零信任互聯(lián)網(wǎng)安全訪問

程序漏洞；

惡意程序；

勒索病毒：WannaCry、Petya、Bad Rabbit；

單機(jī)威脅：感染式病毒、二進(jìn)制攻擊；

網(wǎng)絡(luò)病毒與黑產(chǎn)：木馬、蠕蟲；

流氓軟件與灰產(chǎn)：間諜軟件、廣告軟件；

流量攻擊與敲詐：DDos、肉雞；

黑客攻擊：黑洞門、SRC；

高級(jí)威脅與勒索：黑客與病毒混合、漏洞與社會(huì)工程學(xué)；

PC終端；

移動(dòng)終端；

物聯(lián)網(wǎng)終端；

工控互聯(lián)網(wǎng)終端；

OSI安全體系：分層結(jié)構(gòu)防護(hù)；

P2DR：閉環(huán)動(dòng)態(tài)模型；

IATF：分開部署安全保障機(jī)制；

IEC62443：縱深防御安全防護(hù)策略；

NSA CGSV2：安全保護(hù)與監(jiān)測能力整合；

NIST CSF：自身需求加強(qiáng)防御；

企業(yè)通過復(fù)雜和繁瑣的網(wǎng)絡(luò)邊界防火墻策略及設(shè)置，將信息系統(tǒng)和數(shù)據(jù)直接暴露至互聯(lián)網(wǎng)提供服務(wù)，業(yè)務(wù)一旦發(fā)生變化和變更，安全防護(hù)策略需要進(jìn)行大量手工調(diào)整，不利于業(yè)務(wù)的敏捷性管理。

企業(yè)在面向消費(fèi)者或跨區(qū)域跨地域的持續(xù)業(yè)務(wù)運(yùn)作中，通常將信息系統(tǒng)和服務(wù)轉(zhuǎn)向使用單云托管或多云托管方式，意味著依靠企業(yè)邊界的安全性成為一種負(fù)擔(dān)和挑戰(zhàn)，云上數(shù)據(jù)和服務(wù)面臨更多可能性的入侵攻擊、病毒破壞和數(shù)據(jù)竊取的安全風(fēng)險(xiǎn)。

企業(yè)通常將有限訪問的資源提供給進(jìn)行工作的現(xiàn)場訪問者或服務(wù)提供商，主要包括外包運(yùn)維人員、服務(wù)人員等，而這類人員通過互聯(lián)網(wǎng)遠(yuǎn)程進(jìn)行服務(wù)的提供，包括企業(yè)信息系統(tǒng)維護(hù)、數(shù)據(jù)庫的管理和服務(wù)器的調(diào)優(yōu)等。

越來越多的企業(yè)會(huì)涉及跨業(yè)務(wù)協(xié)助或項(xiàng)目合作，如企業(yè)的生產(chǎn)訂單需要第三方企業(yè)進(jìn)行供應(yīng)鏈協(xié)助，需要生產(chǎn)系統(tǒng)與供應(yīng)鏈系統(tǒng)的連通；如某重要項(xiàng)目涉及多個(gè)企業(yè)的項(xiàng)目成員，需要相互進(jìn)行業(yè)務(wù)訪問和數(shù)據(jù)的操作等，這些跨企業(yè)邊界的協(xié)助同樣面臨安全風(fēng)險(xiǎn)的巨大挑戰(zhàn)。

采用SDP方式，通過SPA單包認(rèn)證、MTLS雙向加密技術(shù)，所有互聯(lián)網(wǎng)業(yè)務(wù)訪問請求通過SDP網(wǎng)關(guān)進(jìn)行連接和授權(quán)，同時(shí)所有互聯(lián)網(wǎng)業(yè)務(wù)端口和訪問地址默認(rèn)不開放，只有通過授權(quán)和認(rèn)證的請求并且其訪問資源符合的情況建立業(yè)務(wù)連接。

建立互聯(lián)網(wǎng)用戶體系的身份管理體系，包括外包人員、供應(yīng)商、消費(fèi)者、合作伙伴等用戶群體，同時(shí)將企業(yè)的互聯(lián)網(wǎng)業(yè)務(wù)納入到身份管理平臺(tái)進(jìn)行認(rèn)證、授權(quán)、風(fēng)險(xiǎn)、審計(jì)的集中管控，確保來自于用戶或終端的訪問身份和請求符合企業(yè)的管理要求和策略匹配。

云上SaaS應(yīng)用采用設(shè)備應(yīng)用沙箱隔離模式部署，通過分配虛擬機(jī)隔離或使用防火墻設(shè)置隔離區(qū)域，對外服務(wù)接口采用API網(wǎng)關(guān)服務(wù)實(shí)現(xiàn)。

為實(shí)現(xiàn)企業(yè)間的協(xié)助和業(yè)務(wù)訪問，分別通過身份管理技術(shù)對企業(yè)的聯(lián)合ID主體身份進(jìn)行注冊和授權(quán)配置，保障企業(yè)身份合法和權(quán)限合規(guī)，同時(shí)通過企業(yè)網(wǎng)絡(luò)托管或云上托管方式，讓企業(yè)間的網(wǎng)絡(luò)訪問通過SDP網(wǎng)關(guān)進(jìn)行網(wǎng)絡(luò)連接，遵循先認(rèn)證后連接的零信任安全機(jī)制，確保業(yè)務(wù)互訪互聯(lián)的安全性。

在實(shí)施“按需受控訪問”的基礎(chǔ)上，有效整合資源保護(hù)相關(guān)的數(shù)據(jù)加密、網(wǎng)絡(luò)分段、數(shù)據(jù)防泄露等技術(shù)，保護(hù)應(yīng)用資源、數(shù)據(jù)在網(wǎng)絡(luò)中的傳輸和存儲(chǔ)，并優(yōu)先保護(hù)高價(jià)值資源。

互聯(lián)網(wǎng)用戶通過訪問認(rèn)證之前，資源對用戶隱身；即便在用戶通過訪問認(rèn)證和授權(quán)，成功進(jìn)入網(wǎng)絡(luò)以后，零信任架構(gòu)也將阻止用戶漫游到未經(jīng)授權(quán)的區(qū)域。零信任思維從根本上降低了互聯(lián)網(wǎng)攻擊面。

零信任架構(gòu)終結(jié)了安全防護(hù)手段各自為政的現(xiàn)狀，在零信任架構(gòu)實(shí)施時(shí)，可以通過與現(xiàn)有工具的集成，大幅度降低零信任潛在建設(shè)成本。