奇安信集團(tuán)與Gartner對(duì)外發(fā)布《零信任架構(gòu)及解決方案》白皮書(shū)，對(duì)零信任架構(gòu)進(jìn)行了全面解讀，并對(duì)架構(gòu)遷移方案提出了系統(tǒng)建議。
為幫助國(guó)內(nèi)市場(chǎng)更好的了解零信任架構(gòu)，并且做好架構(gòu)遷移的相關(guān)工作，奇安信身份安全實(shí)驗(yàn)室著手開(kāi)展了大量的漢化工作，并于近日正式推出了中文版本。
云計(jì)算和大數(shù)據(jù)時(shí)代，網(wǎng)絡(luò)安全邊界逐漸瓦解，內(nèi)外部威脅愈演愈烈，傳統(tǒng)的邊界安全架構(gòu)難以應(yīng)對(duì)，零信任安全架構(gòu)應(yīng)運(yùn)而生。奇安信身份安全實(shí)驗(yàn)室，作為奇安信集團(tuán)下屬專(zhuān)注“零信任身份安全架構(gòu)”研究的專(zhuān)業(yè)實(shí)驗(yàn)室，是業(yè)界首部零信任安全技術(shù)圖書(shū)《零信任網(wǎng)絡(luò)：在不可信網(wǎng)絡(luò)中構(gòu)建安全系統(tǒng)》譯者。
2018年，以“零信任安全，新身份邊界”為技術(shù)思想，奇安信身份安全實(shí)驗(yàn)室正式在業(yè)內(nèi)推出零信任身份安全解決方案，致力于解決國(guó)內(nèi)“企業(yè)物理邊界正在瓦解、傳統(tǒng)邊界防護(hù)措施正在失效”的新一代網(wǎng)絡(luò)安全問(wèn)題，推出“以身份為基石、業(yè)務(wù)安全訪問(wèn)、持續(xù)信任評(píng)估、動(dòng)態(tài)訪問(wèn)控制”為核心的奇安信零信任身份安全解決方案。
該團(tuán)隊(duì)結(jié)合行業(yè)現(xiàn)狀，大力投入對(duì)零信任安全架構(gòu)的研究和產(chǎn)品標(biāo)準(zhǔn)化，積極推動(dòng)“零信任身份安全架構(gòu)”在業(yè)界的落地實(shí)踐，其方案已經(jīng)在部委、央企、金融等行業(yè)進(jìn)行廣泛落地實(shí)施，得到市場(chǎng)、業(yè)界的高度認(rèn)可。
Gartner認(rèn)為，到2022年，在面向生態(tài)合作伙伴開(kāi)放的新型數(shù)字業(yè)務(wù)應(yīng)用程序中，80%將通過(guò)零信任網(wǎng)絡(luò)訪問(wèn)（ZTNA）進(jìn)行訪問(wèn)。零信任安全架構(gòu)基于“以身份為基石、業(yè)務(wù)安全訪問(wèn)、持續(xù)信任評(píng)估、動(dòng)態(tài)訪問(wèn)控制”四大關(guān)鍵能力，構(gòu)筑以身份為基石的動(dòng)態(tài)虛擬邊界產(chǎn)品與解決方案，助力企業(yè)實(shí)現(xiàn)全面身份化、授權(quán)動(dòng)態(tài)化、風(fēng)險(xiǎn)度量化、管理自動(dòng)化的新一代網(wǎng)絡(luò)安全架構(gòu)。
以下是報(bào)告核心要點(diǎn)。
1 零信任參考架構(gòu)
零信任的本質(zhì)是在訪問(wèn)主體和客體之間構(gòu)建以身份為基石的動(dòng)態(tài)可信訪問(wèn)控制體系，其核心能力可以概括為以身份為基石、業(yè)務(wù)安全訪問(wèn)、持續(xù)信任評(píng)估和動(dòng)態(tài)訪問(wèn)控制的關(guān)鍵能力，基于對(duì)網(wǎng)絡(luò)所有參與實(shí)體的數(shù)字身份，對(duì)默認(rèn)不可信的所有訪問(wèn)請(qǐng)求進(jìn)行加密、認(rèn)證和強(qiáng)制授權(quán)，匯聚關(guān)聯(lián)各種數(shù)據(jù)源進(jìn)行持續(xù)信任評(píng)估，并根據(jù)信任的程度動(dòng)態(tài)對(duì)權(quán)限進(jìn)行調(diào)整，最終在訪問(wèn)主體和訪問(wèn)客體之間建立一種動(dòng)態(tài)的信任關(guān)系。
圖 零信任架構(gòu)的關(guān)鍵能力模型
零信任架構(gòu)下，訪問(wèn)客體是核心保護(hù)的資源，針對(duì)被保護(hù)資源構(gòu)建保護(hù)面，資源包括但不限于企業(yè)的業(yè)務(wù)應(yīng)用、服務(wù)接口、操作功能和資產(chǎn)數(shù)據(jù)。訪問(wèn)主體包括人員、設(shè)備、應(yīng)用和系統(tǒng)等身份化之后的數(shù)字實(shí)體，在一定的訪問(wèn)上下文中，這些實(shí)體還可以進(jìn)行組合綁定，進(jìn)一步對(duì)主體進(jìn)行明確和限定。
2 零信任安全解決方案
方案構(gòu)成
奇安信零信任安全解決方案主要包括：奇安信TrustAccess動(dòng)態(tài)可信訪問(wèn)控制平臺(tái)、奇安信TrustID智能可信身份平臺(tái)、奇安信ID智能手機(jī)令牌及各種終端Agent組成，如下圖所示。
奇安信零信任安全解決方案中，動(dòng)態(tài)可信訪問(wèn)控制平臺(tái)和智能可信身份平臺(tái)邏輯上進(jìn)行解耦，當(dāng)客戶現(xiàn)有身份安全基礎(chǔ)設(shè)施滿足零信任架構(gòu)要求的情況下，可以不用部署智能可信身份平臺(tái)，通過(guò)利舊降低建設(shè)成本。
圖 奇安信零信任安全解決方案
奇安信零信任安全解決方案在零信任參考架構(gòu)的基礎(chǔ)上對(duì)產(chǎn)品組件進(jìn)行了拆分和擴(kuò)展，但在總體架構(gòu)上保持了高度一致，將其產(chǎn)品組件映射到零信任參考架構(gòu)如下圖所示：
圖 奇安信零信任安全解決方案與參考架構(gòu)的關(guān)系
另外，奇安信零信任安全解決方案和奇安信豐富的安全產(chǎn)品和平臺(tái)之間可以實(shí)現(xiàn)聯(lián)動(dòng)，比如奇安信的移動(dòng)安全解決方案、數(shù)據(jù)安全解決方案以及云安全管理平臺(tái)等。
典型應(yīng)用場(chǎng)景
下面以一個(gè)典型應(yīng)用場(chǎng)景為例，描述奇安信零信任安全解決方案的邏輯原理。此應(yīng)用場(chǎng)景數(shù)據(jù)子網(wǎng)需要保護(hù)的資源包括業(yè)務(wù)應(yīng)用和API服務(wù)，用戶/外部平臺(tái)子網(wǎng)的用戶終端需要訪問(wèn)業(yè)務(wù)應(yīng)用，外部應(yīng)用需要通過(guò)接口調(diào)用API服務(wù)，方案邏輯圖如下圖所示。
圖 典型場(chǎng)景方案
在此方案中，通過(guò)在用戶子網(wǎng)和數(shù)據(jù)子網(wǎng)之間部署邏輯的零信任訪問(wèn)控制區(qū)構(gòu)建端到端的零信任解決方案。通過(guò)可信應(yīng)用代理接管所有的用戶終端業(yè)務(wù)訪問(wèn)請(qǐng)求，通過(guò)可信API代理接管所有的外部應(yīng)用API調(diào)用請(qǐng)求，所有的訪問(wèn)請(qǐng)求通過(guò)可信訪問(wèn)控制臺(tái)進(jìn)行身份驗(yàn)證及動(dòng)態(tài)授權(quán)。
可信終端感知系統(tǒng)持續(xù)對(duì)終端進(jìn)行感知和評(píng)估，可信網(wǎng)絡(luò)感知系統(tǒng)持續(xù)對(duì)網(wǎng)絡(luò)流量進(jìn)行感知和評(píng)估，并生成安全事件上報(bào)至智能身份分析平臺(tái)，智能身份分析平臺(tái)綜合訪問(wèn)日志信息、安全事件信息、身份與權(quán)限信息進(jìn)行信息關(guān)鍵和信任評(píng)估，為可信訪問(wèn)控制臺(tái)輸出信任等級(jí)作為權(quán)限判定或撤銷(xiāo)的依據(jù)。
3 零信任遷移方法論
零信任架構(gòu)作為一種全新的安全架構(gòu)，和企業(yè)現(xiàn)有的業(yè)務(wù)情況、安全能力、組織架構(gòu)都有一定的關(guān)系，零信任遷移不可能一蹴而就，需要遵循一定的方法論，結(jié)合企業(yè)現(xiàn)狀，統(tǒng)一目標(biāo)和愿景后進(jìn)行妥善規(guī)劃并分步建設(shè)。
圖 零信任遷移方法
確定愿景
零信任的建設(shè)和運(yùn)營(yíng)需要企業(yè)各干系方積極參與，可能涉及到安全部門(mén)、業(yè)務(wù)開(kāi)發(fā)部門(mén)、IT技術(shù)服務(wù)部門(mén)和IT運(yùn)營(yíng)部門(mén)等。企業(yè)數(shù)字化轉(zhuǎn)型的關(guān)鍵決策者應(yīng)該將基于零信任的新一代安全架構(gòu)上升到戰(zhàn)略層面，確定統(tǒng)一的愿景，建議成立專(zhuān)門(mén)的組織（或虛擬組織）并指派具有足夠權(quán)限的人作為負(fù)責(zé)人進(jìn)行零信任遷移工作的整體推進(jìn)，建議至少由CIO/CSO或CISO級(jí)別的人員在公司高層決策者的支持下推動(dòng)零信任項(xiàng)目。
規(guī)劃先行
規(guī)劃的目的在于厘清形狀，確定路徑。對(duì)于零信任架構(gòu)而言，需要從兩個(gè)維度進(jìn)行梳理和評(píng)估，一是能力成熟度，二是業(yè)務(wù)范圍維度。企業(yè)需要評(píng)估當(dāng)前具備的安全能力，并基于風(fēng)險(xiǎn)、安全預(yù)算、合規(guī)要求等信息，確定安全能力建設(shè)的優(yōu)先級(jí)。一般來(lái)說(shuō)新建業(yè)務(wù)和核心業(yè)務(wù)作為第一優(yōu)先級(jí)考慮。
分步建設(shè)
根據(jù)規(guī)劃的思路導(dǎo)向，建設(shè)階段的劃分依各企業(yè)而各有不同。如果是能力優(yōu)先型建設(shè)思路，需要針對(duì)少量的業(yè)務(wù)構(gòu)建從低到高的能力，通過(guò)局部業(yè)務(wù)場(chǎng)景驗(yàn)證零信任的完整能力，然后逐步遷移更多的業(yè)務(wù)。
首先在一個(gè)較小業(yè)務(wù)范圍內(nèi)，構(gòu)建中等的零信任安全能力，對(duì)整體方案進(jìn)行驗(yàn)證；方案驗(yàn)證完成后，對(duì)驗(yàn)證過(guò)程的一些局部?jī)?yōu)化點(diǎn)進(jìn)行能力優(yōu)化，并同時(shí)遷入更多的業(yè)務(wù)進(jìn)一步驗(yàn)證方案并發(fā)現(xiàn)新的安全需求；最后，基于驗(yàn)證結(jié)果規(guī)劃后續(xù)能力演進(jìn)階段，逐步有序的提升各方面的零信任能力。
存儲(chǔ)設(shè)備
2023年勒索軟件攻擊新趨勢(shì)
在線咨詢