基于零信任架構(gòu)的行業(yè)內(nèi)數(shù)據(jù)中心安全防護

傳統(tǒng)行業(yè)內(nèi)部數(shù)據(jù)安全防護的問題多用對行業(yè)內(nèi)部網(wǎng)絡(luò)設(shè)置，實現(xiàn)與互聯(lián)網(wǎng)的物理隔離作為保護數(shù)據(jù)安全的解決方案。通常這種解決方案會提出對邊界安全、防火墻、入侵檢測設(shè)備配置等的安全需求，并用信息安全等級保護的標準來規(guī)范系統(tǒng)及數(shù)據(jù)安全。但這種傳統(tǒng)安全方式在逐漸變化的網(wǎng)絡(luò)環(huán)境下越來越顯示出其弊端和局限性。

另外，云計算的發(fā)展使得用戶根本無法得知自己的數(shù)據(jù)到底存儲在什么物理位置。顯然，用戶存儲數(shù)據(jù)的位置是動態(tài)的，對于終端用戶而言是透明的。這種發(fā)展態(tài)勢，使得將終端用戶、提供相應服務(wù)的服務(wù)器拘泥于特定地理位置成為不可能。即使構(gòu)建再穩(wěn)固的“安全堡壘”，由于無法保障服務(wù)器、終端客戶處于“堡壘里面”。這使得傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)越來越難以保障網(wǎng)絡(luò)的安全性。

圖1 傳統(tǒng)安全模型下的網(wǎng)絡(luò)架構(gòu)

谷歌BeyondCorp計劃中提出了“零信任”模型的安全架構(gòu)。BeyondCorp認為，應該假定整個網(wǎng)絡(luò)不可信，即：“零信任”。基于“零信任”模型的網(wǎng)絡(luò)架構(gòu)是一種有效維護行業(yè)內(nèi)部數(shù)據(jù)中心安全的新型網(wǎng)絡(luò)架構(gòu)。本文將詳細討論。

傳統(tǒng)安全架構(gòu)下的行業(yè)內(nèi)數(shù)據(jù)安全防護

為維護行業(yè)內(nèi)數(shù)據(jù)安全，一般會在內(nèi)網(wǎng)、外網(wǎng)接口處建立安全邊界，安裝防火墻、入侵檢測、防病毒等安全設(shè)備，需要的話要在邊界部署網(wǎng)閘等設(shè)備。當然，根據(jù)具體業(yè)務(wù)需求，在行業(yè)內(nèi)部，劃分若干物理或邏輯隔離區(qū)域，如圖1所示。

如圖1，根據(jù)任務(wù)不同，將行業(yè)內(nèi)網(wǎng)隔離為不同網(wǎng)段，完成相應任務(wù)。不同網(wǎng)段之間通信，遵循一定的安全策略，需要通過邊界傳輸，并且根據(jù)需要設(shè)置通信方式是單工方式還是雙工方式等。

基于這種方式構(gòu)建的安全網(wǎng)絡(luò)架構(gòu)，假設(shè)已經(jīng)完成確認內(nèi)網(wǎng)使用用戶身份，并假設(shè)所有內(nèi)網(wǎng)使用用戶不會發(fā)生任何異常使用行為。這種假設(shè)存在的先天缺陷，使得攻擊者一旦冒充身份，進入內(nèi)網(wǎng)，就存在極大威脅能夠?qū)⒆陨頇?quán)限不斷升級直至掌控內(nèi)網(wǎng)的完全控制權(quán)限。該安全架構(gòu)存在本質(zhì)上的缺陷，數(shù)據(jù)安全保障堪憂。

零信任網(wǎng)絡(luò)架構(gòu)無疑是一種很好的解決思路，越來越多為國內(nèi)外安全專家、企事業(yè)單位所接受。

零信任網(wǎng)絡(luò)安全架構(gòu)

1.零信任網(wǎng)絡(luò)安全架構(gòu)簡介

如前所述，谷歌公司提出的“零信任”網(wǎng)絡(luò)安全架構(gòu)是指整合現(xiàn)有成熟技術(shù)，不斷兼容新技術(shù)，根據(jù)行業(yè)用戶業(yè)務(wù)需求及安全需求、用戶所處地理位置等等，對用戶進行分類分級管理，并根據(jù)相關(guān)標準規(guī)范，對每個組的用戶策略進行設(shè)置。BondCorp基礎(chǔ)設(shè)施組件如圖2所示。

圖2 BondCorp基礎(chǔ)設(shè)施組件

進行數(shù)據(jù)交互及通信時，根據(jù)策略進行判斷用戶的合法性，并且根據(jù)用戶行為進行動態(tài)審計，綜合任務(wù)需求及安全級別，每次以“權(quán)限最小化”原則，在確認用戶身份后對其分配權(quán)限，完成數(shù)據(jù)交互及通信。當然，在任務(wù)完成后將及時收回賦予其權(quán)限?；谠摼W(wǎng)絡(luò)架構(gòu)進行認證及通信的過程如下所述。

2.基于零信任網(wǎng)絡(luò)安全架構(gòu)內(nèi)網(wǎng)數(shù)據(jù)安全防護過程監(jiān)管

基于零信任網(wǎng)絡(luò)安全架構(gòu)內(nèi)網(wǎng)數(shù)據(jù)安全防護過程監(jiān)管實施流程如下所述。

首先，匯總行業(yè)內(nèi)部網(wǎng)絡(luò)架構(gòu)，對行業(yè)內(nèi)部網(wǎng)絡(luò)業(yè)務(wù)系統(tǒng)進行合理分類分級，根據(jù)實際需求，確定劃分粒度。當然，根據(jù)任務(wù)階段不同，基于人工智能技術(shù)，實現(xiàn)對系統(tǒng)劃分的動態(tài)化和常態(tài)化。

其次，引入“第三方”或“權(quán)威”認證中心，設(shè)置相應策略，使得所有未授權(quán)用戶無法訪問內(nèi)網(wǎng)。并且對每個用戶根據(jù)其業(yè)務(wù)范疇動態(tài)賦予其需要的權(quán)限，并規(guī)范其安全需求。引入常態(tài)化審計機制，對于用戶行為進行過程控制，能夠及時發(fā)現(xiàn)異常行為并聯(lián)動進行處置。

再次，內(nèi)網(wǎng)中構(gòu)建能夠完成常態(tài)式動態(tài)性監(jiān)管審計中心。審計中心應獨立于認證中心，通過審計中心實現(xiàn)實時監(jiān)控、管理內(nèi)網(wǎng)設(shè)備（如路由器、交換機等網(wǎng)絡(luò)組網(wǎng)設(shè)備；網(wǎng)絡(luò)生產(chǎn)服務(wù)器、網(wǎng)絡(luò)存儲、終端用戶等網(wǎng)絡(luò)實體）。實現(xiàn)對上述網(wǎng)絡(luò)節(jié)點狀態(tài)的動態(tài)感知，實時監(jiān)控，并能夠及時發(fā)現(xiàn)異常情況，以實現(xiàn)“主動防御”，防患于未然，而并非亡羊補牢。

圖3 基于零信任的網(wǎng)絡(luò)訪問流程

另外，在內(nèi)網(wǎng)建立統(tǒng)一的管理中心，在審計中心發(fā)現(xiàn)網(wǎng)絡(luò)設(shè)備故障點后，能夠及時定位故障設(shè)備。

重要的是，實現(xiàn)行業(yè)內(nèi)部各實體之間的聯(lián)動工作，真正意義上實現(xiàn)用戶訪問數(shù)據(jù)時的動態(tài)授權(quán)，實時管控，以及對機器設(shè)備及業(yè)務(wù)系統(tǒng)的及時修復。

最后，引入質(zhì)量監(jiān)控過程性控制流程。在PDCA每個重要節(jié)點對網(wǎng)絡(luò)進行管控，擬將問題的暴露變得更加明顯，問題的發(fā)現(xiàn)變得更為及時，問題處置變得更加適合，利用質(zhì)量監(jiān)控的方式，實現(xiàn)行業(yè)內(nèi)部網(wǎng)絡(luò)安全性的持續(xù)提升。整個訪問流程如圖3所示。

結(jié)語

保障行業(yè)內(nèi)網(wǎng)數(shù)據(jù)安全研究至關(guān)重要，但是傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)越來越難以維護數(shù)據(jù)的安全性。

谷歌的零信任網(wǎng)絡(luò)架構(gòu)提出了一種全新的網(wǎng)絡(luò)架構(gòu)，為當今網(wǎng)絡(luò)安全維護提出了合理解決方案。本文的研究，將對未來行業(yè)內(nèi)數(shù)據(jù)中心的安全防護起到一定借鑒作用。