近期,美國管理與預算辦公室發(fā)布了《聯(lián)邦零信任戰(zhàn)略》,網絡安全與基礎設施安全局發(fā)布了《零信任成熟度模型》、《云安全技術參考架構》公開征集意見。
本次發(fā)布的三份文件遵循了今年5月美國總統(tǒng)拜登簽署發(fā)布的關于加強聯(lián)邦政府網絡安全的行政令,該項命令中明確涉及多種特定的安全方法與工具,包括多因素身份驗證、加密與零信任等等。這三份文件的發(fā)布表明整個美國聯(lián)邦政府已經正式開啟零信任戰(zhàn)略。
如今,世界各國和組織都在相繼出臺或完善涉及零信任在內的數據安全標準及法規(guī),以抵御日益復雜的網絡威脅。零信任已成為全球網絡安全領域的共識。
當前我國已進入數字化經濟時代,數據資源整合和開放共享是大勢所趨。隨著《中華人民共和國數據安全法》、《關鍵信息基礎設施安全保護條例》等一系列安全法律法規(guī)的正式實施,國家在法律層面加強了對各個行業(yè)的約束。美亞柏科全資子公司美亞網安結合在大數據行業(yè)深耕多年的行業(yè)經驗,基于零信任的安全防護理念,推出“天盾”零信任產品,提供信息系統(tǒng)數據安全保護整體解決方案。
“天盾”零信任產品遵循“永不信任,始終驗證”的原則,旨在隔離一切不可信的訪問身份,排除一切不合規(guī)的操作行為。以數據為中心,實現用戶訪問場景的全流程身份認證、持續(xù)信任評估、動態(tài)訪問控制、實時風險處置、全面業(yè)務審計,變被動為主動、變靜態(tài)為動態(tài),對應用、功能、服務、數據等核心資產的訪問行為進行精細化管控,形成了以保護數據資源為核心的網絡安全范式。
“天盾”零信任產品是面向業(yè)務全流程的安全防護,在零信任傳統(tǒng)理念的基礎上重點關注以下幾個方面:
在身份管理和身份認證方面,“天盾”的做法是由認證服務提供統(tǒng)一登錄門戶,業(yè)務應用都注冊在門戶上,隱藏了應用的實際IP和端口,所有的訪問都是基于門戶域名的訪問,并采用SPA單包認證技術,可有效預防網絡攻擊。
另外,還可進行多因子以及生物特征認證,特別是當訪問一些高敏應用時提供補充認證服務,例如采用人臉識別登錄門戶系統(tǒng),在使用高敏應用時需要通過人臉+聲紋認證,認證失敗時則會再次彈出認證窗口進行補充認證。
圖:認證服務流程
在權限管理方面,過去各企業(yè)在權限管理方面普遍使用基于角色的RBAC授權模式(靜態(tài)授權模式),這種授權模式中角色分配往往是基于靜態(tài)的組織架構和職位,這給某些需要動態(tài)訪問控制的決策帶來了挑戰(zhàn)。如果企業(yè)試圖實現這類訪問控制決策則需要創(chuàng)建大量的角色,這些角色是臨時性的,而且成員有限,導致了通常所說的 "角色爆炸"。
目前,常規(guī)的零信任模式一般采用動態(tài)授權,使用ABAC授權模式(基于屬性的訪問控制),例如可以根據用戶的崗位、職級進行設置授予相應的客體資源。然而在實際的業(yè)務場景下,ABAC的訪問控制粒度還不夠細,例如運維用戶只能在工作日24:00-次日06:00從運維區(qū)域訪問某類數據。
針對以上模式的不足,“天盾”提供了更進一步的PBAC授權模式(基于策略的訪問控制),在ABAC授權模式的基礎上增加環(huán)境屬性、操作屬性,加上響應的訪問規(guī)則,形成基于策略的訪問控制。
圖:PBAC授權模式
我們在零信任的動態(tài)授權上有兩個方面的考慮:一個是根據環(huán)境屬性變化(包括時間、位置、終端評分等)導致用戶的權限發(fā)生變化,并采用最小授權原則。另一個是用戶的實體屬性變化導致權限發(fā)生變化,例如一個用戶從職位A變動為職位B,他的權限會自動根據職位發(fā)生變化,以前職位B能訪問的權限會自動授予給該用戶,這些都可以通過PBAC授權模式得以實現。
同時,“天盾”產品以保護大數據安全為目的,通過數據資源網關提供的大數據服務,可提供字段級(數據表的列)的權限管控,并且可以根據數據的分類分級,對數據進行分級管控。
在業(yè)務安全審計與預警方面,一般的零信任產品在設計上僅僅關注技術實現問題,缺少對業(yè)務安全的考慮。美亞網安“天盾”零信任產品在設計上充分考慮技術和業(yè)務問題,提供具有特色的業(yè)務審計功能。
在業(yè)務審計功能方面,除了基本的審計功能外,“天盾”提供基于風險的預警管理,根據某部委的業(yè)務場景梳理出20+種業(yè)務風險模型,并且基于這些業(yè)務風險模型,創(chuàng)建預警模型,也就是說可以為用戶在事件還未達到風險發(fā)生的情況下做出預警,從而及時避免風險情況發(fā)生。
圖:審計服務模型
在風險發(fā)現與實時處置方面,“天盾”策略服務創(chuàng)建風險模型并下發(fā)給各個零信任服務,當服務發(fā)現風險信息后,上報風險信息,策略服務可以通過下發(fā)指令的方式進行處置,例如和權限服務聯(lián)動,動態(tài)調整用戶權限,縮小用戶權限或者禁止用戶訪問。
圖:風險發(fā)現和處置
對于美亞網安來說,零信任體現的是一種思想理念,其技術實現和應用不是固化的,要貼近用戶業(yè)務和使用場景,因此產品和功能服務必須具有自適應能力,不斷進化,以全流程、體系化的思想去解決安全訪問等問題。在零信任訪問控制的道路上,美亞網安也將持續(xù)對“天盾”產品進行迭代和優(yōu)化,為國家的網絡安全事業(yè)貢獻力量。
（免責聲明：本網站內容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網站出現的信息，均僅供參考。本網站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。
任何單位或個人認為本網站中的網頁或鏈接內容可能涉嫌侵犯其知識產權或存在不實內容時，應及時向本網站提出書面權利通知或不實情況說明，并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內容或斷開相關鏈接。 ）
