En 400-6655-581
5
返回列表
> 資源中心 > 基于零信任架構的IDaaS實現(xiàn)

基于零信任架構的IDaaS實現(xiàn)

2021-05-12瀏覽次數(shù)：3935

近年來，各類黑客攻擊和大規(guī)模的個人信息泄露事件頻發(fā)，互聯(lián)網(wǎng)安全問題日益凸顯。據(jù)相關數(shù)據(jù)研究，企業(yè)數(shù)據(jù)泄露的數(shù)量和損失持續(xù)增長，平均損失已超過386美元。如何打通云上與本地系統(tǒng)的身份體系，對內外部用戶進行統(tǒng)一管控，成為企業(yè)新的安全需求。

 

 

什么是IDaaS

 

IDaaS：身份認證即服務(Identity as a Service)。通常代表一個服務或者平臺，通過單點登錄或訪問控制等方式，有效保證跨多系統(tǒng)的用戶身份一致性，允許用戶僅訪問自己權限內的數(shù)據(jù)。換句話說，IDaaS就是云時代的身份與訪問控制平臺（IAM），即 IAM+SaaS=IDaaS。

 

隨著全球化的快速推進，企業(yè)的用戶范圍已經超越了以往組織機構的邊界，辦公時間也不再受限于8小時，客戶、供應商和經銷商以及其他的組織機構外的用戶都有可能需要訪問企業(yè)的內部應用。

 

IDaas基于云計算和微服務架構的集中式身份管理服務，圍繞統(tǒng)一的身份賬號為企業(yè)用戶構建統(tǒng)一的訪問入口，且為身份認證帶來了SaaS的成本優(yōu)勢。真正實現(xiàn)用戶安全、簡單地從任何地方、任何時間訪問他們所需的應用資源。

 

行為分析(UEBA)，持續(xù)校驗

 

由于用戶的范圍和邊界的模糊，在IDaaS下的單點登錄及身份管理中對用戶的行為進行分析，基于機器學習的算法對于用戶行為進行分析，通過身份管理系統(tǒng)對于用戶行為發(fā)生變化時進行持續(xù)校驗；

 

標準協(xié)議（OAuth，OIDC，SAML）

 

IDaaS需要制定標準，并提供標準認證協(xié)議的認證能力，系統(tǒng)之間協(xié)議對接是非常重要的一環(huán)，一般涉及的標準協(xié)議類型有：OAuth，OIDC，SAML等；

 

多因素認證（MFA）

 

豐富的多因素認證能力，成為IDaaS的必要能力，可以分類為：傳統(tǒng)的UKey、OTP、CA證書；生物認證人臉、指紋、聲紋、掌紋；以及最新標準FIDO等。

 

 

零信任架構

 

基于身份的零信任架構最佳實踐中，圍繞身份管理系統(tǒng)為中心結合可信終端、安全代理、細粒度授權等相關組件建設一個安全高效的整體企業(yè)數(shù)字化平臺，在傳統(tǒng)的IAM功能上需要新增如下功能服務：

 

 

#01

CARTA：一致的持續(xù)自適應風險和信任評估(continuous adaptive risk and trust assessment, CARTA)方法；持續(xù)評估用戶生命周期內的風險，并結合API認證及多因素能力來要求用戶進行二次認證或多次認證，從而達到可以降低用戶風險可以更全面的保護能力；在進行高價值數(shù)據(jù)、服務、API操作時根據(jù)實時的風險計算結合多因素系統(tǒng)讓訪問主體重新出示身份或出示更高安全性身份驗證方式，用來規(guī)避主動或被動的風險攻擊，從而整體保護客戶的系統(tǒng)安全、網(wǎng)絡安全及數(shù)據(jù)安全；

#02

CASB：云訪問安全代理(CASB)是一種工具，用于監(jiān)聽和管理云應用與用戶之間的流量，可以幫助保護云環(huán)境，CASB的“四個支柱”包括——可視化、合規(guī)性、數(shù)據(jù)安全和威脅防護；“訪問”是CASB中的一環(huán)，這類產品可以提供威脅防護，加強云上數(shù)據(jù)應用的訪問和身份驗證控制。在許多情況下，CASB通過和現(xiàn)有的IDaaS進行交互，可以監(jiān)視業(yè)務活動并執(zhí)行規(guī)則。

#03

UEM：統(tǒng)一端點管理(UEM)，管理任何端點的整個生命周期：移動（Android、iOS）、桌面（Windows 10、macOS、Chrome OS）、強固型設備甚至 IoT（Linux 和其他）；收集終端硬件、操作系統(tǒng)、應用、數(shù)據(jù)、行為等信息進行終端安全評估；

#04

細粒度授權：更細粒度的會話管理功能，基于單個資源、資源組、用戶賬號和資源目錄的范圍，授權給用戶、組、組織、角色和崗位，控制其訪問準入、數(shù)據(jù)獲取能力；并建立角色互斥模型；

#05

Session管理：Token統(tǒng)一注銷和重新驗證的控制策略，動態(tài)控制用戶已認證的會話；根據(jù)持續(xù)風險評估引擎對已經生成的Token進行風險等級調整，根據(jù)用戶上下文及歷史數(shù)據(jù)進行風險計算可以阻止高風險行為；

#06

BYOI：BYOI(社交媒體身份整合)，管理數(shù)字、面向客戶、多渠道網(wǎng)站（Web、移動、IoT）上的客戶身份，用戶來源是未知的（注冊前）并可能創(chuàng)建多個虛假帳戶，不能假定身份。并且可以整合不同社交媒體不同身份信息，對多來源身份進行清洗合并，并管理用戶身份畫像及標簽；

#07

API Auth：API的認證和授權(使用OAuth/OIDC)，在零信任架構中所有面向訪問主體的服務、API都必須經過可信代理進行統(tǒng)一管理，在訪問代理中依托API技術對訪問客體的訪問請求進行統(tǒng)一的認證和授權，并結合風險引擎對API基本的訪問進行風險動態(tài)控制，還可以結合細粒度授權能力對訪問的API進行控制。

 

IDaaS身份基礎設施作為零信任架構的關鍵支撐，提供身份管理服務和權限管理服務，以身份為中心進行動態(tài)訪問控制，并基于全面身份化，為零信任網(wǎng)絡的人、設備、應用、系統(tǒng)等物理實體建立統(tǒng)一的數(shù)字身份標識和治理流程。