零信任身份与访问管理
零信任其实不是一个新概念,早在2010年的时候Forrester的Johnkindervag就提出了zerotrustarchitecture理念,希望可以解决传统边界安全带来的问题,以后又有云安全同盟的软件定义边界(SDP)模型,和google的beyondcorpproject以各自不同的思想来实践,直到ISC2018大会后该理念在国内迅速传播开来,并愈来愈遭到行业重视,在这里对这几类架构进行简单介绍,便于后续内容理解。
(1)Zerotrustarchitecture(ZTA)
ZTA在2010年提出的时候,是希望可以解决传统边界安全模型没法防御内部要挟,或是被突破边界后的要挟而提出,主要的思想是在网络层,将网络尽量小的分段,并通过隔离网关来控制出入流量,并辅以其他安全能力来减少传统边界被突破后的风险,类似于网络微隔离。
在实现上ZTA提议将交换机扁平化便于弹性扩大,以中心化、集中化的模式进行统一管理。在网关中对网络数据实现可视分析能力,并整合传统内容过滤、访问控制、数据防泄密、web利用防火墙等能力在隔离网关上。
以现在的眼光来看,2010年的ZTA可以看做是对传统网络安全模型的一次架构升级,本质上区分其实不大,只是网络层面上划分的更细,功能整合的更多,和现在我们所谈的零信任架构的核心思想或有比较大的区分的。
(2)软件定义边界(SDP)
2013年云安全同盟推出了软件定义边界(SDP)模型,该模型抽象了client、controller、gateway、resources等几类角色,主要思想是引入了对身份和装备的辨认校验,通过controller统一授权后,将访问要求调度给SDP网关来对后面保护的资源进行访问。
在SDP中参与安全控制的核心角色是前三类,分别承当的主要功能以下:
client:部署在用户终端处,负责对装备和人的认证授权;
controller:SDP的核心认证、评估和策略管理中心,由它来分配资源;
Gateway:受保护资源的防护节点,负责隧道的加密、访问控制来实现对后面的资源保护。
一次完全的访问进程是需要经过授权的client经controller认证和评估安全性后,分配到指定的gateway上通过加密方式访问后面的资源,可以对网络到上层利用进行全面保护,云安全同盟也试图通过这类架构来解决不同的云安全模式,例如SaaS、PaaS的场景。
SDP是实际上得到了很多厂家支持的方案,很多网络安全装备公司出的零信任解决方案大多来自SDP的模型。
TikTok千粉号购买平台:https://tiktokusername.com/
TOP