雲深互聯:NIST建議的零信任安全8大應用場景

2020-12-21 IT168

　　本文的內容來源於NIST SP 800-207《零信任架構》(草案)、NIST NCCoE發布《實現零信任架構》(草案),著重為大家介紹零信任安全應用場景。零信任架構(草案)可以去關注云深互聯公眾號免費領取中文版。

　　零信任是一個安全概念,其核心思想是組織不應自動信任其邊界之內或之外的任何事物,而必須在授予訪問權限之前驗證試圖連接到其系統的所有事物。也就意味著每個試圖訪問專用網絡上的資源的人和設備(無論它們位於網絡外圍之內還是之外)都必須進行嚴格的身份驗證。沒有單一的特定技術與零信任相關。這是一種結合了幾種不同原理和技術的整體網絡安全方法。

　　之前,我們已經發布的《零信任安全架構標準》,主要為大家精講了零信任架構和零信任體系架構的邏輯組件。為配合NIST SP 800-207《零信任架構》(草案)的推進工作,本月(2020年3月)NIST下屬單位NCCoE發布了《實現零信任架構》(草案)項目說明書並徵求公開評論。該項目說明書瞄準的是零信任架構的落地實踐,希望實現安全性與用戶體驗的兼得。本文著重為大家介紹零信任安全應用場景:

　　1.分支機構訪問總部業務系統

　　最常見的情況是,企業只有一個總部和一個或多個地理上分散的位置,這些位置沒有企業擁有的物理網絡連接(見圖1)。

　　遠程位置的員工可能沒有完全由企業擁有的本地網絡,但仍需要訪問企業資源才能執行其任務。同樣,員工也可以使用企業擁有或個人擁有的設備,進行遠程工作或在遠程位置工作。在這種情況下,企業可能希望授予對某些資源(如員工日曆、電子郵件)的訪問權限,但拒絕訪問更敏感的資源(如人力資源資料庫)。

　　在這個用例中,PE/PA最好作為一個雲服務託管,終端系統有一個連接代理或訪問一個資源門戶。由於遠程辦公室和工作人員必須將所有流量發送回企業網絡才能訪問雲服務,因此將PE/PA託管在企業本地網絡上可能不是響應最迅速的。

　　圖1:有遠程辦公員工的企業

　　2. 企業多雲戰略

　　部署ZTA策略的一個越來越常見的用例是使用多個雲提供商的企業(見圖2)。在這個用例中,企業有一個本地網絡,但使用兩個(或更多)雲服務提供商來承載應用程式和數據。有時,應用程式,而非數據源,託管在一個獨立的雲服務上。為了提高性能和便於管理, 託管在雲提供商A中的應用程式,應該能夠直接連接到託管在雲提供商B中的數據源,而不是強制應用程式通過隧道返回企業網絡。

　　這個多雲用例是ZTA採用的主要驅動因素之一。它是CSA的SDP規範的伺服器到伺服器實現。隨著企業轉向更多的雲託管應用程式和服務,依賴企業邊界進行安全保護顯然成為一種負擔。ZTA認為,企業擁有和運營的網絡基礎設施與任何其他服務提供商擁有的基礎設施之間應該沒有區別。多雲使用的零信任方法,是在每個應用程式和數據源的訪問點放置PEP。PE和PA可以是位於雲或甚至第三個雲提供商上的服務。然後,客戶端(通過門戶或本地安裝的代理)直接訪問PEPs。這樣, 即使託管在企業外部,企業仍然可以管理對資源的訪問。

　　圖2:多雲用例

　　3 .臨時工、外包員工訪問業務系統

　　另一個常見的場景是,一個企業包含需要有限訪問企業資源才能完成工作的現場訪問者和/或外包服務提供商(見圖3)。例如,企業有自己的內部應用程式、資料庫和員工工作系統。這些包括外包給偶爾在現場提供維護任務的供應商的服務(例如,由外部供應商擁有和管理的智能暖通空調(HVAC)系統和照明系統)。這些訪客和服務提供商將需要網絡連接來執行他們的任務。ZTA網絡可以通過允許這些設備(以及任何來訪的服務技術人員)訪問Internet來實現這一點,同時還可以屏蔽企業資源。

　　在本例中,該組織還有一個會議中心,訪客可以在其中與員工進行交互。同樣,通過ZTA的SDP策略,員工設備和用戶是有區別的,可以分別訪問恰當的企業資源。進入校園的訪客可以訪問Internet,但不能訪問企業資源。它們甚至不能進行網絡掃描,以查找可能可見的企業服務(即阻止主動網絡偵察)。

　　圖3:具有非員工訪問的企業

　　4. 跨企業協同

　　第四個用例是跨企業協作。例如,有一個項目涉及企業A和企業B的員工(見圖4)。這兩個企業可以是獨立的聯邦機構(G2G),甚至是聯邦機構和私營企業(G2B)。企業A運行用於項目的資料庫,但必須允許企業B的某些成員訪問數據。企業A可以為企業B的員工設置專用帳戶,以訪問所需的數據並拒絕訪問所有其他資源。

　　圖4:跨企業協作

　　5. 提供面向公眾或面向客戶的服務的企業

　　許多企業的共同特徵是面向公眾的服務,其中可能包含或不包含用戶註冊(即用戶必須創建或已獲得一組登錄憑據)。這樣服務可能是針對普通大眾,具有現有業務關係的一組客戶,或一組特殊的非企業用戶,例如員工家屬。在所有情況下,要求資產不是企業所有,企業在內部網絡安全政策可以得到執行。對於不需要登錄憑據即可訪問的通用公共資源(例如,公共網頁),則ZTA的原則並不直接適用。企業不能嚴格控制請求資產的狀態,公共資源不需要憑據即可訪問。企業可以為註冊的公眾用戶,(例如客戶,即擁有業務關係)和特殊用戶(例如僱員的家屬)。如果要求用戶產生或獲得證書,企業可以制定有關密碼長度的政策,生命周期以及其他詳細信息,並且可以提供MFA作為選項或要求。然而,企業在可以針對此類用戶實施的策略方面受到限制。相關信息傳入請求可能有助於確定公共服務的狀態並檢測冒充合法用戶的可能攻擊。例如,一個已知的註冊用戶門戶由註冊客戶使用一組常見的Web瀏覽器之一訪問。突然來自未知瀏覽器類型或已知過時版本的訪問請求可能會增加表示某種形式的自動攻擊,企業可以採取措施限制請求來自這些確定的客戶。企業還應了解任何法規或規定關於可以收集和記錄有關請求用戶和資產的信息。

　　6.員工訪問網際網路資源

　　員工正在嘗試訪問公共Internet以完成某些任務。此場景將演示一種特定的用戶體驗,其中員工嘗試使用企業管理的設備在Internet上訪問基於web的服務。雖然基於Web的服務不是由企業擁有和管理的,但是該項目中實現的ZTA解決方案仍然會動態和實時地提供對該資源的相關訪問請求。該解決方案將允許員工在任何位置訪問,也就是說,員工可以使用企業管理設備在企業內部網、分支辦公室或公共網際網路內連接時訪問網際網路。

　　圖5:訪問網際網路

　　7.企業內的伺服器間通信

　　企業服務通常有不同的伺服器相互通信。例如,web伺服器與應用伺服器通信。應用伺服器與資料庫通信以將數據檢索回web伺服器。此場景將演示企業內伺服器間交互的示例,其中包括場內、雲中或在本地和雲中伺服器之間的伺服器。本項目中實施的ZTA解決方案,將動態和實時地提供相互交互的指定伺服器之間的關聯網絡通信。

　　圖6.企業內的伺服器間通信

　　8.建立企業資源的信任級別

　　企業有監控系統、安全信息和事件管理(SIEM)系統以及其他資源,這些資源可以向策略引擎提供數據,從而為訪問企業資源創建更細粒度的信任級別,並促進基於信任級別的嚴格訪問。在這種情況下,ZTA解決方案將這些監控和SIEM系統與策略引擎集成,以生成更精確的置信水平計算。

　　寫在最後:

　　雲深互聯表示,信息安全的零信任模型從根本上遏制了城堡和護城河的舊思想,是更適合雲時代的企業安全模型。本文也更好的為大家揭示了零信任安全的應用場景,幫助大家更好的了解零信任的應用。

相關焦點

  • 雲深互聯陳本峰淺析零信任安全模型
    自2010年約翰·金德維格(John Kindervag)首次提出了零信任安全的概念之後,已經有十年時間。零信任安全理念已經在國外已經被廣泛應用,在國內零信任安全也引起了國家相關部門和業界的高度重視。而今年備受關注,是被關注的熱點之一。　　眾所周知,零信任是一種基於嚴格身份驗證過程的網絡安全模型。
  • 雲深互聯在疫情期間免費為企業提供安全接入內網服務
    但多數企業核心應用需要內網辦公，而企業目前並沒有或沒有大規模的遠程接入內網信息系統的解決方案。在疫情期間，雲深互聯為廣大企業免費提供安全接入內網服務。雲深互聯的「深雲SDP」產品作為中國市場的標準化零信任安全軟體產品，可以改變傳統的遠程連接方式：1.不需要採購任何硬體設備；2.不需要任何安裝伺服器端軟體；3.部署快捷，通過三步設置即可完成；
  • 雲深互聯再次入選Gartner的SDP行業報告
    雲深互聯與思科、Zscaler、谷歌等國際知名安全引擎同時入圍，這也是繼 2019 年首次入選Gartner「零信任網絡訪問(簡稱ZTNA) 代表性供應商」之後的第二次入選。 據了解，《軟體定義邊界SDP市場增長研究報告》是自「魔力象限」調整而來，評估依據比「魔力象限」多了市場佔有率等實力因素。
  • 安全管理者俱樂部沙龍丨 「零信任」還有哪些意想不到的應用場景?
    針對產業互聯下企業的安全訴求，周智堅創造性地提出了一套名為「1+N」的零信任架構落地方案：安全業務平臺化運行的安全ERP作為核心的「1」，連接各類安全產品，如員工安全、終端安全、身份識別、權限管理、自動化工具、數據安全等基於零信任的安全能力，從而推動企業從傳統網絡架構向零信任網絡架構轉型。
  • 零信任安全技術研討會在京舉辦 騰訊安全倡導生態聯動規範產業發展
    12月8日，由騰訊安全聯合天融信、綠盟科技共同舉辦的「安全思享會」——零信任安全技術研討會在騰訊北京總部大樓舉辦。
  • 騰訊安全發起安全管理者俱樂部沙龍,首場聚焦 「零信任」落地場景...
    針對產業互聯下企業的安全訴求，周智堅創造性地提出了一套名為「1+N」的零信任架構落地方案：安全業務平臺化運行的安全ERP作為核心的「1」，連接各類安全產品，如員工安全、終端安全、身份識別、權限管理、自動化工具、數據安全等基於零信任的安全能力，從而推動企業從傳統網絡架構向零信任網絡架構轉型。
  • 雲深互聯陳本峰受邀參加「零信任安全十周年峰會」
    近期,雲安全聯盟CSA組織發起了「零信任安全十周年峰會」活動,此次活動由雲深互聯、奇安信、360、聯軟、易安聯、薔薇靈動、啟明星辰、竹雲、山石網科等聯合承辦,並有華為、微軟、騰訊、新華三、深信服、天融信、亞信安全、啟明星辰、綠盟科技等協辦,將是一次圍繞零信任進行深入探討和總結的峰會。
  • 雲深互聯陳本峰:為什麼零信任是遠程辦公的未來趨勢?
    在此情況下,企業如何更安全的實現遠程辦公,是諸多企業關注的重點。特別是後疫情時代的到來,遠程辦公成為當下的主旋律。而零信任在解決遠程辦公的同時,避免了網絡攻擊對企業應用、數據資產造成的威脅,是企業解決遠程辦公的極好選擇。本文將針對於此給出詳細有力的解釋!
  • 網絡如何為零信任提供支持
    構建零信任架構通常要求對網絡資源給予足夠的訪問權限，這樣用戶就可以完成他們的工作任務，網絡本身也可以提供幫助。簡單地說，零信任要求驗證每個試圖訪問網絡的用戶和設備，並實施嚴格的訪問控制和身份管理措施，讓授權用戶只能訪問他們工作所需的資源。
  • 一文詳解工業網際網路8大垂直行業應用場景(附下載)
    編者按工業網際網路與人工智慧近兩年已經進入國家頂層設計階段，其中工業網際網路從概念、技術到應用持續加熱並佔據產業競爭的制高點。今年兩會中，多位代表委員都提及了工業網際網路，並結合工業網際網路的發展現狀，提出合理化建議，推動製造業的轉型升級。
  • 雲深互聯陳本峰談零信任架構的3大核心技術
    2019年,在工信部公開徵求對《關於促進網絡安全產業發展的指導意見(徵求意見稿)》的意見中,「零信任安全」首次被列入網絡安全需要突破的關鍵技術。同年,國家首次將零信任安全技術和5G、雲安全等並列列為我國網絡安全重點細分領域技術。由此可見,零信任安全同樣引起了國家相關部門和業界的高度重視。
  • 深耕製造業網絡應用場景,銳捷助力酷特雲藍轉型升級
    此外，李克鵬表示辦公區域酷特雲藍也有著高強度的網絡需求，例如接待訪客，需要滿足數百人的參觀團的並發入網，同時還要與生產網絡相隔離以保障企業安全，這也讓大峰值波動用網需求的安全、穩定必須成為常態。
  • 網絡安全:如何正確理解零信任架構和設備完整性並付諸企業實踐?
    零信任避開了舊的「內部受信任，外部不受信任」的模型，而是提出每個連接在經過驗證之前都是不可信的。在授予訪問權限之前，必須從安全角度評估每個會話，並不斷重新評估信任。因此，零信任模型不斷地適應新的信息，理想情況下，當呈現訪問決策時，它將包含多個安全上下文。用戶的身份是否經過驗證，是否允許他們訪問特定的資源？用戶設備的完整性是否得到驗證？使用哪些應用程式和服務進行連接？
  • 雲米發布5G IoT戰略:從產品智能到場景智能
    實現全屋場景5G網絡高速覆蓋，支持最大 256+IoT設備的接入量，雲米5G IoT將解決過往諸多連接弊端，讓用戶享受全屋互聯的全場景體驗。算力——雲端算力將複雜的計算、大量的存儲放歸雲端，雲遊戲、雲APP，都將通過5G IoT的普及而落地。打造雲上超級大腦，實現雲端算力無限拓展。
  • 遠程辦公常態化,網絡安全迫在眉睫,「零信任安全」的風口到了嗎?
    在一季度，國內不少廠商都推出了遠程辦公產品，中科曙光聯合北信源推出「光圈兒」、致遠互聯發布了「致遠協同雲」、華為WeLink在各大高校機關緊急上線、騰訊推出不久「騰訊會議」產品也在疫情中得到廣泛應用。此前著重在C端推廣產品的印象筆記，已經開始針對B端客戶推出的獨立品牌「印象團隊」。據印象筆記官方微信號消息，「印象團隊」app將在4月開啟內測，6月正式推出。
  • 騰訊安全《遊戲行業雲上安全報告》發布:9成雲上主機存在安全基線...
    報告最後建議遊戲廠商應綜合部署雲上安全產品，構築雲上安全防護體系。惡意木馬事件顯著上升，企業需提升雲主機管理意識2020年下半年惡意木馬感染情況明顯增加，近10%的遊戲廠商在一個月內檢測到木馬攻擊。挖礦木馬在雲上攻擊事件中是最為流行的安全事件之一，它們佔用大量主機資源，進而影響業務正常運行。
  • 雲時代的遠程安全接入(組圖)
    同時，SSL協議位於TCP/IP協議與應用層協議之間，其安全控制粒度可以做到精細化，可以僅開放一個主機、一個埠甚至一個URL。但相應的，其應用兼容性整體上則更弱一些。SSL VPN相對於IPsec VPN的另外一個核心優勢在於：無需增加設備、無需改動接入側的網絡結構即可實現安全接入。這非常適用於租賃型的雲計算應用場景，比如：超算中心。
  • 5G與智能智造深度報告:雲上互聯、別開生面
    賦能智能製造發展痛點突破，工業網際網路是 5G潛在的最大殺手級應用 2.2.1. 5G 三大場景高速率、大容量、低時延高可靠，工業網際網路需求清晰可見 根據 ITU（國際電信聯盟）的願景，5G 的應用場景應劃分為增強型移動寬帶（eMBB）、大 連接物聯網（mMTC
  • 從6大應用場景,看邊緣計算落地生根
    數據安全數據極短距離的傳輸，減少了數據暴露在網絡上的時間，降低數據洩露風險，保護終端產生數據的安全。邊緣應用管理納管邊緣端原有的服務，將中心雲的雲原生能力提供給邊緣應用。多邊緣端應用的發布、升級等操作，可直接在中心雲操作，簡化原有的操作流程，降低維護成本。