從零信任的實(shí)踐方面,，結(jié)合國內(nèi)的實(shí)際情況,，一要保證零信任理念的落地的便利性,，二要注重整個(gè)方案的安全,、合規(guī)特性,。

　　零信任安全解決方案不是交鑰匙工程,，除了有完善的方案和成熟的產(chǎn)品做支撐外,，還需要對(duì)客戶的使用場(chǎng)景進(jìn)行全面而細(xì)致的調(diào)研,，緊密結(jié)合用戶業(yè)務(wù)場(chǎng)景不斷的迭代安全基線,，才能最大程度上兼顧安全性與易用性,。針對(duì)上述背景，本期發(fā)布牛品推薦：吉大正元——基于密碼技術(shù)的零信任解決方案,，其通過將密碼技術(shù)賦能零信任架構(gòu),，為零信任解決方案建立堅(jiān)實(shí)的安全底座,，為廣大用戶在提升網(wǎng)絡(luò)安全能力的同時(shí)，也為符合等保,、密評(píng)的相關(guān)要求做好技術(shù)準(zhǔn)備,。

　　#牛品推薦第二十五期 #

　　01

　　標(biāo)簽

　　零信任，密碼技術(shù),，動(dòng)態(tài)訪問控制,，多實(shí)體身份管理，多數(shù)據(jù)源持續(xù)評(píng)估,，國密SSL安全通道,，國密算法證書認(rèn)證，SDP,，資源隱藏,，先認(rèn)證后鏈接

　　02

　　用戶痛點(diǎn)

　　1、傳統(tǒng)安全邊界瓦解

　　傳統(tǒng)安全模型僅關(guān)注邊界的網(wǎng)絡(luò)安全防護(hù),，認(rèn)為外部網(wǎng)絡(luò)不可信,，內(nèi)部網(wǎng)絡(luò)是可以信任的。各種設(shè)備可隨時(shí)隨地進(jìn)行企業(yè)數(shù)據(jù)訪問提高了企業(yè)運(yùn)行效率,，同時(shí)也帶來更多安全風(fēng)險(xiǎn),。

　　2、外部風(fēng)險(xiǎn)暴露面不斷增加

　　企業(yè)數(shù)據(jù)不再僅限于內(nèi)部自有使用或存儲(chǔ),，隨著云大物移智的發(fā)展,，數(shù)據(jù)信息云化存儲(chǔ)、數(shù)據(jù)遍地走的場(chǎng)景愈加普遍,。

　　3,、企業(yè)人員和設(shè)備多樣性增加

　　企業(yè)員工、外包人員,、合作伙伴等多種人員類型,，在使用企業(yè)內(nèi)部管理設(shè)備、家用PC,、個(gè)人移動(dòng)終端等,，從任何時(shí)間、任何地點(diǎn)遠(yuǎn)程訪問業(yè)務(wù),。各種訪問人員的身份和權(quán)限管理混亂,；接入設(shè)備的安全性參差不齊，接入程序漏洞無法避免等,，帶來極大風(fēng)險(xiǎn),。

　　4、數(shù)據(jù)泄露和濫用風(fēng)險(xiǎn)增加

　　企業(yè)的業(yè)務(wù)數(shù)據(jù)在不同的人員、設(shè)備,、系統(tǒng)之間頻繁流動(dòng),，原本只能存放于企業(yè)數(shù)據(jù)中心的數(shù)據(jù)也不得不面臨在員工個(gè)人終端留存的問題。數(shù)據(jù)在未經(jīng)身份驗(yàn)證的設(shè)備間流動(dòng),，增加了數(shù)據(jù)泄露的危險(xiǎn),。

　　5、內(nèi)部員工對(duì)數(shù)據(jù)的惡意竊取

　　在非授權(quán)訪問,、員工無意犯錯(cuò)等情況下,，“合法用戶”非法訪問特定的業(yè)務(wù)和數(shù)據(jù)資源后，造成數(shù)據(jù)中心內(nèi)部數(shù)據(jù)泄露,，甚至可能發(fā)生內(nèi)部員工獲取管理員權(quán)限,，導(dǎo)致更大范圍、更高級(jí)別的數(shù)據(jù)中心災(zāi)難性事故,。

　　03

　　解決方案

　　吉大正元通過以下幾個(gè)層面的安全策略解決上述挑戰(zhàn)和用戶痛點(diǎn)：

　　將身份作為訪問控制的基礎(chǔ)：IAM結(jié)合數(shù)字證書體系為所有參與訪問的實(shí)體賦予數(shù)字身份,，為以身份作為基石的零信任安全解決方案打下堅(jiān)實(shí)的基礎(chǔ)；

　　最小權(quán)限原則：強(qiáng)調(diào)資源的使用按需分配,，僅授予其所需的最小權(quán)限,。同時(shí)限制了資源的可見性。默認(rèn)情況下,，資源對(duì)未經(jīng)認(rèn)證的訪問發(fā)起方不可見,；

　　資源安全訪問：通過SDP實(shí)現(xiàn)先信任后鏈接，要求所有訪問鏈必須加密,。可信訪問網(wǎng)關(guān)提供建立國密SSL安全通道能力,；

　　基于多源數(shù)據(jù)進(jìn)行信任等級(jí)持續(xù)評(píng)估：訪問發(fā)起方信任等級(jí)是動(dòng)態(tài)訪問控制的重要決策依據(jù)。通過不同維度（終端環(huán)境監(jiān)測(cè),，實(shí)體行為分析等）的關(guān)聯(lián)分析,，讓信任等級(jí)評(píng)估更加準(zhǔn)確和可信；

　　實(shí)時(shí)計(jì)算訪問策略：一旦訪問發(fā)起方的信任等級(jí)發(fā)生變化,，安全策略引擎會(huì)實(shí)時(shí)匹配與信任等級(jí)所對(duì)應(yīng)的訪問策略,。有效減少資源受到威脅的時(shí)間；

　　動(dòng)態(tài)訪問控制機(jī)制：當(dāng)安全控制中心發(fā)現(xiàn)訪問發(fā)起方的信任等級(jí)發(fā)生變化后,，安全控制中心作為策略決策點(diǎn),，向各個(gè)策略執(zhí)行點(diǎn)下發(fā)安全訪問控制策略。結(jié)合各策略執(zhí)行點(diǎn)能力,，可實(shí)現(xiàn)自適應(yīng)多因子認(rèn)證,，動(dòng)態(tài)權(quán)限訪問控制，會(huì)話熔斷,，身份失效,，終端隔離等動(dòng)態(tài)訪問控制能力。

　　以密碼技術(shù)為基礎(chǔ)：保障實(shí)體身份的真實(shí)性。保障數(shù)據(jù)傳輸及存儲(chǔ)過程中的完整性和機(jī)密性及不可否認(rèn)性,。

　　方案總體架構(gòu)

　　1、動(dòng)態(tài)訪問控制體系

　　動(dòng)態(tài)訪問控制體系主要負(fù)責(zé)實(shí)體身份管理認(rèn)證及授權(quán),，定義動(dòng)態(tài)訪問控制策略,，通過不同維度的感知能力評(píng)估訪問主體是否可信，并根據(jù)評(píng)估結(jié)果和資源敏感等級(jí),，向各個(gè)策略執(zhí)行點(diǎn)進(jìn)行策略下發(fā),，動(dòng)態(tài)訪問控制的主要產(chǎn)品組件如下：

　　1） IAM：

　　作為動(dòng)態(tài)訪問控制的基礎(chǔ)，為零信任提供身份管理,、身份認(rèn)證,、細(xì)粒度授權(quán)及行為審計(jì)能力。

　　2）安全控制中心：

　　作為動(dòng)態(tài)訪問控制策略管理者：負(fù)責(zé)管理動(dòng)態(tài)訪問控制規(guī)則,。作為安全策略引擎：負(fù)責(zé)通過多數(shù)據(jù)源對(duì)用戶信任等級(jí)進(jìn)行持續(xù)評(píng)估,，并根據(jù)用戶信任等級(jí)與訪問資源的敏感程度進(jìn)行動(dòng)態(tài)訪問控制策略匹配，最后將匹配到的結(jié)果下發(fā)到各個(gè)策略執(zhí)行點(diǎn),。

　　3）威脅感知：

　　通過終端環(huán)境監(jiān)測(cè),、用戶實(shí)體行為分析等可信評(píng)估數(shù)據(jù)源對(duì)訪問主體及設(shè)備存在的風(fēng)險(xiǎn)或威脅進(jìn)行監(jiān)測(cè)和分析。當(dāng)出現(xiàn)安全事件時(shí),，及時(shí)上報(bào)給安全控制中心,。

　　2、可信訪問網(wǎng)關(guān)/API可信網(wǎng)關(guān)：

　　可信訪問網(wǎng)關(guān)和API可信網(wǎng)關(guān)是確保業(yè)務(wù)訪問安全的關(guān)口,，為零信任提供支持建立國密SSL安全通道,，動(dòng)態(tài)會(huì)話阻斷，資源隱藏等能力,。

　　1）策略執(zhí)行點(diǎn)：

　　主要負(fù)責(zé)執(zhí)行由安全控制中心下發(fā)的動(dòng)態(tài)訪問控制策略,，避免企業(yè)資源遭到更大的威脅。主要包括以下動(dòng)態(tài)訪問控制能力：二次認(rèn)證,、限制訪問,、會(huì)話熔斷、身份失效,、終端隔離等,。

　　2）密碼支撐服務(wù)：

　　可以為人員、設(shè)備,、應(yīng)用頒發(fā)高安全等級(jí)的國密數(shù)字證書,，在通信鏈路上實(shí)現(xiàn)國密安全信道，在應(yīng)用數(shù)據(jù)方面通過數(shù)字簽名保護(hù)數(shù)據(jù)的完整性,、使其具有防篡改,、抗抵賴的特性，通過“數(shù)據(jù)加密”保護(hù)敏感數(shù)據(jù)的機(jī)密性，通過時(shí)間戳技術(shù)保障整個(gè)系統(tǒng)的時(shí)間可靠性,。

　　04

　　應(yīng)用場(chǎng)景

　　1,、用戶可信訪問企業(yè)資源

　　通過IAM對(duì)身份及權(quán)限的統(tǒng)一管理，多因子認(rèn)證和基于多數(shù)據(jù)源的持續(xù)評(píng)估,，確保訪問發(fā)起者可信,。通過建立國密SSL安全通道確保訪問通道可信，通過資源隱藏技術(shù),，確保企業(yè)資源安全,。實(shí)現(xiàn)了訪問的全流程安全保護(hù)。為企業(yè)提供了多類型用戶,、多網(wǎng)絡(luò)位置,、多種訪問途徑、多類型終端設(shè)備自適應(yīng)無感安全訪問能力,。

　　2,、VPN訪問路徑

　　VPN是面向網(wǎng)絡(luò)連接，使用VPN連接后,，資源就面臨直接暴露的風(fēng)險(xiǎn),。缺乏整體的安全管控分析能力，容易受到弱口令,、憑證丟失等方式的安全威脅,。零信任是面向應(yīng)用連接，可以有效的減少資源暴露面積,，通過動(dòng)態(tài)訪問控制和信道加密等技術(shù)讓訪問更可信,。

　　3、云桌面訪問路徑

　　云桌面與零信任對(duì)接后,，能夠讓云桌面訪問路徑得到更加完善的安全保護(hù),。對(duì)接后云桌面即可獲得單點(diǎn)登錄、自適應(yīng)多因子認(rèn)證,，實(shí)時(shí)阻斷等動(dòng)態(tài)訪問控制能力,。

　　05

　　用戶反饋

　　通過零信任項(xiàng)目的落地，把提升認(rèn)證與訪問控制相關(guān)的安全性進(jìn)行了大幅優(yōu)化,，涉及用戶統(tǒng)一管理,、API統(tǒng)一管理、業(yè)務(wù)應(yīng)用統(tǒng)一管理,、動(dòng)態(tài)權(quán)問控制等,。

　　——某央企集團(tuán)

　　除了有好的方案與好的產(chǎn)品做支撐外，吉大對(duì)客戶的訪問方式方法,、進(jìn)行全面而細(xì)致的調(diào)研,，通過緊密結(jié)合用戶應(yīng)用場(chǎng)景完善零信任動(dòng)態(tài)訪問控制策略,，最大程度上兼顧了安全與易用性。

　　——某省廳

　　迅速有效的解決了遠(yuǎn)程辦公的認(rèn)證和訪問控制的安全問題,，保障期間,，沒有出現(xiàn)過任何安全風(fēng)險(xiǎn)，特此感謝,。

　　——某央企用戶

　　安全牛評(píng)

　　隨著互聯(lián)網(wǎng)越來越開放,，網(wǎng)絡(luò)訪問也從邊界向邊緣轉(zhuǎn)變。零信任是解決當(dāng)前安全接入的一種解決思路,，而其中基于身份的訪問控制則是零信任的基石。吉大正元零信任方案分為訪問控制和零信任網(wǎng)關(guān),，在訪問控制中基于最小權(quán)限對(duì)實(shí)體行為進(jìn)行管理,，從而保證對(duì)用戶的精準(zhǔn)畫像；在可信網(wǎng)關(guān)中,，利用動(dòng)態(tài)策略對(duì)網(wǎng)絡(luò)訪問行為進(jìn)行控制,。訪問主體的身份信息、權(quán)限,、實(shí)體類型等均是判斷訪問者可信與否的指標(biāo),，訪問目標(biāo)的資源、場(chǎng)景均是判斷訪問者可否訪問的要點(diǎn),。吉大正元的側(cè)重點(diǎn)在于身份的動(dòng)態(tài)管控思路,，是零信任方案的重要支撐部分。