微慑信息网

拥抱零信任理念,重构安全体系架构

数字化转型中,“云大物移”等技术的业务应用加速落地。新技术、新场景的采用,在弹性计算、移动访问等方面提升业务效率。然而,从安全防护角度,新技术模糊了企业网络边界,传统的基于边界防护的安全架构受到了挑战。新技术本身,以及难以避免的Shadow IT问题,带来新的安全风险。在这种新范式下,企业必须不断地分析和评估其内部资产和业务功能的风险,然后制定防护措施来缓解这些风险,这些控制措施既要确保可信访问的通达,同时提供对网络攻击的有效防御,这是零信任出现并且赢得高度关注的背景。

零信任安全是一套关于网络基础设施设计和运行的指导原则,零信任体系架构是一种端到端的网络/数据安全方法,包括身份、凭证、访问管理、操作、端点、宿主环境和互联基础设施。零信任重点在应用和数据的安全,此二者是IT系统支撑业务的价值核心。

零信任理念支柱

零信任的核心理念是:除非得到验证,否则不信任。对于无边界的网络访问而言,后台的应用和资源,需要验证来访的人和设备。这是零信任的基础,即用户可信,设备可信。初次访问,只需要验证二者即可,建立访问会话之后,还需要持续评估访问行为的可信,确认来访问的用户和设备始终保持在安全状态,没有任何异常行为,一旦出现了异常,能够及时的自动化的处理,比如信任等级降低,重新认证,或者直接切断访问会话。零信任安全的支柱,包含以下四个要素:全面感知、最小授信、持续评估、动态决策。
拥抱零信任理念,重构安全体系架构
图:零信任理念支柱
 

全面感知

全面感知,指的是要尽可能的收集企业内、外部的信息,对环境作出正确的评价。全面感知的内容,包括且不限于终端环境感知、网络环境感知、网络威胁感知。对于终端初始访问请求,更多的需要感知设备的安全状况,会话建立后,需要感知网络上访问行为的情况。
 

最小授信

用户携带终端设备,访问数据中心的应用和资源,这个过程中,需要对用户和终端授信,并且应该只授予最小的、必要的权限。用户的认证和权限,用户访问应用的映射,甚至应用对用户的授权,都应该是最小的权限。
 

持续评估

用户访问应用的过程中,对访问行为的持续的监控和分析。感知用户活动和相关实体(用户相关的应用和终端等)信息,在此基础上构建用户与群组,并定义这些个体与群组的合法和正常行为,把这些人物角色在群体与群体、群体与个体、个体与个体(那些远离合法和正常行为的群体与个体)维度上相互比对分析,将异常用户(失陷账号)和用户异常(非法行为)检测出来,从而达到检测用户异常、设备异常、访问行为异常等行为。
 

动态决策

动态决策,基于用户、设备和访问行为的风险情况,动态执行响应的防御动作。信任评估引擎完成对用户、设备,以及访问行为的可信评估,再由策略控制引擎完成自动化的访问控制动作。
拥抱零信任理念,重构安全体系架构
图:零信任分析和控制

响应动作包括:

●  允许访问

●  需要二次验证

●  需要授权

●  拒绝访问

●  受限访问(允许访问普通应用,不允许访问敏感应用)

绿盟科技零信任安全解决方案

零信任安全体系,构建以用户可信和设备可信为基础,持续评估访问行为可信,自适应访问控制的架构体系。

拥抱零信任理念,重构安全体系架构

图:零信任安全架构
零信任策略控制引擎,基于用户身份和权限,设备安全性,来决策是否允许用户的访问请求。在用户访问过程中,持续评估用户和设备的安全风险,必要时策略控制引擎下发指令,中断当前的访问会话。
零信任网络安全解决方案实际部署时,在原有的网络安全基础上,增加零信任安全组件,实现零信任网络访问控制。
拥抱零信任理念,重构安全体系架构
零信任架构需要多种安全产品和技术来构建。企业可以借助已经部署的安全产品,将安全防护与零信任相结合,面向未来构建安全架构。评估当前架构和未来愿景的差距,参考业界标准和项目实践,制定路线图和计划,逐步向零信任安全架构迁移。

原文始发于微信公众号(关键基础设施安全应急响应中心):拥抱零信任理念,重构安全体系架构

赞(0) 打赏
转载请附本站链接,未经允许不得转载,,谢谢:微慑信息网-VulSee.com » 拥抱零信任理念,重构安全体系架构

评论 抢沙发

微慑信息网 专注工匠精神

微慑信息网-VulSee.com-关注前沿安全态势,聚合网络安全漏洞信息,分享安全文档案例

访问我们联系我们

觉得文章有用就打赏一下文章作者

非常感谢你的打赏,我们将继续提供更多优质内容,让我们一起创建更加美好的网络世界!

支付宝扫一扫

微信扫一扫

登录

找回密码

注册