綠盟科技 | 零信任架構助力實現智慧安全3.0可信訪問
5G、云計算、人工智能、物聯網、工業互聯網等新基建的快速融合發展不斷模糊網絡的安全邊界。隨著網絡安全形勢的不斷演進，針對信息系統的網絡安全威脅環境也發生了重大變化，勒索軟件、0-Day漏洞、高級持續性威脅已成為當前的主流攻擊形式。網絡安全攻擊已逐步形成組織嚴密、技術精湛的團隊化作戰，攻擊者的不對稱性優勢，也一直是安全團隊面臨的最大問題。在這種攻防失衡的局勢中，傳統的基于邊界安全防護，單次靜態安全策略配置的安全措施已經無法滿足業務發展的安全需求，網絡安全產業面臨著新一輪技術更新換代所帶來的挑戰和發展機遇。
綠盟科技基于當前形勢，以及對網絡安全面臨的新挑戰的觀察和對未來發展的深度思考，提出了構建“全場景、可信任、實戰化”的智慧安全3.0安全理念，“全場景”把智慧安全的外延擴展到整個網絡空間，全部數字化應用場景；“實戰化”呼應當前新形勢要求，而“可信任”的則是內涵的擴展，充分參考了CARTA及零信任模型，認為安全不僅僅是攻擊防護，還是信任模型的建立與保障，通過持續驗證多方身份、持續行為評估，擺脫傳統的補丁式、外掛式、圍墻式思路，形成網絡安全縱深防御信任保障體系。
零信任架構
我們通過模擬黑客攻擊來還原整個攻擊鏈過程，以此來研究傳統網絡安全防護思路中的薄弱點及弱勢。攻擊者不管出于何種目的，在攻擊行為發生時，一般都是通過網絡邊界漏洞、社工等手段獲取用戶身份，繼而利用獲取的合法身份通過終端登錄目標系統、觸發違規行為獲取非法數據，以此來達成攻擊目的。在這種傳統的防御模式下，一旦攻擊者突破了邊界，利用非法獲取到的合法身份，經過一次驗證，安全措施就將形同虛設，進一步的橫向攻擊將不受阻礙。
這也是傳統邊界安全理念存在的先天不足，邊界安全的建設其實已經默認了內網的安全性。邊界一旦突破，內網就會被攻擊者欲取予得。在這種傳統邊界理念先天劣勢的狀況下，零信任這種以資源保護為核心的網絡安全范式，恰恰能夠彌補邊界安全思路的先天不足。既然網絡訪問的環節有不可信的風險，那么我們的管控手段就要覆蓋到每個環節，對于任何用戶、設備、行為默認都是不信任的，通過對身份、終端、行為多個角度持續評估信任關系，任意環節的失信都能通過策略聯動，實現動態防護，持續保護內網資源安全。
可信訪問三要素
網絡安全能力的具體體現是為了保護內網資源的安全，用戶對內網資源訪問，實質上就是用戶利用終端通過身份驗證訪問內網資源的行為。整個過程中為了保證業務訪問通道的可信，通過智慧安全3.0可信任的理念，基于可信身份，可信設備，可信行為三方面，決定訪問通道的建立，實現對客戶業務環境的可信任訪問。
人員可信：針對人員的可信體現在用戶的身份認證和最小化權限授予。用戶身份主要的目的是用于認證及授權，通常利用雙因素認證或多因素認證的加強，通過短信、指紋、令牌多種認證方式建立一個多層次的身份驗證層面的防御，如果一個認證因素遭到竊取，其他因素應該仍然存在，進而能夠阻止非授權的訪問。最小化權限授予，指的是人員在經過認證之后要實現對應用層面的最小授權，保證用戶與應用的權限映射，只能獲得完成任務的最小權限。
設備可信：終端設備是任何攻擊發起的載體，為了更好的構建可信訪問通道，我們將設備的身份、當前的安全狀況等因素作為一個屬性去判斷訪問通道是否可以建立。在訪問建立之初，全面感知設備的當前安全性，終端安全防護的措施，以及安全基線情況，只有滿足我們預先設置好的信任評估值，才能進行訪問通道的建立。
行為可信：所有的訪問意圖都需要通過行為表達，為了確保訪問行為的合規、可信，通過持續跟蹤用戶和終端發起的訪問行為，這些行為可能是較長時間周期的異常行為，也可能是網絡安全角度正常的違規行為，在傳統的檢測設備無法做出有效的響應的情況下，需要利用基線算法、圖算法、時間序列分析等行為分析方法來做分析和檢測。來發現內部威脅以及外部入侵行為。利用用戶實體行為分析技術（UEBA）長周期分析用戶行為特征，將行為特征進行橫向與縱向對比，持續進行風險評估，更為全面地了解發現內部威脅以及外部入侵行為。
構建可信訪問通道
網絡安全最終的目的還是要應用于實戰，強調更多的還是安全防護效果、安全措施的有效性，這些其實都需要實戰化的演練進行驗證。面對新的形勢，安全已不僅是合規要求，安全融入業務，與業務共生、安全建設中也應與時俱進摒棄傳統的邊界安全思想，基于CARTA及零信任模型，最小化攻擊暴露面，根據業務重要性重建可信訪問通道。
在整個安全的業務訪問通道建立過程中，整個訪問通道通過零信任的安全部件，利用終端環境感知，實時感知設備安全狀態，通過可信認證網關實現應用暴露面隱藏，通過統一身份管理平臺來持續驗證用戶的身份和權限，驗證終端設備的安全性。
可信訪問的原則是單一因素的可信,并不能代表訪問的可信, 需要多方面評估三者之間關系。通過零信任分析和控制平臺將匯聚的數據結合資產組網、防護關系、歷史行為數據、安全事件等各種數據，對用戶、終端、應用、網絡環境進行風險和信任分析，一旦某一個環節出現問題，通過自動化編排結合專家研判等方式,動態調整安全策略, 實現對風險的快速和自適應響應。
可信任、更安全
隨著數字經濟的深入發展，“數字信任”將會成為未來的一大熱點。智慧安全3.0提出的“可信任”要素，突破了傳統網絡安全的界限，從業務視角出發，融入零信任思想，為用戶構建信任模型，以應對復雜多變的網絡環境與威脅。另一方面，持續保障自身安全能力、產品與服務的可信任，構建可信任網絡環境，優化安全策略，形成安全防御保障體系的持續優化，確保網絡安全綜合防護能力和水平的顯著提升。
