技術(shù)干貨 | 遇見零信任——零信任框架

目前許多企業(yè)并不具備遠(yuǎn)程辦公條件，對可用性、穩(wěn)定性方面咱先不說，在安全性方面是存在著大量隱患的。

具體有兩方面：

在ZTNA中，終端被認(rèn)為是主體，是訪問的發(fā)起方，一般指設(shè)備、用戶、應(yīng)用、環(huán)境或它們之間的疊加，這里的應(yīng)用也作為主體出現(xiàn)，應(yīng)用之間通過API的調(diào)用就是如此；被訪問的資源稱為客體，一般指應(yīng)用、數(shù)據(jù)庫、操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備等；主體對客體想干什么就是動(dòng)作了；環(huán)境就是終端所處的狀態(tài)，比如地理環(huán)境、設(shè)備軟件、系統(tǒng)補(bǔ)丁、設(shè)備型號(hào)等；所有這些的屬性都組成了主體訪問客體在策略引擎中動(dòng)態(tài)評(píng)估權(quán)限的依據(jù)，一般被定義在安全的上下文中。

對終端而言，信息提供越完整，可信度也就越高，可訪問的權(quán)限也就越大，當(dāng)然權(quán)限和訪問的服務(wù)應(yīng)用給予的最高權(quán)限相關(guān)。這里的權(quán)限是基于策略引擎下評(píng)估的細(xì)粒度訪問權(quán)限（ABAC），可根據(jù)信息度的差異獲得不同權(quán)限的最終組合。

ZTNA是先認(rèn)證后訪問的，對外提供的只有訪問代理，與現(xiàn)有的應(yīng)用認(rèn)證后再訪問不同，后者是完全暴露給終端，意味著也同樣暴露給了攻擊者，這存在安全隱患；另一個(gè)方面現(xiàn)有應(yīng)用無法做到動(dòng)態(tài)細(xì)粒度訪問控制（ABAC），基于靜態(tài)的RBAC模式已無法滿足企業(yè)對業(yè)務(wù)安全性的要求。

以下是ZTNA增加ABAC訪問控制后的概念模型：

這里我們可以看到ZTNA包括設(shè)備、應(yīng)用注冊，統(tǒng)一身份管理，數(shù)字證書，單點(diǎn)登錄（SSO）,訪問代理時(shí)需要策略引擎進(jìn)行策略評(píng)估;而訪問控制（ABAC）則有策略實(shí)施（PEP）、策略決策（PDP）、策略定義（PAP）、策略信息（PIP）共同組成對外提供服務(wù)。當(dāng)然在PDP里也可以引入人工智能進(jìn)行補(bǔ)充，完善動(dòng)態(tài)訪問機(jī)制；訪問代理可作為網(wǎng)關(guān)監(jiān)控?cái)?shù)據(jù)，保障數(shù)據(jù)的可信度。

從安全性上說，可以做到內(nèi)外網(wǎng)安全訪問的一致性，外網(wǎng)訪問完全可以替代傳統(tǒng)的VPN對內(nèi)網(wǎng)訪問，由于后端的服務(wù)應(yīng)用在互聯(lián)網(wǎng)上不可見，訪問代理認(rèn)證通過后才會(huì)與應(yīng)用建立鏈接，因此應(yīng)用不會(huì)受到互聯(lián)網(wǎng)攻擊，完成SSO后終端會(huì)獲得臨時(shí)令牌，訪問代理會(huì)驗(yàn)證臨時(shí)令牌和終端可信信息，并對異常數(shù)據(jù)進(jìn)行監(jiān)控，極大減少了攻擊面，增加了攻擊的難度，即便攻擊者拿到用戶憑據(jù)已失去了意義。