淺談零信任安全

在移動化和云化的大背景下，傳統(tǒng)VPN無法滿足用戶的安全需求。零信任以從不信任，總是驗證作為設計原則，在訪問主客體之間構建以身份為基礎的動態(tài)可信訪問控制體系，守護企業(yè)數(shù)據(jù)安全

#安全

發(fā)布時間：2022-10-27
點擊量：
點贊：

分享至

我想評論

1 引言

在移動化和云化的大背景下，越來越多的企業(yè)用戶開始使用云服務，企業(yè)應用開始向云遷移，使用移動設備進行辦公的場景也越來越多。零信任安全接入技術正是基于這樣的背景應用而生。零信任安全是SDP（Software Defined Perimeter，軟件定義邊界）的實踐，從應用層面限定了用戶與應用之間的安全邊界，解決了物理“無邊界”的問題。

2 零信任安全是什么

零信任將安全體系架構從網(wǎng)絡中心化走向身份中心化。零信任安全的本質是以身份為中心進行動態(tài)訪問控制，其原則是：從不信任、總是驗證。

傳統(tǒng)的IT安全架構中，企業(yè)的安全防護區(qū)就如同一座城堡，由邊界的護城河（防火墻）守護。在這樣的架構下，外部網(wǎng)絡訪問企業(yè)內數(shù)據(jù)是比較困難的，而默認情況下，企業(yè)內部網(wǎng)絡的用戶則被認為是可信的。因此，一旦攻擊者獲得了網(wǎng)絡的訪問權限，他也將被認定為可信用戶，那么企業(yè)內的所有資源都將面臨被攻擊的風險。而企業(yè)IT架構正在從“有邊界”向“無邊界”轉變。隨著企業(yè)IT基礎設施及用戶辦公的內外邊界逐步模糊，企業(yè)安全邊界正在消失。傳統(tǒng)的IT安全架構無法守護“無邊界”網(wǎng)絡的安全。

零信任安全認為網(wǎng)絡內部和外部均存在安全威脅，企業(yè)不應該自然地信任外部甚至是物理邊界內部的任何訪問。任何用戶或者設備在嘗試對安全應用進行訪問前都需要進行驗證授權。

零信任的本質是在訪問主客體之間構建以身份為基礎的動態(tài)可信訪問控制體系，對默認不可信的所有請求進行加密、認證和強制授權，匯聚關聯(lián)各種數(shù)據(jù)源進行可持續(xù)信任評估，并根據(jù)信任的程度動態(tài)對權限進行調整，最終在訪問主客體之間建立動態(tài)信任關系。

同時，零信任安全限定了授權用戶的活動范圍，即便用戶的授權信息泄露或授權終端遺失（如賬號密碼、電腦、手機等），攻擊者也只能夠訪問范圍內的數(shù)據(jù)，有效地防止橫向攻擊。

3 零信任安全的運行機制

圖3-1 零信任的技術架構

圖3-1是零信任的總體架構圖，左側是訪問主體，右側是訪問客體。

零信任安全的運行過程如下：

(1) 訪問主體在控制面發(fā)起訪問請求，由信任評估引擎和訪問控制引擎進行身份認證和授權。身份安全基礎設施為身份認證提供基礎數(shù)據(jù)，常見的身份安全基礎設置包括：PKI系統(tǒng)、身份管理系統(tǒng)、數(shù)據(jù)訪問策略等。不同的身份管理系統(tǒng)可以為零信任提供多因子認證，包括：賬號/密碼、手機驗證碼、掃碼登錄、IP、時間、地理圍欄等。

(2) 獲得授權的訪問主體將與零信任安全網(wǎng)關建立加密連接，并將加密請求發(fā)送至零信任安全網(wǎng)關，由零信任安全網(wǎng)關解密后向訪問客體代理請求。因此，訪問客體的業(yè)務網(wǎng)絡對于訪問主體來說是隱藏的，攻擊者無法攻擊“看不見”的東西。以代理的方式請求，企業(yè)不需要再防火墻或出口路由器上開放對外端口，能夠有效避免外部非法掃描攻擊。

(3) 在后續(xù)的交互過程中，信任評估引擎會持續(xù)對訪問主體的行為進行評估，一旦發(fā)現(xiàn)異常行為，訪問控制引擎將通知零信任安全網(wǎng)關中斷連接，防止訪問主體橫向移動或惡意提權。

(4) 安全分析平臺根據(jù)主客體交互過程中的日志進行分析，形成可視化數(shù)據(jù)，可以幫助運維人員獲取到系統(tǒng)運行狀態(tài)、安全威脅等信息。

4 零信任與傳統(tǒng)VPN的對比

VPN是企業(yè)員工遠程訪問企業(yè)內網(wǎng)資料的傳統(tǒng)方式，VPN為員工提供了相對安全遠程訪問。但是在現(xiàn)在的網(wǎng)絡中黑客的攻擊手段越來越豐富、高級，傳統(tǒng)VPN的安全就顯得力不從心。零信任安全是新型的網(wǎng)絡安全技術，能夠有效地解決傳統(tǒng)VPN的缺陷。

表4-1 零信任與傳統(tǒng)VPN的對比

評估項	VPN	零信任
安全	● 開放端口，存在端口被掃描風險 ● 攻擊者容易在內網(wǎng)中橫向移動 ● 一次認證，永久信任	● 隱藏訪問客體信息 ● 應用級別控制，限制訪問范圍 ● 持續(xù)監(jiān)控，臨時信任
身份認證	認證手段單一，多為賬號密碼認證	支持多因子認證，包括：賬號/密碼、手機驗證碼、掃碼登錄、IP、時間、地理圍欄等
運維管理	VPN涉及大量安全配置，工作量大，專業(yè)要求高用戶訪問數(shù)據(jù)分析困難	應用層權限控制，輕量維護支持態(tài)勢感知，從網(wǎng)絡層到應用層多維度分析用戶行為
維護成本	采購、升級VPN設備（遠程用戶激增，存在性能隱患）需要專業(yè)維護人員	應用層權限控制，輕量維護零信任網(wǎng)關云端維護，低硬件成本
應用訪問體驗	訪問應用需要二次登陸	可集成SSO（SingleSignOn，單點登陸），訪問應用不需要二次登陸