拥抱零信任理念,重构安全体系架构
2020-08-13
数字化转型中,“云大物移”等技术的业务应用加速落地。新技术、新场景的采用,在弹性计算、移动访问等方面提升业务效率。然而,从安全防护角度,新技术模糊了企业网络边界,传统的基于边界防护的安全架构受到了挑战。新技术本身,以及难以避免的Shadow IT问题,带来新的安全风险。在这种新范式下,企业必须不断地分析和评估其内部资产和业务功能的风险,然后制定防护措施来缓解这些风险,这些控制措施既要确保可信访问的通达,同时提供对网络攻击的有效防御,这是零信任出现并且赢得高度关注的背景。
零信任安全是一套关于网络基础设施设计和运行的指导原则,零信任体系架构是一种端到端的网络/数据安全方法,包括身份、凭证、访问管理、操作、端点、宿主环境和互联基础设施。零信任重点在应用和数据的安全,此二者是IT系统支撑业务的价值核心。
一.零信任理念支柱
零信任的核心理念是:除非得到验证,否则不信任。对于无边界的网络访问而言,后台的应用和资源,需要验证来访的人和设备。这是零信任的基础,即用户可信,设备可信。初次访问,只需要验证二者即可,建立访问会话之后,还需要持续评估访问行为的可信,确认来访问的用户和设备始终保持在安全状态,没有任何异常行为,一旦出现了异常,能够及时的自动化的处理,比如信任等级降低,重新认证,或者直接切断访问会话。零信任安全的支柱,包含以下四个要素:全面感知、最小授信、持续评估、动态决策。
图:零信任理念支柱
1、全面感知
全面感知,指的是要尽可能的收集企业内、外部的信息,对环境作出正确的评价。全面感知的内容,包括且不限于终端环境感知、网络环境感知、网络威胁感知。对于终端初始访问请求,更多的需要感知设备的安全状况,会话建立后,需要感知网络上访问行为的情况。
2、最小授信
用户携带终端设备,访问数据中心的应用和资源,这个过程中,需要对用户和终端授信,并且应该只授予最小的、必要的权限。用户的认证和权限,用户访问应用的映射,甚至应用对用户的授权,都应该是最小的权限。
3、持续评估
用户访问应用的过程中,对访问行为的持续的监控和分析。感知用户活动和相关实体(用户相关的应用和终端等)信息,在此基础上构建用户与群组,并定义这些个体与群组的合法和正常行为,把这些人物角色在群体与群体、群体与个体、个体与个体(那些远离合法和正常行为的群体与个体)维度上相互比对分析,将异常用户(失陷账号)和用户异常(非法行为)检测出来,从而达到检测用户异常、设备异常、访问行为异常等行为。
4、动态决策
动态决策,基于用户、设备和访问行为的风险情况,动态执行响应的防御动作。信任评估引擎完成对用户、设备,以及访问行为的可信评估,再由策略控制引擎完成自动化的访问控制动作。
图:零信任分析和控制
响应动作包括:
· 允许访问
· 需要二次验证
· 需要授权
· 拒绝访问
· 受限访问(允许访问普通应用,不允许访问敏感应用)
二.9455澳门新葡萄娱乐场官网版零信任安全解决方案
零信任安全体系,构建以用户可信和设备可信为基础,持续评估访问行为可信,自适应访问控制的架构体系。
图:零信任安全架构
零信任策略控制引擎,基于用户身份和权限,设备安全性,来决策是否允许用户的访问请求。在用户访问过程中,持续评估用户和设备的安全风险,必要时策略控制引擎下发指令,中断当前的访问会话。
零信任网络安全解决方案实际部署时,在原有的网络安全基础上,增加零信任安全组件,实现零信任网络访问控制。
零信任架构需要多种安全产品和技术来构建。企业可以借助已经部署的安全产品,将安全防护与零信任相结合,面向未来构建安全架构。评估当前架构和未来愿景的差距,参考业界标准和项目实践,制定路线图和计划,逐步向零信任安全架构迁移。
9455澳门新葡萄娱乐场官网版《零信任安全专刊》
零信任安全先从理念开始,向实践探索。零信任的架构、原则和标准也在演进。正是在这样的背景下,9455澳门新葡萄娱乐场官网版特别推出《零信任安全专刊》,剖析零信任理念,设计零信任架构,探讨零信任实践,借鉴项目经验。
内容看点:
|零信任理论
零信任是以信任为基础,专刊带你了解信任的本质和内涵,零信任的原则等,并探讨云原生安全和零信任安全关联,对比传统安全和零信任安全优劣。
|架构设计
零信任有多种架构模型,其中以类BeyondCorp架构和SDP架构最为典型。这个栏目就探讨这两种架构的设计和实现。
|解决方案
零信任解决方案,是在零信任理念之下,组合产品搭建零信任安全架构。在远程办公和运维,大数据中心保护等场景下,指导零信任落地。
|项目实践
零信任的关键在于落地,专刊将落地实践作为重点,介绍了BeyondCopr的项目经验、9455澳门新葡萄娱乐场官网版落地项目的实践经验。
《零信任安全专刊》下载链接:http://blog.nsfocus.net/wp-content/uploads/2020/08/Zero-Trust-.pdf