搜索

[15800] 2020-09-01_浅谈零信任

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-09-01_浅谈零信任 浅 谈 零 信 任 小 小 网 安 工 程 师   F r e e B u f   2 0 2 0 - 0 9 - 0 1 零 信 任 这 个 词 自 从 2 0 1 0 年 被 提 出 以 来 ， 就 被 各 行 各 业 所 追 捧 。 不 管 是 谷 歌 的 B e y o n d C o r p ， 还 是 G a r t n e r 的 C A R T A 模 型 ， 都 是 零 信 任 的 最 佳 实 践 之 一 。 趁 着 这 股 浪 潮 ， 我 也 来 分 享 一 下 我 对 于 零 信 任 的 一 些 理 解 与 看 法 ， 本 次 分 享 从 零 信 任 产 生 的 背 景 、 零 信 任 的 基 础 概 念 、 零 信 任 的 落 地 几 个 角 度 出 发 ， 一 起 来 探 讨 学 习 一 下 。 零 信 任 的 背 景 零 信 任 的 背 景 在 传 统 网 络 中 ， 网 络 类 型 被 分 为 内 网 和 外 网 两 大 类 ， 人 们 认 为 内 网 网 络 是 安 全 的 ， 内 部 的 资 产 、 人 员 都 是 已 知 、 可 控 的 ， 而 外 部 网 络 是 危 险 的 ， 所 有 外 部 的 信 息 都 是 未 知 、 无 法 控 制 的 。 但 随 着 信 息 技 术 不 断 更 新 迭 代 ， 像 云 计 算 、 大 数 据 等 高 新 技 术 加 速 信 息 化 的 发 展 ， B Y O D 等 方 式 也 方 便 人 们 的 办 公 、 生 活 。 传 统 网 络 的 边 界 逐 渐 模 糊 化 ， 很 多 的 应 用 信 息 操 作 、 访 问 都 是 由 员 工 从 外 部 网 络 发 起 的 ， 这 一 点 在 疫 情 期 间 最 为 明 显 ， 人 们 采 用 远 程 办 公 、 线 上 会 议 等 方 式 进 行 着 工 作 。 但 当 业 务 与 信 息 化 发 展 融 合 越 紧 密 ， 其 暴 露 的 风 险 面 就 越 广 ， 人 员 通 过 网 络 访 问 后 台 应 用 系 统 ， 如 果 单 纯 依 靠 防 火 墙 、 入 侵 防 御 ， 只 能 检 测 到 流 量 内 容 的 安 全 性 ， 但 对 于 其 身 份 I D 、 操 作 行 为 却 无 法 做 鉴 别 ， 之 前 发 生 的 微 盟 删 库 事 件 、 微 博 五 亿 用 户 数 据 泄 露 就 是 这 些 风 险 的 代 表 。 对 于 零 信 任 产 生 的 背 景 ， 有 以 下 几 点 原 因 ： 传 统 网 络 往 往 通 过 物 理 位 置 的 方 式 来 判 断 威 胁 ， 但 随 着 “ 云 大 物 移 ” 不 断 融 入 人 们 的 生 活 ， 这 种 由 物 理 上 所 划
分 的 安 全 边 界 将 逐 步 瓦 解 。 新 技 术 带 来 便 利 的 同 时 也 带 来 了 安 全 问 题 ， 例 如 大 数 据 、 云 计 算 等 技 术 ， 对 于 数 据 的 全 生 命 周 期 管 理 以 及 云 环 境 下 内 部 应 用 系 统 访 问 的 方 式 ， 不 能 仅 仅 依 靠 传 统 安 全 技 术 或 管 理 措 施 。 信 息 化 安 全 建 设 的 源 头 是 业 务 访 问 者 ， 当 缺 少 对 身 份 、 认 证 、 授 权 、 审 计 等 流 程 ， 数 据 泄 露 、 破 坏 等 事 件 就 会 层 出 不 穷 。 信 息 化 发 展 日 新 月 异 ， 安 全 措 施 也 不 能 一 尘 不 变 ， 需 要 持 续 性 的 优 化 、 改 进 。 归 根 结 底 ， 零 信 任 是 网 络 中 攻 防 博 弈 的 具 象 化 展 现 。 因 此 ， 零 信 任 的 技 术 成 为 了 解 决 上 述 问 题 的 最 优 解 。 零 信 任 基 础 概 念 零 信 任 基 础 概 念 顾 名 思 义 ， 零 信 任 就 是 对 于 网 络 中 所 有 的 业 务 流 量 默 认 认 为 都 是 危 险 不 可 信 任 的 ， 而 让 其 信 任 的 最 终 方 式 是 通 过 不 断 的 认 证 ， 例 如 身 份 认 证 、 终 端 环 境 认 证 、 操 作 认 证 等 方 式 来 实 现 。 对 于 零 信 任 的 理 解 ， 我 总 结 以 下 几 个 要 点 ： 网 络 中 充 满 了 威 胁 ， 不 管 是 外 部 网 络 ， 还 是 内 部 员 工 ， 像 以 前 对 暗 号 那 样 ， 在 没 有 充 分 展 示 可 信 信 息 之 前 ， 都 是 不 能 允 许 访 问 需 求 资 源 。
对 于 不 同 的 对 象 ， 展 示 可 信 信 息 的 方 式 也 大 相 径 庭 。 例 如 对 于 人 来 说 ， 可 信 信 息 包 括 账 号 认 证 、 生 物 特 征 认 证 等 ； 对 于 终 端 来 说 ， 可 信 信 息 包 括 系 统 安 全 性 检 测 、 系 统 脆 弱 性 检 测 等 。 风 险 、 信 任 是 零 信 任 中 最 重 要 的 要 素 ， 风 险 代 表 着 访 问 对 象 威 胁 性 ， 信 任 代 表 着 访 问 对 象 安 全 性 。 两 者 判 断 方 式 是 通 过 持 续 性 的 认 证 、 检 测 来 实 现 ， 例 如 在 用 户 访 问 信 息 资 源 时 ， 当 出 现 异 常 操 作 时 ， 进 行 身 份 认 证 。 每 个 访 问 者 遵 循 最 小 权 限 原 则 ， 对 应 用 系 统 的 访 问 操 作 需 要 精 细 化 到 具 体 操 作 步 骤 ， 例 如 请 求 提 交 、 文 档 修 改 。 对 于 零 信 任 最 终 实 现 的 方 式 ， 可 以 参 考 4 A ， 也 就 是 账 号 、 认 证 、 授 权 、 审 计 这 四 个 功 能 项 。 但 零 信 任 也 不 是 单 纯 的 4 A ， 而 是 在 其 基 础 上 新 增 了 融 入 了 持 续 性 的 概 念 ， 也 就 是 账 号 全 周 期 管 理 、 认 证 、 权 限 操 作 的 持 续 性 检 测 。 零 信 任 的 落 地 零 信 任 的 落 地 就 目 前 而 言 ， 企 业 无 法 短 期 之 内 实 现 零 信 任 的 建 设 ， 其 落 地 还 是 具 有 一 定 的 难 度 ， 原 因 包 括 ： 零 信 任 涉 及 到 企 业 全 网 改 造 ， 包 括 网 络 架 构 、 认 证 方 式 、 系 统 接 口 对 接 ， 这 个 工 程 量 是 巨 大 的 。 企 业 业 务 场 景 千 变 万 化 ， 零 信 任 不 会 是 一 套 标 准 化 的 产 品 ， 需 要 与 用 户 需 求 相 贴 合 ， 会 有 大 量 开 发 工 作 为 了 更 好 实 现 零 信 任 ， 我 们 可 以 将 零 信 任 建 设 分 为 几 个 安 全 节 点 来 分 别 做 规 划 ： 传 统 安 全 ： 传 统 安 全 ： 零 信 任 不 是 单 纯 的 新 增 身 份 认 证 、 权 限 管 控 的 产 品 ， 传 统 安 全 建 设 也 不 应 该 忽 视 ， 例 如 访 问 控 制 类 （ N G F W 类 ） 、 业 务 分 析 类 （ A P T 检 测 类 ） 、 数 据 加 密 （ V P N 类 ） 、 数 据 防 泄 密 （ D L P 类 ） 。 身 份 认 证 ： 身 份 认 证 ： 不 仅 仅 对 访 问 者 的 身 份 进 行 确 认 ， 更 是 对 其 使 用 的 终 端 环 境 等 因 素 进 行 搜 集 判 断 。 身 份 认 证 可 以 采 用 I A M 等 方 式 ， 终 端 环 境 判 断 可 以 采 用 E D R 、 终 端 桌 面 管 理 等 方 式 。 账 号 认 证 ： 账 号 认 证 ： 账 号 不 仅 仅 是 用 户 名 + 密 码 的 方 式 ， 而 是 通 过 多 种 因 素 进 行 判 断 ， 也 就 是 多 因 素 身 份 验 证 （ M F A ） 。 可 以 通 过 堡 垒 机 、 统 一 应 用 管 理 产 品 来 实 现 。 权 限 控 制 ： 权 限 控 制 ： 权 限 是 通 过 前 面 身 份 与 账 号 统 一 结 合 后 判 断 的 ， 并 且 通 过 持 续 的 监 测 来 判 断 权 限 是 否 合 规 。 可 以 采 用 U E B A 等 方 式 来 实 现 。 审 计 管 理 ： 审 计 管 理 ： 对 每 个 环 节 产 生 的 日 志 进 行 汇 总 、 分 析 ， 综 合 出 使 用 者 的 信 任 情 况 ， 并 将 结 果 反 馈 给 权 限 控 制 。 可 以 通 过 日 志 审 计 等 方 式 来 实 现 。 总 结 总 结 以 上 是 我 对 零 信 任 的 简 单 的 理 解 ， 后 续 如 果 有 更 深 层 次 的 理 解 也 会 与 大 家 分 享 。 如 果 有 任 何 理 解 不 对 的 地 方 希 望 大 家 指 出 ~ 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理