辜璐 陳婉君 趙屹

摘要：涉密信息系統(tǒng)的信息安全防護(hù)體系，經(jīng)過多年的建設(shè)已經(jīng)形成固有的防護(hù)體系。隨著信息安全技術(shù)的發(fā)展，云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等新興技術(shù)為企業(yè)的信息化發(fā)展建設(shè)帶來了新的生產(chǎn)力，但同時也給信息安全帶來了新挑戰(zhàn)。一方面針對國家關(guān)鍵信息基礎(chǔ)設(shè)施，已經(jīng)成為了安全研究人員漏洞挖掘、攻防研究新的對象;另一方面涉密信息系統(tǒng)的使用者及運維人員的不確定性，構(gòu)成了新的信息安全威脅。

關(guān)鍵詞：“零信任”;信息安全;涉密信息系統(tǒng)

1?引言

隨著信息技術(shù)的快速發(fā)展，云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等新興技術(shù)為政府部門及各類企業(yè)的信息化發(fā)展及現(xiàn)代化建設(shè)帶來了新的生產(chǎn)力，但同時也給信息安全帶來了新挑戰(zhàn)。一方面，外部攻擊和內(nèi)部攻擊愈演愈烈，以APT攻擊為代表的高級持續(xù)攻擊仍然能找到各種漏洞突破企業(yè)的邊界，另一方面，內(nèi)部業(yè)務(wù)的非授權(quán)訪問、雇員犯錯、有意的數(shù)據(jù)竊取等內(nèi)部威脅層出不窮;只有充分的認(rèn)識到這個新時代的安全挑戰(zhàn)，才能更好的進(jìn)行應(yīng)對。

2?現(xiàn)狀及問題

2.1?企業(yè)邊界逐步瓦解

傳統(tǒng)的安全架構(gòu)基于邊界思維，假定各單位存在一個“內(nèi)網(wǎng)”，假定存在一個邊界對內(nèi)外網(wǎng)進(jìn)行隔離，假定內(nèi)網(wǎng)是安全的、外網(wǎng)是不安全的。隨著云計算和大數(shù)據(jù)等技術(shù)的廣泛采用，安全邊界已經(jīng)模糊甚至瓦解。

2.2?外部攻擊防不勝防

近年來，集團(tuán)內(nèi)多次組織紅藍(lán)對抗，模擬外部攻擊行為，對單位內(nèi)網(wǎng)進(jìn)行安全攻擊。隨著大數(shù)據(jù)技術(shù)的發(fā)展，數(shù)據(jù)也趨于集中，數(shù)據(jù)的集中意味著價值的集中，自然也成為攻擊者的首要攻擊目標(biāo)，我們必須假設(shè)系統(tǒng)一定存在尚未修補(bǔ)的漏洞，必須假設(shè)網(wǎng)絡(luò)已經(jīng)被攻破。

2.3?內(nèi)部威脅持續(xù)加劇

傳統(tǒng)的企業(yè)安全體系是建立在內(nèi)外部網(wǎng)絡(luò)邊界的基礎(chǔ)之上，是邊界思維，假定了內(nèi)網(wǎng)中的用戶、設(shè)備和流量通常都是可信的。在這種邊界思維的指導(dǎo)下在企業(yè)內(nèi)部網(wǎng)絡(luò)中缺乏足夠的安全訪問控制，一旦被攻擊者滲入，數(shù)據(jù)將會完全暴露，極易泄漏。往往因為非授權(quán)訪問、雇員犯錯、外包員工犯錯等等原因，導(dǎo)致?“合法用戶”可以非法訪問特定的業(yè)務(wù)和數(shù)據(jù)資源，造成組織內(nèi)部數(shù)據(jù)泄漏。

2.4?監(jiān)管力度不斷加強(qiáng)

上級單位為加強(qiáng)各單位信息安全能力建設(shè)，提升信息安全防護(hù)能力，為滿足國家對于各單位信息數(shù)據(jù)安全建設(shè)要求，各單位需要以業(yè)務(wù)需求為導(dǎo)向，規(guī)范建設(shè)企業(yè)數(shù)據(jù)信息安全保障體系，形成科學(xué)實用的規(guī)范化安全管理能力、體系化安全技術(shù)防護(hù)能力、綜合化安全監(jiān)管運維能力，以滿足相關(guān)部門對于企業(yè)信息安全的監(jiān)管要求。

2.5?運維管理暗藏隱患

為了確保企業(yè)的核心資產(chǎn)安全運行，保障網(wǎng)絡(luò)和數(shù)據(jù)不受來自外部和內(nèi)部用戶的入侵和破壞，運維人員通過堡壘機(jī)登錄核心資產(chǎn)，通過技術(shù)手段監(jiān)控和記錄運維人員對網(wǎng)絡(luò)內(nèi)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、數(shù)據(jù)庫等設(shè)備的操作行為，以便集中報警、及時處理及審計定責(zé)。

3?“零信任”信息安全體系

“零信任”網(wǎng)絡(luò)模型是約翰.金德維格在Forrester時于2010年提出的，核心理念是最基本的身份安全認(rèn)證應(yīng)該基于受控的設(shè)備和合法用戶，而不是基于網(wǎng)絡(luò)訪問控制，即傳統(tǒng)的網(wǎng)絡(luò)安全手段。其中心思想是來自于企業(yè)網(wǎng)絡(luò)內(nèi)部外部的行為、數(shù)據(jù)流量、移動介質(zhì)均不應(yīng)被信任，在驗證身份并授權(quán)之前任何試圖接入企業(yè)網(wǎng)絡(luò)的行為、數(shù)據(jù)流量、移動介質(zhì)都是不可信的。

3.1?以身份為中心

為網(wǎng)絡(luò)中的人、設(shè)備、應(yīng)用都賦予邏輯身份，并基于身份進(jìn)行細(xì)粒度的權(quán)限設(shè)置和判定。包括：①創(chuàng)建賬戶體系，或從現(xiàn)有身份管理系統(tǒng)包括但不限于AD域、OpenLDAP、CAS等同步賬戶和組織架構(gòu)信息;②確保用戶在正確的設(shè)備上使用正確的賬號登錄，同時可以對賬戶的登錄時間、登錄地點及IP地址進(jìn)行嚴(yán)格控制，以防止非法人員非法接入業(yè)務(wù)系統(tǒng);③能夠?qū)崟r的清除設(shè)備數(shù)據(jù)，即使該設(shè)備正在登錄，也可以令用戶立即退出。

3.2?業(yè)務(wù)安全訪問

所有的訪問請求（應(yīng)用、接口等）都應(yīng)該被認(rèn)證、授權(quán)和加密。在TCP/IP數(shù)據(jù)通信的各層都進(jìn)行授權(quán)控制，防止非法數(shù)據(jù)進(jìn)入，對IP對外開放端口對外開放進(jìn)行隱身。不自動信任網(wǎng)絡(luò)的安全性（內(nèi)網(wǎng)?≠?可信），對任何接入系統(tǒng)的人和設(shè)備都進(jìn)行驗證，每次訪問都要進(jìn)行身份驗證和行為審計，細(xì)粒度訪問控制策略Need-To-Know（最小權(quán)限原則）。

3.3?持續(xù)評估

對終端、用戶等訪問主體進(jìn)行持續(xù)風(fēng)險感知和信任評估，根據(jù)信任評估對訪問權(quán)限進(jìn)行動態(tài)調(diào)整。終端是業(yè)務(wù)的入口，綜合終端的異常行為、越權(quán)訪問、系統(tǒng)弱配置等因素，實時更新終端的信任狀態(tài)。對終端安裝狀態(tài)進(jìn)行綜合評估，至少包括設(shè)備、身份、應(yīng)用、行為幾個維度來持續(xù)信任評估。

3.4?動態(tài)訪問控制

訪問權(quán)限不是靜態(tài)的，而是根據(jù)主體屬性、客體屬性、環(huán)境屬性和持續(xù)的信任評估結(jié)果進(jìn)行動態(tài)計算和判定。遵循最小授權(quán)原則，能夠?qū)崿F(xiàn)細(xì)粒度的訪問控制，能夠針對每個用戶或用戶組制定專屬訪問控制策略，能夠?qū)r間策略、IP限制、終端限制等訪問策略進(jìn)行控制。

3.5?用戶行為畫像

綜合關(guān)鍵要素，綁定實體用戶，提取人物特征，以可視化形式展現(xiàn)用戶網(wǎng)絡(luò)活動軌跡，刻畫人物行為畫像?；谌宋镄袨楫嬒窈完P(guān)聯(lián)分析的數(shù)據(jù)，構(gòu)建生成行為基線，通過群組基線分析，構(gòu)建全是空的上下文環(huán)境，避免單一行為的局限性，并采用分布實時數(shù)據(jù)計算，實時更新安全基線，實現(xiàn)完整的動態(tài)行為基線。使用各種機(jī)器學(xué)習(xí)算法，進(jìn)行異常檢測，通過綜合風(fēng)險評分來縮小和減少誤報范圍。

4?結(jié)束語

本文研究的基于“零信任”的涉密信息系統(tǒng)信息安全體系建設(shè)以身份為基石的細(xì)粒度訪問控制機(jī)制，強(qiáng)化了權(quán)限的管控顆粒度，基于持續(xù)的風(fēng)險度量和信任評估，動態(tài)調(diào)整訪問權(quán)限，實現(xiàn)動態(tài)訪問授權(quán)。采用大數(shù)據(jù)分析和人工智能技術(shù)對用戶、設(shè)備、環(huán)境屬性等訪問上下文進(jìn)行感知和建模，實現(xiàn)風(fēng)險和信任的持續(xù)度量。提升管理運維效率，規(guī)避管理人為犯錯，切實增強(qiáng)大數(shù)據(jù)時代數(shù)據(jù)安全防護(hù)能力，有效應(yīng)對云計算等新興技術(shù)對網(wǎng)絡(luò)和數(shù)據(jù)安全防護(hù)帶來的挑戰(zhàn)。

參考文獻(xiàn)：

[1]向人鵬.基于“零信任”的工業(yè)信息安全防護(hù)研究.電力行業(yè)信息化年會論文集，2019：171-174.

[2]張大偉，沈昌祥，劉吉強(qiáng)，等.基于主動防御的網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施可信技術(shù)保障體系[J].中國工程科學(xué)，2016（6）：58-61.

作者簡介：

第一作者：辜璐（1981-08），女，漢，江西省南昌人，本科學(xué)歷，高級工程師，研究方向為信息安全保密管理。

通訊作者：陳婉君?（1990-04），女，漢，北京人，本科學(xué)歷，中級工程師，研究方向為信息安全。

第三作者：趙屹?（1975-10），男，漢，重慶人，本科學(xué)歷，高級技師，研究方向為網(wǎng)絡(luò)安全。