基于運(yùn)營(yíng)商零信任的一體化縱深防御體系研究

徐 浩，張 侃，劉 光

（1.中國(guó)電信集團(tuán)有限公司網(wǎng)絡(luò)和信息安全管理部，北京 100010；2.廣東電信智能云網(wǎng)調(diào)度運(yùn)營(yíng)中心，廣東 廣州 510653）

隨著移動(dòng)互聯(lián)網(wǎng)、云虛擬化等技術(shù)在運(yùn)營(yíng)商基礎(chǔ)網(wǎng)絡(luò)建設(shè)中的迅猛發(fā)展及應(yīng)用，傳統(tǒng)的CT、IT的界限越來(lái)越模糊，多業(yè)務(wù)邊界、多角色、多訪問(wèn)形態(tài)及需求，新的云網(wǎng)融合架構(gòu)、云網(wǎng)基礎(chǔ)設(shè)施的組成及安全管控變得更加復(fù)雜，因此，研究新架構(gòu)下的綜合性安全模型對(duì)IT、CT融合架構(gòu)變革帶來(lái)的安全威脅有重要的意義。

隨著BYOD、云計(jì)算、物聯(lián)網(wǎng)等新興技術(shù)的普及，云的邊界變得越來(lái)越模糊，同時(shí)0day漏洞、惡意加密流量等新型攻擊手段層出不窮，導(dǎo)致以邊界防護(hù)為核心的安全防護(hù)框架已失去防護(hù)效果。為提升網(wǎng)絡(luò)安全防護(hù)水平，亟須探索新的安全框架和安全生態(tài)。

零信任安全架構(gòu)是以身份為核心，以持續(xù)認(rèn)證、動(dòng)態(tài)授權(quán)、全局防御安全理念，以“永不信任、持續(xù)認(rèn)證”的方式變被動(dòng)為主動(dòng)防御，在不可信開(kāi)放網(wǎng)絡(luò)上，構(gòu)建端到端的動(dòng)態(tài)授權(quán)可信通信網(wǎng)絡(luò)。通過(guò)身份認(rèn)證、微隔離控制、權(quán)限控制、環(huán)境持續(xù)評(píng)估等多種手段實(shí)施訪問(wèn)過(guò)程的精細(xì)化控制。

1 傳統(tǒng)安全防護(hù)體系問(wèn)題

隨著新的業(yè)務(wù)需求及安全防御態(tài)勢(shì)變化，傳統(tǒng)安全防護(hù)體系仍面臨諸多安全威脅。

（1）網(wǎng)絡(luò)邊界難以界定。云網(wǎng)融合后，網(wǎng)絡(luò)也承載在云上，云也利用網(wǎng)絡(luò)來(lái)互通，運(yùn)營(yíng)商各機(jī)構(gòu)的用戶接入、私有云、混合云部署，使網(wǎng)絡(luò)邊界變得模糊難以界定，傳統(tǒng)數(shù)據(jù)中心內(nèi)外網(wǎng)作為網(wǎng)絡(luò)邊界不再適用。

（2）傳統(tǒng)安全防護(hù)失效。傳統(tǒng)基于邊界的防護(hù)如FW、VPN、IDS和WAF等基于規(guī)則匹配、檢測(cè)和分析機(jī)制，運(yùn)營(yíng)商云網(wǎng)業(yè)務(wù)復(fù)雜度及網(wǎng)絡(luò)復(fù)雜度成指數(shù)性發(fā)展而導(dǎo)致此類防護(hù)措施效果減弱。

（3）訪問(wèn)管理控制不嚴(yán)。網(wǎng)絡(luò)管理規(guī)模巨大，運(yùn)營(yíng)商包括主實(shí)業(yè)員工都能訪問(wèn)網(wǎng)絡(luò)資源，特別是人員變化和流動(dòng)性較大導(dǎo)致網(wǎng)絡(luò)敞口過(guò)大，同時(shí)在網(wǎng)絡(luò)內(nèi)部也沒(méi)有嚴(yán)格最小化網(wǎng)絡(luò)隔離，存在較大安全風(fēng)險(xiǎn)。

（4）內(nèi)網(wǎng)病毒攻擊無(wú)法阻斷。網(wǎng)絡(luò)內(nèi)部服務(wù)器、終端、網(wǎng)絡(luò)之間沒(méi)有進(jìn)行嚴(yán)格的網(wǎng)絡(luò)隔離控制，大量應(yīng)用與服務(wù)部署在同一個(gè)虛擬化VLAN網(wǎng)段內(nèi)，無(wú)法實(shí)施嚴(yán)格的網(wǎng)絡(luò)隔離策略，一旦某臺(tái)主機(jī)被攻陷，很容易造成橫向跳板攻擊及擴(kuò)散。

（5）數(shù)據(jù)泄露安全風(fēng)險(xiǎn)加劇。運(yùn)營(yíng)商網(wǎng)絡(luò)承載了大量如CRM、BOSS等重要業(yè)務(wù)系統(tǒng)，這些系統(tǒng)存儲(chǔ)著涉及用戶隱私的敏感數(shù)據(jù)，一旦系統(tǒng)遭到入侵勢(shì)必造成嚴(yán)重的數(shù)據(jù)泄露風(fēng)險(xiǎn)。

（6）重保、等保面臨挑戰(zhàn)。在每年重要保障中，運(yùn)營(yíng)商網(wǎng)絡(luò)及其重要業(yè)務(wù)系統(tǒng)面臨著掃描及滲透攻擊，安全運(yùn)維團(tuán)隊(duì)面臨嚴(yán)峻的壓力，同時(shí)等保2.0對(duì)網(wǎng)絡(luò)和系統(tǒng)包括云平臺(tái)安全防護(hù)要求更高。

（7）自動(dòng)化管理手段缺失。缺乏有效的自動(dòng)化管理手段對(duì)網(wǎng)絡(luò)進(jìn)行全面的安全管控，采用手工配置策略方式進(jìn)行管理、工作量大且容易出錯(cuò)；沒(méi)有對(duì)網(wǎng)絡(luò)進(jìn)行最小化分段管理，沒(méi)有基于身份為中心進(jìn)行訪問(wèn)控制；缺乏全面可視化、自動(dòng)化系統(tǒng)支撐。

（8）信任機(jī)制漏洞。傳統(tǒng)安全管理以網(wǎng)絡(luò)為中心，通過(guò)設(shè)定ACL或防火墻策略對(duì)訪問(wèn)策略進(jìn)行管控，然而隨著云計(jì)算資源池彈性化以及移動(dòng)化辦公趨勢(shì)發(fā)展，面對(duì)無(wú)處不在的網(wǎng)絡(luò)邊界以及動(dòng)態(tài)變化的IP身份，傳統(tǒng)安全以網(wǎng)絡(luò)為中心已不再適用；此外，還有信任機(jī)制帶來(lái)新的漏洞。

2 零信任安全防御體系建設(shè)

考慮到運(yùn)營(yíng)商云網(wǎng)業(yè)務(wù)復(fù)雜性、安全防御需求的多維性，可以借鑒零信任安全等防護(hù)理念，打造適合運(yùn)營(yíng)商業(yè)務(wù)發(fā)展、安全防護(hù)需求發(fā)展的縱深一體化防御體系。谷歌基于零信任安全理念實(shí)施的BeyondCorp[2]-[7]項(xiàng)目是一個(gè)最佳實(shí)踐。零信任默認(rèn)網(wǎng)絡(luò)無(wú)時(shí)無(wú)刻不處于危險(xiǎn)的環(huán)境中，用戶身份信息、硬件設(shè)備信息、訪問(wèn)過(guò)程產(chǎn)生的行為信息以及數(shù)據(jù)流特征等，均可作為認(rèn)證與鑒權(quán)的多維數(shù)據(jù)來(lái)源以確定訪問(wèn)過(guò)程基于身份的權(quán)限授權(quán)范圍。

如圖1所示，面向運(yùn)營(yíng)商多云、復(fù)雜組網(wǎng)、業(yè)務(wù)接入的基礎(chǔ)，通過(guò)構(gòu)建基于零信任的一體化縱深防御體系，可根據(jù)用戶不同需求輸出SaaS化的安全服務(wù)能力。

零信任安全防護(hù)模型有很多種，包括解決南北向邊界安全的軟件定義邊界（SDP）模型、趨向于精細(xì)化身份管控的IAM、業(yè)務(wù)側(cè)隔離防御及深度防御微隔離，甚至將架構(gòu)能力推向云化的SASE[8]等。

2.1 零信任防御體系相關(guān)原則

（1）持續(xù)評(píng)估所有參與者身份。訪問(wèn)者與被訪問(wèn)業(yè)務(wù)需建立端到端的互信關(guān)系，包括硬件、網(wǎng)絡(luò)、用戶、行為等多個(gè)維度之間基于零信任架構(gòu)和理念，為每一次的業(yè)務(wù)訪問(wèn)過(guò)程進(jìn)行動(dòng)態(tài)持續(xù)評(píng)估及合法授權(quán)。

（2）動(dòng)態(tài)授予實(shí)時(shí)最小權(quán)限。在零信任體系架構(gòu)中，針對(duì)所有業(yè)務(wù)場(chǎng)景、資源的訪問(wèn)，均保證是根據(jù)來(lái)訪者的實(shí)際合法需求授予的最小的權(quán)限，阻止出現(xiàn)權(quán)限蔓延問(wèn)題。

（3）對(duì)每一訪問(wèn)請(qǐng)求實(shí)施訪問(wèn)控制。在主體獲得授權(quán)之前，零信任體系默認(rèn)主體到資源無(wú)任何訪問(wèn)信息通道，在獲得授權(quán)后，訪問(wèn)主體對(duì)資源的訪問(wèn)請(qǐng)求構(gòu)建安全通道，實(shí)現(xiàn)每一次訪問(wèn)請(qǐng)求可鑒別、可授權(quán)或可阻止。

（4）通過(guò)多數(shù)據(jù)聯(lián)動(dòng)持續(xù)評(píng)估實(shí)現(xiàn)動(dòng)態(tài)訪問(wèn)控制。零信任體系對(duì)訪問(wèn)授權(quán)由動(dòng)態(tài)策略確定，包括來(lái)訪身份、應(yīng)用程序/服務(wù)和被請(qǐng)求資源的可觀察安全狀態(tài)，以及其他行為屬性和環(huán)境屬性等。在大數(shù)據(jù)處理、機(jī)器學(xué)習(xí)和人工智能技術(shù)支撐下，實(shí)時(shí)聯(lián)動(dòng)多源數(shù)據(jù)，建立評(píng)估模型進(jìn)行持續(xù)評(píng)估。

2.2 縱深聯(lián)動(dòng)防御機(jī)制構(gòu)建方向

構(gòu)建零信任的防御體系模型不僅是在某個(gè)維度進(jìn)行防御技術(shù)的應(yīng)用，該體系建設(shè)還可以由點(diǎn)及面逐步建設(shè)推進(jìn)，整體防御是聯(lián)動(dòng)化的、動(dòng)態(tài)式的、縱深式的以及多維度的，如圖2所示，整體防御零信任防御機(jī)制應(yīng)盡可能覆蓋更多的防御面并且聯(lián)動(dòng)起來(lái)。

圖2 零信任縱深防御聯(lián)動(dòng)機(jī)制

（1）終端安全防御閉環(huán)。在零信任架構(gòu)中，終端側(cè)應(yīng)保障接入時(shí)人員身份、終端環(huán)境、接入鑒權(quán)過(guò)程以及使用過(guò)程的身份一致性及可靠性；對(duì)于終端接入的環(huán)境可以通過(guò)外部和內(nèi)部多種手段實(shí)時(shí)監(jiān)測(cè)與判斷，實(shí)時(shí)把控到來(lái)訪端的合法性；也可將數(shù)據(jù)防泄密技術(shù)融入零信任架構(gòu)，根據(jù)細(xì)粒度安全策略，執(zhí)行敏感數(shù)據(jù)的訪問(wèn)控制，實(shí)現(xiàn)終端防御閉環(huán)。

（2）南北向邊界接入防御完善。南北向邊界防御以零信任SDP為核心構(gòu)建隱身網(wǎng)絡(luò)，結(jié)合可信身份、可信設(shè)備、可信網(wǎng)絡(luò)、可信環(huán)境的接入條件，以零信任機(jī)制覆蓋不同形態(tài)，如C/S、B/S業(yè)務(wù)訪問(wèn)，基于信任評(píng)估、動(dòng)態(tài)控制、可信通道及可信應(yīng)用四大手段建立接入安全機(jī)制。

在用戶借助終端接入過(guò)程中，安全大腦可多維獲取情報(bào)，進(jìn)而實(shí)時(shí)判定接入的權(quán)限范疇，同時(shí)該過(guò)程是長(zhǎng)期不間斷的。在此基礎(chǔ)上可以疊加網(wǎng)絡(luò)準(zhǔn)入維度的安全控制，在實(shí)現(xiàn)用戶身份中心授權(quán)之前可以通過(guò)控制終端接入的網(wǎng)絡(luò)進(jìn)行基礎(chǔ)限制，可以借助IEEE802.1X等做網(wǎng)絡(luò)層的接入管控。

（3）東西向深度防御聯(lián)動(dòng)。引入零信任微分段能力感知業(yè)務(wù)內(nèi)通信行為，并嚴(yán)格管控用戶接入網(wǎng)內(nèi)后的活動(dòng)范圍，劃分更小安全隔離域及建立內(nèi)部流的可視化監(jiān)管能力，實(shí)施自適應(yīng)安全策略，建立“云-管-邊-腦”內(nèi)外立體化零信任縱深防御體系。

2.3 借助零信任SDP解決接入安全

2.3.1 零信任SDP核心機(jī)制

SDP是由云安全聯(lián)盟開(kāi)發(fā)的一種安全框架，它根據(jù)身份為中心融合多種判斷源動(dòng)態(tài)控制對(duì)資源的訪問(wèn)過(guò)程，旨在解決跨邊界企業(yè)數(shù)據(jù)中心資源訪問(wèn)安全，該設(shè)計(jì)采用單向敲門認(rèn)證機(jī)制實(shí)現(xiàn)網(wǎng)絡(luò)隱身，從根本上防止網(wǎng)絡(luò)攻擊行為的產(chǎn)生。在此過(guò)程中進(jìn)一步實(shí)現(xiàn)業(yè)務(wù)級(jí)資源的動(dòng)態(tài)授權(quán)訪問(wèn)。

零信任SDP架構(gòu)通過(guò)構(gòu)建SDP連接發(fā)起主機(jī)IH（即SDP客戶端）、SDP連接接受主機(jī)AH（即SDP網(wǎng)關(guān)）及SDP控制器三角架構(gòu)，打造零信任隱身網(wǎng)絡(luò)，為業(yè)務(wù)打造無(wú)暴露面的隱身入口，在保障合法訪問(wèn)無(wú)中斷的前提下，規(guī)避來(lái)自網(wǎng)絡(luò)中攻擊者對(duì)暴露面的滲透掃描、攻擊等。SDP架構(gòu)如圖3所示。

圖3 SDP安全架構(gòu)圖

2.3.2 零信任SDP網(wǎng)絡(luò)隱身的關(guān)鍵流程

圖4 SDP數(shù)據(jù)流程圖

SDP數(shù)據(jù)流如下。

①建立SDP控制器服務(wù)（可多個(gè)），包括與認(rèn)證及授權(quán)服務(wù)對(duì)接；認(rèn)證授權(quán)體系可包括多維元素如LDAP、Radius、短信動(dòng)態(tài)碼、PKI等。

②建立SDP連接接受服務(wù)（網(wǎng)關(guān)），與SDP控制器服務(wù)建立身份識(shí)別驗(yàn)證。過(guò)程中控制器不會(huì)主動(dòng)響應(yīng)未通過(guò)授權(quán)校驗(yàn)的請(qǐng)求和通信行為。

③零信任客戶端（SDP連接發(fā)起主機(jī)（IH））與SDP控制進(jìn)行單包認(rèn)證過(guò)程。

④零信任客戶端（SDP連接發(fā)起主機(jī)（IH））通過(guò)驗(yàn)證后，SDP控制器確定客戶端有權(quán)限的SDP連接接受主機(jī)（網(wǎng)關(guān)）資源。

⑤SDP控制器告知SDP連接接受主機(jī)（網(wǎng)關(guān)）某零信任客戶端（SDP連接發(fā)起主機(jī)（IH））來(lái)訪，以及對(duì)應(yīng)的授權(quán)策略。

⑥SDP控制器告知客戶端有權(quán)限的SDP連接接受主機(jī)（網(wǎng)關(guān)）以及授權(quán)的資源策略。

⑦零信任客戶端（SDP連接發(fā)起主機(jī)（IH））向SDP連接接受主機(jī)（網(wǎng)關(guān)）執(zhí)行單包授權(quán)過(guò)程，與SDP連接接受主機(jī)（網(wǎng)關(guān)）建立TLS加密連接。

⑧SDP連接接受主機(jī)（網(wǎng)關(guān)）基于SDP控制器告知的授權(quán)資源策略，控制零信任客戶端（SDP連接發(fā)起主機(jī)（IH））的訪問(wèn)過(guò)程。

SDP基于先認(rèn)證再連接的方式規(guī)避TCP/IP本身漏洞，通過(guò)單包認(rèn)證機(jī)制形成網(wǎng)絡(luò)隱身以實(shí)現(xiàn)業(yè)務(wù)資產(chǎn)規(guī)避各類陌生攻擊威脅行為。

2.3.3 零信任SDP架構(gòu)設(shè)計(jì)

圖5 南北向零信任SDP架構(gòu)設(shè)計(jì)

南北向防御體系以零信任SDP為核心，由零信任編排中心、環(huán)境感知、數(shù)據(jù)隔離、密鑰安全、合規(guī)策略庫(kù)、威脅情報(bào)、數(shù)據(jù)訪問(wèn)策略、身份ID管理以及實(shí)時(shí)審計(jì)日志、可信網(wǎng)關(guān)、數(shù)據(jù)與資源群整體聯(lián)動(dòng)組成。

（1）零信任編排中心是系統(tǒng)核心，負(fù)責(zé)各模塊間的聯(lián)動(dòng)與控制，處理協(xié)商各類認(rèn)證與策略的動(dòng)態(tài)評(píng)估。

（2）環(huán)境感知對(duì)訪問(wèn)終端環(huán)境各種威脅、漏洞、安全防御情況進(jìn)行綜合評(píng)估并向安全編排中心反饋評(píng)估結(jié)果，通過(guò)實(shí)時(shí)感知環(huán)境變化，進(jìn)一步評(píng)估當(dāng)前環(huán)境威脅風(fēng)險(xiǎn)系數(shù)，并通過(guò)與信任中心評(píng)判機(jī)制聯(lián)動(dòng)提升動(dòng)態(tài)感知靈敏度。

（3）數(shù)據(jù)隔離負(fù)責(zé)實(shí)現(xiàn)終端使用時(shí)數(shù)據(jù)訪問(wèn)過(guò)程數(shù)據(jù)安全，借助DLP、云桌面、終端數(shù)據(jù)隔離（終端沙箱）、遠(yuǎn)程瀏覽器隔離（RBI）等輔助能力綜合實(shí)現(xiàn)數(shù)據(jù)使用過(guò)程安全，以終端數(shù)據(jù)安全狀態(tài)為準(zhǔn)入條件，執(zhí)行零信任訪問(wèn)控制。

（4）密鑰安全負(fù)責(zé)對(duì)來(lái)訪終端的密鑰生產(chǎn)、存儲(chǔ)、分發(fā)、注冊(cè)與更新過(guò)程的安全可信與可控；通過(guò)管控涉及密鑰的各個(gè)環(huán)節(jié)，進(jìn)一步保障零信任SDP系統(tǒng)總體安全，防止密鑰在零信任SDP使用過(guò)程中因某環(huán)節(jié)防護(hù)不當(dāng)導(dǎo)致零信任SDP體系被破壞。

（5）通過(guò)合規(guī)策略庫(kù)建立面向合法用戶所處環(huán)境、網(wǎng)絡(luò)、終端特征等的綜合約束，比如是否部署安全軟件、是否完成安全加固、是否運(yùn)行風(fēng)險(xiǎn)程序等，嚴(yán)格要求終端必須符合合規(guī)策略要求，否則無(wú)法建立合法授權(quán)，保障合法終端處在一個(gè)可接受的安全水平線上。

（6）威脅情報(bào)作為第三方輸入源，從不同的業(yè)務(wù)系統(tǒng)、不同的安全系統(tǒng)、不同網(wǎng)絡(luò)態(tài)勢(shì)等獲知到的多維度威脅情報(bào)，通過(guò)接口輸入到零信任中心，旨在為零信任中心提供更高層級(jí)的動(dòng)態(tài)策略評(píng)估參考，優(yōu)化動(dòng)態(tài)策略的準(zhǔn)確度。

（7）數(shù)據(jù)訪問(wèn)策略定義來(lái)訪者、來(lái)訪終端、可接入訪問(wèn)的權(quán)限范圍、訪問(wèn)過(guò)程動(dòng)態(tài)策略變更時(shí)有效實(shí)施方式，確保用戶、通道、應(yīng)用三者的映射關(guān)系動(dòng)態(tài)、準(zhǔn)確、有效。

（8）身份ID管理：用于管理零信任SDP體系中的用戶身份，可在本地建立身份體系，或?qū)⒄J(rèn)證信息轉(zhuǎn)發(fā)到第三方認(rèn)證授權(quán)服務(wù)，該過(guò)程中結(jié)合多因素增強(qiáng)過(guò)程安全性。

（9）實(shí)時(shí)審計(jì)日志：記錄所有經(jīng)過(guò)零信任系統(tǒng)的訪問(wèn)行為，保證訪問(wèn)過(guò)程審計(jì)能力完善，保障業(yè)務(wù)溯源可精準(zhǔn)找到攻擊源或者錯(cuò)誤源。

（10）可信網(wǎng)關(guān)：控制用戶訪問(wèn)過(guò)程的權(quán)限縮放，與客戶端建立加密通信并以用戶身份為中心動(dòng)態(tài)授權(quán)訪問(wèn)的資源并實(shí)現(xiàn)轉(zhuǎn)發(fā)，保障訪問(wèn)過(guò)程動(dòng)態(tài)控制。

（11）數(shù)據(jù)與資源群：目標(biāo)業(yè)務(wù)群，包括數(shù)據(jù)、接口API、Web等不同形態(tài)資源群。

2.4 內(nèi)部東西向微隔離防御

微隔離Micro Segmentation是業(yè)務(wù)內(nèi)部創(chuàng)建最小化安全域的一種方法，其目標(biāo)是實(shí)現(xiàn)更細(xì)粒度的網(wǎng)絡(luò)安全，旨在解決傳統(tǒng)“串葫蘆式”安全防護(hù)手段無(wú)法解決的橫向流量防護(hù)及云虛擬環(huán)境安全防護(hù)的問(wèn)題。

2.4.1 內(nèi)網(wǎng)流向可視化感知

內(nèi)網(wǎng)服務(wù)器-服務(wù)器之間流量缺乏總覽式監(jiān)視與管理，服務(wù)器或應(yīng)用之間互訪流量是否合規(guī)，以及服務(wù)器主動(dòng)訪問(wèn)哪些流量、開(kāi)放哪些監(jiān)聽(tīng)端口，無(wú)法對(duì)數(shù)據(jù)中心流量、流向情況進(jìn)行可視化管控。

圖6 微隔離流量可視化

采用微隔離技術(shù)可以對(duì)企業(yè)DMZ或數(shù)據(jù)中心的橫向流量、流向進(jìn)行可視化管理，通過(guò)集中統(tǒng)一運(yùn)算、分析，可繪制內(nèi)網(wǎng)服務(wù)器之間可視化拓?fù)?，便于運(yùn)維管理人員實(shí)時(shí)了解企業(yè)內(nèi)部流量態(tài)勢(shì)。

2.4.2 基于AI異常流量檢測(cè)

通過(guò)機(jī)器學(xué)習(xí)對(duì)服務(wù)器間的監(jiān)聽(tīng)端口、流向進(jìn)行管理，可對(duì)內(nèi)網(wǎng)產(chǎn)生異常流量或訪問(wèn)行為等特征進(jìn)行實(shí)時(shí)運(yùn)算與分析，快速定位內(nèi)部異常流量或異常的互訪行為，通過(guò)可視化、告警方式及時(shí)反饋，第一時(shí)間發(fā)現(xiàn)企業(yè)內(nèi)部運(yùn)行異常狀況，便于做出快速響應(yīng)與決策。

2.4.3 自適應(yīng)微隔離策略

基于服務(wù)器通信流向的AI分析與學(xué)習(xí)，實(shí)現(xiàn)自適應(yīng)安全隔離策略計(jì)算與策略下發(fā)，以自動(dòng)化、自適應(yīng)方式對(duì)網(wǎng)絡(luò)進(jìn)行最小化隔離，避免大量人工分析與操作，簡(jiǎn)單、高效地實(shí)現(xiàn)網(wǎng)內(nèi)“東西向”安全管理。通過(guò)自適應(yīng)微隔離實(shí)現(xiàn)業(yè)務(wù)自動(dòng)最小化隔離防御。

圖7 微隔離可視化拓?fù)?/p>

2.5 身份識(shí)別與訪問(wèn)管理

身份訪問(wèn)管理技術(shù)（Identity and Access Manager，IAM），能夠?qū)⒕W(wǎng)絡(luò)環(huán)境中的應(yīng)用系統(tǒng)、數(shù)據(jù)庫(kù)、主機(jī)、網(wǎng)絡(luò)設(shè)備和安全設(shè)備等資源的賬號(hào)、認(rèn)證、訪問(wèn)控制、審計(jì)工作進(jìn)行集中化整合，通過(guò)在零信任體系中打造高級(jí)IAM能力，對(duì)所有基于賬號(hào)的管理、認(rèn)證、授權(quán)、審計(jì)進(jìn)行集中的統(tǒng)一權(quán)限管理[9]，提升身份識(shí)別與訪問(wèn)管理精細(xì)化控制。

圖8 IAM體系

3 結(jié)束語(yǔ)

基于上文分析，零信任防御體系的打造，應(yīng)覆蓋終端、通道、業(yè)務(wù)等云-管-邊-端一體化防御聯(lián)動(dòng)體系，可借助南北向邊界安全的SDP模型、趨向于精細(xì)化身份管控的IAM、業(yè)務(wù)側(cè)微隔離防御，甚至包括將架構(gòu)能力推向云化的SASE（安全訪問(wèn)服務(wù)邊緣）等問(wèn)題，幫助企業(yè)快速解決某些迫切安全需求。但若是割裂式建設(shè)部署，不同的技術(shù)體系均有不足，比如零信任SDP能解決訪問(wèn)者到業(yè)務(wù)的控制問(wèn)題，但無(wú)法深入解決業(yè)務(wù)機(jī)器群內(nèi)部橫向安全問(wèn)題，業(yè)務(wù)側(cè)隔離防御則無(wú)法解決內(nèi)外部協(xié)同的安全威脅問(wèn)題，終端安全及身份體系獨(dú)立建設(shè)無(wú)法達(dá)到安全管控的效果。

為滿足云網(wǎng)融合的業(yè)務(wù)、網(wǎng)絡(luò)、數(shù)據(jù)的綜合防御需求，需分析實(shí)際業(yè)務(wù)模型及需求，組合不同維度的零信任方案，形成滿足運(yùn)營(yíng)商多維需求的縱深防御方案，包括：①全面貫徹零信任理念，可分期規(guī)劃逐步建設(shè)，采取新建系統(tǒng)先行，老舊系統(tǒng)逐步改造的原則，由點(diǎn)及面擴(kuò)展防御范圍。②不可割裂式建設(shè)，需在綜合聯(lián)動(dòng)各項(xiàng)基本能力的基礎(chǔ)上發(fā)揮零信任架構(gòu)優(yōu)勢(shì)；應(yīng)深入覆蓋用戶，實(shí)現(xiàn)終端、訪問(wèn)通道、動(dòng)態(tài)更新、業(yè)務(wù)群內(nèi)部等多維一體化。③零信任不僅是技術(shù)建設(shè)，同時(shí)包含人員思想建設(shè)、企業(yè)IT規(guī)范建設(shè)以及堅(jiān)定的執(zhí)行方針?！?/p>