從零信任的實踐方面，結合國內的實際情況，一要保證零信任理念的落地的便利性，二要注重整個方案的安全、合規特性。
零信任安全解決方案不是交鑰匙工程，除了有完善的方案和成熟的產品做支撐外，還需要對客戶的使用場景進行全面而細致的調研，緊密結合用戶業務場景不斷的迭代安全基線，才能最大程度上兼顧安全性與易用性。針對上述背景，本期發布牛品推薦：吉大正元——基于密碼技術的零信任解決方案，其通過將密碼技術賦能零信任架構，為零信任解決方案建立堅實的安全底座，為廣大用戶在提升網絡安全能力的同時，也為符合等保、密評的相關要求做好技術準備。
#牛品推薦第二十五期 #
01
標簽
零信任，密碼技術，動態訪問控制，多實體身份管理，多數據源持續評估，國密SSL安全通道，國密算法證書認證，SDP，資源隱藏，先認證后鏈接
02
用戶痛點
1、傳統安全邊界瓦解
傳統安全模型僅關注邊界的網絡安全防護，認為外部網絡不可信，內部網絡是可以信任的。各種設備可隨時隨地進行企業數據訪問提高了企業運行效率，同時也帶來更多安全風險。
2、外部風險暴露面不斷增加
企業數據不再僅限于內部自有使用或存儲，隨著云大物移智的發展，數據信息云化存儲、數據遍地走的場景愈加普遍。
3、企業人員和設備多樣性增加
企業員工、外包人員、合作伙伴等多種人員類型，在使用企業內部管理設備、家用PC、個人移動終端等，從任何時間、任何地點遠程訪問業務。各種訪問人員的身份和權限管理混亂；接入設備的安全性參差不齊，接入程序漏洞無法避免等，帶來極大風險。
4、數據泄露和濫用風險增加
企業的業務數據在不同的人員、設備、系統之間頻繁流動，原本只能存放于企業數據中心的數據也不得不面臨在員工個人終端留存的問題。數據在未經身份驗證的設備間流動，增加了數據泄露的危險。
5、內部員工對數據的惡意竊取
在非授權訪問、員工無意犯錯等情況下，“合法用戶”非法訪問特定的業務和數據資源后，造成數據中心內部數據泄露，甚至可能發生內部員工獲取管理員權限，導致更大范圍、更高級別的數據中心災難性事故。
03
解決方案
吉大正元通過以下幾個層面的安全策略解決上述挑戰和用戶痛點：
將身份作為訪問控制的基礎：IAM結合數字證書體系為所有參與訪問的實體賦予數字身份，為以身份作為基石的零信任安全解決方案打下堅實的基礎；
最小權限原則：強調資源的使用按需分配，僅授予其所需的最小權限。同時限制了資源的可見性。默認情況下，資源對未經認證的訪問發起方不可見；
資源安全訪問：通過SDP實現先信任后鏈接，要求所有訪問鏈必須加密。可信訪問網關提供建立國密SSL安全通道能力；
基于多源數據進行信任等級持續評估：訪問發起方信任等級是動態訪問控制的重要決策依據。通過不同維度（終端環境監測，實體行為分析等）的關聯分析，讓信任等級評估更加準確和可信；
實時計算訪問策略：一旦訪問發起方的信任等級發生變化，安全策略引擎會實時匹配與信任等級所對應的訪問策略。有效減少資源受到威脅的時間；
動態訪問控制機制：當安全控制中心發現訪問發起方的信任等級發生變化后，安全控制中心作為策略決策點，向各個策略執行點下發安全訪問控制策略。結合各策略執行點能力，可實現自適應多因子認證，動態權限訪問控制，會話熔斷，身份失效，終端隔離等動態訪問控制能力。
以密碼技術為基礎：保障實體身份的真實性。保障數據傳輸及存儲過程中的完整性和機密性及不可否認性。
方案總體架構
1、動態訪問控制體系
動態訪問控制體系主要負責實體身份管理認證及授權，定義動態訪問控制策略，通過不同維度的感知能力評估訪問主體是否可信，并根據評估結果和資源敏感等級，向各個策略執行點進行策略下發，動態訪問控制的主要產品組件如下：
1） IAM：
作為動態訪問控制的基礎，為零信任提供身份管理、身份認證、細粒度授權及行為審計能力。
2）安全控制中心：
作為動態訪問控制策略管理者：負責管理動態訪問控制規則。作為安全策略引擎：負責通過多數據源對用戶信任等級進行持續評估，并根據用戶信任等級與訪問資源的敏感程度進行動態訪問控制策略匹配，最后將匹配到的結果下發到各個策略執行點。
3）威脅感知：
通過終端環境監測、用戶實體行為分析等可信評估數據源對訪問主體及設備存在的風險或威脅進行監測和分析。當出現安全事件時，及時上報給安全控制中心。
2、可信訪問網關/API可信網關：
可信訪問網關和API可信網關是確保業務訪問安全的關口，為零信任提供支持建立國密SSL安全通道，動態會話阻斷，資源隱藏等能力。
1）策略執行點：
主要負責執行由安全控制中心下發的動態訪問控制策略，避免企業資源遭到更大的威脅。主要包括以下動態訪問控制能力：二次認證、限制訪問、會話熔斷、身份失效、終端隔離等。
2）密碼支撐服務：
可以為人員、設備、應用頒發高安全等級的國密數字證書，在通信鏈路上實現國密安全信道，在應用數據方面通過數字簽名保護數據的完整性、使其具有防篡改、抗抵賴的特性，通過“數據加密”保護敏感數據的機密性，通過時間戳技術保障整個系統的時間可靠性。
04
應用場景
1、用戶可信訪問企業資源
通過IAM對身份及權限的統一管理，多因子認證和基于多數據源的持續評估，確保訪問發起者可信。通過建立國密SSL安全通道確保訪問通道可信，通過資源隱藏技術，確保企業資源安全。實現了訪問的全流程安全保護。為企業提供了多類型用戶、多網絡位置、多種訪問途徑、多類型終端設備自適應無感安全訪問能力。
2、VPN訪問路徑
VPN是面向網絡連接，使用VPN連接后，資源就面臨直接暴露的風險。缺乏整體的安全管控分析能力，容易受到弱口令、憑證丟失等方式的安全威脅。零信任是面向應用連接，可以有效的減少資源暴露面積，通過動態訪問控制和信道加密等技術讓訪問更可信。
3、云桌面訪問路徑
云桌面與零信任對接后，能夠讓云桌面訪問路徑得到更加完善的安全保護。對接后云桌面即可獲得單點登錄、自適應多因子認證，實時阻斷等動態訪問控制能力。
05
用戶反饋
通過零信任項目的落地，把提升認證與訪問控制相關的安全性進行了大幅優化，涉及用戶統一管理、API統一管理、業務應用統一管理、動態權問控制等。
——某央企集團
除了有好的方案與好的產品做支撐外，吉大對客戶的訪問方式方法、進行全面而細致的調研，通過緊密結合用戶應用場景完善零信任動態訪問控制策略，最大程度上兼顧了安全與易用性。
——某省廳
迅速有效的解決了遠程辦公的認證和訪問控制的安全問題，保障期間，沒有出現過任何安全風險，特此感謝。
——某央企用戶
安全牛評
隨著互聯網越來越開放，網絡訪問也從邊界向邊緣轉變。零信任是解決當前安全接入的一種解決思路，而其中基于身份的訪問控制則是零信任的基石。吉大正元零信任方案分為訪問控制和零信任網關，在訪問控制中基于最小權限對實體行為進行管理，從而保證對用戶的精準畫像；在可信網關中，利用動態策略對網絡訪問行為進行控制。訪問主體的身份信息、權限、實體類型等均是判斷訪問者可信與否的指標，訪問目標的資源、場景均是判斷訪問者可否訪問的要點。吉大正元的側重點在于身份的動態管控思路，是零信任方案的重要支撐部分。
