零信任身份安全解决方案

1、概述

随着数字化转型的深入,IT基础架构大量引入云计算、移动计算等新兴技术,内外网络物理边界日趋模糊。传统防护思维中,默认内网比外网安全,通过边界部署防火墙等设备,以达到安全保障的目标。在新技术冲击下,防御面急剧膨胀,内外部网络边界交错,边界防护节点难以有效定位。同时,攻击者的技术手段也在日益提升,特别典型的是APT组织,他们通常不会正面进攻,而是以钓鱼邮件,或者从防御薄弱的分支机构迂回等多种方式,绕过边界防护进入企业内部。在内网可信的思维指导下,内网安全防御能力普遍不足,一旦边界被突破,攻击者往往能在整个企业内部自由移动,最终达到攻击目的。

零信任架构的核心思想是“从来不信任,始终在校验”。它默认不信任内外部任何人和行为,遵循“先认证用户和设备,后访问业务”的原则,以身份为中心进行访问控制。零信任的安全监控不仅限于准入的过程,在访问过程中也会持续进行监控,及时发现终端是否被入侵控制,用户是否存在异常威胁行为,并实施动态访问控制。这种将安全技术与应用、业务特性相结合,安全技术与安全运营相结合的理念,使得安全体系具备足够的安全弹性和自适应能力,有利于应对APT等主流攻击。

远程办公由于物理空间不可控,从而衍生出一系列的安全风险,具体表现在终端、链路以及权限三个方面。远程办公中访问者身份、所使用设备、传输网络均不可控,存在访问者身份不明导致的简单侵入窃取机密的风险;终端设备未安装杀毒软件,存在高危安全漏洞;终端网络安全环境不确定,缺少传统的网络安全防护手段,可能接入恶意WiFi,也可能有中间人;使用传统的VPN方式接入,终端获取到内网虚拟IP地址后会直接与内网其他网段资源发生交互,权限无法收缩和控制,导致后端服务的额外暴露。

如今,非现场远程办公成为常态,在保障数据和资产安全的同时,基于零信任网络构建行内外统一的一体化业务访问平台,打造一个基于零信任网络架构体系的远程办公环境至关重要:在远程办公人员、设备和业务系统之间构建一张虚拟的基于身份的逻辑边界;对访问业务数据资产的各类场景进行梳理,逐步构建一个一体化的零信任动态访问控制体系。

2、引入价值

2018年至今,中央部委、政府机关、中大型企业等均开始探索实践零信任安全架构,零信任基于产品化、组件化、场景化等技术特点,可以提供一种轻量级、动态发展的安全策略,且随着数字化转型的逐步深入,零信任本身也将会愈加完善。总体来看,零信任主要表现为以下三点:

•   信任最小化:所有设备、用户和网络流量都应该被认证、授权和加密。

•   网络无特权化:应当始终假设外部和内部威胁每时每刻都充斥着网络,并且不能仅仅依靠网络位置来建立信任关系。

•   权限动态化:访问控制策略应该动态的基于尽量多的数据源进行计算和评估。


零信任的本质是引导安全架构从网络中心化走向身份中心化,进而以身份为中心进行细粒度的自适应访问控制。这里有一个非常重要的前提是身份的识别和认证,落实在技术层面是要构建一个统一的身份认证系统,需要采集包括人、设备、系统和应用等在内的各方面信息。在远程办公安全接入的场景,零信任架构相比于传统方案有以下优势和区别:

解决方案

方案能力

端口映射

WEB应用程序直接发布到互联网环境下,访问由应用自身控制

应用系统直接暴露在暴力破解、XSS等攻击威胁下

VPN

通过VPN建立隧道访问企业内网

1、无细粒度访问控制,接入后内网同网段所有资源均对用户开放

2、多因子认证能力弱

虚拟桌面

员工通过客户端访问虚拟桌面,以虚拟桌面为跳板访问应用及系统

1、对网络质量要求高

2、连入虚拟桌面后,所有资源对用户开放,基本没有访问控制

零信任

通过零信任构建的安全通道,利旧原有安全设备,安全访问企业资源

-   利旧安全投资,覆盖全业务场景

-   提高办公效率,兼顾身份安全

-   细粒度的权限控制

-   全面的行为回溯、动态的安全响应

3、需求分析

随着用户的信息化程度、移动化程度不断提高,用户的内部业务系统逐步成为组织核心资产。能够让员工在职场内(公司办公场所)、职场外(酒店、咖啡厅、在家等)随时随地处理内部业务系统的信息变得越来越普遍和重要。职场内,以防止企业内部威胁为主;职场外,当员工因疫情或其他等原因需在家临时办公,或者长期出差在外,以及外部伙伴因业务合作需要访问企业内部系统,需要确保远程办公访问过程的安全,以减少企业内部系统被从职场外部入侵的风险,如何在保障远程办公安全的同时兼顾效率,是远程办公安全接入场景方案的核心要点。

从远程办公的业务访问需求上来看,主要有以下业务场景:

  • 普通办公:主要需求是访问公司的OA、审批系统、知识管理系统,以及公司的邮件、即时通讯、视频会议系统等;

  • 开发测试:主要需求是访问公司的测试环境、代码仓库、持续集成系统等;

  • 远程运维:主要需求是能远程登陆运维管理平台、远程服务器登陆维护等。

从接入的终端类型来看,用户会使用包括Windows、MacOS、Android、iOS等在内的PC或移动终端接入并访问业务。同时,在用户身份的管理方面,企业内部可能会存在如HR系统、OA系统、LDAP系统等身份目录,需要为远程接入访问的用户建立起一个统一的身份体系。

综上,本次零信任身份安全解决方案需要兼容包括Windows、MacOS、Android、iOS等操作系统,提供面向普通办公、开发测试、远程运维场景的远程访问能力,并通过与用户现网已有的各类身份目录对接,为远程接入用户建立统一的身份体系,以为远程办公安全接入场景提供有效的零信任安全接入防护。

4、整体建设思路

针对以上背景及需求,本次零信任解决方案针对远程办公应用场景,不再采用持续强化边界的思维,不再通过网络区域划分的概念区分职场内外网,而是针对核心业务和数据资产,在它们与人员、设备之间构建一张虚拟的、基于身份的逻辑边界,针对各种业务场景构建一体化的零信任动态访问控制体系。主要包括以下技术价值点:

  • 最大程度上缩小攻击暴露面

零信任解决方案采用白名单的模型,在用户、终端通过认证之前,应用资源对用户是隐身的;即便在用户通过访问身份认证和应用授权后,用户也仅仅获得该授权应用的访问权,并未开放网络使用权,从根本上降低了资产的暴露面、减少应用系统由于0day漏洞等而被攻击到的概率。

  • 降低安全管理成本、保护安全投资

零信任解决方案终结了安全防护手段各自为政的现状,解决方案的部署并不意味着完全新建一套安全防护体系,而是以解决方案为核心,与现网中已有的安全工具集成,提升一体化安全管理能力及响应能力,提升原有安全投资的能效产出,同时以信任模型、动态响应能力等减少威胁响应过程中的人力投入成本。

  • 增强对应用系统的保护

零信任解决方案有效整合与应用系统相关的传输加密、精细化访问控制、应用水印等能力,保护应用资源在网络中的传输和调用。

在落地的技术架构上,解决方案构建了端到端的网络安全体系,包括端点、身份、访问管理、行为分析等能力,总体逻辑架构如下图所示:

零信任安全体系逻辑架构图.jpg

图1.   零信任安全体系逻辑架构图

零信任安全体系核心逻辑组件分为控制平面与数据平面,控制平面的零信任身份服务中心(控制台)承担对用户身份、终端身份、用户权限等的统一管理,并提供零信任体系内的可信认证及访问控制决策能力;零信任身份服务中心与零信任应用代理系统对接,提供统一的访问控制策略下发,并通过零信任应用代理系统对应用的访问请求进行控制,附加应用水印、应用流量管控等措施。

零信任安全体系具备与外部基础设施,包括UEBA引擎、LDAP服务器、第三方终端安全管理系统、企业HR系统等灵活对接的能力,可以向外部基础设施灵活采集用户身份、权限、终端身份、终端安全状态、用户行为风险等信息,并输出用户访问日志,形成零信任体系内的安全闭环联动能力。

详细产品技术解决方案,请咨询爱瑞古德!



扫码关注公众号
服务热线:400-838-6606
联系方式:139 0297 5946
邮箱:zhangt@irigud.com 广东省深圳市南山区粤海街道科技中二路
深圳软件园13 栋601室