直播回顾 | 零信任架构下的企业安全

年初的疫情催化了远程办公时代提前到来，员工多样化的办公场景和终端也给IT安全性带来了很大的挑战。

一方面是网络接入安全，传统VPN只对连接者的身份进行识别，无法提供对后端资源的保护，一旦通过VPN拨号连接，后台应用IP地址直接暴露，极易遭受漏洞扫描、DDos等攻击；

另一方面是业务端的访问安全，传统基于RBAC（角色授权）的授权模式是静态的，这种授权机制导致发生权限变化无法及时调整，同时RBAC无法控制基于同一角色下不同属性权限的区分；另外，业务访问时需要先进入资源环境才可验证是否有访问权限，也将面临IP地址提前暴露风险；

传统边界的安全模型和粗犷的访问控制已经无法满足企业对于资源保护的需求，而零信任是如今时代背景下的必然产物。

零信任，验证全部，无论何时何地，在访问资源前要提供证据证明你是你。中心思想是企业不应自动信任内部或外部的任何人/事/物，应在授权前对任何试图接入企业系统的人/事/物进行验证。

注册后终端设备，可通过非对称的RSA加密方式拥有唯一标识，可信设备访问受保护资源前需要携带可信信息进行SPA认证，通过后可信设备允许与可信网关建立连接，并可以访问受保护资源。零信任网络安全要求先认证后连接，这样对于无法通过认证的终端将被拒绝而无法与被访问资源建立连接。同时通过可信网关屏蔽所有非访问的资源，访问者只能够访问可以被访问的资源。

可信设备访问受保护资源前，系统需要通过多因素认证的技术手段对用户身份认证，以确保访问主体身份可信；统一认证通过后进行权限策略决策，基于ABAC的动态授权模型可收集可信设备、用户信息，比如：IP地址、地理位置、访问时间、用户行为习惯、用户岗位属性等作为授权决策依据，为访问主体赋予动态可控的权限。

企业实现零信任主要分为以下3个阶段：

零信任的本质是基于身份的动态管控。那么企业在实现零信任道路中首先要解决用户、管理员之间的账号管理及使用的痛点。企业中应用系统和用户数量较多，当大量用户分散在各个系统中，如果没有集中的身份管控，很难保证资源访问的合规可控。

第二阶段：解决账号细粒度授权的问题

基于角色的权限控制模型（RBAC）是静态的，一旦人员角色发生变动就将面临繁琐的权限维护工作。同时RBAC模型下，根据用户角色组进行授权，也没有办法细化到某些敏感资源的保护。所以企业在构建零信任架构时，需要经历RBAC到ABAC的转变过程，在统一身份管理的基础上，建立统一授权中心，实行基于“属性”的动态授权体系，满足零信任架构下更加“细粒度”的权限管控需求。

第三阶段：构建SDP新型安全边界

软件定义边界(SDP)是一种基于策略创建新型安全边界,用于将服务与不安全的网络隔离开。SDP模型没有默认信任假设，通过验证之前，任何资源端口都是被屏蔽的。只有在设备通过SPA（单包授权）认证后，可信网关才会将指定端口向可信设备开放。SDP不仅仅意味着拥有安全通信隧道，而且提供验证与授权，可帮助企业屏蔽大多数的非法用户网络攻击。