安小圈
第532期
零信任
零信任体系架构图本质上是零信任的概念拼图，今天讲最后一部分“攻击者视图”。该架构已经更新到了1.7版。
图：零信任体系架构图V1.7
我们一直在强调零信任有多安全，而对“零信任可以如何不安全”的问题往往避而不谈。
相信过去客户问得最多的问题是：零信任到底解决了我的哪些安全问题？而未来客户问得更多的将是：零信任到底有哪些地方不安全？
今天咱们就从“攻击者视图”角度来聊聊。
攻击者视图是《零信任网络：在不可信网络中构建安全系统》书中定义的与零信任有关的潜在陷阱、危险和攻击向量。说白了，就是零信任的“命门”、“阿喀流斯之踵”。俗一点说，如果想搞死零信任，就这几方面入手。
针对零信任的八种攻击手段分别是：身份窃取、分布式拒绝服务攻击（DDoS）、枚举终端、不可信的计算平台、社会工程学、人身威胁、无效性和控制平面安全。
果然，身份是零信任最大的优点也是零信任最大的缺点。在零信任网络中，几乎所有的判定和操作都是基于认证后的身份进行的，所以如果合法用户的身份被盗窃或损害，那么攻击者就可能成功伪装并通过零信任认证授权检查。
勒索病毒与DDoS攻击果然是安全世界的两大癌症，哪怕是零信任的“单包敲门（SPA）”，虽然在很大程度上有助于隐藏服务端口，但它并不能从本质上减少DDoS攻击。
由于零信任架构具有点对点的特征，因此攻击者通过观察各系统与终端之间的通信信息就可以描绘出网络的拓扑图，因为零信任模型保证的是网络机密性而非隐私性。
底层计算平台的可信性对于零信任模型至关重要，比如操作系统、云主机、虚拟化终端等。这一点也好理解，如果底层出现了漏洞，应用层做得再安全也没有用，直接就“釜底抽薪”了。
漏洞和社会工程学是一切攻防之源。比如攻击者如果仿冒公司名义给每个员工发一封降薪或裁员的钓鱼邮件，相信绝大多数员工会迫不及待地点开。
我觉得“人身威胁”的提法，就是埃文·吉尔曼和道格·巴斯用来凑数的。对于数字世界来说，最终极的攻击当然是物理攻击，AI再牛，你拨掉插头试试？你看《谍中谍》，最后不还是阿汤哥吊着绳子从天花板下来才搞定的计算机么？你再看看“俄乌战争”，只通过网络战怎么能真正让对手臣服？
无效性指的是：获得过授权的行为长期有效。比如离职员工的影子账户、一个长期建立连接的网络会话等。所以要定期对闲置账户进行清理或对“会话”进行周期性重置。一句话，边界防御的核心是“网络切片”，而零信任的核心是“时间切片”。
控制平面安全就等同于“如果安全设备本身出现安全问题该怎么办？”最近几年，很多安全设备都被发现有0-DAY漏洞，甚至有的攻击者会利用系统漏洞把服务器上的杀毒软件干掉，然后再手工释放勒索病毒。如果零信任的“控制平面”被攻击者“控制”，那将会是一个大麻烦。
CSA和NIST对零信任面临的风险的认知跟埃文·吉尔曼和道格·巴斯差不多，但是语言更晦涩。比如“在ZTA管理中使用非人类实体（NPE）”，这个提法已经有点“为赋新词强说愁”了，所以不谈也罢。
看完了零信任这“八大杀手”，我突然有种感觉：零信任好像也没那么神！
-
【零信任】落地的理想应用场景：攻防演练
【原文来源：锐安全】
本文内容所包含内容仅限于学习和研究目的。这些内容源自公开的渠道搜集而来，目的是为帮助安全研究人员用于更好地理解和分析潜在的安全问题。
郑重提示：未经授权地利用可能涉及非法活动并导致法律责任和道德问题。请遵循适用的法律法规和道德准则。任何未经授权使用这些内容而导致的后果将由使用者自行承担。本文作者及安小圈不承担因使用本文内容而导致的任何法律问题、损害或责任。请详细阅读并理解这份免责声明。您将被视为已接受并同意遵守本免责声明所有条款和条件。
原文始发于微信公众号（安小圈）：搞死【零信任】的八大杀手
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论