搜索

[13545] 2018-12-18_安全思维模型解读谷歌零信任安全架构（安全设计视角）

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-12-18_安全思维模型解读谷歌零信任安全架构（安全设计视角） 安 全 思 维 模 型 解 读 谷 歌 零 信 任 安 全 架 构 （ 安 全 设 计 视 角 ） 夏 石 信 息 安 全   F r e e B u f   2 0 1 8 - 1 2 - 1 8 前 言 前 言 本 篇 是 安 全 思 维 模 型 解 读 谷 歌 零 信 任 安 全 架 构 系 列 文 章 ， 其 它 文 章 将 陆 续 推 出 。 本 篇 是 安 全 思 维 模 型 解 读 谷 歌 零 信 任 安 全 架 构 系 列 文 章 ， 其 它 文 章 将 陆 续 推 出 。 本 篇 ：   安 全 设 计 视 角 解 读   B e y o n d C o r p   项 目 ； 第 二 篇 ：   安 全 运 营 视 角 解 读   B e y o n d C o r p   项 目 ； 第 三 篇 ：   安 全 产 业 视 角 解 读 零 信 任 安 全 体 系 的 落 地 。 一 、 一 、 B e y o n d C o r p 项 目 背 景 项 目 背 景 迄 今 为 止 ， 绝 大 多 数 企 业 都 还 是 以 防 火 墙 为 基 础 划 分 出 企 业 内 网 和 公 众 网 络 的 边 界 ， 并 基 于 此 构 建 安 全 体 系 。 出 差 员 工 或 者 分 支 机 构 通 过 V P N 接 入 企 业 内 网 。 G o o g l e 公 司 在 2 0 1 1 年 之 前 也 是 如 此 。 正 是 2 0 0 9 年 的 A P T 攻 击 “ 极 光 行 动 ” 推 动 G o o g l e 重 新 搭 建 整 体 安 全 架 构 ， 从 而 诞 生 了 B e y o n d C o r p 项 目 。 更 为 普 遍 的 情 况 是 ， 几 乎 所 有 网 络 安 全 事 故 的 调 查 都 指 出 ， 黑 客 曾 长 期 潜 伏 在 受 害 企 业 内 网 ， 利 用 内 部 系 统 漏 洞 和 管 理 缺 陷 逐 步 获 得 高 级 权 限 ； 另 一 方 面 ， 内 部 人 员 的 误 操 作 和 恶 意 破 坏 一 直 是 企 业 安 全 的 巨 大 挑 战 ， 长 期 以 来 都 没 有 好 的 解 决 方 案 。 传 统 看 法 认 为 企 业 内 网 是 可 信 区 域 的 是 站 不 住 脚 的 。 二 、 零 信 任 技 术 体 系 二 、 零 信 任 技 术 体 系 B e y o n d C o r p 实 际 上 是 抛 弃 了 对 本 地 内 网 的 信 任 ， 进 而 提 出 了 一 个 新 的 方 案 ， 取 代 基 于 网 络 边 界 构 筑 安 全 体 系 的 传 统 做 法 。 在 这 个 新 方 案 中 ， G o o g l e 对 外 部 公 共 网 络 和 本 地 网 络 的 设 备 在 默 认 情 况 下 都 不 会 授 予 任 何 特 权 。 用 户 无 论 在 哪 里 （ 出 差 、 g o o g l e 大 楼 ， 全 球 其 它 分 支 机 构 等 ） ， 必 须 ： 1 、 使 用 由 公 司 提 供 的 “ 受 管 理 设 备 ” ； 2 、 通 过 用 户 身 份 认 证 ； 3 、 且 符 合 “ 访 问 控 制 引 擎 ” 中 的 策 略 要 求 ； 4 、 通 过 专 门 的 “ 访 问 代 理 ” ， 不 可 绕 过 。 才 能 访 问 特 定 的 公 司 内 部 资 源 。 相 应 的 ， 为 了 保 证 用 户 获 得 流 畅 的 资 源 访 问 体 验 ， G o o g l e 主 要 完 成 了 ： 1 、 准 确 识 别 设 备 ， 每 台 设 备 颁 发 唯 一 数 字 证 书 ， 通 过 “ 设 备 库 存 数 据 库 ” 维 护 设 备 清 单 ； 2 、 准 确 识 别 用 户 ， 每 个 用 户 分 配 唯 一 身 份 I D , 通 过 “ 用 户 ／ 组 数 据 库 ” 维 护 用 户 身 份 清 单 ； 3 、 通 过 面 向 互 联 网 的 访 问 代 理 提 供 内 部 应 用 （ 每 个 应 用 都 分 配 域 名 ） 和 工 作 流 ； 4 、 实 现 基 于 已 知 设 备 和 用 户 的 访 问 控 制 ， 并 动 态 更 新 设 备 和 用 户 信 息 。
几 个 安 全 思 维 模 型 几 个 安 全 思 维 模 型 思 维 模 型 一 ： 思 维 模 型 一 ： C   I   A   T r i a d 原 则 原 则 我 们 先 来 看 一 个 比 较 简 单 的 思 维 模 型 ， C I A   T r i a d 原 则 就 是 一 切 的 攻 防 手 段 都 是 围 绕 着 保 密 性 ( C ) 、 完 整 性 ( I ) 、 可 用 性 ( A ) 三 原 则 展 开 的 。 保 密 性 保 密 性 ： 【 保 密 性 实 际 上 是 它 的 本 质 就 是 信 息 越 界 】 这 个 边 界 实 际 上 是 有 两 类 ： 一 ： 时 间 边 界 ； 二 ： 空 间 边 界 。 时 间 边 界 就 是 说 还 没 到 那 个 时 间 点 ， 他 提 前 给 放 出 来 。 比 方 说 我 们 说 高 考 试 卷 ， 每 年 的 高 考 语 文 试 卷 不 到 6 月 7 号 上 午 9 点 ， 九 点 之 前 你 弄 出 来 了 ， 这 就 是 一 个 重 大 的 泄 密 。 再 说 空 间 边 界 ， 这 个 信 息 从 你 的 内 网 跑 到 外 网 去 了 ， 从 本 来 是 只 能 张 三 李 四 知 道 是 变 成 了 王 五 知 道 。 这 就 是 一 个 跨 越 了 空 间 的 边 界 ， 信 息 它 跨 越 了 非 授 权 、 非 受 控 的 空 间 边 界 ， 它 就 是 一 种 信 息 的 泄 密 ， 保 密 性 遭 受 破 坏 。 完 整 性 完 整 性 ： 【 完 整 性 是 指 信 息 的 它 原 本 的 状 态 ， 系 统 的 原 本 的 结 构 和 组 成 】 如 果 说 这 信 息 它 原 本 的 状 态 发 生 了 变 化 ， 它 比 方 说 从 1 变 成 了 2 ， 它 的 组 成 是 从 无 到 有 或 是 结 构 要 素 的 位 置 发 生 了 变 化 、 或 比 例 发 生 了 变 化 ， 这 导 致 了 完 整 性 遭 受 破 坏 。 可 用 性 可 用 性 ： 这 一 点 比 较 好 理 解 ， 就 是 【 我 需 要 的 时 候 ， 这 个 系 统 或 信 息 能 够 去 在 合 理 的 时 间 之 内 获 得 ， 就 是 可 用 性 】 这 就 是 所 谓 的 我 们 说 的 C I A 这 个 模 型 上 ， C I A 定 义 的 有 D A D 模 型 ， 所 有 的 这 些 工 坊 都 是 围 绕 C I A 展 开 的 ， 后 面 我 会 我 们 会 看 到 C I A 是 怎 么 来 运 用 。
思 维 模 型 二 ： 访 问 控 制 模 型 思 维 模 型 二 ： 访 问 控 制 模 型 下 面 我 们 再 来 看 这 个 访 问 控 制 模 型 ， 就 是 一 切 的 控 制 手 段 ， 都 是 围 绕 主 体 、 客 体 、 信 息 流 三 个 要 素 展 开 。 大 部 分 的 攻 击 最 终 都 是 为 了 获 取 相 关 权 限 ， 很 多 手 段 都 是 围 绕 去 获 取 受 害 者 的 身 份 信 息 和 验 证 信 息 （ 比 如 密 码 ） 。 这 个 模 型 当 中 ， 发 起 访 问 的 一 方 就 是 访 问 主 体 ， 被 访 问 的 那 方 就 叫 做 客 体 。 整 个 访 问 就 会 产 生 信 息 流 。 在 任 何 一 个 访 问 控 制 系 统 中 ， 都 包 含 以 下 四 个 行 为 ： 身 份 标 示 身 份 标 示 ： 访 问 主 体 在 一 个 确 定 边 界 的 系 统 范 围 被 给 予 唯 一 的 标 示 ， 解 决 你 是 谁 的 问 题 ； 身 份 验 证 身 份 验 证 ： 对 访 问 主 体 需 要 做 基 本 的 身 份 验 证 ， 解 决 你 宣 称 就 是 谁 谁 谁 的 问 题 。 授 权 授 权 ： 用 户 身 份 验 证 通 过 后 ， 需 要 确 定 用 户 可 以 访 问 哪 些 资 源 ， 以 及 对 资 源 进 行 怎 样 的 操 作 （ 读 、 写 、 删 除 等 ） 。 解 决 用 户 能 做 什 么 的 问 题 。 审 计 审 计 ： 对 用 户 的 访 问 行 为 都 记 录 在 案 ， 以 备 事 后 追 责 或 改 进 系 统 。 非 常 复 杂 的 访 问 控 制 系 统 都 是 在 此 基 础 上 构 建 的 。 主 要 通 两 类 手 段 ， 我 称 之 为 在 三 个 要 素 的 基 础 上 面 加 了 两 副 眼 镜 。 一 个 叫 做 望 远 镜 ， 一 个 叫 做 放 大 镜 。 望 远 镜 望 远 镜 ： 望 远 镜 能 看 的 更 宽 ， 它 是 增 加 访 问 者 更 多 的 环 境 的 信 息 ， 比 如 登 陆 时 间 、 地 点 以 及 登 录 设 备 状 态 等 。 放 大 镜 放 大 镜 ： 放 大 镜 能 看 的 更 细 ， 加 大 了 信 息 流 的 粒 度 的 控 制 ， 比 方 说 下 一 代 防 火 墙 ， 在 五 元 组 的 基 础 上 ， 基 于 应 用 的 来 进 行 控 制 ， 不 仅 仅 要 看 i p , 端 口 和 协 议 ， 还 是 要 具 体 的 操 作 码 。 这 一 切 的 手 段 ， 都 是 围 绕 着 主 体 、 客 体 和 信 息 流 三 个 基 本 要 素 以 及 身 份 标 示 、 身 份 认 证 、 授 权 和 审 计 四 个 行 为 展 开 的 。 思 维 模 型 三 ： 边 界 与 隔 离 模 型 思 维 模 型 三 ： 边 界 与 隔 离 模 型 边 界 和 隔 离 是 安 全 防 御 的 第 一 手 段 ；
与 美 国 边 界 的 隔 离 墙 。 无 论 是 我 们 所 说 远 古 的 长 城 还 是 到 现 在 的 墨 西 哥 和 美 国 边 境 之 间 的 隔 离 墙 ， 边 界 和 隔 离 都 是 非 常 有 效 的 一 种 最 古 老 、 最 朴 素 的 技 术 手 段 ， 到 现 在 还 在 运 用 。 划 定 边 界 ， 以 界 隔 离 ， 大 道 至 简 。 接 下 来 看 一 个 相 对 来 说 比 较 复 杂 的 一 个 事 情 。 用 安 全 思 维 模 型 来 分 析 它 ， 是 否 可 以 帮 助 我 们 更 清 楚 地 去 看 明 白 ？ 安 全 思 维 模 型 ， 解 读 谷 歌 零 信 任 安 全 体 系 安 全 思 维 模 型 ， 解 读 谷 歌 零 信 任 安 全 体 系 下 面 就 要 用 安 全 思 维 模 型 来 分 析 零 信 任 安 全 体 系 ， 只 从 纯 技 术 角 度 去 分 析 零 信 任 安 全 体 系 ， 不 谈 零 信 任 安 全 体 系 的 部 署 和 实 施 ， 也 不 谈 实 现 零 信 任 安 全 防 护 体 系 的 产 品 节 奏 。 也 即 抛 开 运 营 视 角 和 产 品 视 角 ， 只 从 安 全 设 计 的 视 角 去 看 零 信 任 安 全 体 系 。 对 于 复 杂 问 题 ， 我 们 一 般 会 依 照 定 义 问 题 、 模 块 思 维 和 问 题 解 构 三 个 相 互 依 赖 、 彼 此 促 进 的 方 法 。 定 义 问 题 给 问 题 解 构 和 模 块 思 维 输 出 问 题 的 边 界 ； 问 题 解 构 给 定 义 问 题 和 模 块 思 维 输 出 问 题 拆 分 的 结 果 ； 模 块 思 维 给 定 义 问 题 和 问 题 解 构 输 出 模 块 参 考 。 这 三 者 一 般 先 从 定 义 问 题 开 始 ， 但 是 也 不 存 在 绝 对 的 先 后 关 系 。 讲 了 这 样 一 种 方 法 之 后 ， 接 下 来 我 们 回 来 零 信 任 体 系 。 首 先 定 义 问 题 ， 设 置 问 题 的 边 界 ： 任 何 时 间 任 何 位 置 ， 设 备 和 用 户 都 是 不 可 信 任 的 ， 只 有 经 过 安 全 状 态 检 测 的 设 备 以 及 使 用 该 设 备 且 经 过 身 份 验 证 的 用 户 才 可 以 依 照 企 业 既 定 的 安 全 策 略 访 问 企 业 的 资 源 。 这 个 问 题 定 义 其 实 基 于 以 下 几 个 重 要 的 安 全 假 设 ：
1 、 设 备 存 在 未 公 开 的 漏 洞 ； 2 、 设 备 存 在 已 知 漏 洞 但 是 没 有 及 时 打 上 补 丁 ； 3 、 人 可 能 会 犯 错 误 ， 导 致 帐 号 、 密 码 等 敏 感 信 息 丢 失 ； 基 于 这 三 个 重 要 的 假 设 ， 我 们 接 下 来 看 整 个 零 信 任 安 全 体 系 ， 它 可 能 够 适 用 的 安 全 思 维 模 型 有 ： 1 、 C I A T r i a d 原 则 ； 2 、 访 问 控 制 的 三 要 素 模 型 ； 3 、 边 界 与 隔 离 安 全 模 型 ； 初 步 的 问 题 解 构 可 以 把 问 题 拆 成 以 下 三 个 ： 1 、 设 备 与 用 户 的 身 份 定 义 以 及 安 全 状 态 感 知 ； 2 、 业 务 系 统 访 问 （ 层 级 ／ 角 色 ） 分 解 ； 3 、 访 问 控 制 引 擎 不 过 绕 过 ； 可 以 看 得 出 来 ， 零 信 任 安 全 架 构 体 系 主 要 是 跟 访 问 控 制 模 型 相 关 。 下 面 我 们 就 套 用 访 问 控 制 模 型 来 解 读 零 信 息 安 全 架 构 。 访 问 主 体 包 括 设 备 和 用 户 ， 不 再 是 以 前 单 纯 只 看 用 户 。 访 问 主 体 涉 及 两 个 基 本 问 题 ， 一 个 是 身 份 标 示 和 身 份 认 证 。 唯 一 的 身 份 标 示 意 味 着 需 要 设 备 和 用 户 注 册 并 持 续 维 护 着 设 备 清 单 库 和 用 户 ／ 组 数 据 库 ； B e y o n d C o r p 项 目 中 ， 使 用 公 钥 证 书 唯 一 标 示 设 备 身 份 ， 用 户 使 用 唯 一 身 份 I D 来 标 示 身 份 ， 在 G o o g l e 所 有 服 务 上 都 使 用 这 唯 一 i d 。 设 备 的 身 份 认 证 通 过 自 身 私 钥 签 发 数 字 签 名 ， 由 对 端 系 统 （ 访 问 代 理 ） 利 用 设 备 的 身 份 证 书 验 证 其 签 名 来 验 证 设 备 的 身 份 。 用 户 的 身 份 认 证 可 以 根 据 要 求 ， 进 行 一 次 身 份 认 证 甚 至 二 次 身 份 认 证 。 访 问 客 体 包 括 g o o g l e 所 有 的 业 务 服 务 器 ， 比 如 代 码 库 ， B u g 追 踪 库 等 。 访 问 主 体 与 客 体 是 边 界 隔 离 的 ， 用 户 不 可 直 接 访 问 这 些 资 源 ； 接 下 来 是 访 问 授 权 。 授 权 相 对 是 最 复 杂 的 地 方 ， 基 本 上 看 三 个 要 素 ， 访 问 主 体 的 属 性 和 操 作 ， 访 问 客 体 的 属 性 以 及 授 权 策 略 。 另 外 ， 访 问 授 权 暗 含 的 要 求 是 所 有 的 访 问 都 必 须 经 过 访 问 控 制 器 授 权 之 后 才 可 以 访 问 应 用 系 统 或 其 它 资 源 ， 这 意 味 着 访 问 授 权 控 制 是 不 可 被 绕 过 的 。 复 杂 的 授 权 可 以 基 于 这 三 个 要 素 构 建 细 粒 度 的 、 动 态 的 授 权 机 制 。 如 下 图 所 示 。 B e y o n d C o r p 项 目 中 访 问 主 体 的 属 性 则 包 括 设 备 和 用 户 相 关 的 属 性 。 设 备 的 属 性 信 息 提 供 则 是 由 “ 设 备 清 单 服 务 ” 完 成 。 访 问 客 体 的 属 性 主 要 包 括 各 种 应 用 、 网 络 设 备 等 资 源 的 信 任 层 级 。 B e y o n d C o r p 对 用 户 的 每 一 次 请 求 都 会 实 时 依 照 访 问
策 略 和 访 问 主 客 体 的 属 性 做 出 授 权 决 策 。 基 于 前 面 的 三 个 安 全 假 设 ， 需 要 评 估 且 持 续 的 评 估 设 备 和 用 户 的 安 全 状 态 ， 这 是 “ 望 远 镜 ” 做 的 事 情 。 设 备 的 安 全 状 态 主 要 由 “ 设 备 清 单 服 务 ” 提 供 。 如 下 图 所 示 ： 这 个 服 务 核 心 通 过 漏 洞 扫 描 系 统 依 照 设 备 清 单 不 断 获 取 设 备 的 漏 洞 补 丁 情 况 以 及 其 它 设 备 配 置 基 线 情 况 。 访 问 控 制 引 擎 不 可 绕 过 主 要 外 化 所 有 应 用 和 工 作 流 ， 也 即 谷 歌 的 所 有 企 业 应 用 都 分 配 唯 一 域 名 ， 在 公 共 D N S 上 注 册 。 同 时 把 所 有 的 应 用 域 名 解 释 首 先 指 向 “ 访 问 代 理 ” ， 在 逻 辑 上 控 制 所 有 的 访 问 不 过 绕 过 访 问 控 制 引 擎 。 运 用 模 块 化 思 维 ， G o o g l e 零 信 任 安 全 体 系 从 技 术 层 面 上 来 看 ， 就 是 这 么 简 单 。 运 用 C I A   T r i a d 原 则 ， 边 界 与 隔 离 模 型 ， 特 别 是 访 问 控 制 模 型 ， 从 底 层 上 解 构 了 零 信 任 安 全 体 系 。 * 本 文 作 者 ： 夏 石 信 息 安 全 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理