零信任--ISD,IAM,MSG

司越越

已于 2024-06-02 16:22:56 修改

阅读量909

点赞数 11

分类专栏：网络安全产品文章标签：网络安全网络安全

于 2024-05-15 16:46:05 首次发布

本文链接：https://blog.csdn.net/weixin_60885144/article/details/138914147

版权

网络安全产品专栏收录该内容

8 篇文章 0 订阅

订阅专栏

what

首先，零信任不是一种设备或架构而是一种安全策略。其策略核心是不信任任何请求，而是假定将这些请求视为威胁来验证其合法性/安全性。

why

传统的安全模型通过“一次验证+静态授权”的方式评估实体风险，而零信任基于“持续验证+动态授权”的模式构筑企业的安全基石。

如今的网络边界伴随着云数据的介入安全策略的不统一，接入终端多样性等导致传统设定的网络边界难以维持对于身份/请求的认证，“一次验证+静态授权”难以面对复杂的网络边界，安全威胁接踵而至。

how

零信任核心原则：

持续验证

零信任对人、终端和应用进行统一身份化管理，建立以身份为中心的访问控制机制。

本质还是基于用户身份的访问控制，但是以往的架构“一次验证”(正确的账号密码)后就不会再去对用户身份验证，若该用户登录的终端、网络、应用发生改变是不会影响用户登录。

持续验证将这些作为认证的动态考量因素(采用多种因素进行验证)，对于异常行为可以检测(针对vpn登录很有帮助)

注：多因素身份验证(MFA)--所知(账号密码) 所有(设备验证码) 生物特征(指纹人脸识别)

动态授权

传统的“静态授权”是根据提前设定的安全策略来规定用户的访问权限，不能依据用户的行为、设备状态、时间、位置等来实时调整访问权限，从而增加了安全风险。

动态授权就能依据解决这些安全风险，如设备被感染病毒可拒绝当前用户的进行访问；或者用户多次登录失败被认定为异常行为从而报警该异常并拒绝用户登录尝试

全局防御

传统的安全往往是设备的单打独斗，针对安全风险很难形成有效联动。零信任基于安全大脑的大数据分析能力，对网络流量、用户日志、威胁事件等进行智能检测和风险评估，创建一条完整的信任链。针对用户/设备/终端统一下达安全策略，实现全局防御与秒级处理

零信任架构三大技术

1)SDP--软件定义边界

how

SDP 仅在设备验证和身份验证后才允许访问企业应用基础架构并且根据最小化授权原则只能访问授权应用。从而网络完全隐身，无需开放任何TCP端口，让企业服务从互联网上“隐身”，不为潜在攻击者提供任何端口扫描和攻击的机会。

实现原理：远程访问终端安装SDP客户端，边界接入区部署SDP控制器、SDP网关。将所有的访问控制流量通过路由导向SDP网关，将所有应用隐藏在SDP网关后，理论上应用服务器不接收除SDP网关外的其它链接。SDP控制器在外网地址可见。SDP网关地址、端口由SDP客户端与控制器联动认证通过后按需动态开放。用户权限将根据用户身份和行为实时打分，并动态调整。

SDP三大组件：

SDP控制器(是SDP的核心 ) SDP客户端 SDP网关

关系：

1 控制器决定哪些客户端可以与网关通信

2 客户端发送的请求实际是发给控制器，控制器来判断客户端能连接哪些网关列表

3 默认网关是拒绝控制器之外所有主机的所有通信，只有控制器下达指令网关才与客户端直接连接

作用

避免端口扫描---只有通过验证才能实现远程连接网关才会开放服务端口

避免攻击---所有的服务都在SDP网关后面，非认证的客户端无法访问更不能攻击

避免ddos---客户端首先身份验证时发送的是SPA(单包授权验证)将自身的认证信息发送给控制器，可以根据这个特性拒绝所有的非法请求

2)IAM--身份权限管理

what

统一身份认证（Identity and Access Management)。若把安全策略下发者的身份看作账号，那么IAM用户由账号创建，只能拥有账号授予的资源使用权限，账号可以随时修改或者撤销IAM用户的使用权限。

why

可以实现更加细粒度的访问控制。这一技术的核心是4A能力---认证（Authentication）、授权（Authorization）、审计（Audit）和账号管理（Account Management）的能力。当然这是传统安全策略下‘静态授权’的IAM

在零信任体系在动态授权除了传统的4A能力还要基于网络、终端环境、用户行为变化的动态授权。使得当授权主体的安全等级大于授权客体的安全等级时，授权主体才能访问授权客体

3)MSG--微隔离

what

通过将数据中心业务单元按照一定规则进行分组，然后在分组间部署策略来实现流量控制。传统数据中心是基于VLAN/VNI进行子网划分，粒度比较粗，而微隔离可以提供更细粒度、更灵活的分组方式，例如基于IP、MAC、虚拟机名等。

why

内外网之间的流量传输(南北方向)往往通过在网络边界部署防火墙来实现包过滤，而内网(东西方向)的流量往往默认是安全的，但是若攻击者渗透进内网且内网没有有效的隔离措施那么内部的所有资源都将暴露无遗。

如果将数据中心内部虚拟机间的流量全部绕行集中式防火墙，很难满足数据中心灵活分布式、可扩展部署的要求和挑战，容易形成性能和扩容的瓶颈。同时传统的vlan划分虚拟局域网细粒度不够(服务器间终端间)，攻击者仍然内对子网内的其他资源进行访问。

how

微隔离可以提供比子网粒度更细的分组规则，对数据中心的内部网络进行分组，并采用最低权限原则严格控制业务间互访关系，然后对所有分组之间的流量部署安全策略这样就可以实现更精细的业务策略控制，限制攻击行为在网络内部横向移动的能力。就像是子网的资源都在一条船上，但是一个船舱漏洞进水而其他船舱依据彼此之间的隔离来保证安全