近期,美国管理与预算办公室发布了《联邦零信任战略》,网络安全与基础设施安全局发布了《零信任成熟度模型》、《云安全技术参考架构》公开征集意见。
本次发布的三份文件遵循了今年5月美国总统拜登签署发布的关于加强联邦政府网络安全的行政令,该项命令中明确涉及多种特定的安全方法与工具,包括多因素身份验证、加密与零信任等等。这三份文件的发布表明整个美国联邦政府已经正式开启零信任战略。
如今,世界各国和组织都在相继出台或完善涉及零信任在内的数据安全标准及法规,以抵御日益复杂的网络威胁。零信任已成为全球网络安全领域的共识。
当前我国已进入数字化经济时代,数据资源整合和开放共享是大势所趋。随着《中华人民共和国数据安全法》、《关键信息基础设施安全保护条例》等一系列安全法律法规的正式实施,国家在法律层面加强了对各个行业的约束。美亚柏科全资子公司美亚网安结合在大数据行业深耕多年的行业经验,基于零信任的安全防护理念,推出“天盾”零信任产品,提供信息系统数据安全保护整体解决方案。
“天盾”零信任产品遵循“永不信任,始终验证”的原则,旨在隔离一切不可信的访问身份,排除一切不合规的操作行为。以数据为中心,实现用户访问场景的全流程身份认证、持续信任评估、动态访问控制、实时风险处置、全面业务审计,变被动为主动、变静态为动态,对应用、功能、服务、数据等核心资产的访问行为进行精细化管控,形成了以保护数据资源为核心的网络安全范式。
“天盾”零信任产品是面向业务全流程的安全防护,在零信任传统理念的基础上重点关注以下几个方面:
在身份管理和身份认证方面,“天盾”的做法是由认证服务提供统一登录门户,业务应用都注册在门户上,隐藏了应用的实际IP和端口,所有的访问都是基于门户域名的访问,并采用SPA单包认证技术,可有效预防网络攻击。
另外,还可进行多因子以及生物特征认证,特别是当访问一些高敏应用时提供补充认证服务,例如采用人脸识别登录门户系统,在使用高敏应用时需要通过人脸+声纹认证,认证失败时则会再次弹出认证窗口进行补充认证。
图:认证服务流程
在权限管理方面,过去各企业在权限管理方面普遍使用基于角色的RBAC授权模式(静态授权模式),这种授权模式中角色分配往往是基于静态的组织架构和职位,这给某些需要动态访问控制的决策带来了挑战。如果企业试图实现这类访问控制决策则需要创建大量的角色,这些角色是临时性的,而且成员有限,导致了通常所说的 "角色爆炸"。
目前,常规的零信任模式一般采用动态授权,使用ABAC授权模式(基于属性的访问控制),例如可以根据用户的岗位、职级进行设置授予相应的客体资源。然而在实际的业务场景下,ABAC的访问控制粒度还不够细,例如运维用户只能在工作日24:00-次日06:00从运维区域访问某类数据。
针对以上模式的不足,“天盾”提供了更进一步的PBAC授权模式(基于策略的访问控制),在ABAC授权模式的基础上增加环境属性、操作属性,加上响应的访问规则,形成基于策略的访问控制。
图:PBAC授权模式
我们在零信任的动态授权上有两个方面的考虑:一个是根据环境属性变化(包括时间、位置、终端评分等)导致用户的权限发生变化,并采用最小授权原则。另一个是用户的实体属性变化导致权限发生变化,例如一个用户从职位A变动为职位B,他的权限会自动根据职位发生变化,以前职位B能访问的权限会自动授予给该用户,这些都可以通过PBAC授权模式得以实现。
同时,“天盾”产品以保护大数据安全为目的,通过数据资源网关提供的大数据服务,可提供字段级(数据表的列)的权限管控,并且可以根据数据的分类分级,对数据进行分级管控。
在业务安全审计与预警方面,一般的零信任产品在设计上仅仅关注技术实现问题,缺少对业务安全的考虑。美亚网安“天盾”零信任产品在设计上充分考虑技术和业务问题,提供具有特色的业务审计功能。
在业务审计功能方面,除了基本的审计功能外,“天盾”提供基于风险的预警管理,根据某部委的业务场景梳理出20+种业务风险模型,并且基于这些业务风险模型,创建预警模型,也就是说可以为用户在事件还未达到风险发生的情况下做出预警,从而及时避免风险情况发生。
图:审计服务模型
在风险发现与实时处置方面,“天盾”策略服务创建风险模型并下发给各个零信任服务,当服务发现风险信息后,上报风险信息,策略服务可以通过下发指令的方式进行处置,例如和权限服务联动,动态调整用户权限,缩小用户权限或者禁止用户访问。
图:风险发现和处置
对于美亚网安来说,零信任体现的是一种思想理念,其技术实现和应用不是固化的,要贴近用户业务和使用场景,因此产品和功能服务必须具有自适应能力,不断进化,以全流程、体系化的思想去解决安全访问等问题。在零信任访问控制的道路上,美亚网安也将持续对“天盾”产品进行迭代和优化,为国家的网络安全事业贡献力量。
