企业网络安全之零信任和身份认证.docx

?

?

企业网络安全之零信任和身份认证

?

?

【摘要】零信任提供了一系列概念和思想，其中心思想是怀疑一切，否定一切，不再以网络边界为限，不能再将内部网络定义为可信任的，企业不应自动信任内部或外部的任何人和设备……身份认证和授权管理是贯穿零信任安全体系中的重要部分，也是实现零信任的前提和关键。

零信任并不是一种技术，而是一个安全概念，是一种建立安全战略的理念、方法和框架。

零信任提供了一系列概念和思想，其中心思想是怀疑一切，否定一切，不再以网络边界为限，不能再将内部网络定义为可信任的，企业不应自动信任内部或外部的任何人和设备，应在授权前对任何试图接入企业系统的人和设备进行验证。零信任理念下无论是来自于企业网络之外的用户还是来自原企业网络内部的用户，无论是企业配置的专用设备还是个人设备，在建立连接前均需进行认证授权。一个合法用户、合法设备的访问不再认为是永远合法的。

要实现零信任安全的理念，企业需要依靠技术手段才能将零信任真正落地。在NIST《零信任架构标准》白皮书中提到了3种技术方案：SDP软件定义边界、IAM身份认证及权限管理和MSG微隔离。基于零信任理念，围绕其组件关系、工作流规划与访问策略构建而成的企业网络安全架构也就是零信任架构。而在零信任理念和零信任架构中，身份认证及权限管理是其中重要的一环，也是构建零信任的基础。

一、零信任安全体系

基于传统账户的安全体系在相对可信任的内网环境具有很好的生存空间，但是在本质上存在着概念混淆。这套账户安全体系很容易混淆了账户和身份的区别，账户只是信息系统的一个登录凭证和引用凭证，而身份则是现实生活中的人，两者之间基本上是割裂的。在真实的业务实践中，账户更多的仅仅是作为数据库对象存储的，而不是作为身份。这种混淆最终使生活中可信任验证体系中的核心身份模糊化。在现代网络环境中的账户体系安全性越来越差，这也导致了传统网络安全体系的不可延续。基于身份的零信任安全体系因此而产生。走向零信任安全体系主要受到两个方面的推动：

（一）技术发展使网络边界的模糊

互联网、移动互联网等技术的发展和普遍应用，通过各种社交工具和社交媒介联系起了世界上的每一个人，突破了传统时间和空间的限制，网络边界变得越来越模糊，安全边界逐步被打破，实际上已经不存在安全的网络。因此，以账户为基础的安全体系无以为继，传统安全架构已经难以适应企业发展的需要，难以应对业务的快速变化。需要将传统以账户管理中心的认证授权机制转变以身份管理为中心的认证授权机制，才可以在新的网络环境安全生存。

（二）传统安全架构的缺陷

传统的办公网络安全架构通过网络位置来划分交易网络、办公网络、DMZ、外部网络等，内部办公和交易区域是受信任区域，交易网络安全等级更高。外部网络则不受信任，从外部访问内部资源则需要经过DMZ缓冲区后的防火墙。基于信任区域的传统安全架构存在天然的缺陷，一旦被渗透到信任区域，将无法有效隔离和保护数据资产。另外内网中虽然部署了大量安全设备，但设备与设备之间缺少信息共享和安全联动，安全实质处于割裂状态的静态防护。随着设备接入越来越多，特别是今年的疫情是远程办公成为了重要的方式，给传统网络架构带来了巨大的压力。

安全问题无处不在，即便是受信任的用户身份也可能会做一些不安全的事情，所以安全的管控就无法通过静态的配置来保障安全。安全的本质是信任，但我们无法通过划分信任网络来确保访问用户身份的合法性和用户操作的合法性。外部和内部威胁可能每时每刻都充斥着网络。我们不能仅仅依靠网络位置来建立信任关系。所有的接入设备、用户和网络访问流量都需要被认证、授权和加密，使信任最小化，安全最大化。这就需要对用户身份进行动态识别和确认，对用户访问进行动态授权和监控。传统静态的权限管理可能无法适应动态的访问管控，访问控制策略应该基于尽量多的数据源进行计算和评估，实现权限动态化配置和调整。

假设所有用户和接入设备都是不受信任的，都是不安全的，这就是零信任的思想。基于零信任思想所构建的基于身份的访问控制安全体系就是零信任安全体系。

二、零信任特点

相对于传统网络安全架构，零信任安全体系有自己的特点，以传统硬件网络划分转向软件网络隔离，以账户管理为基础转向以身份管理为基础，以网络为中心转向以身份为中心，由网络防护转向应用防护，网络防护无边界化，由静态防护转向动态防护，访问控制由粗粒度转向细粒度控制，认证控制向末端延伸等。

（一）以传统硬件网络划分转向软件网络隔离

传统网络架构往往通过硬件防火墙把网络划分为若干个网络区域，比如办公网络、非核心交易网络、核心交易网络等。但这样的网络架构越来越不适应新的技术架构需求，特别云计算平台的普及，单体系统逐步走向融合化，硬件隔离网络也越来越带来运维管理的复杂性，阻碍着企业在数字化转型中IT效率的提升。这也催生新的思