搜索

[16284] 2021-01-05_再说零信任

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-01-05_再说零信任 再 说 零 信 任 小 李 飞 刀 0 0 7   F r e e B u f   2 0 2 1 - 0 1 - 0 5 什 么 是 零 信 任 ？ 什 么 是 零 信 任 ？ 2 0 1 0 年 ， 由 著 名 研 究 机 构 F o r r e s t e r 的 首 席 分 析 师 J o h n   K i n d e r v a g 最 早 提 出 了 零 信 任 ( Z e r o   T r u s t ) 的 概 念 ，   并 由 G o o g l e 在 B e y o n d C o r p 项 目 中 率 先 得 到 了 应 用 ， 很 好 的 解 决 了 边 界 安 全 理 念 难 以 应 对 的 安 全 问 题 。 我 们 的 网 络 无 时 无 刻 不 处 于 危 险 的 环 境 中 ， 网 络 位 置 不 足 以 决 定 网 络 的 可 信 程 度 ， 在 安 全 区 域 边 界 外 的 用 户 默 认 是 不 可 信 的 （ 不 安 全 的 ） ， 所 有 设 备 、 用 户 和 网 络 流 量 都 应 当 经 过 认 证 和 授 权 ， 遵 循 最 小 权 限 原 则 ， 确 保 所 有 的 访 问 主 体 、 资 源 、 通 信 链 路 出 于 最 安 全 的 状 态 。 零 信 任 与 传 统 边 界 安 全 理 念 零 信 任 与 传 统 边 界 安 全 理 念 传 统 网 络 理 念 传 统 网 络 理 念 传 统 网 络 边 界 安 全 防 护 理 念 基 本 可 以 分 为 纵 深 防 御 和 东 西 向 防 御 ， 在 内 网 又 划 分 办 公 区 、 D M Z 区 、 测 试 区 、 外 联 区 等 等 ， 每 个 区 域 按 照 不 同 安 全 等 级 划 分 安 全 区 域 ， 区 域 间 通 过 防 火 墙 、 网 闸 等 网 络 设 备 进 行 安 全 隔 离 ， 从 而 形 成 了 网 络 安 全 边 界 ， 实 现 对 各 个 安 全 区 域 的 安 全 防 护 。 通 过 防 火 墙 、 I P S 等 设 备 组 建 的 安 全 防 护 体 系 默 认 是 边 界 以 外 是 不 可 信 的 ， 而 边 界 内 部 则 默 认 是 可 信 的 零 信 任 理 念 零 信 任 理 念 传 统 安 全 防 护 体 系 在 一 定 程 度 可 以 防 御 外 部 攻 击 ， 但 伴 随 着 网 络 攻 击 日 益 增 多 ， 攻 击 手 段 层 出 不 穷 的 情 况 ， 这 种 体 系 就 无 法 更 好 地 抵 御 更 高 强 度 的 攻 击 场 景 。 零 信 任 网 络 旨 在 解 决 信 任 问 题 ， 假 定 用 户 、 终 端 、 资 源 都 是 不 可 信 的 ， 通 过 层 层 动 态 的 安 全 校 验 ， 从 用 户 端 到 后 台 服 务 器 建 立 起 一 条 信 任 链 ， 实 现 资 源 的 安 全 访 问 ， 防 止 非 信 任 带 来 的 安 全 问 题 。
相 对 于 传 统 边 界 网 络 ， 对 零 信 任 架 构 来 说 网 络 位 置 已 经 不 重 要 ， 因 为 用 户 每 一 次 对 资 源 访 问 的 请 求 都 需 要 经 过 一 系 列 的 信 任 校 验 和 建 立 。 两 种 概 念 对 比 两 种 概 念 对 比 综 上 所 述 ， 两 种 安 全 防 护 体 系 都 有 各 自 的 显 著 的 优 缺 点 ， 比 如 传 统 安 全 网 络 结 构 简 单 ， 零 信 任 网 络 架 构 复 杂 ， 下 表 是 两 者 间 的 优 缺 点 对 比 零 信 任 架 构 零 信 任 架 构 业 内 尚 没 有 统 一 的 零 信 任 架 构 标 准 ， 比 较 熟 知 的 架 构 有 S D P 软 件 定 义 网 络 和 N I S T 提 出 的 零 信 任 体 系 架 构 ， 基 于 这 两 种 架 构 ， 业 界 根 据 实 践 经 验 ， 总 结 出 一 个 较 为 通 用 的 零 信 任 架 构 。
在 用 户 对 资 源 访 问 模 式 的 零 信 任 实 现 方 案 中 ， 涉 及 的 核 心 元 素 有 ： 用 户 ： 访 问 的 主 体 ， 即 真 实 用 户 在 网 络 中 的 身 份 映 射 终 端 ： 发 起 访 问 用 的 设 备 ， 系 统 环 境 软 硬 件 及 发 起 访 问 的 可 执 行 程 序 代 码 资 源 ： 最 终 要 访 问 和 获 取 的 客 体 ， 通 常 是 内 网 的 应 用 系 统 链 路 ： 终 端 访 问 服 务 器 的 网 络 通 道 、 网 络 链 路 该 架 构 中 的 主 要 功 能 组 件 和 承 载 功 能 如 下 ： 1 )   零 信 任 终 端 a g e n t ， 主 要 功 能 如 下 ： a ) 采 集 终 端 数 据 ： 用 于 检 查 终 端 的 安 全 基 线 ， 是 否 满 足 对 资 源 访 问 的 安 全 状 态 b ) 与 终 端 建 立 授 信 关 系 ： 将 终 端 标 记 为 授 信 终 端 ， 建 立 绑 定 关 系 2 )   零 信 任 代 理 ， 暴 露 在 外 部 提 供 服 务 的 介 质 ， 主 要 功 能 如 下 a )   转 发 ： 对 用 户 发 起 的 请 求 进 行 认 证 授 权 转 发 ， 对 已 正 确 的 请 求 进 行 资 源 访 问 转 发 b ) 拦 截 ： 对 禁 止 访 问 的 请 求 进 行 拦 截 阻 断 ， 拦 截 不 可 信 的 网 络 流 量 3 ) 零 信 任 控 制 中 心 ， 主 要 功 能 如 下 ： a ) 认 证 ： 对 用 户 、 终 端 身 份 进 行 认 证 和 授 权 b ) 持 续 访 问 控 制 ： 访 问 控 制 策 略 ， 动 态 安 全 检 测 ， 动 态 防 护 响 应 应 用 场 景 应 用 场 景 1 .   远 程 办 公 远 程 办 公 2 0 2 0 年 因 为 疫 情 的 关 系 ， 各 大 公 司 员 工 开 启 了 远 程 办 公 ， 在 这 种 情 况 下 也 会 带 来 一 系 列 的 安 全 风 险 ， 对 此 远 程 办 公 需 求 进 一 步 地 推 动 了 零 信 任 理 念 的 发 展 。 从 远 程 办 公 的 业 务 需 求 上 来 看 ， 主 要 有 以 下 业 务 场 景 ： 普 通 办 公 需 求 ： 主 要 需 求 是 访 问 公 司 的 O A 、 知 识 系 统 、 邮 件 以 及 I M 等 运 维 需 求 ： 运 维 工 程 师 通 过 远 程 登 录 运 维 管 理 平 台 ， 对 操 作 系 统 、 服 务 器 进 行 远 程 维 护 等
开 发 需 求 ： 远 程 访 问 代 码 仓 库 、 构 建 开 发 环 境 传 统 V P N 远 程 访 问 系 统 的 情 况 下 ， 存 在 的 问 题 有 ： 1 ) 无 法 判 断 访 问 主 体 终 端 的 安 全 性 ， 一 旦 有 病 毒 ， 有 作 为 跳 板 机 攻 击 企 业 内 网 的 风 险 2 ) 无 法 进 行 精 细 化 、 动 态 化 的 权 限 控 制 针 对 以 上 问 题 ， 在 零 信 任 远 程 办 公 方 案 中 ， 零 信 任 网 关 暴 露 在 外 网 而 内 部 资 产 被 隐 藏 ， 通 过 可 信 身 份 、 可 信 设 备 、 可 信 应 用 、 可 信 链 路 ， 建 立 信 任 链 的 方 式 来 访 问 资 源 ， 确 保 安 全 地 访 问 企 业 资 源 。 2 .   多 分 支 结 构 多 分 支 结 构 具 有 一 定 规 模 的 公 司 ， 员 工 分 布 在 全 国 / 全 球 各 地 的 分 公 司 或 办 事 处 ， 他 们 都 有 访 问 集 团 内 部 资 源 的 需 求 ， 有 些 企 业 不 一 定 购 买 价 格 高 昂 的 运 营 商 专 线 到 集 团 内 网 ， 若 通 过 V P N 访 问 则 存 在 安 全 性 不 足 ， 网 络 不 稳 定 等 问 题 。 使 用 了 零 信 任 网 络 架 构 设 计 不 再 区 分 内 网 、 专 线 、 V P N 等 接 入 方 式 ， 通 过 将 访 问 流 量 统 一 接 入 零 信 任 代 理 、 零 信 任 访 问 控 制 与 保 护 引 擎 ( 零 信 任 安 全 控 制 中 心 ) ， 实 现 在 任 意 网 络 环 境 下 的 内 部 资 源 访 问 。 企 业 通 常 会 遇 到 系 统 权 限 滥 用 ， 平 行 越 权 、 垂 直 越 权 等 问 题 ， 通 过 零 信 任 则 可 以 根 据 集 团 的 组 织 架 构 设 置 员 工 角 色 访 问 策 略 ， 对 访 问 的 业 务 系 统 进 行 权 限 细 粒 度 授 权 ， 不 可 越 界 。 保 障 访 问 人 员 身 份 、 设 备 、 链 路 安 全 的 同 时 ， 用 户 权 限 也 会 得 到 有 效 控 制 。 零 信 任 落 地 零 信 任 落 地 零 信 任 属 于 比 较 新 的 安 全 理 念 ， 因 此 在 业 内 真 正 落 地 的 案 例 屈 指 可 数 ， 国 内 外 的 安 全 厂 商 的 解 决 方 案 也 是 参 差 不 齐 ， 无 论 是 自 研 还 是 和 第 三 方 厂 商 合 作 ， 在 落 地 零 信 任 落 地 时 都 要 根 据 自 身 业 务 系 统 建 设 阶 段 、 人 员 和 设 备 管 理 情 况 、 现 有 网 络 环 境 、 企 业   网 络 安 全 威 胁 、 现 有 安 全 机 制 、 预 算 情 况 、 安 全 团 队 人 员 能 力 等 因 素 综 合 考 虑 。 在 实 施 过 程 中 ， 应 该 考 虑 以 下 因 素 ： 1 ） 有 专 门 的 安 全 团 队 和 人 员 牵 头 和 推 进 实 施 。
2 ） 制 定 零 信 任 的 安 全 目 标 ， 可 分 为 终 极 目 标 和 阶 段 性 目 标 。 3 ） 业 务 部 门 的 充 分 理 解 和 配 合 4 ） 梳 理 现 有 网 络 环 境 ， 明 确 范 围 ， 制 定 实 施 方 案 5 ） 确 保 业 务 连 续 性 ， 做 好 回 滚 方 案 以 上 环 节 中 ， 重 中 之 重 无 疑 是 实 施 了 ， 在 实 施 规 划 中 ， 需 要 做 好 以 下 几 点 ： 对 接 业 务 系 统 列 表 。 包 括 业 务 系 统 名 称 及 其 责 任 人 ， 优 先 级 ， 访 问 地 址 ， 测 试 范 围 上 线 基 础 环 境 。 涵 盖 每 个 阶 段 实 施 的 内 容 ， 完 成 时 间 点 及 目 标 ， 域 名 ， 通 配 符 域 名 授 信 证 书 、 I P 规 划 、 I A M 对 接 手 册 等 等 。 设 备 清 单 。 包 含 设 备 配 置 步 骤 ， 零 信 任 代 理 网 关 ， 控 制 中 心 环 境 ， 为 了 避 免 遇 到 性 能 问 题 ， 尽 可 能 使 用 硬 件 设 备 。 网 络 拓 扑 。 包 含 实 施 前 后 拓 扑 ， 将 接 入 零 信 任 后 的 数 据 流 程 图 梳 理 清 楚 ， 方 便 后 期 维 护 与 管 理 。 人 员 分 工 。 明 确 参 与 人 员 的 工 作 ， 并 为 每 个 实 施 环 节 准 备 c h e c k l i s t ， 确 保 每 一 步 实 施 是 清 晰 地 ， 可 控 的 。 风 险 评 估 。 为 每 一 个 环 节 做 一 个 风 险 评 估 ， 如 何 降 低 风 险 ， 出 现 问 题 后 该 如 何 应 对 ， 结 合 企 业 内 部 的 业 务 连 续 性 流 程 进 行 制 定 相 关 的 展 望 展 望 在 网 络 安 全 备 受 关 注 以 及 远 程 办 公 背 景 下 ， 加 快 了 零 信 任 的 发 展 ， 零 信 任 也 越 来 越 受 到 政 府 部 门 和 业 务 的 关 注 。 伴 随 着 大 数 据 中 心 ， 工 业 互 联 网 、 5 G 网 络 等 新 基 建 的 快 速 发 展 ， 相 信 零 信 任 也 会 很 快 地 在 各 个 领 域 得 到 应 用 ， 对 此 也 希 望 我 们 能 够 不 断 完 善 零 信 任 理 念 和 架 构 ， 制 定 出 一 套 完 整 的 零 信 任 技 术 标 准 ， 将 网 络 安 全 推 向 一 个 新 高 度 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理