搜索

[16883] 2021-06-08_零信任网络建设及部分细节讨论

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-06-08_零信任网络建设及部分细节讨论 零 信 任 网 络 建 设 及 部 分 细 节 讨 论 贝 壳 安 全 技 术 团 队   F r e e B u f   2 0 2 1 - 0 6 - 0 8 本 文 作 为 我 们 零 信 任 网 络 建 设 实 践 过 程 中 的 一 些 经 验 的 记 录 ， 抛 砖 引 玉 ， 后 续 也 将 有 更 多 的 建 设 细 节 呈 现 出 来 ， 希 望 同 大 家 分 享 ， 并 共 同 探 讨 零 信 任 网 络 建 设 方 法 ， 共 同 解 决 建 设 过 程 中 遇 到 的 困 难 。 0 1   零 信 任 初 识 零 信 任 初 识 困 境 困 境 传 统 的 I T 组 网 中 ， 网 络 安 全 需 求 的 落 地 往 往 把 重 心 放 在 以 下 工 作 ： 1 .   精 心 设 计 的 网 络 结 构 ， 如 ： 带 外 管 理 网 段 / 带 内 生 产 网 段 的 严 格 划 分 、 不 同 网 段 之 间 的 严 格 隔 离 等 ； 2 .   在 网 络 边 界 部 署 专 用 安 全 “ 盒 子 ” 设 备 上 ， 如 ： F 5 、 I P S 、 W A F 、 D D O S 等 。 这 些 经 典 的 网 络 安 全 部 署 方 案 ， 长 期 以 来 起 到 了 较 好 的 安 全 防 护 作 用 。 但 随 着 企 业 网 络 规 模 的 日 益 扩 大 、 网 络 攻 击 技 术 的 不 断 发 展 、 云 技 术 / 容 器 化 的 不 断 发 展 ， 传 统 安 全 方 案 的 缺 点 越 来 越 明 显 。 1 .   整 体 防 御 能 力 重 边 界 、 轻 纵 深 ， 面 对 攻 击 者 的 横 向 扩 展 束 手 无 策 复 杂 的 网 络 部 署 环 境 造 成 过 长 的 网 络 边 界 ， 单 点 突 破 往 往 难 以 1 0 0 % 杜 绝 ， “ 容 忍 单 点 突 破 、 杜 绝 全 面 失 守 ” 已 成 为 系 统 化 安 全 建 设 的 共 识 。 而 在 过 于 强 调 边 界 防 护 的 传 统 安 全 方 案 下 ， 网 络 边 界 越 来 越 容 易 成 为 实 际 上 的 “ 马 奇 诺 防 线 ” 。 攻 击 者 往 往 第 一 步 会 通 过 应 用 薄 弱 点 （ 0 d a y 或 n d a y ） 、 水 坑 攻 击 、 钓 鱼 邮 件 等 手 段 绕 过 企 业 重 兵 部 署 的 防 御 边 界 ， 找 到 突 破 点 后 ， 通 过 端 口 扫 描 探 测 更 大 的 攻 击 目 标 。 2 .   检 测 能 力 的 局 限 性 W A F 、 I P S 、 D D O S 等 安 全 防 护 设 备 ， 都 是 基 于 规 则 进 行 防 护 。 攻 击 者 常 用 以 下 两 种 方 式 来 实 现 对 防 护 的 逃 逸 ： 1 ） 通 过 编 码 、 异 形 报 文 进 行 逃 逸 ； 2 ） 通 过 大 流 量 的 攻 击 报 文 ， 超 出 设 备 检 测 能 力 逃 逸 。 3 、 审 计 、 权 限 控 制 的 缺 失 当 攻 击 者 或 内 部 人 员 以 正 常 业 务 操 作 途 径 ， 尝 试 恶 意 登 录 、 越 权 下 载 数 据 、 破 坏 数 据 完 整 性 时 ， 现 有 的 “ 盒 子 ” 设 备 欠 缺 防 护 能 力 。 对 于 上 述 恶 意 操 作 ， 一 般 以 以 下 方 式 进 行 管 控 ： 1 ） 确 保 业 务 系 统 对 人 员 的 最 小 授 权 ； 2 ） 能 够 通 过 审 计 能 力 ， 在 事 中 或 事 后 发 现 侵 害 行 为 ； 3 ） 通 过 动 态 风 控 手 段 ， 结 合 一 定 规 则 、 用 户 行 为 特 征 ， 实 现 侵 害 行 为 的 事 前 阻 断 。 4 、 无 法 满 足 企 业 服 务 上 云 后 的 安 全 需 求 服 务 上 云 已 经 成 为 越 来 越 多 企 业 的 必 然 选 择 ， 公 有 云 、 混 合 云 部 署 场 景 下 ， 云 上 服 务 存 在 网 络 界 面 扁 平 、 攻 击 面 大 、 服 务 动 态 伸 缩 等 特 点 ， 传 统 的 防 护 手 段 已 无 法 适 用 。 而 现 有 云 上 的 安 全 组 、 防 火 墙 策 略 ， 则 存 在 配 置 不 灵 活 等 问 题 。 零 信 任 零 信 任 应 对 传 统 企 业 防 护 方 式 的 困 境 ， 零 信 任 的 思 想 及 网 络 架 构 的 出 现 ， 给 我 们 提 供 了 另 外 一 种 防 御 的 思 路 。 在 过 去 的 1 0 年
里 ， 零 信 任 的 演 进 也 让 我 们 看 到 了 问 题 解 决 的 更 多 可 能 性 。 2 0 1 0 年 时 任 F o r r e s t e r 研 究 机 构 的 首 席 分 析 师 J o h n   K i n d e r v a g 提 出 了 零 信 任 （ Z e r o   T r u s t ） 的 概 念 。 2 0 1 7 年 G o o g l e 对 外 宣 布 基 于 零 信 任 概 念 的 新 一 代 网 络 安 全 架 构 B e y o n d C r o p 落 地 完 成 ， 外 界 普 遍 认 为 此 次 G o o g l e 网 络 安 全 架 构 的 改 革 ， 与 G o o g l e 在 “ 极 光 行 动 ” 中 总 结 的 经 验 教 训 有 关 。 2 0 1 9 年 9 月 ， N I S T 发 布 了 D r a f t   N I S T   S p e c i a l   P u b l i c a t i o n   8 0 0 - 2 0 7 《 Z e r o   T r u s t   A r c h i t e c t u r e 》 为 给 出 了 零 信 任 官 方 意 义 上 的 解 读 。 2 0 2 0 年 2 月 N I S T 对 其 进 行 了 更 新 ， 发 布 了 D r a f t   ( 2 n d )   N I S T   S p e c i a l   P u b l i c a t i o n   8 0 0 - 2 0 7 ， 细 化 了 零 信 任 架 构 的 细 节 ， 更 有 力 的 推 动 了 零 信 任 思 想 的 发 展 和 落 地 。 零 信 任 思 想 ， 引 用 N I S T   S p e c i a l   P u b l i c a t i o n   8 0 0 - 2 0 7 中 的 一 段 话 ： “ Z e r o   T r u s t   A r c h i t e c t u r e   ( Z T A )   p r o v i d e s   a   c o l l e c t i o n   o f   c o n c e p t s ,   i d e a s ,   a n d   c o m p o n e n t   r e l a t i o n s h i p s   ( a r c h i t e c t u r e s ) d e s i g n e d   t o   e l i m i n a t e   t h e   u n c e r t a i n t y   i n   e n f o r c i n g   a c c u r a t e   a c c e s s   d e c i s i o n s   i n   i n f o r m a t i o n   s y s t e m s   a n d   s e r v i c e s .   ” 本 质 上 讲 ， “ 零 信 任 ” 是 一 种 思 想 ， 并 不 是 一 种 “ 技 术 ” ， 同 时 ， 也 很 难 有 一 款 产 品 ， 可 以 称 之 为 “ 零 信 任 产 品 ” 。 但 从 另 外 一 个 角 度 思 考 ， 凡 是 符 合 零 信 任 思 想 的 安 全 产 品 甚 至 是 网 络 产 品 ， 也 都 可 以 称 之 为 “ 零 信 任 ” 产 品 。 零 信 任 架 构 ， 就 是 利 用 “ 零 信 任 ” 这 个 思 想 ， 所 建 立 起 来 的 企 业 网 络 安 全 架 构 。 根 据 N I S T 白 皮 书 中 的 声 明 ， 零 信 任 架 构 应 该 遵 循 6 项 基 本 原 则 1 .   A l l   d a t a   s o u r c e s   a n d   c o m p u t i n g   s e r v i c e s   a r e   c o n s i d e r e d   r e s o u r c e s . 所 有 的 数 据 源 及 计 算 服 务 ， 均 被 认 为 是 “ 资 源 ” 。 1 .   A l l   c o m m u n i c a t i o n   i s   s e c u r e   r e g a r d l e s s   o f   n e t w o r k   l o c a t i o n . 不 论 处 于 什 么 网 络 位 置 ， 所 有 的 通 信 都 应 以 安 全 的 方 式 进 行 。 1 .   A c c e s s   t o   i n d i v i d u a l   e n t e r p r i s e   r e s o u r c e s   i s   g r a n t e d   o n   a   p e r - c o n n e c t i o n   b a s i s . 对 于 企 业 资 源 的 访 问 权 限 授 予 ， 应 基 于 每 个 链 接 。 1 .   A c c e s s   t o   r e s o u r c e s   i s   d e t e r m i n e d   b y   p o l i c y ,   i n c l u d i n g   t h e   o b s e r v a b l e   s t a t e   o f u s e r   i d e n t i t y   a n d   t h e   r e q u e s t i n g   s y s t e m ,   a n d   m a y   i n c l u d e   o t h e r   b e h a v i o r a l a t t r i b u t e s . 对 “ 资 源 ” 的 访 问 授 权 ， 应 取 决 于 策 略 ， 包 括 了 用 户 的 身 份 认 证 和 发 起 请 求 系 统 的 持 续 可 观 测 状 态 ， 可 能 还 包 括 了 其 他 的 行 为 属 性 。 1 .   T h e   e n t e r p r i s e   e n s u r e s   a l l   o w n e d   a n d   a s s o c i a t e d   s y s t e m s   a r e   i n   t h e   m o s t   s e c u r e s t a t e   p o s s i b l e   a n d   m o n i t o r s   s y s t e m s   t o   e n s u r e   t h a t   t h e y   r e m a i n   i n   t h e   m o s t   s e c u r e s t a t e   p o s s i b l e . 企 业 应 确 保 其 所 拥 有 或 与 之 相 关 联 的 系 统 处 于 尽 可 能 的 安 全 状 态 ， 并 通 过 对 其 的 持 续 监 控 确 保 它 们 总 是 尽 可 能 的 处 于 安 全 的 状 态 。 1 .   U s e r   a u t h e n t i c a t i o n   i s   d y n a m i c   a n d   s t r i c t l y   e n f o r c e d   b e f o r e   a c c e s s   i s   a l l o w e d . 用 户 在 访 问 授 权 之 前 ， 必 须 进 行 强 制 的 、 动 态 的 身 份 认 证 。 为 什 么 是 零 信 任 为 什 么 是 零 信 任
企 业 采 用 了 零 信 任 的 思 想 来 搭 建 企 业 安 全 架 构 ， 因 此 应 遵 循 下 列 假 设 1 .   T h e   e n t e r p r i s e   p r i v a t e   n e t w o r k   i s   n o t   t r u s t w o r t h y . 企 业 内 部 网 络 是 不 可 信 的 1 .   D e v i c e s   o n   t h e   n e t w o r k   m a y   n o t   b e   o w n e d   o r   c o n f i g u r a b l e   b y   t h e   e n t e r p r i s e . 网 络 上 的 设 备 ， 可 能 不 是 企 业 所 有 的 设 备 ， 或 者 无 法 由 企 业 无 法 进 行 配 置 1 .   N o   d e v i c e   i s   i n h e r e n t l y   t r u s t e d . 没 有 设 备 是 天 然 被 信 任 的 上 述 的 3 条 假 设 ， 本 质 上 完 全 推 翻 了 传 统 企 业 防 护 的 思 路 ： 在 边 界 架 设 防 护 措 施 ， 并 且 无 条 件 信 任 区 域 内 部 的 流 量 当 企 业 内 部 网 络 不 可 信 后 ， 每 一 条 请 求 都 需 要 正 确 的 权 限 才 能 够 到 达 目 标 资 源 ， 使 得 横 向 扩 散 变 得 更 加 困 难 建 立 企 业 设 备 信 息 库 ， 防 止 攻 击 者 通 过 窃 取 密 码 或 者 令 牌 获 取 访 问 权 限 引 入 设 备 信 任 评 估 ， 防 止 员 工 电 脑 因 钓 鱼 、 水 坑 等 攻 击 手 段 致 使 设 备 被 攻 击 者 控 制 ， 进 而 威 胁 企 业 网 络 安 全 进 而 ， 我 们 将 零 信 任 对 企 业 资 产 & 数 据 资 产 的 防 护 方 式 进 行 了 归 纳 ： 已 知 的 用 户 ， 在 安 全 可 信 的 设 备 上 ， 使 用 加 密 链 路 ， 通 过 预 置 的 授 权 访 问 到 对 应 的 资 源 。 同 时 ， 采 用 零 信 任 架 构 构 建 的 企 业 安 全 架 构 ， 也 可 以 不 再 关 心 服 务 部 署 方 式 与 企 业 网 络 结 构 。 0 2   零 信 任 全 景 零 信 任 全 景 自 我 们 的 建 设 的 过 程 中 ， 总 结 出 我 们 心 目 中 相 对 完 整 的 零 信 任 网 络 结 构 ， 大 致 如 下 图 ，   在 数 据 平 面 层 ， 我 们 需 要 通 过 网 关 （ 包 括 4 层 协 议 网 关 与 7 层 协 议 网 关 ） ， 来 实 现 数 据 的 收 口 ， 以 便 实 现 权 限 的 控 制 。 更 为 安 全 或 复 杂 的 场 景 ， 可 以 辅 以 安 全 客 户 端 ， 来 保 证 数 据 来 源 环 境 信 息 的 可 靠 性 。 在 管 理 平 面 层 ， 零 信 任 的 核 心 思 想 在 于 认 证 、 授 权 以 及 持 续 的 信 任 评 估 ， 因 此 ， 对 应 的 需 要 “ 单 点 登 录 ” 来 实 现 访 问 源 的 身 份 认 证 ， 需 要 I A M （ I d e n t i t y   &   A c c e s s   M a n a g e m e n t
） 来 实 现 权 限 管 理 ， 需 要 “ 风 控 中 心 ” 来 进 行 持 续 的 风 险 评 估 ， 通 过 “ 决 策 中 心 ” 将 上 述 三 部 分 进 行 串 联 ， 实 现 一 次 访 问 请 求 的 权 限 授 予 。 当 安 全 客 户 端 存 在 时 ， 则 对 应 的 需 要 其 管 理 的 服 务 端 。 服 务 端 实 现 了 客 户 端 的 管 理 与 信 息 的 收 集 ， 并 以 此 整 理 “ 设 备 信 息 库 ” 。 客 户 端 的 管 理 与 可 控 ， 则 是 以 P K I 为 基 础 来 实 现 的 。 基 于 上 述 各 组 件 ， 列 举 出 其 所 包 含 的 功 能 点 ， 如 下 所 列   因 此 处 只 列 举 了 如 “ 安 全 客 户 端 ” 、 “ 安 全 网 关 ” 、 “ 决 策 中 心 ” 、 “ 管 理 平 台 ” 等 组 件 的 功 能 点 ， 而 类 似 于 S S O ， P K I 等 ， 由 于 技 术 相 对 成 熟 ， 因 此 不 再 罗 列 。 关 于 各 个 组 件 功 能 点 的 详 细 描 述 ， 也 会 在 后 文 中 逐 渐 展 开 。 0 3   零 信 任 建 设 思 路 零 信 任 建 设 思 路 参 照 零 信 任 思 想 （ 对 每 一 条 流 量 进 行 认 证 、 授 权 以 及 持 续 的 信 任 评 估 ） 建 设 的 企 业 网 络 ， 基 本 上 可 以 简 化 成 下 图   基 于 上 图 ， 我 们 得 到 了 零 信 任 最 简 化 的 实 现 方 式 — “ 访 问 授 信 ” ， 同 时 配 以 “ 安 全 审 计 ” 所 达 成 的 动 态 风 控 。 此 时 只 要 在 流 量 收 口 处 （ 网 关 ） 执 行 决 策 中 心 所 作 出 的 放 过 / 拦 截 的 决 策 ， 则 可 以 达 成 最 初 步 的 零 信 任 框 架 。 采 用 上 述 框 架 ， 可 以 实 现 对 L a y e r 7 流 量 的 基 本 控 制 。 选 择 7 层 流 量 作 为 零 信 任 网 络 建 设 的 入 手 处 ， 原 因 在 于 ： 1 .   企 业 中 ， 普 遍 存 在 7 层 网 关 ， 即 企 业 的 反 向 代 理 集 群 ， 流 量 收 口 工 作 已 经 初 步 实 现
2 .   7 层 协 议 开 放 度 较 高 ， 如 H T T P ， 通 过 c o o k i e 的 支 持 ， 可 以 自 由 携 带 认 证 授 权 相 关 信 息 ， 实 现 起 来 相 对 简 单 。 因 此 ， 在 建 设 最 初 的 零 信 任 框 架 时 ， 我 们 需 要 完 成 下 列 组 件 的 建 设 ： 组 件 名 称 组 件 名 称 简 要 说 明 简 要 说 明 7 层 网 关 / H T T P 代 理 实 现 流 量 收 口 ， 同 时 作 为 策 略 执 行 点 （ P E P ） 的 存 在 ， 执 行 对 流 量 的 放 过 / 拦 截 动 作 ， 甚 至 于 更 扩 展 的 特 性 ， 例 如 投 毒 决 策 中 心 决 策 中 心 ， 作 为 策 略 决 策 点 （ P D P ） 的 存 在 ， 需 要 完 成 当 前 流 量 的 认 证 、 授 权 以 及 风 险 识 别 的 工 作 风 控 中 心 这 一 部 分 ， 作 为 实 现 零 信 任 思 想 中 “ 持 续 信 任 评 估 ” 理 念 的 组 件 ， 实 际 上 ， 在 零 信 任 建 设 初 期 ， 也 可 以 暂 时 缺 失 或 者 放 缓 建 设 步 子 管 理 平 台 作 为 权 限 配 置 、 策 略 配 置 的 管 理 平 台 （ P A P ） ， 提 供 给 业 务 管 理 员 配 置 的 入 口 ， 同 时 也 是 提 供 给 安 全 管 理 员 管 理 操 作 的 平 台 由 于 零 信 任 网 络 处 于 建 设 初 期 ， 最 可 靠 的 实 践 场 所 是 公 司 的 办 公 网 ， 即 内 网 。 而 在 具 体 的 办 公 场 景 中 ， 也 存 在 着 大 量 无 法 通 过 7 层 网 关 实 现 管 控 的 场 景 ， 因 此 ， 需 要 ， 因 此 数 据 平 面 的 整 体 的 网 络 结 构 也 大 致 扩 充 如 下 ：   在 引 入 L a y e r 4 层 的 网 关 之 后 ， 需 要 迫 切 考 虑 到 的 一 个 问 题 就 是 ， 4 层 流 量 并 不 像 7 层 流 量 一 样 具 有 可 扩 展 性 ， 身 份 标 识 无 法 通 过 或 者 说 很 难 通 过 4 层 流 量 携 带 并 传 递 至 网 关 。 因 此 ， 方 案 就 变 成 了 ， 在 用 户 原 始 报 文 之 外 ， 封 装 一 层 ， 将 用 户 身 份 凭 证 封 装 在 内 。 引 入 了 原 始 流 量 封 装 的 需 求 ， 我 们 就 不 得 不 引 入 另 外 一 个 零 信 任 中 颇 为 重 要 的 角 色 ： 安 全 客 户 端 。 安 全 客 户 端 与 4 层 流 量 网 关 之 间 通 过 合 理 的 身 份 认 证 与 密 钥 协 商 ， 建 立 起 可 信 的 传 输 隧 道 ， 之 后 将 用 户 身 份 认 证 凭 证 与 原 始 数 据 包 封 装 后 通 过 可 信 传 输 隧 道 发 送 至 4 层 流 量 网 关 ， 而 4 层 流 量 网 关 在 获 取 用 户 身 份 凭 证 后 ， 根 据 授 权 结 果 ， 判 定 是 否 将 原 始 用 户 流 量 向 后 端 转 发 。 在 流 量 封 装 与 可 信 传 输 通 道 建 立 之 外 ， 安 全 客 户 端 的 另 外 一 个 作 用 ， 则 可 以 对 访 问 方 所 处 的 环 境 ， 进 行 客 观 可 信 的 评 估 。 如 安 全 补 丁 的 安 装 状 况 、 安 全 配 置 是 否 合 规 等 ， 这 些 重 要 信 息 ， 将 作 为 决 策 中 心 评 估 是 否 可 以 进 行 权 限 授 予 的 重 要 依 据 。 在 此 时 ， 我 们 在 零 信 任 网 络 的 建 设 中 ， 将 增 加 如 下 组 件 ： 组 件 名 组 件 名 称 称 简 要 说 明 简 要 说 明 4 层 网 关 实 现 4 层 流 量 收 口 ， 同 时 作 为 策 略 执 行 点 （ P E P ） 的 存 在 ， 执 行 对 流 量 的 放 过 / 拦 截 动 作 安 全 客 户 端 自 客 户 端 上 实 现 身 份 认 证 ， 与 4 层 网 关 之 间 建 立 可 信 传 输 隧 道 ， 封 装 原 始 流 量 以 携 带 身 份 认 证 凭 证 。 同 时 ， 实 现 客 户 端 环 境 信 息 的 收 集 ， 提 供 给 决 策 中 心 用 以 实 现 授 权 评 估 安 全 控 制 台 即 客 户 端 对 应 的 s e r v e r ， 实 现 对 客 户 端 的 管 理 ， 包 括 身 份 认 证 、 版 本 管 理 、 信 息 收 集 等 资 产 信 息 库 根 据 客 户 端 信 息 收 集 ， 结 合 公 司 资 产 管 理 （ C M D B ） ， 详 细 记 录 资 产 健 康 状 态 与 全 生 命 周 期 跟 踪 当 企 业 具 备 了 安 全 客 户 端 的 能 力 时 ， 零 信 任 网 络 则 可 以 在 它 的 安 全 属 性 之 外 ， 展 现 它 的 附 加 价 值 — 提 效 ， 网 络 无 边 界 。
何 为 “ 零 信 任 ” ， 即 对 一 切 区 域 、 一 切 请 求 ， 均 保 持 不 信 任 的 状 态 ， 需 要 对 其 进 行 身 份 认 证 、 合 理 授 权 以 及 持 续 的 信 任 评 估 。 而 此 处 提 到 的 “ 一 切 区 域 ” ， 自 然 也 包 括 企 业 “ 内 网 ” 。 因 而 ， 当 零 信 任 不 在 区 别 对 待 “ 内 网 ” 、 “ 公 网 ” 时 ， 通 过 零 信 任 网 络 建 设 使 得 企 业 业 务 访 问 安 全 得 到 一 定 程 度 的 保 证 后 ， 其 访 问 即 可 以 不 受 “ 内 网 ” 限 制 。 由 此 ， 数 据 平 面 的 网 络 结 构 ， 也 可 以 大 致 演 化 为 下 图 ：   相 对 于 4 层 流 量 的 管 控 而 言 ， 7 层 流 量 的 管 控 ， 可 以 更 细 粒 度 一 些 ， 甚 至 可 以 做 成 A P I 网 关 ， 而 4 层 流 量 的 管 控 ， 只 能 做 到 五 元 组 级 别 。 因 此 ， 相 对 来 讲 ， L 7 的 O A 系 统 ， 更 容 易 做 到 “ 网 络 无 边 界 ” 。 但 从 另 外 一 个 角 度 思 考 ， “ 内 网 ” 客 观 上 ， 也 作 为 一 个 环 境 存 在 ， 确 实 将 提 高 攻 击 者 攻 击 成 本 ， 因 而 ， 对 于 敏 感 业 务 的 访 问 ， 将 其 保 留 在 “ 内 网 ” 仍 不 失 为 一 个 好 的 选 择 。 在 解 决 了 办 公 场 景 下 的 大 部 分 问 题 后 ， 下 一 步 我 们 将 面 临 的 问 题 是 ， 分 布 在 办 公 区 、 生 产 网 等 各 处 的 “ 哑 终 端 ” 入 网 安 全 性 问 题 。 近 些 年 ， 各 方 报 告 均 显 示 ， I o T 安 全 问 题 日 趋 严 重 ， R C E 漏 洞 使 其 成 为 僵 尸 网 络 的 重 灾 区 。 因 其 扮 演 的 网 络 角 色 相 对 容 易 被 忽 视 ， 而 产 品 安 全 的 能 力 又 良 莠 不 齐 ， 很 容 易 成 为 攻 击 者 的 突 破 口 ， 进 而 造 成 更 严 重 的 网 络 安 全 事 故 。 最 简 单 的 限 制 方 式 ， 是 对 哑 终 端 的 I P 进 行 限 制 ， 使 其 能 够 访 问 资 源 最 小 化 。 当 哑 终 端 因 I P 变 化 或 其 他 更 复 杂 原 因 ， 则 需 要 考 虑 引 入 证 书 对 其 设 备 与 流 量 进 行 认 证 ， 相 对 而 言 ， 这 部 分 的 建 设 成 本 会 比 较 高 ， 但 如 果 企 业 有 私 有 的 P K I 系 统 的 话 ， 将 会 节 省 很 大 一 部 分 建 设 成 本 。 总 结 上 述 信 息 ， 我 们 得 出 了 一 个 零 信 任 建 设 需 求 的 优 先 级 列 表 ， 供 参 考 ： 实 现 企 业 网 络 的 基 本 隔 离 ， 至 少 应 该 达 成 区 域 间 的 隔 离 构 建 零 信 任 管 理 平 台 ， 包 括 策 略 配 置 管 理 （ 或 引 入 I A M ） ， 构 建 策 略 模 型 ， 建 立 基 本 的 访 问 准 入 准 则 构 建 零 信 任 决 策 中 心 ， 包 括 身 份 认 证 （ S S O ） 、 策 略 查 询 （ I A M ） 与 授 权 、 风 险 评 估 等 依 托 于 企 业 7 层 流 量 代 理 网 关 ， 联 动 决 策 中 心 ， 实 现 对 企 业 7 层 业 务 流 量 的 基 本 管 控 实 现 安 全 客 户 端 ， 此 步 骤 中 ， 至 少 应 实 现 认 证 与 可 信 隧 道 能 力 ， 以 此 达 成 与 4 层 网 关 联 动 的 能 力 。 客 户 端 信 息 与 环 境 检 查 ， 如 安 全 性 检 查 、 病 毒 查 杀 等 能 力 ， 则 可 以 考 虑 通 过 采 购 的 方 式 补 足 4 层 流 量 网 关 的 搭 建 ， 联 动 决 策 中 心 ， 与 零 信 任 客 户 端 一 同 实 现 4 层 流 量 的 认 证 与 授 权 建 立 企 业 的 P K I / C A 系 统 ， 以 此 来 保 障 客 户 端 可 信 与 加 密 隧 道 安 全 建 立 完 善 的 风 险 识 别 体 系 ， 使 零 信 任 网 络 具 备 持 续 信 任 评 估 能 力 ， 在 必 要 时 刻 ， 持 续 信 任 评 估 能 力 可 以 缩 短 M T T D 与 M T T R 哑 终 端 管 控 能 力 覆 盖 下 文 会 根 据 所 列 需 求 ， 展 开 讲 述 各 组 件 的 建 设 细 节 。 0 4   零 信 任 管 理 平 台 零 信 任 管 理 平 台
在 构 建 零 信 任 策 略 配 置 管 理 平 台 之 前 ， 先 需 要 确 定 策 略 模 型 与 管 理 方 式 我 们 在 策 略 模 型 的 建 立 上 ， 采 用 了 语 言 中 “ 主 语 ” + “ 谓 语 ” + “ 宾 语 ” + “ 修 饰 语 ” 的 方 式 ， 引 入 了 4 个 单 位 ： S u b j e c t 、 A c t i o n 、 R e s o u r c e 、 E n v i r o n m e n t ， 因 此 简 称 之 为 S A R E 模 型 S - S u b j e c t   授 权 主 体 A - A c t i o n   授 权 可 执 行 动 作 R - R e s o u r c e   授 权 可 访 问 资 源 E - E n v i r o n m e n t   满 足 授 权 条 件 / 环 境 授 权 原 则 ： S C A N   D O   A O N   R I F   E 主 体 对 象 （ 认 证 ） ： 可 以 包 括 用 户 / 组 ， I P ， 设 备 ， 服 务 等 资 源 对 象 ： 服 务 ， A P I 等 。 此 处 设 计 ， 为 保 证 兼 容 4 / 7 层 流 量 授 权 执 行 动 作 ： 接 入 ， M e t h o d ， C M D 等 。 同 样 ， 为 兼 容 4 / 7 层 流 量 授 权 条 件 环 境 ： 网 段 ， 时 间 ， 地 理 位 置 ， 设 备 信 息 / 健 康 状 态 等 ， 条 件 信 息 可 多 样 化 ， 可 定 制 如 下 图 中 实 例 ：   根 据 图 中 信 息 ， 得 到 策 略 描 述 ： L i L e i 、 H a n M e i m e i 以 及 三 年 二 班 全 体 同 学 ， 都 可 以 在 每 天 的 早 7 点 到 晚 1 8 点 之 间 ， 在 学 校 计 算 机 室 中 （ 计 算 机 室 网 段 1 0 . 1 0 . 0 . 0 / 1 6 ） 中 ， 访 问 h t t p : / / r . z e r o t r u s t . c o m / s t u d e n t _ i n f o ， 但 仅 限 于 通 过 G e t 请 求 或 P o s t 请 求 。 在 管 理 方 式 上 ， 则 引 入 R e a l m 概 念 ， 用 以 标 识 唯 一 管 理 单 元 。 自 我 们 的 建 设 经 验 来 看 ， 该 单 元 可 以 包 括 域 名 以 及 I P 。 在 R e a l m 之 下 ， 我 们 使 用 S e r v i c e 来 标 识 该 管 理 单 元 下 服 务 。 一 个 域 名 或 I P 下 ， 可 以 通 过 不 同 的 端 口 ， 对 外 开 放 出 不 同 的 服 务 ， 如 H T T P 服 务 、 S S H 服 务 等 。 但 在 此 处 注 意 的 是 ， 端 口 （ P o r t ） 的 重 要 性 ， 要 高 于 服 务 协 议 （ P r o t o c o l ） ， 因
为 端 口 决 定 了 流 量 的 走 向 。 策 略 P o l i c y 则 归 属 于 各 个 S e r v i c e ， 且 每 个 S e r v i c e 中 可 以 存 在 多 条 P o l i c y ， P o l i c y 之 间 相 对 独 立 ， 但 存 在 先 后 顺 序 关 系 。 策 略 中 会 包 含 我 们 上 述 所 说 的 S A R E 模 型 ， 同 样 的 ， 我 们 也 允 许 每 条 策 略 中 包 含 多 个 S u b j e c t 、 R e s o u r c e 以 及 E n v i r o n m e n t 。 最 后 ， 为 了 方 便 管 理 ， 我 们 引 入 了 R e a l m s 的 概 念 ， 类 似 于 文 件 夹 的 使 用 方 式 ， 用 以 对 R e a l m 进 行 归 类 ， 方 便 查 看 管 理 。 但 此 概 念 非 必 须 。 最 终 ， 我 们 形 成 的 管 理 方 式 如 下 图 ： 0 5   零 信 任 决 策 中 心 零 信 任 决 策 中 心 零 信 任 决 策 中 心 的 建 设 ， 分 为 “ 认 证 ” 、 “ 授 权 ” 以 及 “ 风 险 评 估 ” 部 分 的 建 设 。 关 于 认 证 ， 我 们 在 建 立 策 略 模 型 的 时 候 提 到 过 ， 认 证 的 主 体 ， 包 括 但 不 限 于 “ 用 户 ” 、 “ 服 务 ” 、 “ 设 备 ” 甚 至 “ I P ” 等 。 对 用 户 认 证 的 场 景 对 用 户 认 证 的 场 景 在 聊 及 用 户 认 证 时 ， 我 们 常 会 想 到 1 9 9 3 年 ， 漫 画 家   P e t e r   S t e i n e r 的 一 幅 画 ： O n   t h e   I n t e r n e t ,   n o b o d y   k n o w s   y o u ’ r e   a
d o g 因 此 ， 单 纯 的 账 号 认 证 ， 没 有 任 何 意 义 ， 因 为 账 号 （ 凭 证 ） ≠ 身 份 。 当 该 账 号 背 后 有 确 切 对 应 的 身 份 ， 且 可 以 确 定 当 前 账 号 的 使 用 者 可 以 与 之 关 联 时 ， 认 证 才 有 意 义 。 在 建 设 零 信 任 决 策 中 心 的 认 证 部 分 是 ， 我 们 强 烈 建 议 其 与 企 业 现 有 的 S S O 系 统 相 结 合 ， 原 因 如 下 ： 1 .   可 以 复 用 当 前 完 善 的 账 号 体 系 2 .   可 以 复 用 S S O 已 经 实 现 了 的 多 因 子 认 证 能 力 ， 甚 至 借 其 实 现 梯 度 认 证 能 力 3 .   可 以 复 用 S S O 提 供 的 登 录 态 ， 当 业 务 也 接 入 S S O 的 时 候 ， 避 免 因 此 而 产 生 的 多 次 登 录 对 服 务 认 证 的 场 景 对 服 务 认 证 的 场 景 对 服 务 认 证 的 场 景 ， 普 遍 存 在 于 生 产 网 络 内 部 ， 服 务 与 服 务 之 间 的 调 用 与 信 息 互 换 。 此 处 有 两 种 实 现 方 式 ： 1 .   原 始 流 量 中 携 带 服 务 签 名 ， 由 此 可 得 服 务 唯 一 I D ， 在 网 关 或 服 务 侧 以 此 为 依 据 进 行 服 务 认 证 2 .   使 用 “ 客 户 端 ” 方 式 ， 对 服 务 进 行 可 信 代 理 ， 封 装 认 证 凭 证 ， 通 过 4 层 流 量 网 关 实 现 认 证 如 果 企 业 当 前 的 基 础 架 构 已 经 实 现 容 器 化 ， 则 基 于 容 器 化 的 隔 离 与 认 证 方 案 将 更 有 利 于 服 务 间 的 认 证 与 授 权 。 对 设 备 认 证 的 场 景 对 设 备 认 证 的 场 景 例 如 打 印 机 入 网 、 可 视 化 大 屏 入 网 以 及 其 他 哑 终 端 类 设 备 入 网 。 此 类 认 证 方 式 ， 可 结 合 R a d i u s 实 现 ， 也 可 以 通 过 设 备 证 书 方 式 实 现 。 前 者 实 现 起 来 更 加 快 捷 ， 适 用 性 也 较 强 ， 后 者 安 全 性 更 高 ， 但 相 对 实 现 成 本 也 很 高 。 对 对 I P 认 证 的 场 景 认 证 的 场 景 对 I P 而 言 ， 不 应 称 之 为 “ 认 证 ” ， 因 为 不 存 在 任 何 认 证 过 程 ， 也 不 存 在 可 信 身 份 。 但 此 场 景 最 终 被 实 现 的 原 因 是 ， 我 们 终 归 有 一 些 或 暂 时 、 或 永 久 不 能 解 决 的 场 景 ， 无 法 对 明 确 的 主 体 进 行 授 权 ， 而 为 保 证 这 部 分 流 量 或 业 务 不 会 因 为 零 信 任 网 络 建 设 而 受 到 影 响 ， 我 们 对 之 进 行 了 妥 协 。 但 无 论 如 何 ， 对 I P 授 权 不 应 广 泛 的 被 使 用 ， 因 为 I P 授 权 无 法 得 到 有 效 的 权 限 收 敛 ， 也 很 难 进 行 风 险 持 续 评 估 与 审 计 。 关 于 授 权 ， 我 们 试 图 用 两 条 “ 链 ” 来 阐 述 我 们 所 实 现 的 授 权 过 程 策 略 链 策 略 链
假 设 场 景 如 下 ： 访 问 主 体 L i L e i ， 为 三 年 级 一 班 的 同 学 ， 自 寝 室 I P   1 0 . 3 3 . 2 7 . 1 3 5 访 问 h t t p : / / r . z e r o t r u s t . c o m / e n g l i s h 获 取 学 习 材 料 （ 此 处 假 设 E n v i r o n m e n t 都 满 足 的 情 况 下 ， 关 于 E n v i r o n m e n t 链 ， 将 单 独 描 述 。 同 时 为 了 简 化 场 景 ， 此 处 A c t i o n 也 暂 不 予 以 考 虑 ） 对 H T T P   S e r v i c e   r . z e r o t r u s t . c o m 存 在 6 条 策 略 序 号 序 号 S u b j e c t R e s o u r c e R e s u l t 备 注 备 注 1 1 0 . 2 0 0 . 2 7 . 0 / 2 4 h t t p : / / r . z e r o t r u s t . c o m / a p i A c c e s s a p i 为 服 务 对 外 提 供 接 口 ， 授 权 给 其 他 服 务 调 用 2 1 0 . 2 0 0 . 3 3 . 0 / 2 4 h t t p : / / r . z e r o t r u s t . c o m / e n g l i s h D e n i e d e n g l i s h 资 源 被 明 确 禁 止 从 学 校 机 房 中 访 问 3 英 语 教 学 组 h t t p : / / r . z e r o t r u s t . c o m / t e a c h e r A c c e s s 英 语 教 学 组 可 以 访 问 t e a c h e r 资 源 进 行 教 学 准 备 4 三 年 级 h t t p : / / r . z e r o t r u s t . c o m / e n g l i s h A c c e s s 全 体 三 年 级 学 生 可 以 访 问 e n g l i s h 资 源 5 L i L e i h t t p : / / r . z e r o t r u s t . c o m / a d m i n A c c e s s L i l e i 同 学 作 为 网 站 管 理 员 ， 可 以 访 问 a d m i n 资 源 6 教 务 处 h t t p : / / r . z e r o t r u s t . c o m / e n g l i s h A c c e s s 教 务 处 老 师 可 以 访 问 e n g l i s h 资 源 ， 进 行 资 源 评 估 L i L e i 同 学 此 次 访 问 的 授 权 过 程 ， 可 如 下 图 所 示 ： 策 略 链 中 ， 存 在 可 以 满 足 授 权 （ 不 论 A c c e s s 或 者 D e n i e d ） 的 情 况 时 ， 授 权 且 退 出 链   环 境 链 环 境 链 当 引 入 环 境 条 件 时 ， 授 权 将 变 得 更 复 杂 起 来 。 但 我 们 认 为 环 境 条 件 的 存 在 时 有 必 要 的 ， 通 过 环 境 条 件 的 配 置 ， 可 以 实 现 授 权 条 件 的 更 细 粒 度 约 束 ， 也 让 整 个 授 权 配 置 变 得 更 加 灵 活 。 假 设 一 条 访 问 策 略 中 存 在 4 个 环 境 条 件 序 号 序 号 条 件 条 件 属 性 属 性 详 细 描 述 详 细 描 述 1 I P ： 1 0 . 2 0 0 . 2 8 . 0 / 2 4 R e q u i s i t e 访 问 必 须 源 于 教 学 楼 内 2 D e v i c e   i n   C M D B ： T r u e S u f f i c i e n t 设 备 属 于 学 校 资 产 3 S M S   V e r i f y ： T r u e R e q u i s i t e 访 问 经 过 短 信 验 证 4 A c c e s s   T i m e :   M o n - F r i ,   0 7 : 0 0 - 1 8 : 0 0 R e q u i s i t e 只 有 在 周 中 的 教 学 时 间 可 以 访 问 可 以 看 到 ， 环 境 条 件 中 ， 引 入 “ 属 性 ” 概 念 。 属 性 被 我 们 赋 予 R e q u i s i t e 或 S u f f i c i e n t ， 分 别 表 示 “ 必 要 不 充 分 条 件 ” 及 “ 充 分 不 必 要 条 件 ” 。 4 条 环 境 策 略 所 形 成 的 环 境 链 ， 可 以 表 示 成 下 图 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理