零信任架构分析扬帆

Posted 2023-03-30 Financial talent

🌕写在前面
🎉欢迎关注🔎点赞👍收藏⭐️留言📝
✉️今日分享：

“于群峰之上，更觉长风浩荡”

🍀 前言

在零信任理念下，网络位置不再决定访问权限，在访问被允许之前，所有访问主体都需要经过身份认证和授权。身份认证不再仅仅针对用户，还将对终端设备、应用软件等多种身份进行多维度、关联性的识别和认证，并且在访问过程中可以根据需要多次发起身份认证。授权决策不再仅仅基于网络位置、用户角色或属性等传统静态访问控制模型，而是通过持续的安全监测和信任评估，进行动态、细粒度的授权。安全监测和信任评估结论是基于尽可能多的数据源计算出来的。

PS:一句名言：“信任不是理想的状态，信任是你想避免的失败点”

---

🍀 零信任架构

零信任体系结构是基于没有安全边界而构建的。相反，每个事件和连接都被认为是不受信任的并且可能是恶意的。零信任体系结构的目标是，尽管面临越来越复杂的威胁和复杂的边界，仍可以保护网络。这就是为什么零信任体系结构也称为零信任网络，或通常称为零信任安全性的原因。零信任架构使组织能够确定访问和限制的优先级。目标是对所有流量实施零信任策略，以确保没有用户，设备或系统能够使网络面临风险。

零信任架构通常执行三项主要原则-永不信任，始终验证、多因素身份验证（MFA）是必须的，而微隔离对于执行限制至关重要。为了实现零信任安全，组织需要采用信息安全扩展端点可见性并实现对访问和特权的控制的实践和工具。

  🍊三大核心原则

零信任是一个集成的、端到端安全策略，基于三个核心原则，这些元素对于成功部署和构建零信任架构至关重要。

🍓永不信任，始终验证

在传统架构中，在网络范围内发生的任何事情都被认为是可信的。假设网络中的任何用户或活动都已通过身份验证并被授权存在。该模型假定外围安全性是完美无缺的，内部人员绝不会恶意。

对于熟悉安全性的任何人来说，此模型中的缺陷都应该很明显。在许多情况下，您不信任外围用户和事件。例如，攻击者以受到破坏的凭据或内部威胁进入，这可能会滥用特权或在网络中横向移动。零信任体系结构使这种理解变得明确，并优先防御内部威胁。

🍓多因素认证

多因素身份验证（MFA）是将凭据与其他身份验证器结合使用。例如，要求用户扫描指纹或确认发送到移动设备的PIN。MFA极大地降低了攻击者能够使用受到破坏的凭据访问您的系统和数据的机会。

零信任架构将MFA实施为对其自身安全措施的双重检查。它使用MFA来确保用户是他们声称的身份，并确保正确允许访问和交易。外交部在PCI安全性，可帮助组织根据PCI标准保护信用卡数据。

🍓微隔离

微隔离是使用访问控制来隔离系统中的各种组件和服务。它允许您分层安全措施，例如防火墙或授权措施，以提高安全性。它还使您可以限制对资产的访问，从而减少了攻击者利用横向漏洞的机会。

零信任架构利用微隔离来确保甚至网络内的用户或应用程序也受到适当限制。它可以确保即使攻击者确实进入了网络，也可以严格限制他们可能造成的破坏。微细分和云原生开发通常是并行的。但是，微隔离本身并不能满足您所有的云安全需求。区分微隔离作为一种安全措施和云安全 作为一个整体。

    🥝微隔离概念科普：

微隔离最早由Gartne在其软件定义的数据中心相关技术体系中提出。对数据中心而言，主要有南北向流量和东西向流量：南北向流量是指通过网关进出数据中心的流量；东西向流量是指数据中心内部服务器彼此相互访问的内部流量。传统防护模式通常采用防火墙作为南北向流量的安全防护手段，一旦攻击者突破防护边界，缺少有效的安全控制手段用来阻止东西向流量之间的随意访问。随着东西向流量占比越来越大，微隔离技术应运而生，其作为一种网络安全技术，重点用于阻止攻击者在进入企业数据中心网络内部后的东西向移动访问。从广义上讲，微隔离就是一种更细粒度的网络隔离技术，使用策略驱动的防火墙技术（通常是基于软件的）或者网络加密技术来隔离。

🍀 零信任防御架构的八大支柱

三大基本原则为构建零信任架构 (ZTA) 奠定了基础。此外，零信任安全的八大支柱构成了一个防御架构，旨在满足当今复杂网络的需求。这些支柱分别代表了对零信任环境进行分类和实现的关键关注领域。

身份安全——身份是唯一描述用户或实体的属性或属集性。通常被称为用户安全，其中心是使用身份验证和访问控制策略来识别和验证试图连接到网络的用户。身份安全依赖于动态和上下文数据分析，以确保正确的用户在正确的时间被允许访问。基于角色的访问控制 (RBAC)和基于属性的访问控制 (ABAC) 将应用于该策略以授权用户。

端点安全——与身份安全类似，端点（或设备）安全对尝试连接到企业网络的设备（包括用户控制和自主设备，例如物联网设备）执行“记录系统”验证。其侧重于在每个步骤中监视和维护设备运行状况。组织应该对所有代理设备(包括移动电话、笔记本电脑、服务器和物联网设备)进行清点和保护，以防止未经授权的设备访问网络。

应用程序安全——应用程序和工作负载安全包括本地和基于云的服务和系统。保护和管理应用层是成功采用零信任状态的关键。安全性封装了每个工作负载和计算容器，以防止跨网络收集数据和未经授权的访问。

数据安全——侧重于保护和强制访问数据。为了做到这一点，数据被分类，然后与除需要访问的用户之外的所有人隔离。这个过程包括基于任务关键度对数据进行分类，确定数据应该存储在哪里，并相应地开发数据管理策略，作为健壮的零信任方法的一部分。

可见性和分析——对与访问控制、分段、加密和其他零信任组件相关的所有安全流程和通信的可见性提供了对用户和系统行为的重要洞察。在此级别监控网络可改进威胁检测和分析，同时能够做出明智的安全决策并适应不断变化的安全环境。

自动化——通过自动化在整个企业中一致地应用策略的手动安全流程来提高可扩展性、减少人为错误并提高效率和性能。

基础设施安全——确保工作负载中的系统和服务免受未经授权的访问和潜在漏洞的影响。

网络安全——柱侧重于隔离敏感资源，防止未经授权的访问。这涉及实施微分段技术、定义网络访问以及加密端到端流量以控制网络流量。

🍀 零信任架构的框架

零信任架构的框架分为三大核心组件和八大支撑组件。

PS：NIST发布的SP800-207零信任架构中的框架

策略引擎PE(Policy Engine)：负责最终决定是否授权指定访问主体对资源（访问客体）的访问权限。

策略管理器PA(Policy Administrator)：负责建立或切断主体与资源之间的通信路径。生成客户端用于访问资源的任何身份验证令牌或凭证。

策略执行点PEP (Policy Enforcement Point)：负责启用、监视并最终终止访问主体和企业资源之间的连接。PEP可能分为两个不同的组件客户端（Agent）和资源端（访问控制网关）

简化版本：策略引擎决定是否授权主体对资源的访问权限，由控制引擎执行通信连接控制，安全代理通过代理连接实现访问主体和企业资源之间的连接。

国内信通院发布的《零信任技术白皮书》中的架构：核心组件中的策略执行点（PEP）具体化为访问代理，支撑组件以身份安全基础设施为主，安全分析平台列为其他。

PS：对比参考学习，国内厂商基本是基于这两种架构衍生的落地框架。

---

总结

以身份为中心：零信任对访问控制进行了范式上的颠覆，引导安全体系架构从「网络中心化」走向「身份中心化」，其本质诉求是以身份为中心进行访问控制。

面对频发的数据泄露事件和不断上升的经济损失，企业越来越意识到，如果仅靠现有的安全方法，并不足以应对愈趋严峻的安全态势，他们需要更好的东西，而零信任安全体系恰好就能给出最好的结果。

零信任在所有需要对资源访问进行安全防护的场景都可以使用，但是否采用，应根据企业可接受的安全风险水平和投入综合考虑决定。

🙏作者水平很有限，如果发现错误，请留言轰炸哦！万分感谢感谢感谢

零信任架构的3大核心技术

“零信任”自从2010年被Forrester分析师约翰·金德维格正式提出到现在已有十年的历史，在这十年中“零信任”一直都是安全圈内众人不断争议和讨论的对象，有人说它将是网络安全发展的必然产物，也有人说这种理念难以实现。无论“零信任”如何饱受争议，但事实证明随着相关技术的发展它都已然成为当下企业最好的选择。

研究人员说： “我们估计，这份报告中披露的战役是伊朗迄今所揭示的最连续，最全面的战役之一。”，“揭露的战役被用作侦察基础设施;但是，研究人员将攻击活动与威胁小组APT33，APT34和APT39捆绑在一起，使用开放源代码和自行开发的工具进行了混合，从而促进了小组窃取敏感信息并利用供应链攻击来针对其他组织，说过。

2019年，在工信部公开征求对《关于促进网络安全产业发展的指导意见(征求意见稿)》的意见中，“零信任安全”首次被列入网络安全需要突破的关键技术。同年，国家首次将零信任安全技术和5G、云安全等并列列为我国网络安全重点细分领域技术。由此可见，零信任安全同样引起了国家相关部门和业界的高度重视。

陈本峰认为：“想要实现零信任，就需要重新思考我们应该如何利用现有的基础设施，以更简单、更高效的方式设计具体实施方案，同时保证整个过程中不受任何阻碍。”针对零信任架构的3种具体实现方案，陈本峰为我们带来了详细的解读。

零信任架构

零信任架构就是在不可信的网络环境下重建信任，利用零信任概念和包含组件关系，制定工作流程规划和访问策略。零信任架构是基于零信任的企业网络安全策略原则，其目的是防止数据泄漏并限制内部横向移动。零信任架构的技术的本质是构建以身份为基石的业务动态可信访问控制机制。企业决定采用零信任作为网络安全基础，并基于零信任原则制定开发计划，然后部署此计划形成一个零信任环境供企业使用。

企业可以通过多种方式为工作流程制定ZTA。这些方法在使用组件和组织的策略规则的主要来源方面有所不同。每个方法都实现了零信任的7大原则(零信任安全十周年峰会|陈本峰受邀出席并解读《NIST零信任架构》)，但可以使用一个或两个作为策略的主要驱动力。这些方法包括通过下一代防火墙增强身份治理驱动的逻辑微分段，以及基于网络的细分。

针对不同的用例可以选择不同的方法，很多组织为企业开发零信任产品时可能会发现其选择的用例和现有策略指向，某种方法会优胜于其他方法。这并不意味着其他方法无效，而是在具体的过程中其他方法难以实施，可能需要更基本的方法来更改企业当前业务流程的方式。

零信任架构(ZTA)的三大技术：“SIM”

2019年，美国国家标准委员会NIST对外正式发布了《零信任架构ZTA》白皮书，强调了零信任的安全理念，并介绍了实现零信任架构的三大技术“SIM”：

1)SDP，软件定义边界;

2)IAM，身份权限管理;

3)MSG，微隔离。

图: 零信任架构的三大技术

SDP 软件定义边界：

SDP即“软件定义边界”，是国际云安全联盟CSA于2014年提出的基于零信任(Zero Trust)理念的新一代网络安全模型。SDP 旨在使应用程序所有者能够在需要时部署安全边界，以便将服务与不安全的网络隔离开来。SDP 将物理设备替换为在应用程序所有者控制下运行的逻辑组件。SDP 仅在设备验证和身份验证后才允许访问企业应用基础架构。

SDP 的体系结构由两部分组成：SDP 主机和 SDP 控制器。SDP 主机可以发起连接或接受连接。这些操作通过安全控制通道与 SDP 控制器交互来管理(请参见下图)。因此，在 SDP 中，控制平面与数据平面分离以实现完全可扩展的系统。此外，为便于扩展与保证正常使用，所有组件都可以是多个实例的。

图：SDP架构及特性

在使用中，每个服务器都隐藏在远程访问网关设备后面，在授权服务可见且允许访问之前用户必须对其进行身份验证。 SDP 采用分类网络中使用的逻辑模型，并将该模型整合到标准工作流程中。

SDP的安全优势：

1、SDP最小化攻击面降低安全风险;

2、SDP通过分离访问控制和数据信道，保护关键资产和基础架构，从而阻止潜在的基于网络的攻击;

3、SDP提供了整个集成的安全体系结构，这一体系结构是现有的安全设备难以实现的;

4、SDP提供了基于连接的安全架构，而不是基于IP的替代方案。因为整个IT环境爆炸式的增长，云环境中的边界缺失使得基于IP的安全性变得脆弱。

5、SDP允许预先审查控制所有连接，从哪些设备、哪些服务、哪些设施可以进行连接，所以它整个的安全性方面是比传统的架构是更有优势的。

IAM(增强的身份管理)

身份管理是大多数组织实现安全和IT运营策略的核心。它使企业可以自动访问越来越多的技术资产，同时管理潜在的安全和合规风险。身份管理为所有用户，应用程序和数据启用并保护数字身份。

开发ZTA的增强的身份管理方法将参与者的身份用作策略创建的关键组成部分。企业资源访问的主要要求基于授予给定主体的访问特权。通常使用开放式网络模型或具有访问者访问权限或网络上频繁使用非企业设备的企业网络找到针对企业的基于身份治理的增强方法。最初，所有具有资源访问权限的资产都将获得网络访问权限，这些权限仅限于具有适当访问权限的身份。自发布NIST SP 800-207(第二草稿)零信任架构以来，身份驱动的方法与资源门户网站模型配合的很好。身份和状态提供辅助支持数据以访问决策。其他模型也可以使用，具体取决于现有的策略。

身份管理可以帮助组织有效地解决复杂业务带来的挑战，并平衡四个关键目标：

1. 加强安全性并降低风险。

2. 改善合规性和审计绩效。

3. 提供快速，有效的业务访问。

4. 降低运营成本。

图： 零信任身份与访问管理

MSG(微隔离)

微隔离是一种网络安全技术，它可以将数据中心在逻辑上划分为各个工作负载级别的不同安全段，然后定义安全控制并为每个唯一段提供服务。微隔离使IT人员可以使用网络虚拟化技术在数据中心内部部署灵活的安全策略，而不必安装多个物理防火墙。此外，微隔离可用于保护每个虚拟机(VM)在具有策略驱动的应用程序级安全控制的企业网络中。微隔离技术可以大大增强企业的抵御能力。

图： 微隔离

微隔离是一种在数据中心和云部署中创建安全区域的方法，该方法使企业组织可以分离工作负载并分别保护它们，使网络安全性更加精细，从而更加有效。如下为微隔离的几个好处：

1，减少攻击面

2.改善横向运动的安全性

3.安全关键应用

4.改善法规遵从性状况

写在最后：

网络安全多年来已经成为人们口中经久不衰的话题，从单一防护到零信任的发展，安全防御方式正在进一步提升。随着技术的不断发展，零信任理念也正在逐步将公共和私人网络的边界消除。不过，并非每个企业都拥有实施零信任网络的IT基础架构的知识、资源和时间。企业必须拥有大量的预算和人力来开发，构建和维护因地适宜的零信任架构。对于资源不足的小型企业来说，这也将成为一项重大的挑战。