未來已來，零信任安全架構(gòu)時(shí)代已經(jīng)到來

分類：云涌新聞
作者：
來源：
發(fā)布時(shí)間：2021-03-23
訪問量：2908





未來已來，零信任安全架構(gòu)時(shí)代已經(jīng)到來

【概要描述】

大數(shù)據(jù)時(shí)代，互聯(lián)網(wǎng)江湖復(fù)雜而險(xiǎn)惡，網(wǎng)絡(luò)黑暗勢(shì)力無處不在，即便是在各大知名品牌與企業(yè)盡全力做好自身網(wǎng)絡(luò)防護(hù)的情況下，一些網(wǎng)絡(luò)犯罪份子還是在2020冠狀病毒大流行的這一年，抓住全球數(shù)億員工在家遠(yuǎn)程辦公的機(jī)會(huì)，大肆增加對(duì)企業(yè)的網(wǎng)絡(luò)攻擊和勒索。讓我們來看看2020 年發(fā)生了哪些高頻數(shù)據(jù)泄露和網(wǎng)絡(luò)攻擊事件：

2020 年 2 月，雅詩蘭黛泄露 4.4 億用戶敏感信息；2020 年 3 月，5.4 億新浪微博用戶數(shù)據(jù)遭泄露；2020 年 4 月，Zoom 50 多萬用戶的登錄憑證遭黑客竊取；2020 年 5 月，泰國移動(dòng)運(yùn)營商泄露 83 億條用戶數(shù)據(jù)記錄；2020 年6 月，甲骨文公司泄露數(shù) 10 億條網(wǎng)絡(luò)數(shù)據(jù)記錄……

這些數(shù)據(jù)泄露事件令許多全球知名品牌與企業(yè)成為網(wǎng)絡(luò)攻擊的受害者。究其原因主要是由于傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)默認(rèn)內(nèi)網(wǎng)是安全的，認(rèn)為網(wǎng)絡(luò)安全就是邊界安全，因此通過在邊界部署大量的安全產(chǎn)品如通過防火墻、WAF、IPS、網(wǎng)閘等設(shè)備對(duì)網(wǎng)絡(luò)邊界進(jìn)行層層防護(hù)，但殊不知燈下黑的道理，只知屯重兵于邊界，不重視甚至忽視企業(yè)內(nèi)網(wǎng)的安全，像蝸牛式保護(hù)，外殼堅(jiān)硬而內(nèi)部柔弱，防外不防內(nèi)，這樣并不能夠使用戶的網(wǎng)絡(luò)變得更加安全，據(jù)業(yè)界調(diào)查表明，網(wǎng)絡(luò)安全事件中高達(dá)80%是來源于內(nèi)網(wǎng)，或者內(nèi)外勾結(jié)。

除此之外，隨著信息技術(shù)不斷更新迭代，云計(jì)算、大數(shù)據(jù)等高新技術(shù)也加速發(fā)展，而傳統(tǒng)網(wǎng)絡(luò)的邊界則逐漸模糊，很多的數(shù)據(jù)信息操作、訪問都是由員工從外部網(wǎng)絡(luò)訪問的，這一點(diǎn)在疫情期間尤為明顯，因?yàn)橐咔樵蚴沟么蟛糠制髽I(yè)員工需要在家辦公，這樣就少不了需要采用遠(yuǎn)程辦公、線上視頻會(huì)議等方式進(jìn)行工作。但當(dāng)業(yè)務(wù)與信息化發(fā)展融合越緊密，其暴露的風(fēng)險(xiǎn)就越大，人員通過網(wǎng)絡(luò)訪問后臺(tái)應(yīng)用系統(tǒng)，如果只依靠防火墻和入侵防御這些措施，只能檢測(cè)到流量?jī)?nèi)容的安全性，但對(duì)于其身份ID、操作行為卻無法鑒別，之前發(fā)生的微盟刪庫跑路事件、微博用戶數(shù)據(jù)泄露就是這些風(fēng)險(xiǎn)的代表。

日益復(fù)雜的網(wǎng)絡(luò)環(huán)境不得不對(duì)網(wǎng)絡(luò)安全提出了更高的要求，「零信任」這一概念則是在這一大背景下應(yīng)運(yùn)而生，近兩年更是成為網(wǎng)絡(luò)安全的熱門詞匯。

什么是零信任

「零信任」是一種安全理念，它原來是由市場(chǎng)研究機(jī)構(gòu)Forrester在2010年左右提出，后來Gartner和Forrester由對(duì)零信任概念、應(yīng)用場(chǎng)景、遷移方式進(jìn)行了完善和補(bǔ)充。

零信任安全建立在一個(gè)簡(jiǎn)單的、眾所周知的前提之上：不信任網(wǎng)絡(luò)內(nèi)部和外部的任何人/設(shè)備/系統(tǒng)；不信任傳統(tǒng)網(wǎng)絡(luò)邊界保護(hù)，而代之以微邊界保護(hù)。

零信任要求將用戶的訪問權(quán)限限制為完成特定任務(wù)所需的最低限度，在組織內(nèi)部重構(gòu)以身份為中心的信任體系和動(dòng)態(tài)訪問控制體系，建立企業(yè)全新的身份邊界，即微邊界。零信任的關(guān)鍵在于控制對(duì)數(shù)據(jù)的訪問權(quán)限，而與數(shù)據(jù)所在的位置無關(guān)，與訪問發(fā)起者的位置無關(guān)。

零信任的做法是先信任，后連接，只有通過動(dòng)態(tài)的認(rèn)證和授權(quán)，才可能發(fā)起對(duì)數(shù)據(jù)資源的訪問連接，這和傳統(tǒng)網(wǎng)絡(luò)安全先連接后信任的方法有主要區(qū)別。

零信任產(chǎn)生的原因

傳統(tǒng)網(wǎng)絡(luò)只通過物理位置的方式來判斷威脅，但隨著“云大物移”不斷融入我們的生活，這種由物理上所劃分的安全邊界將逐步瓦解。

信息化安全建設(shè)的源頭是業(yè)務(wù)訪問者，如果缺少對(duì)身份、認(rèn)證、授權(quán)、審計(jì)等流程，數(shù)據(jù)泄露及破壞等事件就會(huì)層出不窮。

新技術(shù)帶來便利的同時(shí)也帶來了安全問題，信息化發(fā)展日新月異，安全措施也不能一成不變，需要持續(xù)性的優(yōu)化、改進(jìn)。

因此，零信任技術(shù)成為了解決上述問題的方法。

如何實(shí)現(xiàn)零信任

網(wǎng)絡(luò)中充滿了威脅，不論是是外部還是內(nèi)部，和以前對(duì)暗號(hào)那樣，在沒有充分展示可信信息之前，都是不能允許訪問資源。

對(duì)于不同的對(duì)象，展示可信信息的方式也大相徑庭。例如對(duì)于人來說，可信信息包括賬號(hào)認(rèn)證、生物特征認(rèn)證等；對(duì)于終端來說，可信信息包括系統(tǒng)安全性檢測(cè)、系統(tǒng)脆弱性檢測(cè)等。

風(fēng)險(xiǎn)、信任是零信任中最重要的要素，風(fēng)險(xiǎn)代表著訪問對(duì)象威脅性，信任代表著訪問對(duì)象安全性。兩者判斷方式是通過持續(xù)性的認(rèn)證、檢測(cè)來實(shí)現(xiàn)，例如在用戶訪問信息資源時(shí)，當(dāng)出現(xiàn)異常操作時(shí)，進(jìn)行身份認(rèn)證。

每個(gè)訪問者遵循最小權(quán)限原則，對(duì)應(yīng)用系統(tǒng)的訪問操作需要精細(xì)化到具體操作步驟，例如請(qǐng)求提交、文檔修改。

總之，對(duì)于零信任最終實(shí)現(xiàn)的方式，可以參考4A，也就是賬號(hào)、認(rèn)證、授權(quán)、審計(jì)這四個(gè)功能項(xiàng)。但零信任也不是單純的4A，而是在其基礎(chǔ)上新增了持續(xù)性的概念，也就是賬號(hào)全周期管理、認(rèn)證、權(quán)限操作的持續(xù)性檢測(cè)。

零信任的規(guī)劃

就目前網(wǎng)絡(luò)現(xiàn)狀而言，很多企業(yè)無法在短期之內(nèi)實(shí)現(xiàn)零信任安全的落地建設(shè)，究其原因主要有以下兩個(gè)方面：

系統(tǒng)工程

零信任涉及到企業(yè)全網(wǎng)系統(tǒng)性改造，包括網(wǎng)絡(luò)架構(gòu)、認(rèn)證方式、系統(tǒng)接口對(duì)接，這個(gè)工程量是巨大的。

開發(fā)工作

企業(yè)業(yè)務(wù)場(chǎng)景千變?nèi)f化，零信任不會(huì)是一套標(biāo)準(zhǔn)化的產(chǎn)品，需要與用戶需求相貼合，落地實(shí)施前會(huì)有大量開發(fā)工作。

為了更好實(shí)現(xiàn)零信任，我們可以將零信任建設(shè)分為幾個(gè)安全節(jié)點(diǎn)來分別做規(guī)劃：

傳統(tǒng)安全

零信任不是單純的新增身份認(rèn)證、權(quán)限管控的產(chǎn)品，傳統(tǒng)安全建設(shè)也不應(yīng)該忽視，例如訪問控制類（NGFW類）、業(yè)務(wù)分析類（APT檢測(cè)類）、數(shù)據(jù)加密（VPN類）、數(shù)據(jù)防泄密（DLP類）。

身份認(rèn)證

不僅僅對(duì)訪問者的身份進(jìn)行確認(rèn)，更是對(duì)其使用的終端環(huán)境等因素進(jìn)行搜集判斷。身份認(rèn)證可以采用IAM等方式，終端環(huán)境判斷可以采用EDR、終端桌面管理等方式。

賬號(hào)認(rèn)證

賬號(hào)不僅僅是用戶名+密碼的方式，而是通過多種因素進(jìn)行判斷，也就是多因素身份驗(yàn)證（MFA）。可以通過堡壘機(jī)、統(tǒng)一應(yīng)用管理產(chǎn)品來實(shí)現(xiàn)。

權(quán)限控制

權(quán)限是通過前面身份與賬號(hào)統(tǒng)一結(jié)合后判斷的，并且通過持續(xù)的監(jiān)測(cè)來判斷權(quán)限是否合規(guī)。可以采用UEBA等方式來實(shí)現(xiàn)。

審計(jì)管理

對(duì)每個(gè)環(huán)節(jié)產(chǎn)生的日志進(jìn)行匯總、分析，綜合出使用者的信任情況，并將結(jié)果反饋給權(quán)限控制。可以通過日志審計(jì)等方式來實(shí)現(xiàn)。

★ 結(jié)語 ★

面對(duì)頻發(fā)的數(shù)據(jù)泄露事件和不斷上升的經(jīng)濟(jì)損失，企業(yè)越來越意識(shí)到，如果僅靠現(xiàn)有的安全方法，并不足以應(yīng)對(duì)愈趨嚴(yán)峻的安全態(tài)勢(shì)，因?yàn)樵趥鹘y(tǒng)安全架構(gòu)設(shè)計(jì)中，邊界防護(hù)無法確保內(nèi)部系統(tǒng)的安全性能，尤其是隨著5G、云計(jì)算等新興技術(shù)的融入，加劇了邊界模糊化、訪問路徑多樣化，造成傳統(tǒng)邊界防護(hù)無從入手。他們需要更好的東西，而零信任安全體系恰好就能給出最好的結(jié)果：風(fēng)險(xiǎn)持續(xù)預(yù)測(cè)、動(dòng)態(tài)授權(quán)、最小化原則的「零信任」創(chuàng)新性安全思維契合數(shù)字基建新技術(shù)特點(diǎn)，借助云、網(wǎng)絡(luò)、安全、AI、大數(shù)據(jù)的技術(shù)發(fā)展，著力提升信息化系統(tǒng)和網(wǎng)絡(luò)的整體安全性，成為網(wǎng)絡(luò)安全保障體系升級(jí)的中流砥柱。

未來已來，零信任安全架構(gòu)時(shí)代已經(jīng)到來

關(guān)于云涌

云涌科技是一家以嵌入式技術(shù)為背景，提供工業(yè)信息安全和工業(yè)物聯(lián)網(wǎng)解決方案的高新技術(shù)企業(yè)。公司2004年成立，總部位于江蘇泰州，在北京、鄭州、南京，泰州、深圳設(shè)有研發(fā)中心。2020年在上海證券交易所科創(chuàng)板成功上市（股票代碼688060）。

云涌科技擁有成熟的基于ARM、PowerPC、MIPS、龍芯、飛騰等嵌入式開發(fā)平臺(tái)，具備FPGA密碼卡設(shè)計(jì)，零信任安全架構(gòu)，可信計(jì)算等核心技術(shù)。產(chǎn)品包括：基于可信的工業(yè)信息安全設(shè)備、加密卡及相關(guān)密碼組件、基于零信任的邊緣計(jì)算機(jī)及工業(yè)物聯(lián)網(wǎng)方案。在能源電力、交通物流、石油石化、智慧城市等行業(yè)，云涌科技不斷為客戶提供更好的產(chǎn)品和技術(shù)服務(wù)，與客戶合作共贏，聚創(chuàng)未來。