“互聯(lián)網(wǎng)+”背景下無邊界零信任網(wǎng)絡研究與應用

摘 ?要：隨著云計算、大數(shù)據(jù)、IoT、5G等技術的迅猛發(fā)展，數(shù)字化進程進一步推進，企業(yè)呈現(xiàn)出服務形式“網(wǎng)絡化”、內部流程“數(shù)字化”、核心應用“云端化”、業(yè)務節(jié)點“邊緣化”、辦公場地和設備“多樣化”等多種“新態(tài)勢”，傳統(tǒng)網(wǎng)絡安全架構在兼容性和擴展性上滿足不了新業(yè)務的需求。文章從“互聯(lián)網(wǎng)+”背景下的安全網(wǎng)絡架構進行分析，對無邊界零信任網(wǎng)絡進行研究探討，為在“互聯(lián)網(wǎng)+”背景下傳統(tǒng)網(wǎng)絡向零信任網(wǎng)絡的轉型應用提出觀點建議。

關鍵詞：網(wǎng)絡安全;零信任;無邊界網(wǎng)絡;互聯(lián)網(wǎng)+

中圖分類號：TP393.0 ? ? 文獻標識碼：A 文章編號：2096-4706（2021）06-0153-05

Research and Application of a Borderless Zero Trust Network under the

“Internet Plus” Background

DU Zhaohui

（Guangdong Vocational Collage of Post and Telecom，Guangzhou ?510630，China）

Abstract：With the rapid development of the cloud computing，big data，IoT，5G ?and other technologies，the digital process is further advanced. Enterprises are showing many new trends such as “networking” of service forms，“digitization” of internal processes，“cloud”of core applications，“marginalization” of business nodes，“diversification” of office spaces and equipments，etc. The traditional network security architecture can not meet the needs of new businesses in compatibility and scalability. This paper analyzes the security network architecture under the “internet plus” background，and discusses the borderless zero trust network. At the same time，the paper gives some suggestions for the transformation application of the traditional network to zero trust network under “internet plus” background.

Keywords：network security;zero trust;borderless network;internet plus

0 ?引 ?言

數(shù)字化進程經歷了重啟和加速，各行各業(yè)也進一步加快擁抱產業(yè)互聯(lián)網(wǎng)，尋求新的增長曲線。大數(shù)據(jù)、人工智能、IoT、5G等“互聯(lián)網(wǎng)+”新技術的融合使用已經成為一種趨勢，“互聯(lián)網(wǎng)+”不僅帶來了全新的安全場景，也成為網(wǎng)絡安全攻防當中的利器。企業(yè)網(wǎng)絡數(shù)字化的意識和能力不斷提升，在這種環(huán)境下，業(yè)務的發(fā)展需要更強大的網(wǎng)絡能力來支撐，網(wǎng)絡基礎設施需要更好地適應多技術融合的需求，同時傳統(tǒng)的網(wǎng)絡安全架構也漸漸難以適應業(yè)務發(fā)展的需要，更加安全可靠的安全保護措施期待呈現(xiàn)。

1 ?傳統(tǒng)網(wǎng)絡安全架構描述

傳統(tǒng)網(wǎng)絡安全架構有內外網(wǎng)的邊界概念，認為內網(wǎng)中的用戶、設備和信息通常都是安全的、可信的，基本思路是先根據(jù)業(yè)務和信息敏感程度定義要保護的對象來確認對象的安全級別，對于級別相同的對象認為屬于同一安全區(qū)域。有邊界的網(wǎng)絡安全防護模型，通常在劃分安全區(qū)域后，在不同安全級別區(qū)域之間建立網(wǎng)絡邊界。由于安全級別不同，通過相關的技術來進行安全隔離，實現(xiàn)對各個安全區(qū)域的安全防護，通常傳統(tǒng)的網(wǎng)絡結構如圖1所示。

傳統(tǒng)網(wǎng)絡安全的保證是通過防火墻、IPS等邊界安全設備對企業(yè)網(wǎng)絡邊界進行防護，默認邊界內是可信任的，對邊界內的操作基本不設置過多限制，將攻擊者盡可能攔截在非信任網(wǎng)絡的邊界外，并在企業(yè)內部通過VLAN劃分、端口隔離等方式來制定資源訪問權限和流量控制，邊界外用戶想要進入邊界內的網(wǎng)絡需要通過防火墻、VPN等安全機制。

2 ?新技術發(fā)展與傳統(tǒng)網(wǎng)絡安全架構的不匹配

隨著云計算、物聯(lián)網(wǎng)以及移動辦公等新技術新應用的興起，企業(yè)的業(yè)務架構和網(wǎng)絡環(huán)境也隨之發(fā)生了重大的變化，這給傳統(tǒng)邊界安全理念帶來了新的挑戰(zhàn)。云計算技術的普及帶來了物理安全邊界模糊的挑戰(zhàn)，遠程辦公、多方協(xié)同辦公成為常態(tài)帶來了訪問需求復雜化，產生了內部資源暴露面擴大的風險，各種互聯(lián)網(wǎng)設備、企業(yè)人員不再受地理位置和時間的限制，企業(yè)需要滿足業(yè)務流程移動性、可訪問性和快速響應，傳統(tǒng)的網(wǎng)絡安全架構及安全產品呈現(xiàn)出多種弊端。

2.1 ?原有邊界安全的風險過大

隨著業(yè)務流程移動化、資源存儲的云端化，大數(shù)據(jù)的分散性，導致傳統(tǒng)內外網(wǎng)邊界模糊，企業(yè)無法基于傳統(tǒng)的物理邊界來建立安全的基礎設施，企業(yè)風險不斷增加。在融合多種“互聯(lián)網(wǎng)+”技術的網(wǎng)絡環(huán)境中，黑客常用的嗅探方式、端口掃描、DOS、SQL注入以及跨站腳本攻擊等攻擊手段不僅依然存在，攻擊更有可能是跨主機甚至是跨數(shù)據(jù)中心的部署，由于網(wǎng)絡邊界不可見，原有的物理防御邊界被打破，傳統(tǒng)意義上的邊界防御手段很難保證新的信息網(wǎng)絡安全的需求。

2.2 ?網(wǎng)絡攻擊擴大

隨著時代的發(fā)展，網(wǎng)絡節(jié)點數(shù)量爆發(fā)式增長，而攻擊模式則多種多樣，可以輕松越過安全邊界，服務器資源所遭受的攻擊頻率也急劇增高。傳統(tǒng)安全架構下，企業(yè)內部系統(tǒng)完全暴露在企業(yè)辦公網(wǎng)絡，一旦內網(wǎng)終端設備被植入木馬或者未知威脅的惡意代碼，攻擊者就可以直接進行企業(yè)內網(wǎng)掃描和橫向擴張性的移動，快速掌握企業(yè)內網(wǎng)的所有數(shù)字資產。企業(yè)外部，移動設備的流行使得員工訪問企業(yè)內部系統(tǒng)的終端設備不再安全可靠。傳統(tǒng)遠程辦公，多數(shù)企業(yè)是采用VPN的方案，這越來越無法滿足當前網(wǎng)絡安全和訪問效率需求。

2.3 ?網(wǎng)絡安全維護量增大

新的應用和業(yè)務場景不斷涌現(xiàn)，數(shù)據(jù)量龐大分散，對網(wǎng)絡規(guī)則的管理成本已經越來越高，安全事件層出不窮，當安全事件發(fā)生后，網(wǎng)絡管理員面對大量的安全日志、告警等信息，很難快速提取有效的安全數(shù)據(jù)信息來進行全局分析判斷并解決，這就使得企業(yè)網(wǎng)絡缺乏防護措施、面臨安全風險，一旦網(wǎng)絡攻擊擴大時，維護工作變得更為復雜混亂，同時企業(yè)網(wǎng)絡安全產品的多樣性導致系統(tǒng)的維護成本升高。

2.4 ?網(wǎng)絡管控過于寬松

普通企業(yè)用戶在內網(wǎng)的權限設置過大，在工作中非必要的權限被開放。網(wǎng)絡管理人員的權限同樣可能被擴大化，管理員會訪問到不該訪問的業(yè)務系統(tǒng)，利用業(yè)務系統(tǒng)存在的弱口令或是由于程序員的疏忽在設計權限管理模塊時出現(xiàn)的一些漏洞，能夠訪問與自己工作不想關的數(shù)據(jù)，造成數(shù)據(jù)泄露。另外，傳統(tǒng)的網(wǎng)絡安全架構采用粗粒度的訪問設置方式，這又大大降低了網(wǎng)絡的安全性。

基于以上原因，傳統(tǒng)完全可信的邊界化網(wǎng)絡安全架構滿足不了新時代的網(wǎng)絡需求，無邊界零信任的網(wǎng)絡安全架構勢不可擋。

3 ?零信任網(wǎng)絡安全架構分析

零信任網(wǎng)絡架構并不是一個新的概念，在2013年就被提出，但并沒有廣泛應用。隨著傳統(tǒng)網(wǎng)絡安全架構難以適應“互聯(lián)網(wǎng)+”背景下的多種新技術產生，邊界網(wǎng)絡安全風險層出不窮。在2020年，VPN事件、用戶隱私數(shù)據(jù)泄露事件時有發(fā)生，這使得零信任機制有了呼之欲出的勢頭。

3.1 ?零信任機制的產生和發(fā)展

行業(yè)調查和研究機構Forrester公司認為當前以數(shù)據(jù)為中心的世界，威脅不僅僅來自外部，在網(wǎng)絡世界中所有的流量都是不可信任的，需要采用“零信任”模型構建安全的網(wǎng)絡。該公司在2013年提出了一個零信任安全架構（Zero Trust），F(xiàn)orrester認為在“零信任”網(wǎng)絡中，不再有可信的設備、接口和用戶。

隨著零信任網(wǎng)絡發(fā)展演進，從2014年開始，Google公司針對自己的內部網(wǎng)絡進行BeyondCorp零信任安全模型的研究，此安全體系是針對Google公司內部員工建立，在員工訪問企業(yè)資源時，認證授權的依據(jù)不再是終端所在網(wǎng)絡位置和IP地址，而是依賴于設備和用戶身份憑證，對服務的訪問必須全部通過身份雙向驗證后獲得訪問資源的權限。同時，資源的訪問是加密傳輸，在這個體系中內外網(wǎng)的邊界已經消失。

2019年9月，美國國家標準技術研究所（NIST）發(fā)布了《零信任架構》草案，此草案的標準在2020年8月正式發(fā)布，2019年是零信任標準化研制工作爆發(fā)的元年，我國多個公司的零信任實施方案也相繼推出。

3.2 ?零信任架構原則

“零信任”所遵循的是從不信任網(wǎng)絡上的任何人、任何訪問，每一次的訪問都需要驗證。在網(wǎng)絡中任何位置的客戶訪問系統(tǒng)資源的過程中，都以身份信息作為授權的依據(jù)，通過策略決定訪問資源的等級，并賦予支持完成工作的最小訪問權限。為客戶機建立的訪問系統(tǒng)資源信道都是點對點單次生效，傳輸過程中數(shù)據(jù)是經過加密的。同時，系統(tǒng)動態(tài)評估訪問安全等級，保持最小訪問權限并始終監(jiān)控，確保資源在最安全的狀態(tài)。

3.3 ?零信任架構邏輯組成

對于零信任無邊界安全網(wǎng)絡架構組成各組織有自己的思路，2020年8月15日，NIST發(fā)布的《零信任架構》標準作為零信任網(wǎng)絡方案在美國落地，此標準描述的邏輯及核心產品組件，如圖2所示，具體各組件的含義如表1所示。

此架構核心組件由數(shù)據(jù)平面的PDP和控制平面的PEP組成。當用戶訪問網(wǎng)絡資源時，第一道關口就是控制訪問的PEP。它是客戶端和資源之間的門衛(wèi)，充當客戶端的代理和資源網(wǎng)關。當PEP收到客戶端訪問請求后，與PDP中PA進行通信，PA請求PE根據(jù)身份驗證、策略判斷等決定是否給客戶機授權。當客戶機被授，PA建立客戶端和資源的邏輯連接之后，客戶機即可以訪問資源。PEP在整個數(shù)據(jù)傳輸?shù)倪^程中進行安全監(jiān)控，當傳輸完成后，PEP終止客戶機和資源之間的連接。此架構除了核心組件PDP和PEP以外，還有“身份管理系統(tǒng)”“數(shù)據(jù)訪問策略”“活動日志”“威脅情報”“PKI”等組件，它們提供給PE制定訪問決策的依據(jù)。

4 ?零信任網(wǎng)絡部署應用

新的應用和業(yè)務場景不斷涌現(xiàn)，借鑒NIST零信任安全網(wǎng)絡架構標準，以下是針對不同的網(wǎng)絡應用環(huán)境進行幾個典型的應用部署。

4.1 ?遠程訪問企業(yè)資源的部署

員工遠程辦公訪問公司的OA系統(tǒng)，技術人員進行遠程系統(tǒng)測試、遠程管理運維或者公司存在分支機構，需要連接總部的網(wǎng)絡進行日常的工作。在這種場景中，遠程的連接請求由零信任網(wǎng)關接收，并將連接請求發(fā)送給PA，PA將請求轉發(fā)到PE進行評估。如果請求被授權，PA將在零信任網(wǎng)關和企業(yè)資源之間配置通信通道，加密的數(shù)據(jù)流開始傳輸。當數(shù)據(jù)流正常傳輸完成或由于異常安全事件使得PA被觸發(fā)時，零信任網(wǎng)關和資源之間的連接將終止。這里的PA和PE的功能由零信任控制引擎提供，場景結構如圖3所示。

所有的終端訪問都需進行用戶身份校驗以及終端、系統(tǒng)、應用的可信確認，并進行細粒度的權限訪問校驗，然后通過零信任網(wǎng)關訪問具體的業(yè)務，這樣能極大地減少企業(yè)內部資源被非授權訪問的行為。

4.2 ?云平臺下的零信任部署

隨著云平臺的使用，企業(yè)可能使用多個云服務提供商來承載應用程序和數(shù)據(jù)，多個云復用同一個零信任安全控制中心，提供統(tǒng)一的訪問控制策略，通過低流量的策略同步做到統(tǒng)一的授權管理，用戶在具體要訪問某個公有云上業(yè)務的時候，就可以通過安全控制中心，對接到相應云的零信任安全網(wǎng)關入口進行訪問。在云平臺的零信任網(wǎng)絡中，如果服務是多級的，比如，當一個服務使用到云資源1，之后又需要使用云資源2，那么平臺通過零信任安全網(wǎng)關進行驗證，驗證通過后，可以在云資源平臺進行直接建立連接，這樣提高了訪問效率，多云平臺下的零信任場景如圖4所示。

4.3 ?大數(shù)據(jù)平臺下零信任部署

在大數(shù)據(jù)應用場景下，攻擊者如果擁有應用系統(tǒng)訪問權限后能夠訪問到數(shù)據(jù)資源就會造成數(shù)據(jù)泄露風險。如果擁有較高數(shù)據(jù)訪問權限的數(shù)據(jù)分析運維人員也會對數(shù)據(jù)安全造成潛在威脅。數(shù)據(jù)是企業(yè)資源的核心，訪問量大、入口多，數(shù)據(jù)的泄露風險也比較大，因此對數(shù)據(jù)的訪問更需要細粒度控制并進行動態(tài)授權訪問。針對終端用戶、外部應用或數(shù)據(jù)服務平臺、數(shù)據(jù)分析和運維人員的數(shù)據(jù)訪問，部署零信任方案。在用戶身份、設備安全、應用安全、鏈路安全等信任屬性基礎上，增加數(shù)據(jù)類別、數(shù)據(jù)級別、數(shù)據(jù)操作等更多數(shù)據(jù)本身的屬性，實施動態(tài)、細粒度的訪問控制。這樣部署后，即便某一應用系統(tǒng)遭受到攻擊，也只能攻擊該應用系統(tǒng)所能操控的數(shù)據(jù)范圍，不會影響到大數(shù)據(jù)環(huán)境下其他數(shù)據(jù)的安全，此應用場景如圖5所示。

4.4 ?物聯(lián)網(wǎng)平臺下零信任實現(xiàn)

物聯(lián)網(wǎng)屬于典型的大型分布式網(wǎng)絡系統(tǒng)，其本質屬于“無邊界網(wǎng)絡”，終端資產多為傳感器。物聯(lián)網(wǎng)安全接入網(wǎng)關能夠做到對傳感器進行識別、動態(tài)展現(xiàn)、異常接入檢測告警，這是傳統(tǒng)網(wǎng)關類設備不具備的。物聯(lián)網(wǎng)連接方式豐富，支持LoRa、Wi-Fi、RS 485等接入方式，在物聯(lián)網(wǎng)接入層，確認傳感器的狀態(tài)之后，形成接入層安全狀態(tài)的模型，上報上層管理中心，接入設備的安全狀態(tài)發(fā)生變化時，可接受管理中心的策略，切斷傳感器的連接甚至是接入層的連接，保證物聯(lián)網(wǎng)匯聚節(jié)點的安全。可以持續(xù)監(jiān)控傳輸流量的協(xié)議類型，識別傳感器的業(yè)務種類，進行業(yè)務安全行為分析，為設備標注可信標簽，快速地檢測實時網(wǎng)絡攻擊，此應用場景如圖6所示。

以上介紹了幾種“互聯(lián)網(wǎng)+”技術應用場景的零信任安全架構部署，企業(yè)的零信任安全網(wǎng)絡可以是這幾種場景的靈活復用。

5 ?結 ?論

“互聯(lián)網(wǎng)+”時代，邊界安全防護理念漸漸衰退失效，“零信任”不是簡單的產品和技術，更是一種符合現(xiàn)實情況的先進安全架構理念，這將成為數(shù)字時代下主流的網(wǎng)絡安全架構。根據(jù)Gartner預測，到2022年，80%向生態(tài)合作伙伴開放的新數(shù)字業(yè)務應用將通過零信任網(wǎng)絡訪問來訪問。到2023年，60%的企業(yè)將采用零信任替代大部分遠程訪問虛擬專用網(wǎng)（VPN），中國正迎來移動辦公和萬物互聯(lián)的時代，5G、IoT、邊緣計算等技術的普及將加速這一進程，“無邊界”訪問的理念將逐漸深入人心。隨著網(wǎng)絡安全防護從傳統(tǒng)邊界安全理念向無邊界理念演進，零信任將成為數(shù)字安全時代網(wǎng)絡安全的主流架構，同時零信任網(wǎng)絡的呈現(xiàn)是一個漸進的過程，基于企業(yè)目前的網(wǎng)絡安全架構，可以嘗試進行零信任網(wǎng)絡的分步改造并初步完善。

參考文獻：

[1] 楊正權，靳明星，張曉東.“零信任”在云化業(yè)務中的安全技術研究 [J].信息安全與通信保密，2020（3）：91-98.

[2] ROSE S W，BORCHERT O，MITCHELL S，et al. Zero Trust Architecture [R/OL].（2020-08-10）.https：//www.nist.gov/publications/zero-trust-architecture.

[3] 中國網(wǎng)絡安全產業(yè)聯(lián)盟.2020年中國網(wǎng)絡安全行業(yè)研究報告 [R/OL].（2020-09-15）.https：//www.sohu.com/a/42245 5474_358040.

[4] 王斯梁，馮暄，蔡友保，等.零信任安全模型解析及應用研究 [J].信息安全研究，2020，6（11）：966-971.

[5] nana.軟件定義邊界（SDP）如何緩解常見安全威脅 [EB/OL].[2020-05-01].https：//www.aqniu.com/learn/56787.html.

[6] WEINBERG N. The VPN is dying，long live zero trust [EB/OL].（2019-12-04）.https：//www.networkworld.com/article/3487720/the-vpn-is-dying-long-live-zero-trust.html.

[7] 蒯向春.云網(wǎng)融合應用關鍵技術研究與設計 [D].南京：南京郵電大學，2017.

[8] 吉爾曼，巴斯.零信任網(wǎng)絡 [M].奇安信身份安全實驗室，譯.北京：人民郵電出版社，2019.

[9] aqniu.5分鐘了解谷歌BeyondCorp零信任安全模型 [EB/OL].（2020-03-17）.https：//www.aqniu.com/learn/65462.html.

[10] 21世紀經濟報道.零信任：網(wǎng)絡安全的新“邊界” [EB/OL].（2021-01-01）.https：//finance.sina.com.cn/tech/2021-01-01/doc-iiznctke9597141.shtml.

作者簡介：杜朝暉（1969.11—），女，漢族，河北保定人，副教授，碩士，研究方向：計算機網(wǎng)絡、云計算技術與應用。