安全架构和主要流 派、SDP 与 ZTNA 架构的相关情况及 SDP 的演进路径、X-SDP 的三大核心能力、SPA 的演进、 所有渠道终端认证、优异的接入体验、高可用和分布式多活，同时给出了 X-SDP 的应用案例并对其 后续发展进行了展望。

郭炳梁，深圳南山区领航人才，程序员、产品经理，曾任VDI云桌面首席开发架构师。担任某头部零信任产品的产品线负责人，主导零信任产品从概念到落地的孵化过程，提出X-SDP主动防御理念，致力于零信任在多行业的落地实践。热爱总结分享，公众号“非典型产品经理”作者。

杨志刚，注册信息安全专业人员，云安全联盟大中华区研究专家，零信任认证专家、讲师。在安全领域拥有十余年从业经验，专注于零信任、SDP、移动安全等领域，帮助众多行业客户进行安全规划与建设，拥有丰富的零信任实战落地经验。

SDP是美国国家标准与技术研究院（NIST）发布的《零信任架构》中推荐的三大落地技术（SDP、IAM、MSG，S.I.M）之一，主要解决终端到应用（Endpoint-to-Application，E->A）的访问安全问题。

经过近几年的发展，SDP产品和方案得到了业内人士和客户的广泛认同，应用市场逐渐形成规模，2023年IDC发布的《中国零信任网络访问场景之软件定义边界市场份额，2022：核心应用场景的规模化引领市场稳步发展》报告显示，2022年，中国零信任网络访问场景之软件定义边界市场规模约为1.39亿美元（合9.4亿元人民币）。

但是在如火如荼的发展背后，从业人员也感觉到，SDP遇到了架构深度上的瓶颈，以致SDP的应用更多停留在远程接入场景，迟迟不能在广泛的E->A场景（不仅是远程访问，还包含总部职场和分支的内网访问等场景）中全面落地。甚至，即使在远程访问场景中，SDP也未能将问题充分解决。

SDP最初的目标是成为E->A的统一安全范式，然而架构深度问题严重阻碍了SDP实现这一目标的进程。

本书提出的X-SDP（Extended SDP）是SDP的扩展实现，也可称为SDP Pro，即SDP的升级版。

标准场景中的SDP主要通过单包授权（SPA）实现网络隐身，同时主张基于多源信息进行信任评估，持续进行认证和访问控制，从而实现安全防护。

当前，SDP仍然停留在“被动防御”阶段：SDP通过多因素认证和持续的动态认证来确认访问者身份，但是，通过认证的不一定是“好人”，有可能是“坏人”伪装的（如终端钓鱼、盗取账号等）；被认证拦截的也不一定是“坏人”，有可能是“好人”忘记了口令或丢失了凭证。

X-SDP旨在将SDP的被动防御等级提升至主动防御，将持续认证和访问控制（确认的检查动作）提升至能明确具体的恶意攻击者（确认的安全效果），真正确保E->A场景的访问安全。

X-SDP能大幅降低人的脆弱性带来的风险，大幅补强零信任体系的这一关键短板；同时，X-SDP不依赖真正意义上的RBAC权限最小化，即使RBAC权限相对较为宽泛，也能提供高度的安全防护效果。

不论是早期的IPS/WAF的安全防护技术，还是较新的DR检测技术（EDR/XDR/NDR），其本质都是基于大数据（Big Data）的鉴黑防护。X-SDP主张基于以身份为中心的访问控制实现鉴白防护，并通过正确的数据（Right Data）进行鉴黑，实现主动防御，与大数据鉴黑体系形成互补。

笔者了翻阅多家主流标准机构、咨询机构近十余年的安全资料，结合自己的大量思考、梳理论证，通过实战验证，总结提炼出了X-SDP理念。

本书包括16章，第1章到第3章重点讲述E->A场景的现状及面临的威胁，包括网络安全领域的一些基本概念、E->A场景下的网络变迁、典型网络安全架构及其面临的威胁与挑战。第4章和第5章主要讲述E->A场景下的典型安全解决方案、零信任网络安全架构，以及零信任的主要流派。第6章和第7章深入介绍当前SDP与ZTNA架构的相关情况，将SDP与SSL VPN进行对比，介绍SDP的演进路径，引出X-SDP理念。第8章到第10章分别讲述X-SDP的三大核心能力：原生零误报实时鉴黑及响应能力、基于三道防线的体系化纵深防御能力和主动威胁预警能力。第11章到第14章讲述优秀SDP产品应具备的能力，同时介绍SPA的演进、全网终端认证的实现、优异的接入体验，以及高可用和分布式多活。第15章为X-SDP的典型应用案例。第16章对X-SDP的后续发展进行展望。

感谢我的妻子和家人，他们给予了我极大的支持，让我能在繁忙的工作之余，还有大量的精力投入写作；感谢我的同事兼好友杨志刚先生，他与我共同完成了本书的撰写；感谢我的核心团队，尤其是余敏文、吴安然、王燃、周尚武等人，他们支持我并与我论证X-SDP，使之得以完善；感谢我的整个团队，他们支持并认可X-SDP的演进路径，按照规划开展研发工作；感谢在此过程中与我进行交流、给我帮助的同人，是你们的支持与指正让本书得以问世。

郭炳梁

2023.10