從零信任的實(shí)踐方面，結(jié)合國內(nèi)的實(shí)際情況，一要保證零信任理念的落地的便利性，二要注重整個方案的安全、合規(guī)特性。

　　零信任安全解決方案不是交鑰匙工程，除了有完善的方案和成熟的產(chǎn)品做支撐外，還需要對客戶的使用場景進(jìn)行全面而細(xì)致的調(diào)研，緊密結(jié)合用戶業(yè)務(wù)場景不斷的迭代安全基線，才能最大程度上兼顧安全性與易用性。針對上述背景，本期發(fā)布牛品推薦：吉大正元——基于密碼技術(shù)的零信任解決方案，其通過將密碼技術(shù)賦能零信任架構(gòu)，為零信任解決方案建立堅(jiān)實(shí)的安全底座，為廣大用戶在提升網(wǎng)絡(luò)安全能力的同時，也為符合等保、密評的相關(guān)要求做好技術(shù)準(zhǔn)備。

　　#牛品推薦第二十五期 #

　　01

　　標(biāo)簽

　　零信任，密碼技術(shù)，動態(tài)訪問控制，多實(shí)體身份管理，多數(shù)據(jù)源持續(xù)評估，國密SSL安全通道，國密算法證書認(rèn)證，SDP，資源隱藏，先認(rèn)證后鏈接

　　02

　　用戶痛點(diǎn)

　　1、傳統(tǒng)安全邊界瓦解

　　傳統(tǒng)安全模型僅關(guān)注邊界的網(wǎng)絡(luò)安全防護(hù)，認(rèn)為外部網(wǎng)絡(luò)不可信，內(nèi)部網(wǎng)絡(luò)是可以信任的。各種設(shè)備可隨時隨地進(jìn)行企業(yè)數(shù)據(jù)訪問提高了企業(yè)運(yùn)行效率，同時也帶來更多安全風(fēng)險(xiǎn)。

　　2、外部風(fēng)險(xiǎn)暴露面不斷增加

　　企業(yè)數(shù)據(jù)不再僅限于內(nèi)部自有使用或存儲，隨著云大物移智的發(fā)展，數(shù)據(jù)信息云化存儲、數(shù)據(jù)遍地走的場景愈加普遍。

　　3、企業(yè)人員和設(shè)備多樣性增加

　　企業(yè)員工、外包人員、合作伙伴等多種人員類型，在使用企業(yè)內(nèi)部管理設(shè)備、家用PC、個人移動終端等，從任何時間、任何地點(diǎn)遠(yuǎn)程訪問業(yè)務(wù)。各種訪問人員的身份和權(quán)限管理混亂；接入設(shè)備的安全性參差不齊，接入程序漏洞無法避免等，帶來極大風(fēng)險(xiǎn)。

　　4、數(shù)據(jù)泄露和濫用風(fēng)險(xiǎn)增加

　　企業(yè)的業(yè)務(wù)數(shù)據(jù)在不同的人員、設(shè)備、系統(tǒng)之間頻繁流動，原本只能存放于企業(yè)數(shù)據(jù)中心的數(shù)據(jù)也不得不面臨在員工個人終端留存的問題。數(shù)據(jù)在未經(jīng)身份驗(yàn)證的設(shè)備間流動，增加了數(shù)據(jù)泄露的危險(xiǎn)。

　　5、內(nèi)部員工對數(shù)據(jù)的惡意竊取

　　在非授權(quán)訪問、員工無意犯錯等情況下，“合法用戶”非法訪問特定的業(yè)務(wù)和數(shù)據(jù)資源后，造成數(shù)據(jù)中心內(nèi)部數(shù)據(jù)泄露，甚至可能發(fā)生內(nèi)部員工獲取管理員權(quán)限，導(dǎo)致更大范圍、更高級別的數(shù)據(jù)中心災(zāi)難性事故。

　　03

　　解決方案

　　吉大正元通過以下幾個層面的安全策略解決上述挑戰(zhàn)和用戶痛點(diǎn)：

　　將身份作為訪問控制的基礎(chǔ)：IAM結(jié)合數(shù)字證書體系為所有參與訪問的實(shí)體賦予數(shù)字身份，為以身份作為基石的零信任安全解決方案打下堅(jiān)實(shí)的基礎(chǔ)；

　　最小權(quán)限原則：強(qiáng)調(diào)資源的使用按需分配，僅授予其所需的最小權(quán)限。同時限制了資源的可見性。默認(rèn)情況下，資源對未經(jīng)認(rèn)證的訪問發(fā)起方不可見；

　　資源安全訪問：通過SDP實(shí)現(xiàn)先信任后鏈接，要求所有訪問鏈必須加密。可信訪問網(wǎng)關(guān)提供建立國密SSL安全通道能力；

　　基于多源數(shù)據(jù)進(jìn)行信任等級持續(xù)評估：訪問發(fā)起方信任等級是動態(tài)訪問控制的重要決策依據(jù)。通過不同維度（終端環(huán)境監(jiān)測，實(shí)體行為分析等）的關(guān)聯(lián)分析，讓信任等級評估更加準(zhǔn)確和可信；

　　實(shí)時計(jì)算訪問策略：一旦訪問發(fā)起方的信任等級發(fā)生變化，安全策略引擎會實(shí)時匹配與信任等級所對應(yīng)的訪問策略。有效減少資源受到威脅的時間；

　　動態(tài)訪問控制機(jī)制：當(dāng)安全控制中心發(fā)現(xiàn)訪問發(fā)起方的信任等級發(fā)生變化后，安全控制中心作為策略決策點(diǎn)，向各個策略執(zhí)行點(diǎn)下發(fā)安全訪問控制策略。結(jié)合各策略執(zhí)行點(diǎn)能力，可實(shí)現(xiàn)自適應(yīng)多因子認(rèn)證，動態(tài)權(quán)限訪問控制，會話熔斷，身份失效，終端隔離等動態(tài)訪問控制能力。

　　以密碼技術(shù)為基礎(chǔ)：保障實(shí)體身份的真實(shí)性。保障數(shù)據(jù)傳輸及存儲過程中的完整性和機(jī)密性及不可否認(rèn)性。

　　方案總體架構(gòu)

　　1、動態(tài)訪問控制體系

　　動態(tài)訪問控制體系主要負(fù)責(zé)實(shí)體身份管理認(rèn)證及授權(quán)，定義動態(tài)訪問控制策略，通過不同維度的感知能力評估訪問主體是否可信，并根據(jù)評估結(jié)果和資源敏感等級，向各個策略執(zhí)行點(diǎn)進(jìn)行策略下發(fā)，動態(tài)訪問控制的主要產(chǎn)品組件如下：

　　1） IAM：

　　作為動態(tài)訪問控制的基礎(chǔ)，為零信任提供身份管理、身份認(rèn)證、細(xì)粒度授權(quán)及行為審計(jì)能力。

　　2）安全控制中心：

　　作為動態(tài)訪問控制策略管理者：負(fù)責(zé)管理動態(tài)訪問控制規(guī)則。作為安全策略引擎：負(fù)責(zé)通過多數(shù)據(jù)源對用戶信任等級進(jìn)行持續(xù)評估，并根據(jù)用戶信任等級與訪問資源的敏感程度進(jìn)行動態(tài)訪問控制策略匹配，最后將匹配到的結(jié)果下發(fā)到各個策略執(zhí)行點(diǎn)。

　　3）威脅感知：

　　通過終端環(huán)境監(jiān)測、用戶實(shí)體行為分析等可信評估數(shù)據(jù)源對訪問主體及設(shè)備存在的風(fēng)險(xiǎn)或威脅進(jìn)行監(jiān)測和分析。當(dāng)出現(xiàn)安全事件時，及時上報(bào)給安全控制中心。

　　2、可信訪問網(wǎng)關(guān)/API可信網(wǎng)關(guān)：

　　可信訪問網(wǎng)關(guān)和API可信網(wǎng)關(guān)是確保業(yè)務(wù)訪問安全的關(guān)口，為零信任提供支持建立國密SSL安全通道，動態(tài)會話阻斷，資源隱藏等能力。

　　1）策略執(zhí)行點(diǎn)：

　　主要負(fù)責(zé)執(zhí)行由安全控制中心下發(fā)的動態(tài)訪問控制策略，避免企業(yè)資源遭到更大的威脅。主要包括以下動態(tài)訪問控制能力：二次認(rèn)證、限制訪問、會話熔斷、身份失效、終端隔離等。

　　2）密碼支撐服務(wù)：

　　可以為人員、設(shè)備、應(yīng)用頒發(fā)高安全等級的國密數(shù)字證書，在通信鏈路上實(shí)現(xiàn)國密安全信道，在應(yīng)用數(shù)據(jù)方面通過數(shù)字簽名保護(hù)數(shù)據(jù)的完整性、使其具有防篡改、抗抵賴的特性，通過“數(shù)據(jù)加密”保護(hù)敏感數(shù)據(jù)的機(jī)密性，通過時間戳技術(shù)保障整個系統(tǒng)的時間可靠性。

　　04

　　應(yīng)用場景

　　1、用戶可信訪問企業(yè)資源

　　通過IAM對身份及權(quán)限的統(tǒng)一管理，多因子認(rèn)證和基于多數(shù)據(jù)源的持續(xù)評估，確保訪問發(fā)起者可信。通過建立國密SSL安全通道確保訪問通道可信，通過資源隱藏技術(shù)，確保企業(yè)資源安全。實(shí)現(xiàn)了訪問的全流程安全保護(hù)。為企業(yè)提供了多類型用戶、多網(wǎng)絡(luò)位置、多種訪問途徑、多類型終端設(shè)備自適應(yīng)無感安全訪問能力。

　　2、VPN訪問路徑

　　VPN是面向網(wǎng)絡(luò)連接，使用VPN連接后，資源就面臨直接暴露的風(fēng)險(xiǎn)。缺乏整體的安全管控分析能力，容易受到弱口令、憑證丟失等方式的安全威脅。零信任是面向應(yīng)用連接，可以有效的減少資源暴露面積，通過動態(tài)訪問控制和信道加密等技術(shù)讓訪問更可信。

　　3、云桌面訪問路徑

　　云桌面與零信任對接后，能夠讓云桌面訪問路徑得到更加完善的安全保護(hù)。對接后云桌面即可獲得單點(diǎn)登錄、自適應(yīng)多因子認(rèn)證，實(shí)時阻斷等動態(tài)訪問控制能力。

　　05

　　用戶反饋

　　通過零信任項(xiàng)目的落地，把提升認(rèn)證與訪問控制相關(guān)的安全性進(jìn)行了大幅優(yōu)化，涉及用戶統(tǒng)一管理、API統(tǒng)一管理、業(yè)務(wù)應(yīng)用統(tǒng)一管理、動態(tài)權(quán)問控制等。

　　——某央企集團(tuán)

　　除了有好的方案與好的產(chǎn)品做支撐外，吉大對客戶的訪問方式方法、進(jìn)行全面而細(xì)致的調(diào)研，通過緊密結(jié)合用戶應(yīng)用場景完善零信任動態(tài)訪問控制策略，最大程度上兼顧了安全與易用性。

　　——某省廳

　　迅速有效的解決了遠(yuǎn)程辦公的認(rèn)證和訪問控制的安全問題，保障期間，沒有出現(xiàn)過任何安全風(fēng)險(xiǎn)，特此感謝。

　　——某央企用戶

　　安全牛評

　　隨著互聯(lián)網(wǎng)越來越開放，網(wǎng)絡(luò)訪問也從邊界向邊緣轉(zhuǎn)變。零信任是解決當(dāng)前安全接入的一種解決思路，而其中基于身份的訪問控制則是零信任的基石。吉大正元零信任方案分為訪問控制和零信任網(wǎng)關(guān)，在訪問控制中基于最小權(quán)限對實(shí)體行為進(jìn)行管理，從而保證對用戶的精準(zhǔn)畫像；在可信網(wǎng)關(guān)中，利用動態(tài)策略對網(wǎng)絡(luò)訪問行為進(jìn)行控制。訪問主體的身份信息、權(quán)限、實(shí)體類型等均是判斷訪問者可信與否的指標(biāo)，訪問目標(biāo)的資源、場景均是判斷訪問者可否訪問的要點(diǎn)。吉大正元的側(cè)重點(diǎn)在于身份的動態(tài)管控思路，是零信任方案的重要支撐部分。