零信任网络ZTNA及SDP概念理解

本文是对云安全联盟发布的《NIST零信任架构》及《SDP标准规范》的学习记录，用一句话总结：零信任是一种安全理念，SDP是一种落地方案。

一、什么是零信任网络

传统模型假设：组织网络内的所有事物都应受到信任。威胁者或者组织内恶意人员可能横向移动甚至泄露权限外数据。

零信任网络访问（Zero-Trust Network Access）认为：不能信任出入网络的任何内容，应当创建一种以数据为中心的全新边界，通过强身份认证技术保护数据。

二、网络视角和企业视角的零信任的基本假设

三、零信任架构设计和部署的基本原则

四、零信任网络的逻辑架构

策略引擎PE，Policy Engine：负责最终决定是否授权指定访问主体对资源（访问客体）的访问权限。

策略管理器PA，Policy Administrator：负责建立或切断主体与资源之间的通信路径。生成客户端用于访问资源的任何身份验证令牌或凭证。

策略执行点PEP，Policy Enforcement Point：负责启用、监视并最终终止访问主体和企业资源之间的连接。PEP可能分为两个不同的组件客户端（Agent）和资源端（访问控制网关）

五、零信任架构的常见方案

六、基于设备代理、网关的部署

适用于拥有强大设备管理程序的企业，或者是分散的资源都可以与网关通信。

对于大量利用云服务的企业，这是CSA-SDP的实现。

也适用于不想制定严格的BYOD政策的企业。

七、基于飞地的部署

代理/网关模型的变种。网关组件可能不驻留在资产上或某个资源前面，而是驻留在资源飞地。

通常这些资源仅用于实现单个业务功能或者它们可能无法与网关直接通讯。

也可以应用于基于云上微服务的业务流程（用户通知、数据库查询、工资支出）。

该模型中，整个私有云位于网关后面。缺点是网关只能保护一组资源而并非每个独立的资源，访问主体可能会看到一些他们不该看到的内容。

八、基于资源门户的部署

PEP充当用户请求网关的唯一组件。网关门户可以用于单个资源，也可以用于资源飞地。通过网关门户连接到运行老旧程序的私有云或数据中心。

该模型无需在所有客户端设备上安装软件组件。只能在资产和设备连接到PEP时进行一次性扫描和分析，无法持续进行恶意软件和正确配置的监控。

九、SDP架构及工作流

SDP控制器：控制哪些SDP主机可以互相通信，可以将信息中继到外部认证服务（地理位置或身份服务器）

SDP连接发起主机Initiating Host，IH。

SDP连接接受主机Accepting Host，AH。

1、一个或多个SDP控制器上线，并连接至适当的可选认证和授权服务。（如：PKI颁发证书认证服务、设备验证、地理位置、SAML、OpenID、Oauth、LDAP、kerberos、MFA）

2、一个或多个AH上线，连接到控制器并由其进行身份验证。AH不会应答来自任何其他主机的通信，也不会响应非预分配的请求。

3、每个上线的IH连接SDP控制器并进行身份验证。

4、验证IH之后，SDP控制器确定可授权给IH与之通信的AH列表。

5、通知AH接受来自IH的通信以及加密通信所需的所有安全策略。

6、SDP控制器向IH发送可接受连接的AH列表以及可选安全策略。

7、IH向每个AH发起单包授权，并创建双向TLS连接。

十、SDP的部署模式

不同的应用场景决定了网关和控制器的位置。

十一、SDP关键技术之SPA（Single Packet Authorization）

SPA的实现原则：（开源参考Fwknop（FireWall KNock Operator））

1、数据包必须被加密和认证。

2、数据包必须自行包含所有必要的信息；单独的数据包头不被信任。

3、生成和发送数据包必须不依赖于管理员或底层访问权限；不允许篡改原始数据包。

4、服务器必须尽可能无声地接收和处理数据包；不发送回应或确认。

十二、Google的零信任网络架构

零信任架构以身份为中心，员工能否访问相应的业务，不取决于接入的网络，而取决于其身份是否有对应业务的权限。

GFE：Goolge Front-End，取代边界防火墙的统一接入网关。

Google工程师访问内部业务的流程：

十三、Microsoft的零信任架构

零信任模型假定泄露（而不是假定公司防火墙背后的所有内容均安全）并将每个请求都视为源自开放网络。零信任教导我们，无论请求源自何处或不管访问何种资源，都应坚守“永不信任，始终验证”的原则。每个访问请求在授予访问之前都应进行完全身份验证、授权和加密。应用微分段和最少特权访问原则以最大限度地减少横向迁移。利用丰富的智能和分析进行检测并及时响应异常情况。

零信任安全的简化图，其核心是安全策略执行引擎，可提供实时策略评估。该引擎通过分析信号、应用组织策略和威胁情报来提供保护。在授权访问数据、应用、基础结构和网络之前，它能够确保标识得到验证和认证并且设备安全无虞。此外，它还会持续并且全面地应用可见性、分析以及自动化。

零信任网络ZTNA及SDP概念理解相关推荐

零信任网络ZTNA及SDP概念理解身份认证安当加密
本文是对云安全联盟发布的<NIST零信任架构>及<SDP标准规范>的学习记录,用一句话总结:零信任是一种安全理念,SDP是一种落地方案. 一.什么是零信任网络传统模型假设:组 ...
智安网络详解：零信任网络访问 (ZTNA)原理
传统的基于边界的网络保护将普通用户和特权用户.不安全连接和安全连接,以及外部和内部基础设施部分结合在一起,创建了一个可信区域的假象,很多潜在的安全问题无法解决,越来越多的企业开始转向零信任网络访问来解 ...
网络安全 — 零信任网络访问（ZTNA）
目录文章目录目录零信任网络访问(ZTNA) Identity-driven MFA(身份驱动的多因素身份验证) SDP(软件定义边界) 零信任网络访问(ZTNA) ZTNA(Zero-Trust ...
零信任网络安全——软件定义边界SDP技术架构指南
基本原理+应用场景+落地实施,结合国内特点进行零信任架构技术指导. 近年来,国内信息与通信技术(ICT)发展迅速,各企业将新技术应用于商业环境,推动了其数字化应用与发展.与此同时,也出现了许多信息安全 ...
为什么零信任网络的设计需求有优先级列表？
为了确定零信任网络的实现范围,我们有必要将本书前面章节描述的零信任网络特性排出一个优先级列表.本书给出如下RFC-格式的优先级建议. 基于上述零信任网络的设计需求优先级列表,下面将深入探讨为这些设计需 ...
这本《零信任网络》上架两个月，一直是程序员们最青睐的网络安全书
<零信任网络>上架两个月了,在京东30日新书热销榜中位列第13位.因为这本书一直稳定的受到程序员们的青睐,所以诚挚的推荐给大家. 零信任网络在不可信网络中构建安全系统在充斥着威胁的网络 ...
浅谈零信任网络，入门必读！
未来已来,只是不均衡地分布在当下大家好,我是菜农,欢迎来到我的频道. 本文共 6471字,预计阅读 20 分钟信任是一个很奢侈的东西,无论人与人,亦或是网络之间.在网络监控无处不在的时代,谁值得信 ...
零信任网络的一个重要功能：信任管理
信任管理是零信任网络的一个重要功能.人们对信任这个概念并不陌生,比如,你会信任自己的家人,但不会信任大街上的陌生人,当然更不可能信任面露凶相的陌生人.为什么会这样?信任是如何产生的? 首先,你确实了解 ...
九州云腾双因素认证系统_九州云腾董事长尚红林深度解读零信任网络
近日,由安全牛主办的第三届CSO高端沙龙在北京丽亭华苑酒店顺利举行,九州云腾董事长尚红林作为统一身份认证领域资深专家应邀出席沙龙并做精彩分享. 九州云腾董事长尚红林从下一代IDaaS产品和服务出发,谈 ...

零信任网络ZTNA及SDP概念理解

零信任网络ZTNA及SDP概念理解相关推荐

最新文章

热门文章