零信任互聯(lián)網(wǎng)安全訪問

程序漏洞；

惡意程序；

勒索病毒：WannaCry、Petya、Bad Rabbit；

單機威脅：感染式病毒、二進制攻擊；

網(wǎng)絡病毒與黑產：木馬、蠕蟲；

流氓軟件與灰產：間諜軟件、廣告軟件；

流量攻擊與敲詐：DDos、肉雞；

黑客攻擊：黑洞門、SRC；

高級威脅與勒索：黑客與病毒混合、漏洞與社會工程學；

PC終端；

移動終端；

物聯(lián)網(wǎng)終端；

工控互聯(lián)網(wǎng)終端；

OSI安全體系：分層結構防護；

P2DR：閉環(huán)動態(tài)模型；

IATF：分開部署安全保障機制；

IEC62443：縱深防御安全防護策略；

NSA CGSV2：安全保護與監(jiān)測能力整合；

NIST CSF：自身需求加強防御；

企業(yè)通過復雜和繁瑣的網(wǎng)絡邊界防火墻策略及設置，將信息系統(tǒng)和數(shù)據(jù)直接暴露至互聯(lián)網(wǎng)提供服務，業(yè)務一旦發(fā)生變化和變更，安全防護策略需要進行大量手工調整，不利于業(yè)務的敏捷性管理。

企業(yè)在面向消費者或跨區(qū)域跨地域的持續(xù)業(yè)務運作中，通常將信息系統(tǒng)和服務轉向使用單云托管或多云托管方式，意味著依靠企業(yè)邊界的安全性成為一種負擔和挑戰(zhàn)，云上數(shù)據(jù)和服務面臨更多可能性的入侵攻擊、病毒破壞和數(shù)據(jù)竊取的安全風險。

企業(yè)通常將有限訪問的資源提供給進行工作的現(xiàn)場訪問者或服務提供商，主要包括外包運維人員、服務人員等，而這類人員通過互聯(lián)網(wǎng)遠程進行服務的提供，包括企業(yè)信息系統(tǒng)維護、數(shù)據(jù)庫的管理和服務器的調優(yōu)等。

越來越多的企業(yè)會涉及跨業(yè)務協(xié)助或項目合作，如企業(yè)的生產訂單需要第三方企業(yè)進行供應鏈協(xié)助，需要生產系統(tǒng)與供應鏈系統(tǒng)的連通；如某重要項目涉及多個企業(yè)的項目成員，需要相互進行業(yè)務訪問和數(shù)據(jù)的操作等，這些跨企業(yè)邊界的協(xié)助同樣面臨安全風險的巨大挑戰(zhàn)。

采用SDP方式，通過SPA單包認證、MTLS雙向加密技術，所有互聯(lián)網(wǎng)業(yè)務訪問請求通過SDP網(wǎng)關進行連接和授權，同時所有互聯(lián)網(wǎng)業(yè)務端口和訪問地址默認不開放，只有通過授權和認證的請求并且其訪問資源符合的情況建立業(yè)務連接。

建立互聯(lián)網(wǎng)用戶體系的身份管理體系，包括外包人員、供應商、消費者、合作伙伴等用戶群體，同時將企業(yè)的互聯(lián)網(wǎng)業(yè)務納入到身份管理平臺進行認證、授權、風險、審計的集中管控，確保來自于用戶或終端的訪問身份和請求符合企業(yè)的管理要求和策略匹配。

云上SaaS應用采用設備應用沙箱隔離模式部署，通過分配虛擬機隔離或使用防火墻設置隔離區(qū)域，對外服務接口采用API網(wǎng)關服務實現(xiàn)。

為實現(xiàn)企業(yè)間的協(xié)助和業(yè)務訪問，分別通過身份管理技術對企業(yè)的聯(lián)合ID主體身份進行注冊和授權配置，保障企業(yè)身份合法和權限合規(guī)，同時通過企業(yè)網(wǎng)絡托管或云上托管方式，讓企業(yè)間的網(wǎng)絡訪問通過SDP網(wǎng)關進行網(wǎng)絡連接，遵循先認證后連接的零信任安全機制，確保業(yè)務互訪互聯(lián)的安全性。

在實施“按需受控訪問”的基礎上，有效整合資源保護相關的數(shù)據(jù)加密、網(wǎng)絡分段、數(shù)據(jù)防泄露等技術，保護應用資源、數(shù)據(jù)在網(wǎng)絡中的傳輸和存儲，并優(yōu)先保護高價值資源。

互聯(lián)網(wǎng)用戶通過訪問認證之前，資源對用戶隱身；即便在用戶通過訪問認證和授權，成功進入網(wǎng)絡以后，零信任架構也將阻止用戶漫游到未經授權的區(qū)域。零信任思維從根本上降低了互聯(lián)網(wǎng)攻擊面。

零信任架構終結了安全防護手段各自為政的現(xiàn)狀，在零信任架構實施時，可以通過與現(xiàn)有工具的集成，大幅度降低零信任潛在建設成本。