|
網(wǎng)絡(luò)安全領(lǐng)域是創(chuàng)新驅(qū)動(dòng)的代表領(lǐng)域,，每年都會(huì)有各種新興安全概念及技術(shù)不斷涌現(xiàn)，近兩年安全領(lǐng)域最火的概念非“零信任”莫屬,。其實(shí)大多數(shù)技術(shù)發(fā)展和演進(jìn)都會(huì)經(jīng)歷一個(gè)發(fā)展周期,，很快會(huì)被新的技術(shù)替代，比如端點(diǎn)安全產(chǎn)品最早的形態(tài)是AV產(chǎn)品,，也就是殺毒軟件，通過對(duì)病毒文件進(jìn)行分析,，提取病毒特征,，并于特征庫(kù)的信息進(jìn)行比對(duì)，從而識(shí)別出惡意文件,，后來(lái)演進(jìn)為EPP產(chǎn)品,，再到近兩年的EDR產(chǎn)品，產(chǎn)品演進(jìn)和迭代速度非?？?。零信任從提出到現(xiàn)在歷經(jīng)10余年，逐漸被業(yè)內(nèi)認(rèn)可,，并得到空前的發(fā)展,，背后的原因是什么呢？理念到落地,，促進(jìn)企業(yè)認(rèn)知：零信任最早被提出可以追溯到 2010年Forrester分析師John Kindervag提出 “零信任模型（Zero Trust Model）”開始,，緊接著CSA（云安全聯(lián)盟）提出SDP架構(gòu)（軟件定義邊界），2014年谷歌基于其內(nèi)部項(xiàng)目BeyondCorp的研究成果并陸續(xù)發(fā)布 6 篇相關(guān)論文,，介紹其零信任落地實(shí)踐,，也是業(yè)內(nèi)第一個(gè)將零信任理念與實(shí)際網(wǎng)絡(luò)架構(gòu)相結(jié)合的零信任實(shí)戰(zhàn)，從此零信任被廣泛關(guān)注并取得了蓬勃的發(fā)展,。 安全架構(gòu)升級(jí)：零信任本質(zhì)上是一種新的安全防護(hù)理念,，往往來(lái)對(duì)標(biāo)傳統(tǒng)的邊界防御體系，是對(duì)傳統(tǒng)邊界護(hù)城河式防御體系的補(bǔ)充和延申,，這就使得零信任在甲乙雙方眼中是一種顛覆性,、創(chuàng)新性的存在。隨著數(shù)據(jù)資產(chǎn)的價(jià)值被逐步認(rèn)可,，基于場(chǎng)景的安全模型逐步被重視,，傳統(tǒng)邊界防御模型的弊端也越來(lái)越明顯，零信任就成為了企業(yè)信息安全管理者不得不考慮的手段,，因?yàn)樗拇嬖趯⒅敢髽I(yè)重新審視現(xiàn)有安全防護(hù)體系,，并思考如何利用零信任體系來(lái)實(shí)現(xiàn)自身安全架構(gòu)的升級(jí),，可以說(shuō)零信任將成為網(wǎng)絡(luò)安全的基礎(chǔ)設(shè)施，作為企業(yè)未來(lái)網(wǎng)絡(luò)安全架構(gòu)中不可或缺的一部分,，也正是因?yàn)槿绱?，各種類型的安全廠商都推出相關(guān)的技術(shù)方案和產(chǎn)品。
2,、零信任發(fā)展的背后是業(yè)務(wù)場(chǎng)景的復(fù)雜化 以往許多企業(yè)仍然依賴“護(hù)城河”方法（也稱為“邊界安全”方法）來(lái)保護(hù)企業(yè)內(nèi)網(wǎng)免遭惡意攻擊,，就像古時(shí)候的城池受到城墻、護(hù)城河的保護(hù)一樣,，使用邊界安全的企業(yè)進(jìn)行了大量的安全投資,，想要通過防火墻、WAF,、蜜罐技術(shù)和其他入侵防護(hù)工具來(lái)加強(qiáng)他們的網(wǎng)絡(luò)邊界,。“邊界安全”通過驗(yàn)證進(jìn)入和外發(fā)企業(yè)網(wǎng)絡(luò)的數(shù)據(jù)包和用戶身份來(lái)保護(hù)網(wǎng)絡(luò)入口點(diǎn)和出口點(diǎn)的安全,，然后假設(shè)在加固后的邊界內(nèi)進(jìn)行的活動(dòng)是相對(duì)安全的,。 現(xiàn)在，與人類城市文明發(fā)展的步伐一致,，城市為了發(fā)展需要開通了港口,、高鐵、機(jī)場(chǎng)等交通機(jī)構(gòu)導(dǎo)致防守邊界變得支離破碎,，沒有統(tǒng)一的安全邊界,，“護(hù)城河”式的防護(hù)體系逐步瓦解。數(shù)字化轉(zhuǎn)型就是企業(yè)對(duì)自身發(fā)展的一種變革,，它帶來(lái)的變化是非常廣泛的,，業(yè)務(wù)開放、網(wǎng)絡(luò)開放,、數(shù)據(jù)流轉(zhuǎn)開放等各種場(chǎng)景導(dǎo)致遠(yuǎn)程辦公,、跨網(wǎng)訪問、安全運(yùn)維,、小程序暴露面收斂等需求激增,，企業(yè)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施日益復(fù)雜，安全邊界逐漸模糊,。一方面,，云計(jì)算、5G,、移動(dòng)互聯(lián)等技術(shù)的采用讓企業(yè)的人和業(yè)務(wù),、數(shù)據(jù)“走”出了企業(yè)的邊界；另一方面,，大數(shù)據(jù),、物聯(lián)網(wǎng)等新業(yè)務(wù)的開放協(xié)同需求導(dǎo)致了外部人員,、平臺(tái)和服務(wù)“跨”過了企業(yè)的數(shù)字護(hù)城河。盡管城池的邊界防護(hù)仍然很重要,，但是與不斷加大投資力度來(lái)構(gòu)建更堅(jiān)固的城墻和更寬的護(hù)城河相比,，“零信任”模型采用了一種更加細(xì)致入微的方法來(lái)管理對(duì)我們所謂城池內(nèi)的身份信息、數(shù)據(jù)和設(shè)備的訪問,，無(wú)論是內(nèi)部人員惡意或不經(jīng)意的行為,，或是隱蔽的攻擊者突破了城墻，都無(wú)法獲得對(duì)數(shù)據(jù)的自動(dòng)訪問,。因此,，零信任成為了數(shù)字化轉(zhuǎn)型的保障，是現(xiàn)代業(yè)務(wù)場(chǎng)景下不二的選擇,。
3,、構(gòu)建零信任安全基礎(chǔ)設(shè)施的要點(diǎn) 和傳統(tǒng)網(wǎng)安不同，零信任不是一個(gè)產(chǎn)品,，也不僅僅是理念和思想，她的本質(zhì)是企業(yè)安全架構(gòu)的基礎(chǔ)設(shè)施,，像路由器,、交換機(jī)對(duì)于企業(yè)網(wǎng)絡(luò)的價(jià)值一樣，基礎(chǔ)卻又不可或缺,，因此從工程化視角來(lái)看,，零信任安全基礎(chǔ)設(shè)施需要從基礎(chǔ)架構(gòu)、場(chǎng)景化功能以及集中管理三個(gè)方面體現(xiàn)完善的能力,。以零信任理念建設(shè)的基礎(chǔ)安全架構(gòu)以用戶和資源為核心,，核心是解決企業(yè)數(shù)據(jù)訪問控制問題，拒絕“隱式信任”和動(dòng)態(tài)的,、細(xì)粒度的安全策略都是貼近并深入理解業(yè)務(wù),，將安全能力嵌入到業(yè)務(wù)流程中。在零信任架構(gòu)下安全將與業(yè)務(wù)共同建設(shè)和演進(jìn),，從業(yè)務(wù)出發(fā),，以保障業(yè)務(wù)數(shù)據(jù)安全為目標(biāo)。業(yè)務(wù)場(chǎng)景是復(fù)雜的,，包括混合的數(shù)據(jù)中心,、多地辦公場(chǎng)所、多類型的員工以及無(wú)法統(tǒng)一管理的設(shè)備等,，這些挑戰(zhàn)將要求零信任基礎(chǔ)架構(gòu)滿足高性能,，可滿足規(guī)模化員工,、設(shè)備接入需求,，并且具有成熟組網(wǎng)的能力,，保障零信任的組網(wǎng)健壯性。高性能要求能夠在較短的響應(yīng)時(shí)間,、較大的并發(fā)處理能力,、較高的吞吐量與穩(wěn)定的性能參數(shù)，比如對(duì)零信任網(wǎng)關(guān)類產(chǎn)品要求能夠處理大并發(fā)的用戶接入請(qǐng)求,，TLS建鏈等指標(biāo)能夠穩(wěn)定的爬坡,，并在峰值保持持續(xù)穩(wěn)定。另外,，大多數(shù)廠家的零信任方案具備SPA能力,，這就要求利用IPTables來(lái)建立動(dòng)態(tài)的ACL，在大規(guī)模接入下也面臨性能挑戰(zhàn),，往往需要優(yōu)化IPTables的處理邏輯,，或采用其他協(xié)議來(lái)替代，比如eBPF協(xié)議或許是一種不錯(cuò)的嘗試,。成熟組網(wǎng)要求零信任架構(gòu)多元化的,、各組件穩(wěn)定服務(wù)、通信穩(wěn)定可靠等,，在零信任要解決的場(chǎng)景中,，可以歸為兩大類，即應(yīng)用層的零信任改造和網(wǎng)絡(luò)層（包括內(nèi)外網(wǎng)）零信任改造,，網(wǎng)絡(luò)層的零信任改造要求零信任方案具備主備,、集群的能力，包括控制中心異地災(zāi)備組網(wǎng),、多數(shù)據(jù)中心統(tǒng)一接入組網(wǎng),、多控制中心多網(wǎng)關(guān)組網(wǎng)等場(chǎng)景，同時(shí)要保障集群之間數(shù)據(jù)同步,、策略同步的一致性以及故障檢測(cè)機(jī)制能夠在單臺(tái)或多臺(tái)設(shè)備異常的情況下能夠快速切換,，保障業(yè)務(wù)的連續(xù)性，所以零信任架構(gòu)中的控制平臺(tái)和數(shù)據(jù)轉(zhuǎn)發(fā)網(wǎng)關(guān)類設(shè)備均需要穩(wěn)定服務(wù),，對(duì)自身服務(wù)狀態(tài)做多維度的監(jiān)控,，除了對(duì)系統(tǒng)自身運(yùn)行時(shí)的CPU使用率、內(nèi)存,、磁盤使用情況進(jìn)行監(jiān)控,，還可以增加對(duì)用戶接入成功率、認(rèn)證成功率以及鏈路質(zhì)量等維度進(jìn)行監(jiān)控,，增加立體監(jiān)控效果,。不同行業(yè)在零信任的應(yīng)用上有著不同的關(guān)注點(diǎn)，對(duì)零信任的應(yīng)用場(chǎng)景和技術(shù)依賴也是各不相同,，企業(yè)對(duì)零信任常用來(lái)解決場(chǎng)景包括遠(yuǎn)程辦公,、多分支機(jī)構(gòu)接入,、安全運(yùn)維、代碼訪問\開發(fā)安全等場(chǎng)景,，在這些場(chǎng)景中需要解決終端資產(chǎn)統(tǒng)一管理問題,、資產(chǎn)安全識(shí)別及準(zhǔn)入、人員身份安全問題,、應(yīng)用安全問題,、數(shù)據(jù)安全問題等等，這種多樣化場(chǎng)景需求要求零信任體系中的各個(gè)組件是一種松耦合的狀態(tài),，企業(yè)可以根據(jù)不同的場(chǎng)景化需求來(lái)自由搭配,，實(shí)現(xiàn)靈活的建設(shè)方案。在筆者看來(lái),，零信任提供的場(chǎng)景化能力與現(xiàn)有企業(yè)已經(jīng)具備的安全能力有重疊之處,，但零信任通過對(duì)訪問行為的上下文關(guān)聯(lián)，自適應(yīng)調(diào)整安全策略才是這個(gè)體系的靈魂,，才能夠發(fā)揮安全效果1+1>2的安全收益,。Forrester 對(duì)零信任框架分解了七個(gè)必要支柱，包括勞動(dòng)力安全,、設(shè)備安全,、工作負(fù)載安全、網(wǎng)絡(luò)安全,、數(shù)據(jù)安全、可見性和分析,、以及自動(dòng)化和編排,，所有的安全能力均需要在零信任控制平臺(tái)的管理下形成統(tǒng)一、高效的聯(lián)動(dòng)機(jī)制,，否則將增加零信任體系的運(yùn)營(yíng)成本,，零信任體系需要具備以下安全能力：想要做好安全管理首先要解決對(duì)安全資產(chǎn)、事件,、運(yùn)行情況有直觀的分析和展示,，對(duì)零信任架構(gòu)中的主客體進(jìn)行全局視角的展示，以及圍繞主客體產(chǎn)生的安全事件及告警等,。零信任控制平面應(yīng)該具備策略編排模塊,，方便管理員進(jìn)行統(tǒng)一的安全策略編排能力，包括數(shù)據(jù)訪問控制策略,、網(wǎng)絡(luò)訪問控制策略,、應(yīng)用訪問控制策略以及其他配套的安全策略，策略編排能力是零信任體系成熟度的重要指標(biāo),。由于零信任體系核心要保護(hù)業(yè)務(wù)及數(shù)據(jù)安全,，這就需要對(duì)各種類型的訪問者進(jìn)行訪問控制,，包括對(duì)其使用的終端進(jìn)行安全管理和終端數(shù)據(jù)采集，以便在必要時(shí)刻對(duì)終端進(jìn)行管控,，這個(gè)操作將會(huì)對(duì)用戶體驗(yàn)造成一定的影響,，安全軟件產(chǎn)品在終端的適配性和對(duì)應(yīng)用軟件的兼容性是零信任項(xiàng)目推廣的重要因素，對(duì)項(xiàng)目成敗起到至關(guān)重要的作用,，所以需要一套完善的機(jī)制和能力幫助用戶快速解決其遇到的問題,，從而降低客戶投訴和抱怨的聲音。對(duì)于零信任體系的故障排查需要從運(yùn)維層面和用戶使用層面進(jìn)行考慮,，運(yùn)維層面包括對(duì)零信任體系的各個(gè)組件自身服務(wù)和運(yùn)行環(huán)境的監(jiān)控和告警,，用戶使用層面需要具備客戶端環(huán)境一鍵檢測(cè)、日志一鍵收集及上報(bào),、網(wǎng)絡(luò)鏈路撥測(cè),、遠(yuǎn)程協(xié)助等能力，盡量減少故障診斷時(shí)依賴用戶接入,，提升用戶體驗(yàn),。零信任體系將成為未來(lái)企業(yè)安全架構(gòu)的基礎(chǔ)設(shè)施,，隨著業(yè)務(wù)場(chǎng)景的復(fù)雜化,，企業(yè)在選擇安全廠商助力自己實(shí)現(xiàn)零信任轉(zhuǎn)型時(shí)，不能僅評(píng)估功能的豐富,，而是要從基礎(chǔ)架構(gòu),、功能場(chǎng)景和集中管控等維度來(lái)評(píng)判，一個(gè)完善的零信任體系要和企業(yè)的業(yè)務(wù)場(chǎng)景相結(jié)合,， 實(shí)現(xiàn)與業(yè)務(wù)的安全隨行,。
|
