從零信任的實踐方面，結(jié)合國內(nèi)的實際情況，一要保證零信任理念的落地的便利性，二要注重整個方案的安全、合規(guī)特性。

　　零信任安全解決方案不是交鑰匙工程，除了有完善的方案和成熟的產(chǎn)品做支撐外，還需要對客戶的使用場景進行全面而細致的調(diào)研，緊密結(jié)合用戶業(yè)務(wù)場景不斷的迭代安全基線，才能最大程度上兼顧安全性與易用性。針對上述背景，本期發(fā)布牛品推薦：吉大正元——基于密碼技術(shù)的零信任解決方案，其通過將密碼技術(shù)賦能零信任架構(gòu)，為零信任解決方案建立堅實的安全底座，為廣大用戶在提升網(wǎng)絡(luò)安全能力的同時，也為符合等保、密評的相關(guān)要求做好技術(shù)準備。

　　#牛品推薦第二十五期 #

　　01

　　標簽

　　零信任，密碼技術(shù)，動態(tài)訪問控制，多實體身份管理，多數(shù)據(jù)源持續(xù)評估，國密SSL安全通道，國密算法證書認證，SDP，資源隱藏，先認證后鏈接

　　02

　　用戶痛點

　　1、傳統(tǒng)安全邊界瓦解

　　傳統(tǒng)安全模型僅關(guān)注邊界的網(wǎng)絡(luò)安全防護，認為外部網(wǎng)絡(luò)不可信，內(nèi)部網(wǎng)絡(luò)是可以信任的。各種設(shè)備可隨時隨地進行企業(yè)數(shù)據(jù)訪問提高了企業(yè)運行效率，同時也帶來更多安全風(fēng)險。

　　2、外部風(fēng)險暴露面不斷增加

　　企業(yè)數(shù)據(jù)不再僅限于內(nèi)部自有使用或存儲，隨著云大物移智的發(fā)展，數(shù)據(jù)信息云化存儲、數(shù)據(jù)遍地走的場景愈加普遍。

　　3、企業(yè)人員和設(shè)備多樣性增加

　　企業(yè)員工、外包人員、合作伙伴等多種人員類型，在使用企業(yè)內(nèi)部管理設(shè)備、家用PC、個人移動終端等，從任何時間、任何地點遠程訪問業(yè)務(wù)。各種訪問人員的身份和權(quán)限管理混亂；接入設(shè)備的安全性參差不齊，接入程序漏洞無法避免等，帶來極大風(fēng)險。

　　4、數(shù)據(jù)泄露和濫用風(fēng)險增加

　　企業(yè)的業(yè)務(wù)數(shù)據(jù)在不同的人員、設(shè)備、系統(tǒng)之間頻繁流動，原本只能存放于企業(yè)數(shù)據(jù)中心的數(shù)據(jù)也不得不面臨在員工個人終端留存的問題。數(shù)據(jù)在未經(jīng)身份驗證的設(shè)備間流動，增加了數(shù)據(jù)泄露的危險。

　　5、內(nèi)部員工對數(shù)據(jù)的惡意竊取

　　在非授權(quán)訪問、員工無意犯錯等情況下，“合法用戶”非法訪問特定的業(yè)務(wù)和數(shù)據(jù)資源后，造成數(shù)據(jù)中心內(nèi)部數(shù)據(jù)泄露，甚至可能發(fā)生內(nèi)部員工獲取管理員權(quán)限，導(dǎo)致更大范圍、更高級別的數(shù)據(jù)中心災(zāi)難性事故。

　　03

　　解決方案

　　吉大正元通過以下幾個層面的安全策略解決上述挑戰(zhàn)和用戶痛點：

　　將身份作為訪問控制的基礎(chǔ)：IAM結(jié)合數(shù)字證書體系為所有參與訪問的實體賦予數(shù)字身份，為以身份作為基石的零信任安全解決方案打下堅實的基礎(chǔ)；

　　最小權(quán)限原則：強調(diào)資源的使用按需分配，僅授予其所需的最小權(quán)限。同時限制了資源的可見性。默認情況下，資源對未經(jīng)認證的訪問發(fā)起方不可見；

　　資源安全訪問：通過SDP實現(xiàn)先信任后鏈接，要求所有訪問鏈必須加密。可信訪問網(wǎng)關(guān)提供建立國密SSL安全通道能力；

　　基于多源數(shù)據(jù)進行信任等級持續(xù)評估：訪問發(fā)起方信任等級是動態(tài)訪問控制的重要決策依據(jù)。通過不同維度（終端環(huán)境監(jiān)測，實體行為分析等）的關(guān)聯(lián)分析，讓信任等級評估更加準確和可信；

　　實時計算訪問策略：一旦訪問發(fā)起方的信任等級發(fā)生變化，安全策略引擎會實時匹配與信任等級所對應(yīng)的訪問策略。有效減少資源受到威脅的時間；

　　動態(tài)訪問控制機制：當安全控制中心發(fā)現(xiàn)訪問發(fā)起方的信任等級發(fā)生變化后，安全控制中心作為策略決策點，向各個策略執(zhí)行點下發(fā)安全訪問控制策略。結(jié)合各策略執(zhí)行點能力，可實現(xiàn)自適應(yīng)多因子認證，動態(tài)權(quán)限訪問控制，會話熔斷，身份失效，終端隔離等動態(tài)訪問控制能力。

　　以密碼技術(shù)為基礎(chǔ)：保障實體身份的真實性。保障數(shù)據(jù)傳輸及存儲過程中的完整性和機密性及不可否認性。

　　方案總體架構(gòu)

　　1、動態(tài)訪問控制體系

　　動態(tài)訪問控制體系主要負責實體身份管理認證及授權(quán)，定義動態(tài)訪問控制策略，通過不同維度的感知能力評估訪問主體是否可信，并根據(jù)評估結(jié)果和資源敏感等級，向各個策略執(zhí)行點進行策略下發(fā)，動態(tài)訪問控制的主要產(chǎn)品組件如下：

　　1） IAM：

　　作為動態(tài)訪問控制的基礎(chǔ)，為零信任提供身份管理、身份認證、細粒度授權(quán)及行為審計能力。

　　2）安全控制中心：

　　作為動態(tài)訪問控制策略管理者：負責管理動態(tài)訪問控制規(guī)則。作為安全策略引擎：負責通過多數(shù)據(jù)源對用戶信任等級進行持續(xù)評估，并根據(jù)用戶信任等級與訪問資源的敏感程度進行動態(tài)訪問控制策略匹配，最后將匹配到的結(jié)果下發(fā)到各個策略執(zhí)行點。

　　3）威脅感知：

　　通過終端環(huán)境監(jiān)測、用戶實體行為分析等可信評估數(shù)據(jù)源對訪問主體及設(shè)備存在的風(fēng)險或威脅進行監(jiān)測和分析。當出現(xiàn)安全事件時，及時上報給安全控制中心。

　　2、可信訪問網(wǎng)關(guān)/API可信網(wǎng)關(guān)：

　　可信訪問網(wǎng)關(guān)和API可信網(wǎng)關(guān)是確保業(yè)務(wù)訪問安全的關(guān)口，為零信任提供支持建立國密SSL安全通道，動態(tài)會話阻斷，資源隱藏等能力。

　　1）策略執(zhí)行點：

　　主要負責執(zhí)行由安全控制中心下發(fā)的動態(tài)訪問控制策略，避免企業(yè)資源遭到更大的威脅。主要包括以下動態(tài)訪問控制能力：二次認證、限制訪問、會話熔斷、身份失效、終端隔離等。

　　2）密碼支撐服務(wù)：

　　可以為人員、設(shè)備、應(yīng)用頒發(fā)高安全等級的國密數(shù)字證書，在通信鏈路上實現(xiàn)國密安全信道，在應(yīng)用數(shù)據(jù)方面通過數(shù)字簽名保護數(shù)據(jù)的完整性、使其具有防篡改、抗抵賴的特性，通過“數(shù)據(jù)加密”保護敏感數(shù)據(jù)的機密性，通過時間戳技術(shù)保障整個系統(tǒng)的時間可靠性。

　　04

　　應(yīng)用場景

　　1、用戶可信訪問企業(yè)資源

　　通過IAM對身份及權(quán)限的統(tǒng)一管理，多因子認證和基于多數(shù)據(jù)源的持續(xù)評估，確保訪問發(fā)起者可信。通過建立國密SSL安全通道確保訪問通道可信，通過資源隱藏技術(shù)，確保企業(yè)資源安全。實現(xiàn)了訪問的全流程安全保護。為企業(yè)提供了多類型用戶、多網(wǎng)絡(luò)位置、多種訪問途徑、多類型終端設(shè)備自適應(yīng)無感安全訪問能力。

　　2、VPN訪問路徑

　　VPN是面向網(wǎng)絡(luò)連接，使用VPN連接后，資源就面臨直接暴露的風(fēng)險。缺乏整體的安全管控分析能力，容易受到弱口令、憑證丟失等方式的安全威脅。零信任是面向應(yīng)用連接，可以有效的減少資源暴露面積，通過動態(tài)訪問控制和信道加密等技術(shù)讓訪問更可信。

　　3、云桌面訪問路徑

　　云桌面與零信任對接后，能夠讓云桌面訪問路徑得到更加完善的安全保護。對接后云桌面即可獲得單點登錄、自適應(yīng)多因子認證，實時阻斷等動態(tài)訪問控制能力。

　　05

　　用戶反饋

　　通過零信任項目的落地，把提升認證與訪問控制相關(guān)的安全性進行了大幅優(yōu)化，涉及用戶統(tǒng)一管理、API統(tǒng)一管理、業(yè)務(wù)應(yīng)用統(tǒng)一管理、動態(tài)權(quán)問控制等。

　　——某央企集團

　　除了有好的方案與好的產(chǎn)品做支撐外，吉大對客戶的訪問方式方法、進行全面而細致的調(diào)研，通過緊密結(jié)合用戶應(yīng)用場景完善零信任動態(tài)訪問控制策略，最大程度上兼顧了安全與易用性。

　　——某省廳

　　迅速有效的解決了遠程辦公的認證和訪問控制的安全問題，保障期間，沒有出現(xiàn)過任何安全風(fēng)險，特此感謝。

　　——某央企用戶

　　安全牛評

　　隨著互聯(lián)網(wǎng)越來越開放，網(wǎng)絡(luò)訪問也從邊界向邊緣轉(zhuǎn)變。零信任是解決當前安全接入的一種解決思路，而其中基于身份的訪問控制則是零信任的基石。吉大正元零信任方案分為訪問控制和零信任網(wǎng)關(guān)，在訪問控制中基于最小權(quán)限對實體行為進行管理，從而保證對用戶的精準畫像；在可信網(wǎng)關(guān)中，利用動態(tài)策略對網(wǎng)絡(luò)訪問行為進行控制。訪問主體的身份信息、權(quán)限、實體類型等均是判斷訪問者可信與否的指標，訪問目標的資源、場景均是判斷訪問者可否訪問的要點。吉大正元的側(cè)重點在于身份的動態(tài)管控思路，是零信任方案的重要支撐部分。