搜索

[15826] 2020-09-08_一场零信任革命，正在悄然改变IT基础架构

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-18
2020-09-08_一场零信任革命，正在悄然改变IT基础架构 一 场 零 信 任 革 命 ， 正 在 悄 然 改 变 I T 基 础 架 构 原 创   k i r a z h o u   F r e e B u f   2 0 2 0 - 0 9 - 0 8 1 0 年 前 ， 年 前 ， J o h n   K i n d e r v a g 提 出 了 提 出 了 “ 零 信 任 零 信 任 ” 和 和 “ 零 信 任 架 构 零 信 任 架 构 ” 这 两 个 词 。 这 两 个 词 。 或 许 天 才 的 理 念 总 是 难 以 在 当 下 被 普 遍 认 可 ， 零 信 任 被 提 出 的 前 几 年 里 ， 只 在 一 些 社 区 里 引 发 小 范 围 的 讨 论 和 尝 试 。 更 多 的 企 业 基 于 传 统 I T 基 础 架 构 ， 依 然 信 奉 “ 护 城 河 ” 理 念 ， 即 护 城 河 外 是 外 网 ， 是 不 安 全 的 ， 护 城 河 内 是 内 网 ， 是 默 认 安 全 的 。 而 护 城 河 则 由 无 数 边 界 安 全 设 备 组 成 。 然 而 ， 随 着 威 胁 形 势 改 变 ， 传 统 I T 基 础 架 构 岌 岌 可 危 ， 一 条 护 城 河 ， 很 难 再 抵 挡 来 自 四 面 八 方 乃 至 内 部 裂 变 的 威 胁 … … “ 废 墟 废 墟 ” 中 全 面 觉 醒 的 零 信 任 理 念 中 全 面 觉 醒 的 零 信 任 理 念 到 2 0 2 4 年 ， 3 0 % 的 企 业 安 全 服 务 支 出 将 专 门 用 于 开 发 、 实 施 和 维 护 信 任 框 架 。 在 2 0 2 0   Z T A T   S u m m i t 零 信 任 架 构 技 术 峰 会 上 ， 对 于 传 统 企 业 I T 基 础 架 构 正 在 崩 塌 这 一 点 ， 大 家 似 乎 已 经 达 成 了 共 识 。 确 实 ， 在 属 于 防 火 墙 的 黄 金 年 代 ， 用 户 、 应 用 程 序 、 数 据 和 T i e r   0 资 产 全 部 留 在 物 理 墙 内 ， 一 道 边 界 防 御 就 可 保 证 企 业 资 源 的 安 全 无 虞 。 而 现 在 ， 随 着 移 动 互 联 、 l O T 设 备 的 发 展 ， 企 业 接 入 大 量 设 备 ， 办 公 网 络 受 到 巨 大 冲 击 。 与 此 同 时 ， 越 来 越 多 的 企 业 选 择 全 站 上 云 或 关 键 业 务 上 云 ， 整 个 I T 防 护 环 境 由 此 发 生 改 变 。 图 ： 企 业 防 护 环 境 变 化 当 海 量 、 异 构 的 边 缘 计 算 兴 起 ， 可 扩 展 的 混 合 I T 环 境 成 为 主 流 ， 移 动 和 异 地 访 问 正 在 打 破 物 理 网 络 安 全 边 界 ， “ 内 网 可 信 ” 言 论 在 扁 平 的 I T 架 构 崩 塌 下 随 之 被 推 翻 。 这 时 候 ， 企 业 亟 需 一 个 全 新 的 安 全 架 构 体 系 来 保 护 动 态 、 灵 活 的 数 据 。 用 数 篷 科 技 创 始 人 刘 超 的 话 来 说 ， 就 是 “ 为 每 个 风 筝 （ 数 据 ） 系 上 一 根 线 ， 让 它 想 往 哪 飞 就 往 哪 飞 ， 一 拉 还 能 找 回 来 。 ” 零 信 任 ， 则 为 新 一 代 的 数 据 安 全 提 出 了 解 决 思 路 。 Z e r o   T r u s t ， 既 意 味 着 没 有 默 认 的 信 任 ， 所 有 行 为 都 需 要 经 过 验 证 ， 也 意 味 着 没 有 永 久 的 信 任 ， 所 有 身 份 的 权 限 都 将 动 态 授 予 。 在 企 业 I T 架 构 的 变 革 中 ， 基 于 零 信 任 理 念 的 新 一 代 架 构 正 在 不 可 信 的 网 络 环 境 中 重 建 信 任 ， 让 企 业 得 以 重 新 掌 控 “ 内 部 网 络 ” 和 数 据 流 通 。 就 此 ， 企 业 对 零 信 任 的 需 求 全 面 觉 醒 。
走 向 零 信 任 ： 走 向 零 信 任 ： I A M 等 技 术 成 熟 等 技 术 成 熟 每 一 场 革 命 战 中 ， 当 需 求 开 始 觉 醒 ， 那 么 下 一 步 就 是 配 备 武 器 — — 成 熟 的 技 术 。 2 0 1 9 年 9 月 ， 美 国 国 家 标 准 技 术 研 究 院 （ N I S T ） 发 布 《 零 信 任 架 构 》 草 案 。 2 0 1 9 年 1 0 月 ， 美 国 防 创 新 委 员 会 （ D I B ） 通 过 《 通 往 零 信 任 安 全 之 路 》 白 皮 书 ， 并 敦 促 军 方 尽 快 实 施 零 信 任 架 构 。 2 0 2 0 年 8 月 ， 我 国 发 布 首 个 基 于 产 业 攻 防 实 战 的 《 零 信 任 实 战 白 皮 书 》 ， 中 国 电 子 技 术 标 准 化 研 究 院 郝 春 亮 博 士 也 透 露 ， 零 信 任 网 络 安 全 标 准 实 践 指 南 编 制 工 作 正 在 开 展 … … 在 相 关 规 范 的 出 台 、 民 间 （ 企 业 ） 的 研 究 下 ， 基 于 零 信 任 理 念 的 技 术 和 解 决 方 案 不 断 成 熟 ， 市 场 也 从 观 望 转 向 开 放 。 值 得 注 意 的 是 ， 零 信 任 本 身 是 一 个 安 全 理 念 、 策 略 、 架 构 设 计 方 案 ， 而 非 某 一 具 象 的 安 全 产 品 ， 不 过 目 前 市 场 上 已 经 涌 现 了 一 批 优 秀 的 基 于 零 信 任 理 念 、 利 用 I A M 、 S D P 等 技 术 研 发 的 产 品 和 解 决 方 案 ， 比 如 F o r r e s t e r   的 Z T X 、 G o o g l e 的   B e y o n d C o r p 、 G a r t n e r 的 C A R T A ， 还 有 国 内 数 篷 科 技 的 D A A G （ 零 信 任 安 全 网 关 ） 。 和 传 统 的 安 全 策 略 不 同 ， 企 业 走 向 零 信 任 既 不 需 要 大 规 模 更 换 现 有 网 络 ， 也 无 需 费 尽 心 思 地 引 入 大 量 新 技 术 。 零 信 任 的 落 地 以 循 序 渐 进 为 主 ， 在 规 模 和 实 现 程 度 上 都 有 比 较 大 的 自 由 。 因 此 ， 以 身 份 为 中 心 的 资 源 访 问 控 制 往 往 是 大 多 数 企 业 尝 试 迈 入 零 信 任 的 第 一 步 。 下 面 是 数 篷 科 技 零 信 任 安 全 网 关 （ D A A G ） 的 相 关 资 料 ， 可 以 帮 助 企 业 免 改 造 一 步 实 现 统 一 身 份 认 证 和 业 务 权 限 管 理 ， 让 企 业 可 以 安 全 发 布 业 务 到 互 联 网 访 问 ， 快 速 低 成 本 地 实 现 零 信 任 架 构 改 造 。 图 ： 零 信 任 应 用 访 问 网 关 D A A G   模 型 基 于 零 信 任 “ 永 不 信 任 、 持 续 验 证 ” 的 理 念 ， 企 业 可 以 接 入 统 一 身 份 认 证 系 统 （ I A M ） ， 以 身 份 为 核 心 ， 对 默 认 不 可 信 的 访 问 请 求 进 行 多 因 素 认 证 加 密 ， 再 结 合 动 态 访 问 控 制 和 持 续 信 任 评 估 等 核 心 能 力 ， 低 成 本 实 现 安 全 访 问 控 制 能 力 的 统 一 建 设 。 此 外 ， 这 也 避 免 了 员 工 越 权 操 作 等 权 限 使 用 不 当 带 来 的 安 全 隐 患 ， 权 限 分 散 、 跨 站 点 / 业 务 的 资 源 访 问 难 等 问 题 。 在 权 限 管 控 上 ， 主 要 有 4 个 重 点 ： 1 .   权 限 最 小 化 权 限 最 小 化 ： 在 权 限 授 予 时 秉 持 最 小 权 限 原 则 ， 即 明 确 谁 可 以 在 什 么 时 间 什 么 地 点 访 问 哪 些 资 产 ， 在 安 全 性 和 业 务 可 持 续 性 中 寻 找 平 衡 。 2 .   权 限 精 细 化 权 限 精 细 化 ： 面 临 超 大 规 模 权 限 数 据 时 ， 可 以 通 过 R B A C 、 A B A C 等 典 型 的 权 限 控 制 模 型 高 效 管 理 权 限 精 细 化 授 予 ， 也 就 是 增 加 “ 角 色 ” 以 及 “ 属 性 ” 概 念 。 如 企 业 有 1 0 0 名 基 层 员 工 ， 且 权 限 一 致 ， 那 么 只 需 设 置 一 个 “ 基 层 员 工 ” 角 色 ， 就 可 批 量 进 行 1 0 0 名 员 工 的 权 限 调 整 。 3 .   动 态 访 问 控 制 动 态 访 问 控 制 ： 动 态 授 予 不 同 人 以 不 同 权 限 ， 如 根 据 时 间 、 地 点 等 因 素 的 变 化 而 动 态 调 整 访 问 权 限 。
4 .   持 续 信 任 评 估 持 续 信 任 评 估 ： 安 全 状 况 每 时 每 刻 都 在 发 生 变 化 ， 因 此 始 终 保 持 持 续 验 证 的 理 念 ， 在 交 互 过 程 中 不 断 监 视 和 评 估 信 任 级 别 。 可 以 说 ， 借 助 I A M 、 S D P 、 微 隔 离 等 核 心 技 术 ， 零 信 任 理 念 得 以 实 现 ， 并 且 正 有 效 解 决 边 界 模 糊 化 带 来 的 权 限 控 制 粒 度 粗 、 有 效 性 差 的 问 题 。 不 过 ， 这 就 是 零 信 任 最 终 的 h a p p y   e n d i n g 吗 ？ H y p e r C l o a k ： 软 件 定 义 新 一 代 基 础 架 构 ： 软 件 定 义 新 一 代 基 础 架 构 零 信 任 是 一 个 理 念 ， I A M 、 S D P 、 微 隔 离 都 是 其 核 心 技 术 ， 那 么 未 来 的 零 信 任 落 地 还 有 什 么 ？ 事 实 上 ， 在 零 信 任 发 展 道 路 上 ， 不 乏 诸 如 此 类 的 质 疑 ， 如 其 基 于 身 份 与 访 问 管 理 技 术 、 终 端 设 备 环 境 风 险 评 估 技 术 、 基 于 机 器 学 习 的 身 份 分 析 技 术 等 核 心 组 件 ， 听 上 去 似 乎 并 没 有 太 多 激 动 人 心 的 新 技 术 ？ 甚 至 以 G o o g l e   B e y o n d C o r p 为 代 表 的 Z T N A 零 信 任 安 全 框 架 风 靡 一 时 ， 但 在 协 议 支 持 、 落 地 实 施 上 依 然 受 到 一 定 争 议 。 零 信 任 该 如 何 取 信 于 企 业 ？ 访 问 控 制 即 零 信 任 吗 ？ 有 趣 的 是 ， 就 在 几 天 前 ， 数 篷 科 技 正 式 发 布 了 名 为 H y p e r C l o a k ® （ 凌 界 ） 的 增 强 型 零 信 任 安 全 框 架 ， 这 也 是 国 内 第 一 个 零 信 任 安 全 框 架 。 文 章 底 部 点 击 【 阅 读 原 文 】 即 可 了 解 H y p e r C l o a k 详 情 ： h t t p s : / / w w w . h y p e r c l o a k . o r g / 从 H y p e r C l o a k ® （ 凌 界 ） 或 许 可 以 看 到 零 信 任 的 未 来 ， 这 也 是 笔 者 想 和 大 家 分 享 这 一 框 架 的 关 键 原 因 。 首 先 ， 目 前 的 零 信 任 框 架 主 要 面 临 的 挑 战 包 括 ： ·   访 问 ： 数 据 存 储 、 计 算 和 传 输 安 全 缺 失 ·   传 输 ： 支 持 协 议 有 限 ·   成 本 ： 应 用 与 资 源 配 合 改 造 成 本 高 基 于 此 ， 数 篷 科 技 提 出 从 单 点 实 施 （ 访 问 接 入 ） 到 全 面 覆 盖 （ 基 础 设 施 ） ， 让 零 信 任 安 全 框 架 与 基 础 设 施 深 度 融 合 ， 是 一 种 不 错 的 思 路 。 既 然 基 础 架 构 决 定 安 全 问 题 的 复 杂 度 ， 那 么 就 让 零 信 任 覆 盖 到 底 层 基 础 设 施 ， 这 也 对 以 往 的 既 然 基 础 架 构 决 定 安 全 问 题 的 复 杂 度 ， 那 么 就 让 零 信 任 覆 盖 到 底 层 基 础 设 施 ， 这 也 对 以 往 的 I T 基 础 架 构 提 出 了 一 个 跨 越 性 的 补 充 。 基 础 架 构 提 出 了 一 个 跨 越 性 的 补 充 。 零 信 任 安 全 基 础 设 施 通 过 软 件 定 义 的 方 式 部 署 在 物 理 基 础 设 施 和 应 用 层 之 间 。 整 个 零 信 任 框 架 基 于 底 层 可 信 计 算 ， 构 建 可 信 沙 箱 环 境 ， 从 而 构 建 可 信 安 全 容 器 ， 形 成 可 信 安 全 域 。
图 ： H y p e r C l o a k ®   v 1 . 0 框 架 终 端 设 备 上 构 建 的 沙 箱 容 器 可 以 设 置 不 同 的 安 全 级 别 ， 且 只 能 通 过 应 用 级 可 信 隧 道 访 问 企 业 内 部 资 源 。 而 可 信 隧 道 同 样 设 置 了 不 同 的 细 粒 度 区 别 ， 保 证 隧 道 中 不 同 容 器 的 通 信 互 相 不 可 见 ， 访 问 环 境 高 度 加 密 。 H y p e r C l o a k 框 架 的 出 现 意 味 着 安 全 边 界 从 网 络 层 扩 展 到 了 无 数 终 端 设 备 上 。 框 架 的 出 现 意 味 着 安 全 边 界 从 网 络 层 扩 展 到 了 无 数 终 端 设 备 上 。 当 用 户 一 打 开 设 备 ， 安 全 边 界 就 虚 拟 架 构 在 了 设 备 之 上 ， 形 成 了 看 不 见 的 防 护 罩 。 当 甲 乙 方 企 业 进 行 跨 组 织 、 跨 机 构 的 协 同 研 发 时 ， 往 往 面 临 数 据 管 控 问 题 ， 也 就 是 实 现 对 甲 方 数 据 最 小 权 限 访 问 ， 避 免 乙 方 二 次 分 发 。 而 通 过 将 多 方 组 织 数 据 隔 离 放 置 ， 再 设 置 一 个 协 作 区 ， 由 甲 方 设 置 策 略 保 证 最 小 访 问 权 限 ， 就 可 以 让 数 据 流 转 在 可 控 范 围 内 ， 快 速 形 成 一 个 安 全 的 研 发 环 境 。 通 过 安 全 容 器 、 可 信 隧 道 、 广 泛 协 议 支 持 、 深 度 隔 离 的 新 一 代 基 础 架 构 ， “ 数 据 可 用 不 可 拿 ” 的 信 任 级 别 将 被 轻 易 实 现 ， 而 这 一 网 络 架 构 由 软 件 定 义 的 特 性 ， 使 得 架 构 升 级 过 程 中 实 现 应 用 免 改 造 和 几 乎 零 成 本 。 软 件 定 义 的 网 络 安 全 基 础 架 构 ， 或 许 就 是 零 信 任 理 念 落 地 的 未 来 。 而 网 络 安 全 行 业 发 展 过 程 中 ， 涌 现 过 无 数 新 词 汇 、 新 理 念 ， 零 信 任 同 样 在 此 行 列 ， 就 像 谭 晓 生 说 的 ， 可 能 过 个 几 年 ， 零 信 任 会 换 个 名 字 ， 可 能 不 再 新 颖 ， 但 这 又 如 何 ？ 重 要 的 是 零 信 任 的 理 念 将 为 网 络 安 全 带 来 什 么 样 的 改 变 ， 零 信 任 厂 商 能 否 真 正 成 为 生 态 引 领 者 。 从 需 求 的 觉 醒 到 技 术 成 熟 ， 再 到 企 业 的 实 践 ， 零 信 任 的 “ 乌 托 邦 ” 论 调 被 终 结 ， 一 场 跨 越 1 0 年 的 零 信 任 革 命 ， 吹 响 号 角 。 数 篷 科 技 C E O 刘 超 认 为 ： “ 未 来 的 I T 环 境 一 定 是 虚 拟 化 、 无 边 界 （ 从 单 一 物 理 边 界 到 更 细 粒 化 边 界 ） 、 智 能 化 、 全 球 化 的 。 ” 与 此 同 时 ， 我 们 或 许 也 能 畅 想 ， 新 一 代 I T 基 础 架 构 将 脱 离 时 间 、 地 域 、 设 备 的 限 制 ， 全 面 颠 覆 传 统 架 构 ， 带 来 一 个 真 正 的 自 适 应 的 可 信 空 间 。 后 记 后 记 零 信 任 、 基 础 架 构 、 软 件 定 义 、 安 全 框 架 、 应 用 实 战 、 等 级 保 护 、 I D C 、 谭 晓 生 . . . . . . 这 些 关 键 词 会 组 成 什 么 ？ 2 0 2 0   Z T A T   S u m m i t 零 信 任 架 构 技 术 峰 会 。 作 为 安 全 峰 会 里 的 新 面 孔 ， 其 主 题 、 内 容 及 嘉 宾 设 置 上 仍 然 让 笔 者 感 到 惊 喜 和 诚 意 ， 本 文 的 思 路 同 样 来 源 于 会 议 的 分 享 。 尽 管 零 信 任 理 念 出 现 已 1 0 年 有 余 ， 近 几 年 国 内 也 涌 现 了 很 多 零 信 任 厂 商 与 产 品 。 但 数 篷 科 技 ， 或 者 说 H y p e r C l o a k 安 全 框 架 的 不 同 之 处 在 于 ， 有 别 于 市 面 上 基 于 I A M 等 技 术 的 零 信 任 基 础 产 品 ， 提 出 并 落 地 了 零 信
任 安 全 基 础 设 施 ， 从 底 层 、 架 构 上 体 系 化 地 思 考 零 信 任 的 实 现 ， 为 数 据 安 全 提 供 了 新 的 解 决 思 路 。 H y p e r C l o a k 将 在 国 内 如 何 发 展 ， 值 得 期 待 ， 而 下 一 届 的 Z T A T   S u m m i t 零 信 任 架 构 技 术 峰 会 上 ， 或 许 我 们 可 以 看 到 一 个 答 案 … … 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理