网络安全行业系列深度报告（四）：零信任，重构网络安全体系-20200906-招商证券-38页_6mb

零信任：重构网络安全体系

核心内容

零信任架构是一种新型的网络安全方法，其核心思想是“默认不信任”，即在访问过程中对用户和设备进行动态评估，并基于最小权限原则进行授权。这种架构能够有效应对企业业务复杂度增加、用户/设备数量激增、网络边界模糊、攻击手段多样化等挑战，满足远程办公、多云、多分支机构、跨企业协同等场景的安全需求。

主要观点

• 零信任不是一种单一产品，而是一种安全技术框架，通过重新设计安全架构提升企业防护能力。
• 传统安全架构依赖边界防护，无法有效应对内部攻击和外部访问，而零信任通过动态身份认证、最小权限、资产隐藏、微隔离、持续信任评估和动态访问控制等技术手段，实现端到端安全。
• 零信任将推动安全行业从硬件堆砌向解决方案和服务转型，提高厂商集中度。
• 零信任的实践将带来增量需求，涉及统一身份认证、安全网关、安全平台、终端安全和日志审计等多个产品组件。

关键信息

• 零信任架构的三大核心组件：策略引擎（PE）、策略管理器（PA）、策略执行点（PEP）。
• 零信任六大要素：身份认证、最小权限、资产隐藏、微隔离、持续信任评估、动态访问控制。
• 动态访问控制：基于RBAC和ABAC，实现灵活授权。
• 资产隐藏：通过SDP技术隐藏业务端口，防止攻击者直接访问。
• 微隔离：实现服务器之间的安全隔离，控制东西向流量。
• 持续信任评估：通过PE策略引擎对用户和设备进行实时信任评估和权限调整。

国内外厂商布局

• 国外厂商：Google的BeyondCorp、微软的Azure Zero Trust Framework、Okta的身份云、ZScaler的ZAP等，均在零信任领域有所实践。
• 国内厂商：启明星辰、绿盟科技、深信服、南洋股份、奇安信、安恒信息等均推出零信任相关产品或解决方案，形成市场竞争格局。

零信任实施方式与优势

• SDP技术：用于隐藏端口、实现安全访问，但目前仍面临全流量加密和性能挑战。
• 现有产品升级：可基于NGFW、WAF、VPN等进行技术改造，实现零信任功能。
• 终端安全：通过EDR、云桌面管理等产品实现终端和用户层面的防护。
• 日志审计：用于收集和分析数据，为策略引擎提供决策依据。

零信任的部署场景

• 多分支机构企业：策略引擎和管理器云部署，终端安装代理。
• 多云/云到云企业：在资源访问点部署PEP，PE和PA可位于云或第三方服务。
• 外包服务/非员工访问：通过安全代理或门户访问资源，未被代理的系统无法访问。
• 跨企业协作：通过云服务实现安全访问，确保各方安全接入。
• 面向公众/客户：零信任只适用于注册用户，企业需对客户资源进行控制。

国内外市场差异

• 美国市场：企业级客户上云速度快，零信任SaaS模式发展迅速，Okta等厂商已成功实施。
• 中国市场：主要需求来自政府和行业客户，以私有云为主，零信任SaaS尚未普及，但随着公有云渗透率提升，零信任相关SaaS业务将有较大发展空间。

投资建议

• 重点推荐：启明星辰、绿盟科技、深信服、南洋股份。
• 关注：奇安信、安恒信息。
• 理由：研发能力强、产品线齐全的厂商在零信任架构中更具优势，能够提升市场份额和用户粘性。

风险提示

• 技术发展不及预期。
• 网安行业景气度不及预期。

可比公司估值对比

行业趋势

• 零信任需求增长：62%的企业认为保护分散的私有应用端口是最大的挑战，61%的企业担心内部用户权限过多。
• 零信任应用情况：目前有78%的网络安全团队在尝试采用零信任架构。
• SaaS化趋势：随着公有云渗透率提升，零信任SaaS业务将迎来成长机会。

分析师承诺与投资评级定义

• 分析师承诺：本报告反映了分析师的研究观点，无利益冲突。
• 投资评级定义：
  • 短期评级：
    • 强烈推荐：股价涨幅超基准指数20%以上
    • 审慎推荐：股价涨幅超基准指数5-20%
    • 中性：股价变动幅度介于±5%
    • 回避：股价表现弱于基准指数5%以上
  • 长期评级：
    • A：公司长期竞争力高于行业平均水平
    • B：公司长期竞争力与行业平均水平一致
    • C：公司长期竞争力低于行业平均水平
  • 行业投资评级：
    • 推荐：行业基本面向好
    • 中性：行业基本面稳定
    • 回避：行业基本面向淡

结论

零信任架构正成为未来网络安全的重要发展方向，其部署将推动行业向解决方案和服务模式转型。国内厂商需加快布局，提升研发能力和产品线完整性，以抓住市场机遇。