零信任安全，从微分段做起

很多网络安全从业人员早上起床后的第一个念头是：在我睡觉的几个小时内，世界上又有新的威胁或攻击出现了吗？

根据《CyberEdge Group 2021 网络威胁防御报告》，86.2% 的受访组织至少遭遇过一次成功的安全攻击（图 1）。Gartner 在 3 月 7 日发布的《Gartner 2022 年主要安全和风险管理趋势》中也指出，网络安全和风险相关的七大趋势中，第一个就是“攻击面扩大”。数字世界和真实世界一样，处于不断的“熵增”中，我们主观上觉得有益或有害的事物，客观上总是在增加。而网络安全威胁的增长趋势，正是企业 IT 管理者和使用者所不愿看到的。每次重大网络安全危机的爆发，都伴随着《今夜无人入睡》的 BGM ——企业的安全管理员所面临的压力可想而知。我们该如何缓解这种无时不在的压力？

图 1：受访组织遭受过至少一次有效安全攻击的比例

“零信任”方法论

俗话说，“最危险的地方，就是最安全的”，但在数字化安全领域，安全的地方反而更加危险。“零信任”就是这样的辩证方法论：将信任归零，始终保持警惕，才是最安全、最稳妥的做法。

信任是一种相互的关系。在通常的应用模型中，“数据”是核心，“应用”是数据的载体，它们是信任的主体和受保护对象；“人”和“设备”是应用和数据的使用方，是信任的客体；连接主体与客体的，是“网络”。在这个架构模型中，客体每一次通过网络访问主体时，所用工作负载和数据都要遵循“最小权限”原则，对每一个客体的每一次访问都要进行认证和授权，这就是“零信任”的指导思想。Gartner 指出，这种指导思想“删除了‘隐式信任’并用‘自适应的显式信任’替换它”，而且“不以任何边界作为信任的条件”。

Forrester 于 2010 年最早提出了数字安全领域的“零信任”概念，并于 2018 年将之扩展为 ZTX 架构（图 2），在数据、工作负载、网络、人、设备五个方面基础上，又扩展了“可视化和分析”、“自动化和编排”两个维度。

图 2：Forrester ZTX 零信任扩展生态系统

基于网络的“微隔离”是实现“最小权限”原则的基础。在各种各样的零信任架构和方法定义中，无论是 NIST（美国国家标准与技术研究院）的“三大支柱”（SIM ——软件定义的边界、身份访问管理、微分段）、CISA（美国网络安全与基础设施安全局）的“五大支柱”（身份、设备、网络、应用、数据），还是上面提到的 Forrester ZTX “七大支柱”，都毫无例外地将“微隔离”或“微分段”作为网络零信任的必要条件。可以形象地说，没有微隔离的应用访问授权，就像是要给没有墙的门上加锁（图 3）。

图 3：没有微隔离的应用访问授权，就像是要给没有墙的门上加锁

云应用与微隔离

采用前述“零信任”方法论，对“任意的人或设备，去访问在任意位置的任意应用”的关系进行梳理，有助于我们认识在云及数据中心侧（应用/数据）实现“微隔离”的重要性。

过去的十余年间，3G/4G/5G 的发展丰富了终端的多样性，并且赋予了终端更多移动性。移动性提高带来的各种需求（如商业用户对“随处办公”的需求、个人用户对数字化生活和防疫的需求），增加了终端与企业云和公有云应用的全方位接触，数以亿计的访问“汇点成面”，对于不可避免地存在着各种未知漏洞的应用，构成了重大威胁。

同时，虚拟化和云计算的发展促进了应用和数据的高度集约化部署。面向最终用户的应用需求的爆炸式增长，也推动了应用开发、部署和迭代模式的变化：从传统的“高、大、全”的单体架构转向“小、快、灵”的微服务架构。应用的网格化、敏捷性和移动性特点日益明显，大大提升了云内和云间的横向互访和数据交流的频度，进一步加速了传统“安全边界”在云上的消亡，凸显了在“最小权限原则”指导下的东-西向隔离的重要性。面向虚拟化和容器的“微分段”（Micro-Segmentation），就是在云内/云间对应用/数据进行“微颗粒度隔离”的具体技术方法。

云内微隔离的实现

虚拟化技术的诞生，是云计算时代的开端。自此开始，信息化系统的最小单元从“物理主机”变为“虚拟主机”；用于连接各个单元的不再是网线，而是虚拟接口；主机彼此间的安全边界也逐步消融到虚拟化集群内部。基于物理主机为最小单位发展出来的安全体系，逐渐失去了防御的目标。容器化的普及，更是进一步加深了人们对不可见的边界及安全问题的忧虑。

虚拟机和容器是应用的新载体，自身当然存在固有边界。为什么不能将安全防御直接构筑在虚拟机和容器的边界上呢？对此持消极态度的原因主要可以归纳为两类：一是，被管对象数量多、移动性强、难以锁定；二是，既有安全防御体系体量大、功能强，但不集中，难以聚力到如此微小的目标上。这种困境，用一句俗语来形容就非常贴切——“高射炮打蚊子”。要走出困境，就要有针对这两类问题的解决方案。

一、维度扩展

对于第一类问题，可以具体化为“基于 IP 地址：端口号的安全策略的困境”。在很多场景下，安全管理员已经将安全策略细化到每一个 IP + Port，但却又必须时时面临着虚拟机和容器的数量、用途和位置不断变化带来的应接不暇的策略变更需求。

在虚拟化和容器环境里，通过增加策略“维度”的方式，可以打破这个困境。原有网络安全策略的基本要素是 IP 地址、协议和端口号，扩展的安全策略中还可能包含时间和 MAC 地址。这最多是一个“五维”安全策略。而虚拟机和容器上，天然可以设置“标签（Tag 或 Label）”，并将标签作为一个新的安全控制要素，制定包含六个“维度”的安全策略。这就为网络安全规则的编写和维护带来了更多便利和可能性。

例如：常见的一个“Web-App-DB”三层应用架构，如果每一层都由 3~4 个虚拟机或容器组成，那么为这个应用编写基于 IP + Port 的安全策略，规则数量有可能多达十几条；当每一层中需要对虚拟机或容器进行增、删、改操作时，都必须调整与之关联的安全规则，甚至有可能需要调整 IP 网段设置。与之对照的是，如果采用基于“标签”这个新维度的安全策略，安全规则数量可以减少到 3 条（图 4），而且对虚拟机或容器进行增、删、改操作，都不需要调整安全规则。

图 4：基于标签的网络安全策略示例

1. “WEB” 允许访问 “APP”，目标端口 TCP：8080；

2. “APP” 允许访问 “DB”，目标端口 TCP：3306；

3. 任意（Any）允许访问 “WEB”，目标端口 TCP：443；

4. 其他流量：默认拒绝。当 VM/Pod 数量变化，或者重放置到不同物理服务器上之后，只要其标签没有变化，对应的安全访问策略就不会变化，即便其 IP 地址（有可能）发生了变化。

二、内生安全

第二个方面的困扰，反映在 Gartner《2020 CISO Effectiveness Survey》的结果中：“当今安全的现实是安全领导者拥有太多工具…78% 的 CISO 在其网络安全供应商组合中拥有 16 种或更多工具，12% 有 46 个或更多工具…拥有太多安全供应商会导致复杂的安全操作，从而丧失业务的敏捷性。” 如果为了在虚拟机和容器环境中实施基于标签的安全策略，还要再增加更多的安全工具，岂不是“负薪救火”？

因此，实施虚拟机和容器微分段的最佳切入点，是 Hypervisor 管理的虚拟交换机 VDS，和容器网络接口 CNI。它们是启用虚拟化或容器化环境所必需的原生网络组件，在此基础上应用“标签”和安全策略，是原生且最直接的微隔离方法。在虚拟机和容器的网络上编写的安全策略，以“默认拒绝”作为底线规则，这与“零信任”安全所要求的“最小权限”原则相一致。这就是“内生安全”的含义。微隔离如果不是内生于虚拟化和容器平台，将不可避免地成为业务敏捷性的累赘——就如 Gartner 对 CISO 调查结果反映的那种困境。

SmartX 超融合方案中的零信任实现

SMTX OS 是由 SmartX 自主研发的超融合软件，提供计算虚拟化、分布式存储和网络与安全等功能。SMTX OS 可以通过基于安全标签的最小权限策略自主为虚拟机创建符合“零信任”要求的微隔离环境，并通过集中的策略管理平台，减轻虚拟化和安全管理员繁重的日常操作。对于采用“标签”为条件的微分段安全策略后的实际效果，可以通过集中的管理平台 CloudTower 进行查看和监控，评估现有策略的有效性和适用性，确保必要的应用流量没有被中断。这是一个不断改进的过程。SmartX 将逐步构建支持虚拟化与容器的统一架构，在一致性基础设施上承载云原生应用并践行“零信任”安全理念。

总结

采用基于虚拟机和容器标签的微分段安全策略，只是云应用环境下微隔离的起步，而不是全部。云应用微隔离也不是“零信任的”全部，面向层出不穷的终端和应用形态，今后必然会有新的安全理论和方法与之相适应。这个过程中，应用层的技术和方法变化得愈复杂，就要求基础设施层愈精炼，这也可以看成是一种“守恒”。因此，精妙的“零信任”应用访问控制，从最简单易行的基础设施微分段做起，就是一种必然。

参考资料：

CyberEdge’s eighth-annual Cyberthreat Defense Report
https://cyber-edge.com/cdr/
Gartner Identifies Top Security and Risk Management Trends for 2022
https://www.gartner.com/en/newsroom/press-releases/2022-03-07-gartner-identifies-top-security-and-risk-management-trends-for-2022
浅谈 Forrester 零信任架构评估的 7 个技术维度
https://cloud.tencent.com/developer/article/1645310
Key Findings: CISO Effectiveness
https://www.gartner.com/en/documents/4001760

零信任安全，从微分段做起相关推荐

案例|这家公司想解开零信任落地难题，拿自己做了1个“实验”
难道做零信任,只是为了纵享丝滑办公体验? 好比练习武术,所谓"外练筋骨皮,内练一口气",别人看到的是你体格健硕,只有你自己能感受到,体质变好了,抵抗力提高了,身体倍儿棒. 归根到底 ...
一文了解微分段应用场景与实现机制
在<零信任安全,从微分段做起>这篇文章中,我们介绍了如何通过微分段技术实现超融合环境下的"零信任"安全策略.同时,日趋显著的"东西向"安全威胁和&q ...
零信任架构在企业中的应用
⼀.前⾔: "零信任⽹络"(亦称零信任架构)⾃2010年被当时还是研究机构Forrester的⾸席分析师JohnKindervag提出时起,便⼀直处于安全圈的"风⼝浪尖& ...
超详细零信任市场解读
零信任零信任的特点: "信任"等于"权限",零信任的实质是通过在网络中消除未经验证的隐含信任构建安全的业务访问环境."从不信任,始终验证" ...
远程办公常态化，网络安全迫在眉睫，“零信任安全”的风口到了吗？
关注ITValue,看企业级最新鲜.最价值报道! 图片来源于@unsplash | 新冠肺炎疫情已经持续了一个多季度,远程办公已经进入常态化发展.产业界和资本界的诸多行为也都在表达对这一市场的看好. ...
实施零信任要考量什么因素？| CSA发布《实战零信任架构》
关注微信公众号"云安全联盟CSA" 回复"实战零信任架构"即可下载全文为什么选择零信任? 5G .云计算.物联网 (IoT) 和面向微服务的架构广泛使用,固定 ...
零信任策略下云上安全信息与事件管理实践
简介:随着企业数字化转型的深入推进,网络安全越来越被企业所重视.为了构建完备的安全防御体系,企业通常会引入了防火墙(Firewall).防病毒系统(Anti-Virus System,AVS).入侵防 ...
零信任技术进阶篇（关键技术及挑战、BeyondCorp安全模型）
目录零信任理论所需技术零信任落地所需技术零信任网络的技术难点零信任网络控制平面如何突破零信任的挑战零信任迁移中的另一项挑战,是让员工具备该新理念的思维方式 BeyondCorp: 谷歌零信 ...
腾讯丁珂：以“零信任”理念重构产业数字化时代安全防御体系
近日,腾讯副总裁丁珂在零信任发展趋势论坛上表示,全球数字化和万物互联的加速,将物理空间的边界彻底打破,以"零信任"理念重构防御体系势在必行. 丁珂表示,零信任虽然还是一个新兴的技术 ...

零信任安全，从微分段做起

零信任安全，从微分段做起相关推荐

最新文章

热门文章