搜索

[15601] 2020-07-13_构建零信任网络之设备信任

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-07-13_构建零信任网络之设备信任 构 建 零 信 任 网 络 之 设 备 信 任 k l o v e y   F r e e B u f   2 0 2 0 - 0 7 - 1 3 受 当 前 疫 情 影 响 ， 远 程 办 公 需 求 不 断 增 加 ， 安 全 运 营 也 面 临 新 的 挑 战 。 在 众 多 远 程 办 公 解 决 方 案 中 ， 零 信 任 网 受 当 前 疫 情 影 响 ， 远 程 办 公 需 求 不 断 增 加 ， 安 全 运 营 也 面 临 新 的 挑 战 。 在 众 多 远 程 办 公 解 决 方 案 中 ， 零 信 任 网 络 架 构 脱 颖 而 出 ， 频 频 出 现 在 大 众 眼 前 。 络 架 构 脱 颖 而 出 ， 频 频 出 现 在 大 众 眼 前 。 零 信 任 不 是 产 品 或 服 务 ， 当 然 也 不 仅 仅 是 炒 作 的 概 念 ， 顾 名 思 义 ， 零 信 任 即 信 任 度 为 零 ， 也 就 是 “ 永 远 不 信 任 ， 永 远 要 验 证 ” 。 零 信 任 架 构 会 对 设 备 、 身 份 、 流 量 、 应 用 等 多 维 信 任 因 素 动 态 评 估 ， 给 出 相 应 的 访 问 控 制 策 略 ， 并 确 保 赋 予 当 次 工 作 的 最 小 权 限 。 网 上 关 于 零 信 任 网 络 资 料 颇 多 ， 本 文 对 零 信 任 理 论 不 再 赘 述 ， 主 要 从 构 建 设 备 信 任 方 面 谈 一 些 想 法 。 一 、 构 建 设 备 信 任 流 程 一 、 构 建 设 备 信 任 流 程 要 构 建 设 备 信 任 ， 首 先 得 确 保 设 备 的 初 始 安 全 ， 通 过 签 发 设 备 证 书 等 技 术 给 设 备 打 上 身 份 “ 标 识 ” ， 并 对 设 备 和 其 属 性 进 行 编 目 管 理 ， 之 后 结 合 历 史 访 问 、 网 络 位 置 和 用 户 使 用 等 多 因 素 对 设 备 持 续 评 估 ， 最 终 形 成 有 效 的 设 备 信 任 体 系 。 二 、 设 备 初 始 安 全 二 、 设 备 初 始 安 全 设 备 初 始 安 全 构 建 设 备 信 任 的 第 一 个 环 节 ， 对 于 新 采 购 的 设 备 ， 其 信 任 度 取 决 于 采 购 者 对 生 产 厂 商 的 和 供 应 商 的 信 任 度 。 然 而 并 不 是 所 有 新 设 备 都 是 完 全 可 信 的 ， 通 过 一 些 底 层 技 术 将 非 法 代 码 植 入 到 设 备 中 完 全 有 可 能 。 同 时 为 了 方 便 调 试 的 硬 编 码 后 门 和 硬 软 件 漏 洞 都 给 设 备 初 始 可 信 度 带 来 巨 大 挑 战 。 设 备 硬 编 码 漏 洞 层 出 不 穷
某 路 由 设 备 留 有 端 口 后 门 ， 无 需 验 证 直 接 连 接 获 取 s h e l l 存 在 于 显 卡 中 的 恶 意 程 序 做 到 操 作 系 统 无 关 ， 再 怎 样 重 装 都 能 可 长 期 驻 留 对 所 有 新 上 线 的 设 备 作 详 细 测 试 确 实 比 较 困 难 ， 且 不 一 定 达 到 预 想 效 果 。 设 备 的 初 始 安 全 还 得 依 赖 于 生 产 商 合 规 要 求 以 及 安 全 能 力 ， 在 长 期 合 作 中 建 立 信 任 ， 并 对 设 备 持 续 监 控 。 三 、 设 备 身 份 三 、 设 备 身 份 “ 标 识 标 识 ” 设 备 身 份 化 是 零 信 任 架 构 的 重 要 特 点 ， 要 验 证 设 备 有 效 性 ， 首 先 需 通 过 技 术 手 段 让 设 备 可 以 向 待 访 问 的 资 源 标 识 自 己 的 身 份 ， 这 种 标 识 不 能 简 单 的 使 用 设 备 的 序 列 号 、 M A C 地 址 等 等 ， 这 些 信 息 是 很 容 易 被 仿 冒 的 ， 但 这 些 可 作 为 辅 助 验 证 因 素 。 设 备 标 识 的 典 型 做 法 是 利 用 密 码 技 术 通 过 私 有 C A 为 每 台 设 备 签 发 单 独 的 设 备 证 书 ， 在 访 问 时 验 证 此 证 书 。
通 过 签 发 和 验 证 证 书 的 方 式 识 别 设 备 ， 自 然 引 入 了 密 钥 管 理 与 安 全 存 储 ， 证 书 颁 发 与 撤 销 等 问 题 ， 尤 其 是 私 钥 一 旦 被 窃 取 直 接 影 响 认 证 方 案 的 有 效 性 。 2 0 1 1 年 ， 荷 兰   C A   D i g i N o t a r 因 签 名 服 务 器 被 黑 失 去 信 任 而 宣 告 破 产 ， 其 证 书 被 微 软 删 除 。 一 种 比 较 好 的 方 式 是 使 用 硬 件 加 密 技 术 ， 即 利 用 H S M ( 硬 件 安 全 模 块 ) 或 T P M ( 可 信 平 台 模 块 ) 提 供 执 行 加 密 操 作 的 安 全 区 域 ， 以 保 证 私 钥 不 会 离 开 安 全 模 块 。 T P M 是 具 有 加 密 功 能 的 安 全 微 控 制 器 ， 可 提 供 涉 及 加 密 密 钥 的 基 本 安 全 功 能 。 T P M 一 般 包 含 自 己 的 固 件 ， 可 以 将 其 视 作 一 种 特 殊 的 单 片 机 ， 使 用 F P G A 实 现 是 一 种 常 见 方 式 。 T P M 生 成 并 存 储 根 密 钥 对 ， 使 用 公 钥 加 密 的 数 据 必 须 通 过 T P M 私 钥 解 密 ， 而 解 密 过 程 只 能 在 此 T P M 中 完 成 。 所 以 只 要 利 用 T P M 公 钥 加 密 设 备 证 书 的 私 钥 ， 就 可 以 实 现 密 钥 安 全 存 储 ， 需 要 使 用 证 书 私 钥 时 通 过 T P M 私 钥 解 密 即 可 。
四 、 设 备 清 单 管 理 四 、 设 备 清 单 管 理 设 备 清 单 管 理 就 是 对 设 备 及 其 属 性 进 行 编 目 管 理 。 首 先 对 设 备 的 界 定 需 要 有 一 个 清 醒 的 认 识 ， 就 像 梳 理 公 司 资 产 一 样 ， 尽 量 不 要 有 所 遗 漏 。 比 如 虚 拟 机 和 容 器 也 可 作 为 “ 设 备 ” 清 单 中 的 一 员 ， 因 为 在 使 用 中 这 些 逻 辑 实 体 与 真 实 设 备 别 无 二 致 ， 如 果 只 关 心 流 量 和 策 略 管 理 ， 无 疑 走 回 了 边 界 防 护 的 老 路 。     清 单 管 理 系 统 可 以 借 鉴 资 产 管 理 系 统 或 配 置 管 理 软 件 ， 此 类 系 统 提 供 了 数 据 收 集 模 式 范 本 ， 可 以 据 此 逐 步 构 建 清 单 管 理 系 统 。 市 面 上 的 配 置 管 理 软 件 很 多 ， 比 较 流 行 的 有 C h e f 、 P u p p e t 、 A n s i b l e 、 C F E n g i n e 和 S a l t 等 。 c h e f 会 在 运 行 的 节 点 中 收 集 主 机 名 、 I P 、 服 务 器 类 型 等 信 息 并 存 入 后 台 数 据 库 中 。 五 、 设 备 评 估 维 度 五 、 设 备 评 估 维 度 可 作 为 设 备 信 任 评 分 的 因 素 有 很 多 ， 除 了 之 前 提 到 的 序 列 号 、 M A C 地 址 等 静 态 信 息 ， 还 可 通 过 一 些 动 态 可 变 因 素 增 强 信 任 评 分 灵 活 性 和 有 效 性 。 5 . 1   设 备 还 原 时 间 设 备 还 原 时 间 虽 然 系 统 还 原 无 法 抵 挡 底 层 驻 留 攻 击 ， 但 某 种 程 度 上 可 以 认 为 原 始 镜 像 的 大 部 分 属 性 和 数 据 是 可 信 的 。 随 着 设 备 经 过 长 时 间 的 运 行 和 暴 露 ， 其 信 任 度 也 会 逐 渐 降 低 。 所 以 一 般 认 为 距 离 设 备 恢 复 点 时 间 越 近 ， 设 备 的 可 信 度 也 相 对 越 高 。
5 . 2   设 备 历 史 访 问 设 备 历 史 访 问 设 备 访 问 资 源 的 频 率 、 时 间 以 及 请 求 资 源 的 历 史 都 可 以 作 为 信 任 评 分 的 依 据 。 对 于 很 长 一 段 时 间 没 有 出 现 的 设 备 信 任 度 显 然 要 比 经 常 出 现 的 设 备 低 。 同 样 ， 考 虑 设 备 和 资 源 的 关 联 也 是 必 要 的 ， 比 如 某 台 设 备 突 然 对 一 个 新 的 资 源 发 起 访 问 ， 相 比 其 尝 试 访 问 每 周 都 会 访 问 的 资 源 来 的 “ 可 疑 ” 的 多 。 有 时 访 问 频 率 也 可 以 作 为 重 要 因 素 ， 比 如 某 台 设 备 对 某 个 资 源 在 过 去 一 个 月 只 访 问 数 次 ， 但 近 期 却 突 然 发 起 数 百 请 求 ， 这 样 显 然 不 太 合 理 。 5 . 3   设 备 网 络 位 置 设 备 网 络 位 置 虽 然 在 零 信 任 模 型 中 ， 网 络 位 置 已 不 再 是 认 证 判 定 的 依 赖 因 素 ， 但 仍 可 以 将 其 作 为 信 任 评 分 一 个 维 度 。 看 起 来 两 者 有 些 矛 盾 ， 实 则 不 然 。 分 析 设 备 的 网 络 位 置 可 以 更 好 的 发 现 风 险 ， 比 如 一 台 设 备 在 某 地 发 起 授 权 请 求 ， 很 短 时 间 内 又 在 相 隔 万 里 的 位 置 发 起 请 求 ， 这 种 行 为 就 比 较 可 疑 ( 所 以 使 用 代 理 会 对 设 备 信 任 度 产 生 一 定 的 影 响 ) 。 但 如 果 制 定 某 条 策 略 规 定 某 应 用 只 能 在 办 公 内 网 进 行 访 问 ， 这 样 以 网 络 位 置 为 绝 对 依 据 显 然 和 零 信 任 模 型 背 道 而 驰 。
5 . 4   设 备 通 信 模 式 设 备 通 信 模 式 通 信 模 式 指 设 备 对 资 源 的 访 问 一 般 会 采 取 固 有 的 习 惯 ， 并 形 成 一 种 流 量 范 式 ， 这 种 范 式 的 突 然 变 化 是 可 疑 的 ， 将 直 接 影 响 系 统 对 设 备 的 信 任 度 。 通 信 模 式 的 获 得 可 能 会 结 合 网 络 监 控 和 流 量 采 集 ， 但 与 构 建 流 量 信 任 所 关 注 的 重 点 不 同 ， 设 备 通 信 模 式 更 关 注 通 信 的 行 为 ， 而 前 者 更 关 注 流 量 本 身 。 比 如 ， 发 现 某 个 服 务 器 频 繁 请 求 跨 洋 主 机 的 D N S ， 或 是 之 前 从 未 发 起 过 S S H 连 接 ， 近 来 却 频 繁 发 起 S S H 请 求 ， 这 都 提 高 设 备 可 疑 度 ， 相 应 的 降 低 了 信 任 评 分 。 上 述 设 备 的 评 估 维 度 可 能 在 某 些 方 面 有 所 交 叉 ， 在 具 体 检 测 时 不 必 拘 泥 于 该 因 素 属 于 哪 类 ， 只 需 满 足 评 估 的 具 体 需 求 即 可 。 六 、 信 任 持 续 评 估 六 、 信 任 持 续 评 估 没 有 完 美 的 安 全 ， 也 没 有 永 远 的 安 全 。 对 设 备 的 持 续 评 估 充 分 体 现 了 零 信 任 架 构 可 变 信 任 的 思 想 。 持 续 监 控 设 备 配 置 修 改 、 数 据 更 新 和 运 行 状 态 ， 作 为 调 整 设 备 信 任 评 分 和 访 问 控 制 策 略 的 重 要 依 据 。 6 . 1   被 动 评 估 被 动 评 估 被 动 评 估 可 以 基 于 硬 件 和 软 件 。 基 于 硬 件 评 估 更 加 可 靠 ， 但 操 作 难 度 较 大 ； 基 于 软 件 的 可 靠 性 稍 弱 ， 但 操 作 性 强 。 基 于 硬 件 的 方 法 可 利 用 T P M 实 现 签 名 响 应 ， 其 中 包 含 硬 件 设 备 生 成 的 当 前 系 统 状 态 和 软 件 运 行 情 况 的 哈 希 值 。 基 于 软 件 的 方 法 比 较 容 易 ， 可 利 用 杀 软 、 E D R 或 C W P P 充 当 代 理 收 集 设 备 状 态 信 息 。 然 而 两 种 方 法 都 有 明 显 缺 陷 ， 如 果 攻 击 者 可 以 运 行 未 授 权 应 用 ， 或 是 具 备 足 够 的 权 限 屏 蔽 这 些 代 理 ， 那 整 个 度 量 机 制 也 会 随 之 失 效 ， 所 以 要 与 主 动 评 估 相 结 合 。 可 利 用 M e t e r p r e t e r 清 理 m s f 日 志 、 关 闭 连 接 ， 清 除 痕 迹 6 . 2   主 动 评 估 主 动 评 估 主 动 评 估 的 优 势 在 于 从 完 全 独 立 的 外 部 系 统 出 发 ， 对 内 部 设 备 进 行 健 康 度 分 析 和 度 量 ， 尤 其 当 前 攻 击 - > 提 权 - > 隐 蔽 消 痕 的 组 合 拳 已 成 为 黑 客 默 认 操 作 ， 被 控 设 备 上 报 的 信 息 可 能 已 被 篡 改 。 主 动 评 估 可 通 过 设 备 扫 描 实 现 ， 周 期 性 对 设 备 进 行 端 口 、 漏 洞 扫 描 探 测 ， 并 观 察 和 分 析 响 应 结 果 。 通 过 扫 描 分 析 可 以 发 现 设 备 是 否 存 在 漏 洞 或 错 误 配 置 ， 还 可 综 合 运 用 多 种 检 测 手 段 发 现 潜 在 风 险 ， 从 而 影 响 设 备 的 信 任 度 。 市 面 上 有 大 量 的 开 源 或 商 业 软 件 可 用 于 扫 描 ， 包 括 N e s s u s 、 m e t a s p l o i t 、 A P P s c a n 、 A c u n e t i x 、 o p e n V A S 等 等 ， 这 些 软 件 已 经 比 较 成 熟 ， 也 具 备 一 定 的 使 用 规 模 。 m e t e r p r e t e r   >   c l e a r e v m s f   e x p l o i t ( m u l t i / h a n d l e r )   >   s e s s i o n s   - K
值 得 注 意 的 是 ， 近 期 出 现 了 许 多 基 于 G o 的 扫 描 套 件 ， 利 用 G o 的 并 发 优 势 作 扫 描 可 能 会 称 为 趋 势 。 与 网 络 安 全 的 纵 深 防 御 类 似 ， 单 一 静 态 的 设 备 信 任 评 估 无 法 满 足 构 建 零 信 任 网 络 要 求 ， 只 有 多 层 面 多 因 素 联 动 的 动 态 方 式 才 能 更 好 的 实 现 设 备 信 任 评 估 。 关 于 零 信 任 模 型 涉 及 的 策 略 和 技 术 内 容 广 泛 ， 笔 者 也 是 抛 砖 引 玉 ， 更 多 的 内 容 期 待 与 大 家 一 起 学 习 探 讨 。 参 考 资 料 参 考 资 料 零 信 任 理 论 《 零 信 任 网 络 ： 在 不 可 信 网 络 中 构 建 安 全 系 统 》 密 码 学 简 史 h t t p s : / / m p . w e i x i n . q q . c o m / s / R 2 6 u T L w x u 2 2 B p p k V 5 9 L l z A T P M 介 绍 h t t p s : / / b l o g . c s d n . n e t / h e a l t h 7 4 7 4 7 4 / a r t i c l e / d e t a i l s / 1 7 7 3 2 7 7 1 c h e f 官 网 h t t p s : / / w w w . c h e f . i o / 本 文 作 者 ： 本 文 作 者 ： k l o v e y ， ，   属 于 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理