连载:零信任的最后一公里(一)

admin 2022年4月18日00:37:49云安全评论9 views1639字阅读5分27秒阅读模式
1. 背景
零信任概念在全球安全行业已经持续热闹了好几年,而且有愈演愈烈的趋势,零信任作为网络安全的一个新兴理念,逐渐被行业和市场广为接受,并逐步在实战中发挥重要作用。
国内加入零信任俱乐部的厂商也越来越多,有传统大厂,也有创业新贵。有来自密码和加密领域的,有来自堡垒机、4A、IAM、身份管理、身份认证领域的,还有做VPN的,甚至做UTM的厂商,现在纷纷转投零信任的怀抱。
窃以为,零信任的提出源于IT基础架构的演化:移动终端、IOT设备、远程办公、SaaS应用、分布式数据中心、分支机构、合作伙伴等等,这些新型IT基础设施和IT场景的出现,对传统企业的IT组网和IT架构提出了严峻的挑战,如何解决新形势下IT组网问题?如何解决业务在各种场景下的访问问题?如何解决业务被安全的访问问题?这些构成了今天大家看到的零信任甚至是SASE的基本问题领域。
新的企业IT组网问题已经交给SD-WAN去解决了,而企业边界消失带来的安全问题该如何解决?检测派提出了纵深防御、XDR、威胁情报、欺骗诱捕等相关的理念和举措,管控派则提出了ZTNA、IAM、SDP等一系列体系和方案。
2. 零信任概念架构
关于零信任架构,相信很多人从Gartner报告或各厂家的相关解决方案中都看到过,零信任所秉承的从不信任、最小权限、持续验证等理念早已耳熟能详,这里简单画个示意图:

连载:零信任的最后一公里(一)

图1:零信任概念架构
3. 零信任最后一公里:从业务逻辑到数据的访问(右侧零信任)

个人认为零信任架构从逻辑上可划分为两个阶段:

1)左侧零信任:访问主体(人或应用等),基于不同角色和权限,利用不同的资源(PC、移动、IOT等),在不同的环境下(本地/远程/云端、总部/分支机构/合作伙伴、时间、连接方式、终端环境等环境因素)基于最小权限对业务实现动态安全访问,并持续验证;
2)右侧零信任:以上述为前提,在不同业务逻辑下,对业务数据实现动态安全访问,并持续验证,即零信任的最后一公里,也称作“精细化动态马赛克技术”。

连载:零信任的最后一公里(一)

图二:零信任的最后一公里
1)关于访问深度
过去几年,大多数厂商和用户把关注点放在左侧零信任,左侧零信任方案大多关注人、边界、应用之间的访问关系,也就是访问控制到达“应用”这个深度,最近随着《数据安全法》、《个人信息保护法》(草案)、人行《个人金融信息保护技术规范》、《金融数据安全数据安全分级指南》等法律法规和行业规范的出台,尤其是数据安全领域的崛起,零信任逐渐将视角向右侧偏移,开始聚焦数据,并尝试从应用和业务角度控制数据的访问粒度;

2)关于访问粒度

与传统IT视角的数据访问控制不同(数据库防火墙、数据脱敏、数据库审计等),应用视角将数据访问的控制粒度变得更细,但精细化程度仍然不够,构成应用的若干个业务逻辑单元才是最细粒度的控制器,只有从业务上下文才能精确定义数据的访问规则,实现更细粒度的数据访问控制,因此,“基于业务逻辑对于数据的动态安全访问”才是零信任最后一公里的核心。增补了最后一公里,才谈得上实现完整的ABAC模型。
注意:这里是“业务逻辑(Business Logic)”或“业务上下文(Business Context)”,不是“应用(Application)”,是指构成应用的若干个业务逻辑单元(Business Logic Unit,BLU)。

连载:零信任的最后一公里(一)

图三:基于业务逻辑的数据访问控制(逻辑架构)
4. 核心理念
理念1:零信任最后一公里,将视角从业务安全访问进一步右移至数据安全访问(深度);
理念2:零信任最后一公里,将访问粒度从应用层面进一步细化至业务逻辑层面(粒度);
理念3:数据和业务是相伴而生的,数据只有在业务视角之下才具备实际意义,抛开业务单纯看数据治理、数据安全和数据访问无异于盲人摸象;

零信任的最后一公里,不仅仅是访问深度的问题,更是访问粒度的问题。


很多人会问,上述理论有实际需求场景么?具体该如何落地呢?且听下回分解:敏感数据访问控制。

 

(未完待续)


原文始发于微信公众号(白日放歌须纵9):连载:零信任的最后一公里(一)

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月18日00:37:49
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  连载:零信任的最后一公里(一) http://cn-sec.com/archives/898342.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: