摘 要：隨著網(wǎng)絡(luò)空間高速發(fā)展，大規(guī)模網(wǎng)絡(luò)引發(fā)的安全運行防護(hù)復(fù)雜度激增。傳統(tǒng)的基于網(wǎng)絡(luò)邊界建立信任體系的安全防護(hù)模式逐漸失效，零信任網(wǎng)絡(luò)安全技術(shù)應(yīng)運而生，并迅速成為當(dāng)前網(wǎng)絡(luò)空間安全技術(shù)研究熱點。從傳統(tǒng)邊界防護(hù)存在的問題出發(fā)，分析了零信任模型產(chǎn)生的原因、基本概念和優(yōu)勢，并闡述了零信任安全網(wǎng)絡(luò)架構(gòu)的組成要素和關(guān)鍵技術(shù)，最后探討了其在企業(yè)遠(yuǎn)程移動辦公方面的應(yīng)用，為新型數(shù)字化基建業(yè)務(wù)安全防護(hù)提供相關(guān)借鑒。
內(nèi)容目錄：
0 引 言
1 傳統(tǒng)網(wǎng)絡(luò)邊界防護(hù)存在的問題
2 零信任安全網(wǎng)絡(luò)架構(gòu)研究
2.1 零信任概念和基本特征
2.2 零信任安全架構(gòu)
2.3 關(guān)鍵功能組件
2.4 關(guān)鍵技術(shù)
3 零信任網(wǎng)絡(luò)安全應(yīng)用研究
3.1 遠(yuǎn)程移動辦公應(yīng)用安全風(fēng)險
3.2 基于零信任的企業(yè)移動遠(yuǎn)程辦公安全架構(gòu)
4 結(jié) 語
00 引 言
隨著企業(yè)數(shù)字化轉(zhuǎn)型的逐漸深入，特別是移動互聯(lián)網(wǎng)、大數(shù)據(jù)、云計算、微服務(wù)為代表的新一代信息化建設(shè)愈演愈烈，伴隨而來的網(wǎng)絡(luò)安全風(fēng)險及威脅也日益復(fù)雜，APT攻擊、身份假冒、內(nèi)部威脅等新型網(wǎng)絡(luò)攻擊手段層出不窮，給數(shù)字時代的信息安全帶來了嚴(yán)峻的挑戰(zhàn)。
為了解決傳統(tǒng)的基于網(wǎng)絡(luò)邊界建立安全防護(hù)帶來的諸多問題，由研究機(jī)構(gòu)Forrester的首席分析師JohnKindervag于2010年首次提出了“零信任網(wǎng)絡(luò)”的概念。零信任是一種全新的安全理念，它對網(wǎng)絡(luò)安全進(jìn)行了范式上的顛覆，打破了網(wǎng)絡(luò)邊界的概念，引導(dǎo)網(wǎng)絡(luò)安全體系架構(gòu)從網(wǎng)絡(luò)中心化向身份中心化的轉(zhuǎn)變，實現(xiàn)對用戶、設(shè)備和應(yīng)用的全面、動態(tài)、智能訪問控制，建立應(yīng)用層面的安全防護(hù)體系。谷歌公司早在2011年便啟動了名為BeyondCorp項目，旨在將零信任架構(gòu)應(yīng)用于客戶分布式訪問業(yè)務(wù)。2019年9月，工信部公開征求對《關(guān)于促進(jìn)網(wǎng)絡(luò)安全產(chǎn)業(yè)發(fā)展的指導(dǎo)意見》的意見中，明確將“零信任安全”列入網(wǎng)絡(luò)安全亟需重點突破的關(guān)鍵技術(shù)。
本文首先分析了傳統(tǒng)網(wǎng)絡(luò)邊界防護(hù)體系的諸多缺陷，并詳細(xì)闡述了零信任安全網(wǎng)絡(luò)架構(gòu)，以及涉及的關(guān)鍵功能組件和技術(shù)，在此基礎(chǔ)上，以移動遠(yuǎn)程辦公應(yīng)用為例，提出了基于零信任架構(gòu)的安全防護(hù)應(yīng)用解決方案。
01 傳統(tǒng)網(wǎng)絡(luò)邊界防護(hù)存在的問題
傳統(tǒng)的網(wǎng)絡(luò)安全結(jié)構(gòu)專注于對網(wǎng)絡(luò)邊界的監(jiān)管和防御，以邊界模型為基礎(chǔ)而逐漸完善，它的核心理念是分區(qū)、分層防護(hù)，目標(biāo)是試圖把攻擊者阻擋在可信的內(nèi)部網(wǎng)絡(luò)之外，具有強(qiáng)大的縱深防御能力。傳統(tǒng)網(wǎng)絡(luò)邊界防護(hù)模型如圖1所示。
典型邊界防護(hù)模型通過把網(wǎng)絡(luò)劃分為不同區(qū)域，不同區(qū)域授予了一定程度的信任。能夠被遠(yuǎn)程訪問的應(yīng)用服務(wù)器等高風(fēng)險資源，被部署在可信區(qū)或特權(quán)區(qū)，通過部署在邊界隔離區(qū)的防火墻、IPS和VPN網(wǎng)關(guān)等安全設(shè)備對進(jìn)入網(wǎng)絡(luò)流量進(jìn)行嚴(yán)格監(jiān)控，目的是構(gòu)建基于網(wǎng)絡(luò)邊界的外圍防御，從而一定程度確保隔離區(qū)以內(nèi)私有網(wǎng)絡(luò)的安全。
這種傳統(tǒng)的網(wǎng)絡(luò)分區(qū)和城墻式隔離防護(hù)模型，至今仍然作為主流網(wǎng)絡(luò)安全防護(hù)架構(gòu)發(fā)揮著積極作用，但是隨著網(wǎng)絡(luò)規(guī)模的爆發(fā)式增長和網(wǎng)絡(luò)攻擊手段越來越多樣化、隱蔽化，一個網(wǎng)絡(luò)即使采用了完備的邊界防御措施，仍然存在被攻陷的風(fēng)險。邊界防護(hù)模型缺陷主要表現(xiàn)為以下幾個方面。
(1)缺乏網(wǎng)絡(luò)內(nèi)部防護(hù)
基于邊界的防護(hù)策略采用嚴(yán)格監(jiān)控機(jī)制，對外網(wǎng)流量進(jìn)行嚴(yán)格訪問控制，試圖在私有網(wǎng)絡(luò)和外網(wǎng)之間建立一堵防護(hù)墻，同時默認(rèn)私有網(wǎng)絡(luò)內(nèi)部是安全的，并為受保護(hù)的內(nèi)部網(wǎng)絡(luò)賦予一定程度的信任，私有網(wǎng)絡(luò)內(nèi)部主機(jī)自我保護(hù)能力較弱。這種城墻式防護(hù)模式無法有效阻止從內(nèi)部網(wǎng)絡(luò)發(fā)起的攻擊，比如傳統(tǒng)的邊界VPN提供的安全防護(hù)能力，當(dāng)網(wǎng)絡(luò)流量穿透隔離區(qū)后就會失效。攻擊者在突破外部防御后，能夠利用私有網(wǎng)絡(luò)內(nèi)部漏洞和管理缺陷，獲取某主機(jī)權(quán)限，近而采用橫向移動方式對更高級別安全域服務(wù)實施攻擊。
(2)存在單點部署失效
在網(wǎng)絡(luò)邊界采用分布式部署安全設(shè)備，構(gòu)建的廣域城墻式防御體系，隨著網(wǎng)絡(luò)規(guī)模的增大以及不同安全等級和防護(hù)水平的異構(gòu)網(wǎng)絡(luò)互通互聯(lián)，擴(kuò)大了網(wǎng)絡(luò)攻擊面。攻擊者通過集中攻破安全防御能力較弱的某些部署點，從而繞過具有較強(qiáng)安全防御網(wǎng)絡(luò)邊界，對網(wǎng)絡(luò)內(nèi)部實施攻擊，使得整體網(wǎng)絡(luò)邊界防御體系崩塌。
(3)缺乏全局安全策略
傳統(tǒng)邊界防護(hù)機(jī)制規(guī)定了不同安全區(qū)域的訪問控制規(guī)則，比如對來自不可信區(qū)的網(wǎng)絡(luò)交互流量，通常采用基于密碼技術(shù)的強(qiáng)制身份認(rèn)證及訪問控制，對可信區(qū)內(nèi)部的網(wǎng)絡(luò)流量、用戶訪問等則基于一定程度的信任機(jī)制，采用弱化的安全策略控制，基本暢通無阻。這種差異化的安全控制策略，使得攻擊者不必強(qiáng)行攻破邊界防護(hù)，而可以將惡意軟件遠(yuǎn)程投遞到網(wǎng)絡(luò)內(nèi)部，在獲得訪問權(quán)限后，利用內(nèi)部策略控制漏洞發(fā)起網(wǎng)絡(luò)攻擊。
上述問題產(chǎn)生的原因歸根到底是由于傳統(tǒng)網(wǎng)絡(luò)邊界構(gòu)建的安全防護(hù)體系，是基于“私有網(wǎng)絡(luò)內(nèi)部的系統(tǒng)和網(wǎng)絡(luò)流量是可信的”這一假設(shè)。隨著云計算、移動計算等新型數(shù)字基礎(chǔ)設(shè)施建設(shè)加速，IT技術(shù)架構(gòu)發(fā)生了劇烈變革，網(wǎng)絡(luò)扁平化以及無邊界化趨勢，使得不可信網(wǎng)絡(luò)區(qū)域和安全可信的私有網(wǎng)絡(luò)區(qū)域界限愈發(fā)模糊，從而引導(dǎo)網(wǎng)絡(luò)安全體系架構(gòu)，逐漸從以網(wǎng)絡(luò)為中心的分層防護(hù)，向以身份為中心的全域訪問控制轉(zhuǎn)變。
02 零信任安全網(wǎng)絡(luò)架構(gòu)研究
2.1 零信任概念和基本特征
零信任網(wǎng)絡(luò)以保護(hù)服務(wù)數(shù)據(jù)安全為目標(biāo)，旨在解決“基于網(wǎng)絡(luò)邊界建立信任”這種理念本身固有的問題。它強(qiáng)調(diào)網(wǎng)絡(luò)是不可信的。它將網(wǎng)絡(luò)防御的邊界縮小到單個或更小的資源組，不再根據(jù)網(wǎng)絡(luò)區(qū)域位置授予預(yù)設(shè)信任權(quán)限，將防護(hù)措施從傳統(tǒng)的網(wǎng)絡(luò)層面擴(kuò)展到應(yīng)用層面。
零信任安全本質(zhì)是以身份為中心進(jìn)行動態(tài)訪問控制，構(gòu)建從訪問主體到目標(biāo)客體之間的端到端，具有最小訪問授權(quán)的網(wǎng)絡(luò)安全防護(hù)機(jī)制。
零信任網(wǎng)絡(luò)的基本概念建立在以下5個基本假定之上：
(1)網(wǎng)絡(luò)無時無刻不處于危險環(huán)境中。
(2)網(wǎng)絡(luò)中自始至終存在外部或內(nèi)部威脅。
(3)網(wǎng)絡(luò)位置不足以決定網(wǎng)絡(luò)的可信程度。
(4)所有設(shè)備、用戶和網(wǎng)絡(luò)流量都應(yīng)當(dāng)經(jīng)過認(rèn)證和授權(quán)。
(5)安全策略必須是動態(tài)的，并基于盡可能多的數(shù)據(jù)源進(jìn)行計算。
相比傳統(tǒng)的網(wǎng)絡(luò)邊界防護(hù)對象，零信任網(wǎng)絡(luò)將威脅源從網(wǎng)絡(luò)外部延伸至網(wǎng)絡(luò)內(nèi)部，將網(wǎng)絡(luò)中一切行為實體均視為不可信，將邊界模型中的“信任但驗證”轉(zhuǎn)換到“從不信任，始終驗證”的模式。相應(yīng)地，零信任安全網(wǎng)絡(luò)具有如下關(guān)鍵特征：
第一，多維身份認(rèn)證。零信任網(wǎng)絡(luò)中，身份認(rèn)證的概念不再局限于對單一用戶認(rèn)證或設(shè)備進(jìn)行認(rèn)證，而是將用戶信息、設(shè)備信息、網(wǎng)絡(luò)流量以及應(yīng)用訪問行為均作為廣義身份認(rèn)證對象，對多維度身份組合，進(jìn)行強(qiáng)制持續(xù)認(rèn)證。
第二，動態(tài)訪問控制。零信任網(wǎng)絡(luò)是建立在身份認(rèn)證和授權(quán)重構(gòu)的訪問控制基礎(chǔ)上，并且訪問策略機(jī)制不是靜態(tài)不變，它基于網(wǎng)絡(luò)業(yè)務(wù)活動眾多屬性來實時分析當(dāng)前訪問風(fēng)險，并動態(tài)的調(diào)整控制策略和訪問權(quán)限來應(yīng)對網(wǎng)絡(luò)攻擊。
第三，可變信任管理。零信任網(wǎng)絡(luò)擯棄了傳統(tǒng)的基于角色和權(quán)限預(yù)分配的靜態(tài)策略方式，采用細(xì)粒度信任度量機(jī)制，對網(wǎng)絡(luò)訪問業(yè)務(wù)活動進(jìn)行持續(xù)監(jiān)控，并據(jù)此不斷更新網(wǎng)絡(luò)訪問實體的信任評分，并根據(jù)信任評分高低，賦予實體最小訪問權(quán)限。
2.2 零信任安全架構(gòu)
美國國家標(biāo)準(zhǔn)技術(shù)研究院(NIST)對零信任架構(gòu)定義為：零信任架構(gòu)提供一系列概念、理念、組件及其交互關(guān)系，已便消除針對信息系統(tǒng)和服務(wù)進(jìn)行精準(zhǔn)訪問判定所存在的不確定性。文獻(xiàn)[4-5]分別從邏輯組件和技術(shù)方案層面研究了零信任架構(gòu)的參考模型。
總的來說，零信任模型采用身份管理基礎(chǔ)設(shè)施、數(shù)據(jù)平面、控制平面三層架構(gòu)，實現(xiàn)訪問主體到目標(biāo)客體的端到端安全控制。零信任安全架構(gòu)如圖2所示。
圖2 零信任安全架構(gòu)
身份管理基礎(chǔ)設(shè)施作為權(quán)威、可信的第三方，是實現(xiàn)零信任架構(gòu)以身份為中心的關(guān)鍵支撐。它負(fù)責(zé)為零信任網(wǎng)絡(luò)提供網(wǎng)絡(luò)實體統(tǒng)一身份認(rèn)證、公鑰證書簽發(fā)及身份全生命周期管理等功能。
控制平面和數(shù)據(jù)平面為零信任架構(gòu)核心支撐系統(tǒng)。其中控制平面實現(xiàn)對訪問主體的策略制定、信任管理和持續(xù)動態(tài)訪問授權(quán)等；數(shù)據(jù)平面由控制平面指揮和配置，接收來自控制平面下發(fā)的管控策略和網(wǎng)絡(luò)參數(shù)，實現(xiàn)對具體網(wǎng)絡(luò)訪問請求的策略控制執(zhí)行。
采用控制平面和數(shù)據(jù)平面分離設(shè)計，有效地縮小了網(wǎng)絡(luò)攻擊面，降低了零信任架構(gòu)的安全風(fēng)險，同時能夠更有效地對訪問實施策略管控。
2.3 關(guān)鍵功能組件
零信任安全在多維身份認(rèn)證的基礎(chǔ)上，通過強(qiáng)化授權(quán)和信任管理，重構(gòu)訪問控制安全架構(gòu)。其關(guān)鍵功能組件包括策略執(zhí)行引擎、授權(quán)策略引擎和信任評估引擎等，各功能組件通常由各專用設(shè)備或子系統(tǒng)組成，通過協(xié)同配合，支撐零信任網(wǎng)絡(luò)的安全能力。
(1)策略執(zhí)行引擎
策略執(zhí)行引擎配置于數(shù)據(jù)平面，負(fù)責(zé)攔截網(wǎng)絡(luò)訪問請求，同時通過和授權(quán)策略引擎組件交互，完成對該訪問的授權(quán)決策，并根據(jù)決策結(jié)果，強(qiáng)制執(zhí)行。只有通過認(rèn)證，并且具備訪問權(quán)限的請求才被予以訪問目標(biāo)客體。此外策略執(zhí)行引擎還能夠針對網(wǎng)絡(luò)流程，動態(tài)配置加密算法參數(shù)、加密隧道等參數(shù)，對網(wǎng)絡(luò)流量實施加密保護(hù)，支持高性能和安全性的彈性功能伸縮。
(2)策略授權(quán)引擎
策略授權(quán)引擎部署在控制平面，和策略執(zhí)行引擎聯(lián)動，對訪問授權(quán)請求進(jìn)行動態(tài)授權(quán)判定，并將決策結(jié)果返回策略執(zhí)行引擎組件強(qiáng)制執(zhí)行。這種控制平面和數(shù)據(jù)平面的分離部署方式，能夠支持實施、動態(tài)、按需的授權(quán)決策，同時有效地縮小了網(wǎng)絡(luò)攻擊面，降低了零信任架構(gòu)的安全風(fēng)險。
(3)信任評估引擎
信任評估引擎組件同樣部署在控制平面，和策略授權(quán)引擎聯(lián)動，基于一定算法，結(jié)合網(wǎng)絡(luò)上下文、基本屬性及訪問機(jī)制等安全要素，對網(wǎng)絡(luò)實體及訪問請求風(fēng)險進(jìn)行量化評估，策略授權(quán)引擎根據(jù)信任評估水平，近一步生成授權(quán)決策，確定網(wǎng)絡(luò)活動的合法性。
2.4 關(guān)鍵技術(shù)
零信任安全網(wǎng)絡(luò)在控制平面和數(shù)據(jù)平面分離設(shè)計的基礎(chǔ)上，采用了包括網(wǎng)絡(luò)代理、可變信任評估和動態(tài)訪問控制等關(guān)鍵技術(shù)，共同構(gòu)建零信任安全防護(hù)體系。
(1)網(wǎng)絡(luò)代理技術(shù)
網(wǎng)絡(luò)代理技術(shù)是在用戶和設(shè)備成功通過認(rèn)證的基礎(chǔ)上，將包括用戶、應(yīng)用程序以及設(shè)備等網(wǎng)絡(luò)身份實體信息進(jìn)行整合后，作為訪問請求唯一主體，提供的實時訪問控制依據(jù)。
網(wǎng)絡(luò)代理代表了用戶信息、設(shè)備狀態(tài)、網(wǎng)絡(luò)地址、業(yè)務(wù)上下文以及訪問時間、空間位置等各個維度的身份實體屬性，在授權(quán)申請時刻的實時狀態(tài)。具有即時性特征，在申請授權(quán)時按需臨時產(chǎn)生。這種對多維度身份屬性，執(zhí)行整體申請授權(quán)的訪問機(jī)制，有效地避免了對每個單一屬性授權(quán)的復(fù)雜性，同時降低基于單一維度實施訪問授權(quán)的漏洞風(fēng)險。
(2)可變信任評估技術(shù)
可變信任評估技術(shù)對網(wǎng)絡(luò)代理提供的多維度實時屬性信息，進(jìn)行實時信任評估和分析，通過持續(xù)量化評估網(wǎng)絡(luò)活動風(fēng)險等級，為訪問授權(quán)提供判斷依據(jù)。
該技術(shù)在使用了靜態(tài)規(guī)則匹配的基礎(chǔ)上，還采用機(jī)器學(xué)習(xí)、人工智能等技術(shù)，通過對網(wǎng)絡(luò)活動數(shù)據(jù)特征提取、模型訓(xùn)練等過程，構(gòu)建信任評估模型，利用模型輸出和人工定義風(fēng)險評分，實現(xiàn)模型的驗證和評估，并正向反饋至評估模型，提升模型分析準(zhǔn)確性，增強(qiáng)信任評估的智能化水平和準(zhǔn)確性，應(yīng)對日益復(fù)雜的未知網(wǎng)絡(luò)威脅。
(3)動態(tài)訪問控制技術(shù)
傳統(tǒng)訪問控制基于網(wǎng)絡(luò)實體定義和預(yù)分配的二值判定策略，通常利用靜態(tài)授權(quán)規(guī)則，以及黑白名單等手段，對業(yè)務(wù)訪問執(zhí)行一次性評估。而零信任架構(gòu)采用安全和易用平衡的持續(xù)度量，執(zhí)行動態(tài)訪問控制，基于可變信任評估，訪問主題的授權(quán)范圍會根據(jù)過去和當(dāng)前行為、身份信息及網(wǎng)絡(luò)環(huán)境的等因素影響，不斷變化，對每次業(yè)務(wù)訪問動態(tài)實施最小授權(quán)，解決了傳統(tǒng)靜態(tài)控制機(jī)制下，安全策略動態(tài)性不足問題，增強(qiáng)了零信任網(wǎng)絡(luò)防御任意威脅的能力。
03 零信任網(wǎng)絡(luò)安全應(yīng)用研究
3.1 遠(yuǎn)程移動辦公應(yīng)用安全風(fēng)險
隨著信息技術(shù)發(fā)展，移動遠(yuǎn)程辦公已成為一種新型高效辦公模式，在2020年初新冠疫情爆發(fā)的情況下，越來越多的企業(yè)選擇了移動遠(yuǎn)程辦公，一方面，有效地促進(jìn)了企業(yè)復(fù)工復(fù)產(chǎn)，同時對抑制了疫情的近一步集中爆發(fā)，起到了積極作用。
但另一方面，由于遠(yuǎn)程辦公涉及到不同種類的用戶終端，以及公共網(wǎng)絡(luò)傳輸環(huán)境的復(fù)雜性，使得企業(yè)敏感信息在訪問、處理、傳輸、應(yīng)用等過程中，存在著很大的信息安全風(fēng)險，安全成為了移動遠(yuǎn)程辦公亟需解決的關(guān)鍵問題，主要表現(xiàn)為以下幾方面。
(1)網(wǎng)絡(luò)開放性增加
目前遠(yuǎn)程移動辦公多采用基于公共互聯(lián)網(wǎng)設(shè)施，建立企業(yè)VPN通道，實現(xiàn)對企業(yè)內(nèi)部服務(wù)的遠(yuǎn)程訪問。這種建立在公開網(wǎng)絡(luò)基礎(chǔ)上的信息交換，使得內(nèi)外網(wǎng)絡(luò)邊界更加模糊化，增加了網(wǎng)絡(luò)攻擊面，通過VPN訪問的方式，本質(zhì)上還是利用傳統(tǒng)的邊界防護(hù)的思想，企圖在企業(yè)內(nèi)網(wǎng)和互聯(lián)網(wǎng)之間建立牢固的“護(hù)城河”。
(2)接入設(shè)備多樣性增加
遠(yuǎn)程移動辦公允許員工使用包括智能手機(jī)、辦公平板、家用PC機(jī)等多種類型用戶終端，隨時隨地登錄訪問服務(wù)。各種接入設(shè)備的身份管理強(qiáng)度、設(shè)備安全性均參差不齊。通過這些用戶終端實施遠(yuǎn)程訪問，給企業(yè)內(nèi)網(wǎng)帶來了極大安全隱患。
(3)業(yè)務(wù)傳輸復(fù)雜性增加
遠(yuǎn)程移動辦公將之前企業(yè)內(nèi)部流通的業(yè)務(wù)信息，完全暴露在公共網(wǎng)絡(luò)上，愈發(fā)復(fù)雜的業(yè)務(wù)處理，使得企業(yè)敏感數(shù)據(jù)和個人數(shù)據(jù)在網(wǎng)絡(luò)上頻繁傳輸，增加了數(shù)據(jù)泄漏和濫用的風(fēng)險。
3.2 基于零信任的企業(yè)移動遠(yuǎn)程辦公安全架構(gòu)
針對遠(yuǎn)程移動辦公應(yīng)用迫切的安全防護(hù)需求，零信任安全架構(gòu)利用多維身份認(rèn)證、持續(xù)信任管理和動態(tài)訪問控制等關(guān)鍵能力，并結(jié)合企業(yè)當(dāng)前的信息化網(wǎng)絡(luò)建設(shè)現(xiàn)狀，構(gòu)建基于零信任的企業(yè)移動遠(yuǎn)程辦公安全架構(gòu)，如圖3所示。
圖3 基于零信任的移動遠(yuǎn)程辦公安全架構(gòu)
信任評估服務(wù)器和訪問授權(quán)系統(tǒng)構(gòu)成零信任網(wǎng)絡(luò)架構(gòu)的控制平面；數(shù)據(jù)平面由目前已部署的直接處理網(wǎng)絡(luò)流量的防火墻、IDS入侵檢測等安全設(shè)備以及應(yīng)用服務(wù)網(wǎng)關(guān)組成；企業(yè)統(tǒng)一身份認(rèn)證系統(tǒng)、數(shù)字證書管理系統(tǒng)等，構(gòu)成企業(yè)身份管理基礎(chǔ)設(shè)施。
智能手機(jī)、辦公平板和PC客戶端等各類遠(yuǎn)程訪問終端，通過公共互聯(lián)網(wǎng)接入企業(yè)內(nèi)網(wǎng)時，數(shù)據(jù)平面捕獲網(wǎng)絡(luò)訪問，首先對用戶和設(shè)備進(jìn)行身份認(rèn)證，認(rèn)證成功后向控制平面發(fā)起訪問授權(quán)請求?？刂破矫娼M件檢查請求相關(guān)數(shù)據(jù)，采用細(xì)粒度業(yè)務(wù)管控策略，分析評估訪問主體的信任度，確定訪問授權(quán)級別，同時將授權(quán)判定結(jié)果，以控制策略方式下發(fā)，重新配置數(shù)據(jù)平面，對請求授予最小訪問權(quán)限。在獲取訪問許可后，遠(yuǎn)程訪問終端可通過數(shù)據(jù)平面訪問企業(yè)內(nèi)部應(yīng)用服務(wù)和數(shù)據(jù)信息。
采用零信任網(wǎng)絡(luò)架構(gòu)，增強(qiáng)企業(yè)遠(yuǎn)程移動辦公應(yīng)用安全防護(hù)能力，能夠有效地緩解端到端的應(yīng)用訪問風(fēng)險，為企業(yè)常態(tài)化遠(yuǎn)程辦公以及近一步的數(shù)字化轉(zhuǎn)型保駕護(hù)航。
04 結(jié) 語
數(shù)字新時代下，異構(gòu)網(wǎng)絡(luò)之間互聯(lián)互通愈發(fā)頻繁，企業(yè)內(nèi)外網(wǎng)界限的越發(fā)模糊，同時隨著網(wǎng)絡(luò)攻防技術(shù)的不斷發(fā)展，傳統(tǒng)的基于網(wǎng)絡(luò)邊界的安全防護(hù)策略，已難以應(yīng)對層出不窮的網(wǎng)絡(luò)攻擊。采用以身份為中心的零信任安全架構(gòu)，利用基于多維屬性的可變信任管理、最小授權(quán)的動態(tài)訪問控制，構(gòu)建“端到端”的應(yīng)用安全防護(hù)體系，將逐漸成為企業(yè)網(wǎng)絡(luò)安全發(fā)展新趨勢，推動企業(yè)網(wǎng)絡(luò)安全架構(gòu)的轉(zhuǎn)型和變革。
作者簡介 >>>
劉 歡(1984—),男，碩士，高級工程師，主要研究方向為信息系統(tǒng)安全，保密通信;
楊 帥(1988—)，男，碩士，工程師，主要研究方向為信息系統(tǒng)安全，保密通信;
劉皓(1981—)，男，碩士，工程師，主要研究方向為信息系統(tǒng)安全，計算機(jī)網(wǎng)絡(luò)。
選自《通信技術(shù)》2020年第七期(為便于排版，已省去原文參考文獻(xiàn))
