零信任架構助力實現智慧安全3.0可信訪問

5G、雲端計算、人工智慧、物聯網、工業網際網路等新基建的快速融合發展不斷模糊網路的安全邊界。隨著網路安全形勢的不斷演進，針對資訊系統的網路安全威脅環境也發生了重大變化，勒索軟體，0-Day漏洞，高階持續性威脅已成為當前的主流攻擊形式。網路安全攻擊已逐步形成組織嚴密、技術精湛的團隊化作戰，攻擊者的不對稱性優勢，也一直是安全團隊面臨的最大問題。在當前這種攻防失衡的局勢中，傳統的基於邊界安全防護，單次靜態安全策略配置的安全措施已經無法滿足業務發展的安全需求，網路安全產業面臨著新一輪技術更新換代所帶來的挑戰和發展機遇。

綠盟科技基於當前形勢，以及對網路安全面臨的新挑戰的觀察和對未來發展的深度思考，提出了構建“全場景、可信任、實戰化”的智慧安全3.0安全理念，“全場景”把智慧安全的外延擴充套件到整個網路空間，全部數字化應用場景；“實戰化”呼應當前新形勢要求，而“可信任”的則是內涵的擴充套件，充分參考了CARTA及零信任模型，認為安全不僅僅是攻擊防護，還是信任模型的建立與保障，透過持續驗證多方身份、持續行為評估，擺脫傳統的補丁式、外掛式、圍牆式思路，形成網路安全縱深防禦信任保障體系。

零信任架構

我們透過模擬駭客攻擊來還原整個攻擊鏈過程，以此來研究傳統網路安全防護思路中的薄弱點及弱勢。攻擊者不管出於何種目的，在攻擊行為發生時，一般都是透過網路邊界漏洞、社工等手段獲取使用者身份，繼而利用獲取的合法身份透過終端登入目標系統、觸發違規行為獲取非法資料，以此來達成攻擊目的。在這種傳統的防禦模式下，一旦攻擊者突破了邊界，利用非法獲取到的合法身份，經過一次驗證，安全措施就將形同虛設，進一步的橫向攻擊將不受阻礙。

這也是傳統邊界安全理念存在的先天不足，邊界安全的建設其實已經預設了內網的安全性。邊界一旦突破，內網就會被攻擊者欲取予得。在這種傳統邊界理念先天劣勢的狀況下，零信任這種以資源保護為核心的網路安全正規化，恰恰能夠彌補邊界安全思路的先天不足。既然網路訪問的環節有不可信的風險，那麼我們的管控手段就要覆蓋到每個環節，對於任何使用者、裝置、行為預設都是不信任的，透過對身份、終端、行為多個角度持續評估信任關係，任意環節的失信都能透過策略聯動，實現動態防護，持續保護內網資源安全。

可信訪問三要素

網路安全能力的具體體現是為了保護內網資源的安全，使用者對內網資源訪問，實質上就是使用者利用終端透過身份驗證訪問內網資源的行為。整個過程中為了保證業務訪問通道的可信，透過智慧安全3.0可信任的理念，基於可信身份，可信裝置，可信行為三方面，決定訪問通道的建立，實現對客戶業務環境的可信任訪問。

人員可信：針對人員的可信體現在使用者的身份認證和最小化許可權授予。使用者身份主要的目的是用於認證及授權，通常利用雙因素認證或多因素認證的加強，透過簡訊、指紋、令牌多種認證方式建立一個多層次的身份驗證層面的防禦，如果一個認證因素遭到竊取，其他因素應該仍然存在，進而能夠阻止非授權的訪問。最小化許可權授予，指的是人員在經過認證之後要實現對應用層面的最小授權，保證使用者與應用的許可權對映，只能獲得完成任務的最小許可權。

裝置可信：終端裝置是任何攻擊發起的載體，為了更好的構建可信訪問通道，我們將裝置的身份、當前的安全狀況等因素作為一個屬性去判斷訪問通道是否可以建立。在訪問建立之初，全面感知裝置的當前安全性，終端安全防護的措施，以及安全基線情況，只有滿足我們預先設定好的信任評估值，才能進行訪問通道的建立。

行為可信：所有的訪問意圖都需要透過行為表達，為了確保訪問行為的合規、可信，透過持續跟蹤使用者和終端發起的訪問行為，這些行為可能是較長時間週期的異常行為，也可能是網路安全形度正常的違規行為，在傳統的檢測裝置無法做出有效的響應的情況下，需要利用基線演算法、圖演算法、時間序列分析等行為分析方法來做分析和檢測。來發現內部威脅以及外部入侵行為。利用使用者實體行為分析技術（UEBA）長週期分析使用者行為特徵，將行為特徵進行橫向與縱向對比，持續進行風險評估，更為全面地瞭解發現內部威脅以及外部入侵行為。

構建可信訪問通道

網路安全最終的目的還是要應用於實戰，強調更多的還是安全防護效果、安全措施的有效性，這些其實都需要實戰化的演練進行驗證。面對新的形勢，安全已不僅是合規要求，安全融入業務，與業務共生、安全建設中也應與時俱進摒棄傳統的邊界安全思想，基於CARTA及零信任模型，最小化攻擊暴露面，根據業務重要性重建可信訪問通道。

在整個安全的業務訪問通道建立過程中，整個訪問通道透過零信任的安全部件，利用終端環境感知，實時感知裝置安全狀態，透過可信認證閘道器實現應用暴露面隱藏，透過統一身份管理平臺來持續驗證使用者的身份和許可權，驗證終端裝置的安全性。

可信訪問的原則是單一因素的可信,並不能代表訪問的可信, 需要多方面評估三者之間關係。透過零信任分析和控制平臺將匯聚的資料結合資產組網、防護關係、歷史行為資料、安全事件等各種資料，對使用者、終端、應用、網路環境進行風險和信任分析，一旦某一個環節出現問題，透過自動化編排結合專家研判等方式,動態調整安全策略, 實現對風險的快速和自適應響應。

可信任、更安全

隨著數字經濟的深入發展，“數字信任”將會成為未來的一大熱點。智慧安全3.0提出的“可信任”要素，突破了傳統網路安全的界限，從業務視角出發，融入零信任思想，為使用者構建信任模型，以應對複雜多變的網路環境與威脅。另一方面，持續保障自身安全能力、產品與服務的可信任，構建可信任網路環境，最佳化安全策略，形成對安全防禦保障體系的持續最佳化，確保網路安全綜合防護能力和水平的顯著提升。