探索零信任下的应用安全建设

软件定义边界（Software Defined Perimeter，SDP）是基于零信任理念的新一代网络安全技术架构。

传统的网络安全是基于防火墙的物理边界防御，也就是我们所熟知的“内网”。

随着迁移上云、移动办公、物联网等应用，网络边界越来越模糊，业务应用场景越来越复杂，传统物理边界安全无法满足企业数字化转型的需求。因此，更加灵活、更加安全的软件定义边界SDP技术架构顺势而生。

相比VPN，SDP具备以下优点：

1、SDP的“网络隐身”技术，实现了服务隐藏与单包敲门。受保护的服务对未授权的用户及设备完全不可见，在互联网实现“隐藏”。服务隐藏技术可以有效防止端口扫描和TCP协议本身的漏洞攻击等，使黑客“无从下手”。严格的终端单包敲门机制，确保只有认证过的用户及设备才能访问受保护服务。达到了最小化攻击面，极大程度的降低了安全风险。

2、SDP打破了传统的网络物理边界，实现了先认证后访问的机制。SDP客户端先进行多因素认证，然后进入用户登录阶段。全部通过后，客户端才能够与服务建立连接。

3、SDP的“按需授权”安全模型，可以最小化被攻击后的安全风险。根据身份的登陆习惯变化（如时间、地理位置、网络等），并结合终端运行环境检测评级技术，动态调整用户登录策略，始终控制用户的最小访问权限。

4、SDP通过分离访问控制和数据信道，保护关键资产和基础架构，从而阻止潜在的基于网络的攻击。

5、SDP实现了更细颗粒度的服务级别的安全传输加密隧道。隧道根据终端运行环境和用户身份安全评级实现动态建立和销毁，始终保持最小访问授权。

6、SDP预先审查控制所有连接，从哪些设备、哪些服务、哪些设施可以进行连接，整体安全性方面比传统的架构更有优势。

附图：SDP系统与VPN系统对比

身份识别与访问管理（Identity and Access Management，IAM）具有单点登录、认证管理、基于策略的集中式授权以及审计、动态授权等功能。

和传统的IAM相比，除了对用户身份的统一管理、认证和授权之外，现代化的零信任IAM还需要实现基于大数据和AI技术的风险动态感知与智能分析，对于用户访问的行为数据、用户的特征和权限数据，以及环境上下文数据进行分析，通过风险模型自动生成认证和授权策略。

相比传统IAM，现代化的零信任IAM具备以下优点：

1、支持多种认证方式以及MFA多因子认证，杜绝身份盗用和伪造问题。实时分析终端状况和用户行为，对可疑行为进行二次认证或阻断，确保访问合法可靠。

2、基于身份细颗粒度的访问授权，进行最小访问权限控制。基于RBAC/ABAC权限模型，高效管理超大规模权限数据，三权分立、用户和资源权责分离。

3、基于AI自适应策略引擎，对终端环境异常进行检测以及持续验证，对业务访问异常进行检测及态势感知，进行动态授权与持续审计。

微隔离（Micro-Segmentation，MSG）是细粒度网络隔离技术，能够应对传统环境、虚拟化环境、混合云环境、容器环境的流量隔离，进行可视化分析和访问控制，其核心的能力是聚焦在东西向流量的隔离上，同时对南北向隔离也能发挥作用，可以有效阻止攻击者进入企业数据中心网络内部后的横向平移。

微隔离可以认为是对防火墙技术的发展与颠覆，用来对数据中心网络进行点到点的精细化访问控制。微隔离是基于白名单的一种技术，不再感兴趣坏人长什么样子，相反它更关心好人长什么样子。

相比传统的防火墙、交换机，微隔离具备以下优点：

1、微隔离实现了基于业务角色的快速分组能力，为隔离分区提供基于业务细粒度的视角，解决传统基于IP视角存在的众多管理上的问题。

2、微隔离可以在业务分组的基础上自动化识别内部业务的访问关系，通过可视化方式进行展示。

3、微隔离实现了基于业务组之间的隔离能力、端到端的工作负载隔离能力、异常外联的隔离能力，支持物理服务器之间、虚拟机之间、容器之间的访问隔离；通过隔离全面降低东西向的横向穿透风险，支持隔离到应用访问端口，实现各业务单元的安全运行。

4、微隔离具备可视化的策略编辑能力和批量设置能力，支持大规模场景下的策略设置和管理。

5、微隔离具备策略自动化部署能力，能够适应私有云弹性可拓展的特性，在虚拟机迁移、克隆、拓展等场景下，安全策略能够自动迁移。

6、微隔离支持在混合云环境下跨平台的流量识别及策略统一管理。

可信环境感知子系统，基于数字身份，实现用户的可信识别，完成身份认证和单点登录。

实现受控设备可信识别，完成受控设备的合规和安全管理；实现应用的可信识别；实现应用和进程的黑白名单管理。

最终形成一整套零信任可信识别能力，保证合法的用户基于合法的受控制终端通过合法的应用和进程，发起对客体合法的访问。

※ 可信身份 Trusted Identity 

提供身份认证服务功能。支持静态密码、短信验证码、邮箱验证码、指纹、刷脸、令牌等多种认证方式；支持多因子认证（MFA）；支持与外部基础认证设施对接，实现CA证书认证和AD域认证。支持认证方式和多因子认证组合使用。

适配多种身份认证登录方式 ，针对用户/用户组制定网络访问策略，非授权的应用完全不可见，做到最小特权的授权。

※ 可信链路 Trusted Link 

采用独有的访问链路加密/解密网关，针对设备指定WEB或应用程序流量加密，对不稳定网络做网络传输协议优化。

※ 可信终端 Trusted Device 

集成全方位的终端管控功能模块，持续检查设备安全状态，限制任何不符合安全要求的设备对企业应用的访问。

※ 可信应用 Trusted Application 

支持细粒度识别应用和进程，远程下发进程黑名单，发现恶意程序即拦截访问，无法建立针对业务的连接请求。

自适应认证策略子系统基于身份而非网络位置来构建访问控制体系，通过接收来自动态信任评估的用户信任评估和设备风险评估结果，设置访问控制策略并下发到策略执行点执行访问控制策略。

将业务资产暴露面隐藏，保证资产对未经认证的访问主体不可见。只有访问权限和访问信任等级符合要求的访问主体才被允许对业务资产进行访问。通过对访问主体的逐层访问控制，不仅满足动态授权最小化原则，同时可以抵御攻击链各阶段攻击威胁。

※ 用户身份管理：

提供基础的身份和权限管理功能。支持手工创建或批量导入用户，用户属性包括姓名、部门、邮箱、手机号、身份证号、描述等信息；支持用户分组管理；支持按照用户建立策略；支持与其他身份管理系统对接联动。

※ 终端设备管理：

提供基础的终端设备信息管理功能。通过终端设备构建设备清单库，确保终端设备安全可信。支持手工创建或批量导入设备信息，并能够对终端进行标签化，可根据标签进行访问控制；支持设备和用户的关联绑定/解绑，加强设备管控。

※ 应用系统管理

提供应用信息管理功能。可对应用系统的名称、访问URL地址等信息进行管理。

※ 访问策略管理

提供细粒度的访问策略管理功能。支持按照时间、IP、设备健康度、用户行为基线等多维度制定策略。

动态信任评估子系统是零信任整体架构的策略指挥中心，是可信识别能力和访问控制能力的重要输入。通过对访问主体的持续信任评估，实现对访问主体的访问权限动态调整和访问身份认证动态调整。

访问主体信任评估包括对用户访问上下文行为分析的信任评估，对受控设备和访问网关基于环境因素的风险评估，通过信任评估模型和算法，实现基于身份的持续信任评估能力，识别异常访问行为和风险访问环境，并对信任评估结果进行调整，为动态访问控制提供有效输入。

※ 持续信任评估

接收实体的资源访问请求，对资源访问请求进行信任评估。从访问请求中提取出涉及的用户、设备、数据资源、应用资源等信息，结合上下文行为信息，检测当前实体行为的异常风险，并最终对实体行为进行信任量化评分，输出当前实体访问资源行为的信任级别。

※ 风险分析与策略推送

以访问实体评分作为访问鉴权基线值，后续依赖信任评估引擎持续对访问主体行为进行信任评估，访问行为是否满足访问合规要求、基于上下文行为的信任评分、是否触发安全事件场景等，并依据实时信任评分动态调整访问授权范围，以满足最小授权原则。

※ 用户身份画像

基于用户和设备维度进行画像。通过可视化技术将访问路径、访问流量、用户异常访问行为直观展示，也可以将在线设备状态、统计情况、策略执行情况、执行路径等可视化呈现，帮助安全运营人员更为直观、更为全面的了解访问主体的安全状态和行为，从而更快速、更精准地找到风险点，触发安全响应，支撑安全决策。

访问网关是无边界网络访问控制能力的策略执行点，访问网关与自适应认证策略子系统、可信环境感知子系统联动，基于访问控制策略对访问主体提供授权范围内的访问服务，而后建立加密连接。对异常访问行为进行阻断并对访问主体动态调整授权范围。访问网关在确保连接合法性后，将加密流量还原为目标业务系统的原始流量进行转发，保障原始业务系统访问体验不变，业务系统无需做开发改造。

访问网关为业务系统提供统一访问入口，只有通过身份可信识别的访问主体才可以与访问网关建立访问通路，并根据访问控制策略对受保护业务资产发起访问。业务系统避免被暴露在终端所在的网络，将业务系统在网络中“隐身”。