零信任网络初识

最新推荐文章于 2024-08-08 11:05:10 发布

她总是阴雨天

最新推荐文章于 2024-08-08 11:05:10 发布

阅读量3.3k

点赞数

分类专栏：笔记文章标签：网络安全数据安全

本文链接：https://blog.csdn.net/weixin_43047908/article/details/122099701

版权

笔记专栏收录该内容

32 篇文章 2 订阅

订阅专栏

概述

“零信任网络”是在2010年被Forrester的首席分析师JohnKindervag提出，他认为：“企业不应自动信任内部或外部的任何人/事/物，应在授权前对任何试图接入企业系统的人/事/物进行验证。”这个概念一经提出就饱受争议，有人说其是这是安全产品未来趋势，也有人担心这个概念难以落地而不被看好，然而随着底层组件技术的不断发展，这个概念也被逐步验证成为现实。

什么是零信任网络？

在谈到“零信任”前不得不提到“基于网络边界建立信任”的理念，传统网络安全防护大都通过在网络边界部署防火墙、IDS、入侵监测系统等防护设备，对企业网络层层防护，从外向内地将攻击拦截在外从而保障企业网络的安全。然而现在的网络架构和使用模式正在对这种基于边界的防护策略发起挑战：缺乏内部流量的检查、主机部署缺乏物理和逻辑上的灵活性、存在单点故障。

比如：位于网络防护边界之外的远程用户和移动设备的接入，云上资产的访问与防护等问题，一旦某个单点被突破，就给了攻击者横行移动、进一步入侵的可能，传统防护策略逐渐显得力不从心。

零信任模型旨在解决“基于网络边界建立信任”这种理念本身固有的问题。零信任模型的核心思想是不基于网络位置建立信任，任何在授权前的人/设备/应用程序都视为不被信任的、在访问数据前都应取得信任，细粒度数据访问权限，采用最小权限原则，将网络防御的对象从边界缩小到了单个或者更小的资源组。

如果把企业网络比作一座城的话，那么传统边界防护就是给城修城墙、设栅栏，而在零信任网络下就是给一个城市居民配置一名守卫兵。传统基于边界访问的“城墙”不会消失——它还能抵御大部分入侵，仅靠配置“守卫兵”的方式又回占用太多的资源和带宽，两者还需在实用性和安全性上作出平衡。

零信任网络架构逻辑

在组织和企业中，构成零信任架构部署的逻辑组件通常有很多，《NIST SP800-207:零信任架构草案》中描述了一种典型的方案逻辑及核心产品组件：

在这里插入图片描述
策略引擎（Policy Engine, PE）：组件负责最终决定是否授予指定访问主体对资源（访问客体）的访问权限。策略引擎使用企业安全策略以及来自外部源（例如IP黑名单，威胁情报服务）的输入作为“信任算法”的输入，以决定授予或拒绝对该资源的访问，策略引擎的核心作用是信任评估。

策略管理器（Policy Administrator, PA）：组件负责建立客户端与资源之间的连接。它将生成客户端用于访问企业资源的任何身份验证令牌或凭据。它与策略引擎紧密相关，并依赖于其决定最终允许或拒绝连接，策略管理器的核心作用是策略判定点，是零信任动态权限的判定组件。

策略执行点（Policy Enforcement Point, PEP）：这实际上是一个组件系统，负责开始，持续监控、并最终结束访问主体与访问客体之间的连接。策略执行点实际可分为两个不同的组件：客户端组件（如用户笔记本电脑上的agent）与资源端组件（如资源前控制访问的网关），策略执行点确保业务的安全访问。

除了以上核心组件外，还有进行访问决策时为策略引擎提供输入和策略规则的许多数据源。包括本地数据源和外部数据源，具体包括：

持续诊断和缓解计划（continuous diagnostics and mitigation，CDM）系统
行业合规系统（Industry Compliance System）
威胁情报流，该系统提供帮助策略引擎进行访问决策的信息
数据访问策略
企业公钥基础设施（PKI）
ID管理系统。系统负责创建、保存和管理企业用户帐户和身份记录
安全应急和事件管理系统（SIEM）

零信任网络技术组件

零信任技术需要根据用户身份、用户所处位置、上下文信息和其他数据等条件，利用微隔离和细粒度边界规则，来确定是否信任请求企业特范围访问权的用户/主机/应用。首先是建立资产清单库，至少包括用户清单库、设备清单库。且能够根据企业组织架构调整、人员变动、设备丢失等情况对资产进行生命周期管理，且动态维护相关联的属性特征。如人员职级、角色，设备证书状态、设备是否安装了最新的补丁等。

身份认证可以对现有技术进行融合，如多因子身份验证(MFA)、可信身份认证（FIDO）、身份与访问管理(IAM)、SSO等。
需要做到：
做到细粒度权限访问：