李歡歡 徐小云 王紅蕾

DOI：10.16661/j.cnki.1672-3791.2107-5042-9133

摘 ?要：隨著新技術(shù)的快速發(fā)展，傳統(tǒng)的網(wǎng)絡(luò)安全模型無(wú)法滿足企業(yè)信息安全防護(hù)要求，基于零信任的網(wǎng)絡(luò)安全模型應(yīng)運(yùn)而生，被眾多企業(yè)選擇。該文闡述并分析了傳統(tǒng)網(wǎng)絡(luò)安全模型的優(yōu)缺點(diǎn)，并對(duì)零信任網(wǎng)絡(luò)安全模型的架構(gòu)進(jìn)行了詳細(xì)闡述，在此基礎(chǔ)上以零信任網(wǎng)絡(luò)安全模型在某網(wǎng)信息安全支撐技術(shù)平臺(tái)上的實(shí)踐為例，提出了基于零信任架構(gòu)的安全應(yīng)用解決方案。

關(guān)鍵詞：零信任?信任評(píng)估?動(dòng)態(tài)訪問(wèn)?網(wǎng)絡(luò)安全

中圖分類(lèi)號(hào)：TP393.8? ? ?文獻(xiàn)標(biāo)識(shí)碼：A???文章編號(hào)：1672-3791（2021）06（b）-0007-03

Research on the Architecture and Application of Network Security Model Based on Zero Trust

LI Huanhuan XU Xiaoyun WANG Honglei

（Aostar Information Technology Co.，?Ltd.， Chengdu，?Sichuan Province，610041 China）

Abstract：?With the rapid development of new technology， the traditional network security model can not meet the requirements of enterprise information security protection， the network security model based on zero trust arises at the historic moment， has been chosen by many enterprises. This paper first analyzes the advantages and disadvantages of the traditional network security model， and elaborates on the architecture of the zero trust network security model. On this basis， taking the practice of the zero trust network security model on a network information security support technology platform as an example， this paper proposes a security application solution based on the zero trust architecture.

Key Words：?Zero trust; Trust assessment; Dynamic access;?Cyber security

多數(shù)企業(yè)當(dāng)前主要采用傳統(tǒng)的網(wǎng)絡(luò)安全模型，即對(duì)網(wǎng)絡(luò)進(jìn)行分區(qū)并設(shè)置網(wǎng)絡(luò)隔離的模型，企業(yè)使用邊界防護(hù)設(shè)備將企業(yè)網(wǎng)絡(luò)設(shè)置為企業(yè)內(nèi)網(wǎng)與企業(yè)外網(wǎng)，從而構(gòu)建出企業(yè)自身的網(wǎng)絡(luò)安全防護(hù)體系。隨著云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)等新興技術(shù)的發(fā)展，企業(yè)的業(yè)務(wù)架構(gòu)與網(wǎng)絡(luò)應(yīng)用環(huán)境已發(fā)生較大變化。從而導(dǎo)致基于邊界防護(hù)的傳統(tǒng)網(wǎng)絡(luò)安全模型不足以滿足新環(huán)境下的網(wǎng)絡(luò)安全要求，在一些進(jìn)化的持續(xù)性威脅攻擊面前無(wú)法有效防護(hù)網(wǎng)絡(luò)與系統(tǒng)安全，內(nèi)網(wǎng)安全事故也因此頻繁發(fā)生。

針對(duì)傳統(tǒng)的網(wǎng)絡(luò)安全模型無(wú)法滿足當(dāng)前企業(yè)在數(shù)字化轉(zhuǎn)型階段對(duì)網(wǎng)絡(luò)安全的需求，基于零信任的網(wǎng)絡(luò)安全模型應(yīng)運(yùn)而生。對(duì)任一訪問(wèn)企業(yè)網(wǎng)絡(luò)的主體，包括發(fā)起訪問(wèn)的人員、發(fā)起訪問(wèn)的設(shè)備以及被訪問(wèn)的應(yīng)用，在每次訪問(wèn)時(shí)都默認(rèn)為不可信狀態(tài)，需要通過(guò)持續(xù)的身份驗(yàn)證以及訪問(wèn)授權(quán)來(lái)構(gòu)建動(dòng)態(tài)訪問(wèn)的信任。這是零信任網(wǎng)絡(luò)安全模型的核心思想，其本質(zhì)是以訪問(wèn)主體的身份為中心來(lái)進(jìn)行訪問(wèn)控制^[1]。

該文首先闡述并分析了傳統(tǒng)網(wǎng)絡(luò)安全模型的優(yōu)缺點(diǎn)，然后對(duì)零信任網(wǎng)絡(luò)安全模型的架構(gòu)進(jìn)行詳細(xì)闡述，在此基礎(chǔ)上以零信任網(wǎng)絡(luò)安全模型在某網(wǎng)信息安全支撐技術(shù)平臺(tái)上的實(shí)踐為例，提出了基于零信任架構(gòu)的安全應(yīng)用解決方案。

1 ?傳統(tǒng)網(wǎng)絡(luò)安全模型

當(dāng)前傳統(tǒng)網(wǎng)絡(luò)安全模型一般采用在企業(yè)網(wǎng)絡(luò)邊界上設(shè)置隔離認(rèn)證區(qū)，對(duì)訪問(wèn)與數(shù)據(jù)交互進(jìn)行認(rèn)證與控制。針對(duì)一個(gè)存在企業(yè)內(nèi)外網(wǎng)數(shù)據(jù)交互需求的傳統(tǒng)網(wǎng)絡(luò)，傳統(tǒng)網(wǎng)絡(luò)安全模型將建立基于網(wǎng)絡(luò)位置的可信控制模型，利用可信控制模型將企業(yè)網(wǎng)絡(luò)劃分為企業(yè)內(nèi)網(wǎng)和企業(yè)外網(wǎng)。在此網(wǎng)絡(luò)架構(gòu)下一般默認(rèn)企業(yè)內(nèi)網(wǎng)為可信網(wǎng)絡(luò)，企業(yè)外網(wǎng)絡(luò)為不可信網(wǎng)絡(luò)。內(nèi)網(wǎng)可以根據(jù)業(yè)務(wù)系統(tǒng)的實(shí)際需要，劃分為多個(gè)子網(wǎng)絡(luò)，子網(wǎng)絡(luò)之間存在物理或邏輯上的隔離。為維護(hù)企業(yè)內(nèi)網(wǎng)的安全、保護(hù)內(nèi)網(wǎng)數(shù)據(jù)，企業(yè)內(nèi)外網(wǎng)之間通過(guò)邊界隔離認(rèn)證區(qū)進(jìn)行連接，從而實(shí)現(xiàn)內(nèi)外網(wǎng)的可控通信。然而傳統(tǒng)網(wǎng)絡(luò)安全模型存在信任過(guò)度的問(wèn)題，由于網(wǎng)絡(luò)安全信任策略限制，來(lái)自外部的網(wǎng)絡(luò)攻擊如果傳過(guò)隔離認(rèn)證區(qū)，攻擊者可隨意訪問(wèn)內(nèi)部網(wǎng)絡(luò);來(lái)自內(nèi)網(wǎng)的網(wǎng)絡(luò)攻擊，更是難以防護(hù)，網(wǎng)絡(luò)安全難以得到保障^[2-3]。傳統(tǒng)網(wǎng)絡(luò)架構(gòu)，如圖1所示。

2 ?零信任安全網(wǎng)絡(luò)模型

零信任安全網(wǎng)絡(luò)模型對(duì)企業(yè)網(wǎng)絡(luò)中每位用戶與每臺(tái)設(shè)備發(fā)起的每次連接，以及申請(qǐng)的每次服務(wù)請(qǐng)求，在認(rèn)證策略判決之前默認(rèn)為不可信的。零信任安全網(wǎng)絡(luò)模型的認(rèn)證不是一站式服務(wù)，而是精細(xì)為對(duì)每次服務(wù)請(qǐng)求都做可信判斷。零信任網(wǎng)絡(luò)邏輯如圖2所示。

與傳統(tǒng)的網(wǎng)絡(luò)安全模型不同，零信任網(wǎng)絡(luò)模型不單考慮來(lái)自外網(wǎng)的網(wǎng)絡(luò)攻擊，同時(shí)增加了對(duì)來(lái)自內(nèi)網(wǎng)網(wǎng)絡(luò)攻擊的防護(hù)。對(duì)企業(yè)業(yè)務(wù)訪問(wèn)中的所有行為實(shí)體，都使用零信任安全網(wǎng)絡(luò)模型進(jìn)行評(píng)估，確保每個(gè)行為實(shí)體的可信任。因而，零信任安全網(wǎng)絡(luò)模型具有以下特性：

首先是多維度身份認(rèn)證特性。在零信任安全網(wǎng)絡(luò)模型中，身份認(rèn)證的對(duì)象不僅僅是與傳統(tǒng)的網(wǎng)絡(luò)安全模型一樣，對(duì)網(wǎng)絡(luò)業(yè)務(wù)訪問(wèn)用戶以及訪問(wèn)的設(shè)備進(jìn)行認(rèn)證。同時(shí)還會(huì)將用戶信息、訪問(wèn)設(shè)備的主機(jī)信息、訪問(wèn)業(yè)務(wù)系統(tǒng)的行為特征以及用戶權(quán)限等都作為身份認(rèn)證的對(duì)象，對(duì)多維信息進(jìn)行融合，構(gòu)建出用戶畫(huà)像，從多個(gè)維度對(duì)訪問(wèn)對(duì)象的可信度進(jìn)行評(píng)估。

其次是動(dòng)態(tài)訪問(wèn)控制特性。零信任完全網(wǎng)絡(luò)模型的訪問(wèn)控制策略不再是固定不變的，其訪問(wèn)控制策略是建立在身份認(rèn)證與授權(quán)重構(gòu)的雙重訪問(wèn)控制之上。他通過(guò)對(duì)網(wǎng)絡(luò)訪問(wèn)主體的多維度信息進(jìn)行實(shí)時(shí)判斷，確認(rèn)當(dāng)前訪問(wèn)的風(fēng)險(xiǎn)。同時(shí)對(duì)控制策略以及應(yīng)用訪問(wèn)權(quán)限進(jìn)行實(shí)時(shí)調(diào)控，來(lái)應(yīng)對(duì)可能發(fā)生的網(wǎng)絡(luò)攻擊。

最后是可變信任管理特性。不同于傳統(tǒng)的基于用戶與權(quán)限預(yù)分配的訪問(wèn)策略，零信任網(wǎng)絡(luò)采用更精細(xì)的信任評(píng)估訪問(wèn)機(jī)制。對(duì)企業(yè)網(wǎng)絡(luò)中的訪問(wèn)行為進(jìn)行全生命周期的監(jiān)管，同時(shí)不斷計(jì)算網(wǎng)絡(luò)訪問(wèn)行為在零信任網(wǎng)絡(luò)模型中的信任評(píng)分，并依據(jù)實(shí)時(shí)評(píng)分?jǐn)?shù)值大小，對(duì)實(shí)體賦予不同的訪問(wèn)權(quán)限，實(shí)現(xiàn)對(duì)訪問(wèn)實(shí)體的可變信任管理。

在零信任安全網(wǎng)絡(luò)模型中，用于實(shí)時(shí)計(jì)算訪問(wèn)實(shí)體信任評(píng)分的信任評(píng)估算法，是零信任網(wǎng)絡(luò)的核心，其維護(hù)著整個(gè)零信任網(wǎng)絡(luò)的正常運(yùn)作。信任評(píng)估算法的輸入包含用戶信息、設(shè)備狀態(tài)、用戶權(quán)限、行為屬性、訪問(wèn)信息、訪問(wèn)策略以及外部威脅等。其中用戶信息包含用戶名、用戶權(quán)限、用戶屬性以及應(yīng)用角色等。設(shè)備信息包含設(shè)備MAC地址、設(shè)備IP等信息。設(shè)備狀態(tài)包含當(dāng)前設(shè)備的操作系統(tǒng)版本以及安裝的應(yīng)用軟件版本號(hào)、補(bǔ)丁包版本號(hào)等情況以及設(shè)備是否中毒等。訪問(wèn)信息包含用戶待訪問(wèn)資源的屬性、類(lèi)別信息與安全等級(jí)等。行為屬性包含用戶訪問(wèn)網(wǎng)絡(luò)的行為特性、用戶習(xí)慣、訪問(wèn)時(shí)間、訪問(wèn)來(lái)源IP地址、訪問(wèn)來(lái)源物理位置信息、訪問(wèn)頻度等。外部威脅包含網(wǎng)絡(luò)監(jiān)測(cè)到的惡意攻擊以及已知漏洞等信息^[3-4]。

3 ?零信任安全網(wǎng)絡(luò)模型的應(yīng)用研究

隨著互聯(lián)網(wǎng)的發(fā)展，某電網(wǎng)公司信息系統(tǒng)不斷推廣建設(shè)和延伸覆蓋，內(nèi)、外網(wǎng)業(yè)務(wù)不斷增加，致使復(fù)雜多樣的用戶類(lèi)型需使用不同的終端訪問(wèn)企業(yè)內(nèi)、外網(wǎng)系統(tǒng)開(kāi)展工作。給公司的網(wǎng)絡(luò)資源、信息安全帶來(lái)了新的挑戰(zhàn)，在訪問(wèn)策略、協(xié)議安全、數(shù)據(jù)傳輸、密鑰安全性方面提出更嚴(yán)苛的整改要求以至于滿足公司信息化建設(shè)安全標(biāo)準(zhǔn)。為保障網(wǎng)絡(luò)安全，加強(qiáng)數(shù)字化轉(zhuǎn)型進(jìn)程中的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)防控，公司開(kāi)展防范新業(yè)務(wù)應(yīng)用安全風(fēng)險(xiǎn)的技術(shù)攻關(guān)。隨后使用零信任安全網(wǎng)絡(luò)模型代替?zhèn)鹘y(tǒng)的網(wǎng)絡(luò)安全模型，從而提升了新一代數(shù)字化業(yè)務(wù)平臺(tái)網(wǎng)絡(luò)安全防護(hù)能力。零信任安全網(wǎng)絡(luò)模型的應(yīng)用，加強(qiáng)了公司對(duì)企業(yè)數(shù)據(jù)資產(chǎn)和公民個(gè)人信息的安全保護(hù)，強(qiáng)化了公司對(duì)企業(yè)內(nèi)外網(wǎng)的安全防護(hù)能力，提高了企業(yè)網(wǎng)絡(luò)的安全態(tài)勢(shì)感知與應(yīng)急處置能力^[5]。

零信任安排評(píng)估模型中的信任評(píng)估算法由用戶風(fēng)險(xiǎn)畫(huà)像、風(fēng)險(xiǎn)基線庫(kù)、可信身份風(fēng)控模型、智能身份分析服務(wù)、可信身份服務(wù)以及風(fēng)險(xiǎn)數(shù)據(jù)采集服務(wù)等幾部分組成。

通過(guò)用戶的類(lèi)型、權(quán)限數(shù)量、常用IP以及上次信任評(píng)分等情況，構(gòu)建用戶風(fēng)險(xiǎn)畫(huà)像，評(píng)估用戶靜態(tài)信任值。智能身份分析服務(wù)通過(guò)對(duì)風(fēng)險(xiǎn)數(shù)據(jù)的分析，形成實(shí)時(shí)的用戶風(fēng)險(xiǎn)評(píng)估結(jié)果，支撐用戶動(dòng)態(tài)訪問(wèn)控制。通過(guò)智能身份分析服務(wù)數(shù)據(jù)，提供多因子認(rèn)證訪問(wèn)策略和執(zhí)行，實(shí)現(xiàn)動(dòng)態(tài)可信身份服務(wù)^[6]。應(yīng)用的整體架構(gòu)如圖3所示。

4 ?結(jié)語(yǔ)

在愈來(lái)愈多的云環(huán)境、遠(yuǎn)程辦公等應(yīng)用訪問(wèn)需求下，基于零信任的網(wǎng)絡(luò)安全模型將得到愈來(lái)愈多的應(yīng)用，并逐步替代傳統(tǒng)的網(wǎng)絡(luò)安全模型。零信任網(wǎng)絡(luò)安全模型不僅僅帶來(lái)了安全技術(shù)本身的突破，同時(shí)還是傳統(tǒng)網(wǎng)絡(luò)模式下的網(wǎng)絡(luò)防護(hù)機(jī)制、網(wǎng)絡(luò)訪問(wèn)管理模式一種突破。然而機(jī)制的突破將面臨諸多企業(yè)已有資產(chǎn)的再利用等問(wèn)題，零信任網(wǎng)絡(luò)將與傳統(tǒng)網(wǎng)絡(luò)在較長(zhǎng)的一段時(shí)間內(nèi)將協(xié)同工作，結(jié)合零信任網(wǎng)絡(luò)安全模型中的風(fēng)險(xiǎn)管理方法以及身份認(rèn)證、全生命周期監(jiān)測(cè)等技術(shù)，共同解決企業(yè)網(wǎng)絡(luò)訪問(wèn)中面臨的威脅，保障企業(yè)網(wǎng)絡(luò)安全。

參考文獻(xiàn)

[1]劉歡，楊帥，劉皓.零信任安全架構(gòu)及應(yīng)用研究[J].通信技術(shù)，2020，53（7）：1745-1749.

[2]曾玲，劉星江.基于零信任的安全架構(gòu)[J].通信技術(shù)，2020，53（7）：1750-1754.

[3]洪濤，龔文濤.基于模糊數(shù)學(xué)的信任度評(píng)估方法[J].自動(dòng)化技術(shù)與應(yīng)用，2020，39（2）：41-44.

[4]吉爾曼，巴斯.零信任網(wǎng)絡(luò)：在不可信網(wǎng)絡(luò)中構(gòu)建安全系統(tǒng)[M].奇安信身份安全實(shí)驗(yàn)室，譯.北京：人民郵電出版社，2019：1-123.

[5]葉馬力.零信任安全模型在央企安全管理中的應(yīng)用研究[J].電子世界，2019（11）：164-165.

[6]左英男.零信任架構(gòu)在關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)中的應(yīng)用研究[J].保密科學(xué)技術(shù)，2019（11）：33-38.

作者簡(jiǎn)介：李歡歡（1987—），男，碩士，工程師，研究方向?yàn)橛?jì)算機(jī)視覺(jué)。

徐小云（1993—），女，碩士，助理工程師，研究方向?yàn)闄C(jī)器學(xué)習(xí)。

王紅蕾（1991—），女，碩士，助理工程師，研究方向?yàn)橛?jì)算機(jī)視覺(jué)。