金瀚零信任身份安全解決方案

行業(yè)背景

隨著信息技術的快速發(fā)展，云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動互聯(lián)、人工智能等新興技術為政府部門及各類企業(yè)的信息化發(fā)展及現(xiàn)代化建設帶來了新的生產(chǎn)力，但同時也給信息安全帶來了新挑戰(zhàn)。一方面，云計算、移動互聯(lián)導致的企業(yè)邊界瓦解，難以繼續(xù)基于邊界構筑企業(yè)的安全防線；另一方面，外部攻擊和內(nèi)部攻擊愈演愈烈，以APT攻擊為代表的高級持續(xù)攻擊仍然能找到各種漏洞突破企業(yè)的邊界，同時，內(nèi)部業(yè)務的非授權訪問、雇員犯錯、有意的數(shù)據(jù)竊取等內(nèi)部威脅層出不窮；另外，國家和行業(yè)層面對企業(yè)安全的監(jiān)管力度逐步加強，也對企業(yè)安全提出了更高的要求。只有充分的認識到這些新IT時代的安全挑戰(zhàn)，才能更好的進行應對。

業(yè)務挑戰(zhàn)

● 企業(yè)邊界瓦解

傳統(tǒng)的安全架構基于邊界思維，假定企業(yè)存在一個“內(nèi)網(wǎng)”，存在一個邊界對內(nèi)外網(wǎng)進行隔離，假設內(nèi)網(wǎng)是安全的、外網(wǎng)是不安全的，基于如上假設，企業(yè)在邊界處部署防火墻、WAF、入侵檢測等設備進行防御，并期望借此打造企業(yè)的安全護城河。隨著移動辦公、云計算等技術的廣泛采用，企業(yè)的邊界已經(jīng)模糊甚至瓦解。

一方面，企業(yè)業(yè)務和數(shù)據(jù)的訪問者已經(jīng)超出了企業(yè)的邊界。借助以智能手機為支撐的移動計算技術，傳統(tǒng)的工作方式從固定辦公轉變?yōu)橐苿踊?、碎片化的辦公方式，各種設備需隨時隨地進行數(shù)據(jù)訪問;隨著企業(yè)分工與對外協(xié)作的愈漸復雜，非企業(yè)內(nèi)部員工也將對企業(yè)數(shù)據(jù)進行訪問。

另一方面，企業(yè)的業(yè)務和數(shù)據(jù)也超出了企業(yè)的邊界。隨著企業(yè)數(shù)字化轉型，企業(yè)大量采用了云計算和大數(shù)據(jù)技術，甚至大量將業(yè)務和數(shù)據(jù)遷移到公有云之上，這些云和大數(shù)據(jù)中心因為其數(shù)據(jù)的集中，也導致了這些傳統(tǒng)的企業(yè)物理邊界之外的數(shù)據(jù)和基礎設施成為高價值的攻擊目標。

● 外部攻擊防不勝防

隨著大數(shù)據(jù)技術的發(fā)展，數(shù)據(jù)也趨于集中，數(shù)據(jù)的集中意味著價值的集中，自然也成為攻擊者的首要攻擊目標。

一方面，攻擊者大量利用弱口令、口令爆破等慣用伎倆，輕易突破企業(yè)邊界。來自于企業(yè)網(wǎng)絡外部的攻擊，無論是基于登錄過程的用戶弱口令或密碼爆破，還是對于傳輸過程中的憑證截獲或偽造，其攻擊的根本目標是繞過或攻破企業(yè)網(wǎng)絡的訪問權限限制，其后在企業(yè)信息內(nèi)部進行橫向攻擊破壞。這種攻擊看似低級，卻是較容易得手的伎倆之一。根據(jù)美國的移動運營商Verizon報告分析指出，81%的黑客成功利用了偷來的口令或者弱口令，就輕而易舉地獲得了數(shù)據(jù)的訪問權限，成功竊取數(shù)據(jù)。

另外，以APT為代表的高級攻擊層出不窮。大型組織甚至國家發(fā)起的大規(guī)模網(wǎng)絡攻擊事件中，攻擊者可以利用大量的漏洞“武器”，對重要目標進行攻擊，這類攻擊往往防不勝防，切不可掉以輕心。

● 內(nèi)部威脅加劇

傳統(tǒng)的企業(yè)安全體系是建立在內(nèi)外部網(wǎng)絡邊界的基礎之上，假定了內(nèi)網(wǎng)中的用戶、設備和流量通常都是可信的。因此，在這種邊界思維的指導下在企業(yè)內(nèi)部網(wǎng)絡中缺乏足夠的安全訪問控制，一旦被攻擊者滲入，數(shù)據(jù)將會完全暴露，極易泄漏，并且，企業(yè)內(nèi)部員工對數(shù)據(jù)的惡意竊取事件也時有耳聞。根據(jù)《2018 insider threat report》顯示，內(nèi)部威脅是造成數(shù)據(jù)泄露的重要原因之一。往往因為非授權訪問、雇員犯錯、外包員工犯錯等等原因，導致 “合法用戶”可以非法訪問特定的業(yè)務和數(shù)據(jù)資源，造成組織內(nèi)部數(shù)據(jù)泄漏。

● 監(jiān)管力度加大

當前國家對數(shù)據(jù)信息安全越來越重視，已出臺《中華人民共和國網(wǎng)絡安全法》、《信息安全技術 網(wǎng)絡安全等級保護基本要求》、《國家電子政務標準化指南》等相關政策標準。為滿足國家對于企業(yè)信息數(shù)據(jù)安全建設要求，企業(yè)需要以業(yè)務需求為導向，規(guī)范建設企業(yè)數(shù)據(jù)信息安全保障體系，形成科學實用的規(guī)范化安全管理能力、體系化安全技術防護能力、綜合化安全監(jiān)管運維能力，以滿足相關部門對于企業(yè)信息安全的監(jiān)管要求。

解決方案

為應對新IT時代的網(wǎng)絡安全挑戰(zhàn)，零信任安全應運而生。零信任的早期雛形源于2004年成立的耶利哥論壇(Jericho Forum)，其成立的使命正是為了定義無邊界趨勢下的網(wǎng)絡安全問題并尋求解決方案。2010年，F(xiàn)orrester的分析師約翰·金德維格（John Kindervag）正式使用了零信任這個術語，金德維格在他的研究報告中指出，所有的網(wǎng)絡流量都是不可信的，需要對訪問任何資源的任何請求進行安全控制。

傳統(tǒng)的基于邊界的網(wǎng)絡安全架構在某種程度上假設、或默認了內(nèi)網(wǎng)是安全的，認為安全就是構筑企業(yè)的數(shù)字護城河，通過防火墻、WAF、IPS等邊界安全產(chǎn)品或方案對企業(yè)網(wǎng)絡出口進行重重防護而忽略了企業(yè)內(nèi)網(wǎng)的安全。零信任安全針對傳統(tǒng)邊界安全架構思想進行了重新評估和審視，并對安全架構思路提出了新的建議，是應對新IT時代的網(wǎng)絡安全挑戰(zhàn)的全新戰(zhàn)略。零信任安全架構理念簡單概括即為：應該始終假設網(wǎng)絡充滿威脅；外部和內(nèi)部威脅每時每刻都充斥著網(wǎng)絡；不能僅僅依靠網(wǎng)絡位置來建立信任關系；所有設備、用戶和網(wǎng)絡流量都應該被認證和授權；訪問控制策略應該動態(tài)地、基于盡量多的數(shù)據(jù)源進行計算和評估。

零信任安全架構從本質可概括為以身份為基石的動態(tài)訪問控制，是在不可信的現(xiàn)代網(wǎng)絡環(huán)境下，以身份為基石，通過動態(tài)訪問控制技術，以細粒度的應用、接口、數(shù)據(jù)為核心保護對象，遵循較小權限原則，構筑端到端的邏輯身份邊界。

金瀚零信任身份安全解決方案，正是基于零信任架構所實現(xiàn)的訪問控制安全整體實踐。通過以身份為基石、業(yè)務安全訪問、持續(xù)信任評估和動態(tài)訪問控制這四大關鍵能力，基于對網(wǎng)絡所有參與實體的數(shù)字身份，對默認不可信的所有訪問請求進行加密、認證和強制授權，匯聚關聯(lián)各種數(shù)據(jù)源進行持續(xù)信任評估，并根據(jù)信任的程度動態(tài)對權限進行調(diào)整，之后在訪問主體和訪問客體之間建立一種動態(tài)的信任關系。

● 以身份為基石

零信任的本質是以身份為基石進行動態(tài)訪問控制，全面身份化是實現(xiàn)零信任的前提和基石?；谌嫔矸莼瑸橛脩?、設備、應用程序、業(yè)務系統(tǒng)等物理實體建立統(tǒng)一的數(shù)字身份標識和治理流程。

● 業(yè)務安全訪問

在零信任架構下，所有的業(yè)務訪問請求(包括用戶對業(yè)務應用的訪問、應用API之間的接口調(diào)用訪問等等)都應該被認證、授權和加密。

● 持續(xù)信任評估

零信任架構認為一次性的身份認證無法確保身份的持續(xù)合法性，即便是采用了強度較高的多因子認證，也需要通過度量訪問主體的風險，持續(xù)進行信任評估。例如，主體的信任評估可以依據(jù)采用的認證手段、設備的健康度、應用程序是否企業(yè)分發(fā)、主體的訪問行為、操作習慣等等；環(huán)境的信任評估則可能包括訪問時間、來源IP地址、來源地理位置、訪問頻度、設備相似性等各種時空因素。

● 動態(tài)訪問控制

在零信任架構下，主體的訪問權限不是靜態(tài)的，而是根據(jù)主體屬性、客體屬性、環(huán)境屬性和持續(xù)的信任評估結果進行動態(tài)計算和判定。傳統(tǒng)的訪問控制機制是宏觀的二值邏輯，大多基于靜態(tài)的授權規(guī)則、黑白名單等技術手段進行一次性的評估。零信任架構下的訪問控制基于持續(xù)度量、自動適應的思想，是一種動態(tài)微觀判定邏輯。

基于以上四大核心特性，金瀚零信任身份安全解決方案進一步將安全理念落地為具體的安全能力，為企業(yè)提供構建零信任安全體系的基礎產(chǎn)品組件和整體解決方案，助力企業(yè)遷移到零信任安全架構。

方案優(yōu)勢

●革新安全架構，樹立行業(yè)標桿

  √ 采用先進的零信任安全架構解決企業(yè)數(shù)據(jù)訪問的安全性問題，樹立行業(yè)安全標桿;

  √ 具備已實踐的標準化落地方案，可實現(xiàn)企業(yè)快速升級部署;

  √ 重構企業(yè)信息安全邊界，從根源上解決數(shù)據(jù)訪問的安全性問題。

●提升安全能力，應對實時風險

  √ 采用統(tǒng)一的數(shù)字化身份信息，實現(xiàn)訪問用戶身份的全面認證;

  √ 通過細粒度以及動態(tài)化的授權方式，滿足實時的安全性要求;

  √ 集中業(yè)務代理，提供通道加密以及攻擊防護功能，有效保護傳輸數(shù)據(jù)安全;

  √ 獲取實時的環(huán)境安全狀態(tài)、訪問行為數(shù)據(jù)，智能分析風險并調(diào)整訪問控制策略。

●實現(xiàn)自動管理，降低運維成本

  √ 通過自動化的身份管理、認證及授權能力，有效減少企業(yè)IT人員工作量及人為出錯;

  √ 從安全架構層面解決安全的源頭問題，投入低，可靠性高，避免重復建設。

●提高工作效率，提升用戶體驗

  √ 消除物理邏輯邊界，提供隨時隨地的企業(yè)數(shù)據(jù)訪問;

  √ 自動獲取用戶身份安全狀態(tài)進行訪問授權，安全用戶無感接入;

  √ 一站式訪問門戶和單點登錄，有效提升用戶使用效率。

應用場景

金瀚零信任身份安全解決方案覆蓋了政企行業(yè)用戶訪問控制的完整生命流程以及組織內(nèi)多種被訪問的應用類型，適用于政府、部委、金融、能源、運營商、央企、其他大型組織與企業(yè)。