摘 要：隨著網(wǎng)絡(luò)空間高速發(fā)展，大規(guī)模網(wǎng)絡(luò)引發(fā)的安全運(yùn)行防護(hù)復(fù)雜度激增。傳統(tǒng)的基于網(wǎng)絡(luò)邊界建立信任體系的安全防護(hù)模式逐漸失效，零信任網(wǎng)絡(luò)安全技術(shù)應(yīng)運(yùn)而生，并迅速成為當(dāng)前網(wǎng)絡(luò)空間安全技術(shù)研究熱點(diǎn)。從傳統(tǒng)邊界防護(hù)存在的問(wèn)題出發(fā)，分析了零信任模型產(chǎn)生的原因、基本概念和優(yōu)勢(shì)，并闡述了零信任安全網(wǎng)絡(luò)架構(gòu)的組成要素和關(guān)鍵技術(shù)，最后探討了其在企業(yè)遠(yuǎn)程移動(dòng)辦公方面的應(yīng)用，為新型數(shù)字化基建業(yè)務(wù)安全防護(hù)提供相關(guān)借鑒。
內(nèi)容目錄：
0 引 言
1 傳統(tǒng)網(wǎng)絡(luò)邊界防護(hù)存在的問(wèn)題
2 零信任安全網(wǎng)絡(luò)架構(gòu)研究
2.1 零信任概念和基本特征
2.2 零信任安全架構(gòu)
2.3 關(guān)鍵功能組件
2.4 關(guān)鍵技術(shù)
3 零信任網(wǎng)絡(luò)安全應(yīng)用研究
3.1 遠(yuǎn)程移動(dòng)辦公應(yīng)用安全風(fēng)險(xiǎn)
3.2 基于零信任的企業(yè)移動(dòng)遠(yuǎn)程辦公安全架構(gòu)
4 結(jié) 語(yǔ)
00 引 言
隨著企業(yè)數(shù)字化轉(zhuǎn)型的逐漸深入，特別是移動(dòng)互聯(lián)網(wǎng)、大數(shù)據(jù)、云計(jì)算、微服務(wù)為代表的新一代信息化建設(shè)愈演愈烈，伴隨而來(lái)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)及威脅也日益復(fù)雜，APT攻擊、身份假冒、內(nèi)部威脅等新型網(wǎng)絡(luò)攻擊手段層出不窮，給數(shù)字時(shí)代的信息安全帶來(lái)了嚴(yán)峻的挑戰(zhàn)。
為了解決傳統(tǒng)的基于網(wǎng)絡(luò)邊界建立安全防護(hù)帶來(lái)的諸多問(wèn)題，由研究機(jī)構(gòu)Forrester的首席分析師JohnKindervag于2010年首次提出了“零信任網(wǎng)絡(luò)”的概念。零信任是一種全新的安全理念，它對(duì)網(wǎng)絡(luò)安全進(jìn)行了范式上的顛覆，打破了網(wǎng)絡(luò)邊界的概念，引導(dǎo)網(wǎng)絡(luò)安全體系架構(gòu)從網(wǎng)絡(luò)中心化向身份中心化的轉(zhuǎn)變，實(shí)現(xiàn)對(duì)用戶(hù)、設(shè)備和應(yīng)用的全面、動(dòng)態(tài)、智能訪問(wèn)控制，建立應(yīng)用層面的安全防護(hù)體系。谷歌公司早在2011年便啟動(dòng)了名為BeyondCorp項(xiàng)目，旨在將零信任架構(gòu)應(yīng)用于客戶(hù)分布式訪問(wèn)業(yè)務(wù)。2019年9月，工信部公開(kāi)征求對(duì)《關(guān)于促進(jìn)網(wǎng)絡(luò)安全產(chǎn)業(yè)發(fā)展的指導(dǎo)意見(jiàn)》的意見(jiàn)中，明確將“零信任安全”列入網(wǎng)絡(luò)安全亟需重點(diǎn)突破的關(guān)鍵技術(shù)。
本文首先分析了傳統(tǒng)網(wǎng)絡(luò)邊界防護(hù)體系的諸多缺陷，并詳細(xì)闡述了零信任安全網(wǎng)絡(luò)架構(gòu)，以及涉及的關(guān)鍵功能組件和技術(shù)，在此基礎(chǔ)上，以移動(dòng)遠(yuǎn)程辦公應(yīng)用為例，提出了基于零信任架構(gòu)的安全防護(hù)應(yīng)用解決方案。
01 傳統(tǒng)網(wǎng)絡(luò)邊界防護(hù)存在的問(wèn)題
傳統(tǒng)的網(wǎng)絡(luò)安全結(jié)構(gòu)專(zhuān)注于對(duì)網(wǎng)絡(luò)邊界的監(jiān)管和防御，以邊界模型為基礎(chǔ)而逐漸完善，它的核心理念是分區(qū)、分層防護(hù)，目標(biāo)是試圖把攻擊者阻擋在可信的內(nèi)部網(wǎng)絡(luò)之外，具有強(qiáng)大的縱深防御能力。傳統(tǒng)網(wǎng)絡(luò)邊界防護(hù)模型如圖1所示。
典型邊界防護(hù)模型通過(guò)把網(wǎng)絡(luò)劃分為不同區(qū)域，不同區(qū)域授予了一定程度的信任。能夠被遠(yuǎn)程訪問(wèn)的應(yīng)用服務(wù)器等高風(fēng)險(xiǎn)資源，被部署在可信區(qū)或特權(quán)區(qū)，通過(guò)部署在邊界隔離區(qū)的防火墻、IPS和VPN網(wǎng)關(guān)等安全設(shè)備對(duì)進(jìn)入網(wǎng)絡(luò)流量進(jìn)行嚴(yán)格監(jiān)控，目的是構(gòu)建基于網(wǎng)絡(luò)邊界的外圍防御，從而一定程度確保隔離區(qū)以?xún)?nèi)私有網(wǎng)絡(luò)的安全。
這種傳統(tǒng)的網(wǎng)絡(luò)分區(qū)和城墻式隔離防護(hù)模型，至今仍然作為主流網(wǎng)絡(luò)安全防護(hù)架構(gòu)發(fā)揮著積極作用，但是隨著網(wǎng)絡(luò)規(guī)模的爆發(fā)式增長(zhǎng)和網(wǎng)絡(luò)攻擊手段越來(lái)越多樣化、隱蔽化，一個(gè)網(wǎng)絡(luò)即使采用了完備的邊界防御措施，仍然存在被攻陷的風(fēng)險(xiǎn)。邊界防護(hù)模型缺陷主要表現(xiàn)為以下幾個(gè)方面。
(1)缺乏網(wǎng)絡(luò)內(nèi)部防護(hù)
基于邊界的防護(hù)策略采用嚴(yán)格監(jiān)控機(jī)制，對(duì)外網(wǎng)流量進(jìn)行嚴(yán)格訪問(wèn)控制，試圖在私有網(wǎng)絡(luò)和外網(wǎng)之間建立一堵防護(hù)墻，同時(shí)默認(rèn)私有網(wǎng)絡(luò)內(nèi)部是安全的，并為受保護(hù)的內(nèi)部網(wǎng)絡(luò)賦予一定程度的信任，私有網(wǎng)絡(luò)內(nèi)部主機(jī)自我保護(hù)能力較弱。這種城墻式防護(hù)模式無(wú)法有效阻止從內(nèi)部網(wǎng)絡(luò)發(fā)起的攻擊，比如傳統(tǒng)的邊界VPN提供的安全防護(hù)能力，當(dāng)網(wǎng)絡(luò)流量穿透隔離區(qū)后就會(huì)失效。攻擊者在突破外部防御后，能夠利用私有網(wǎng)絡(luò)內(nèi)部漏洞和管理缺陷，獲取某主機(jī)權(quán)限，近而采用橫向移動(dòng)方式對(duì)更高級(jí)別安全域服務(wù)實(shí)施攻擊。
(2)存在單點(diǎn)部署失效
在網(wǎng)絡(luò)邊界采用分布式部署安全設(shè)備，構(gòu)建的廣域城墻式防御體系，隨著網(wǎng)絡(luò)規(guī)模的增大以及不同安全等級(jí)和防護(hù)水平的異構(gòu)網(wǎng)絡(luò)互通互聯(lián)，擴(kuò)大了網(wǎng)絡(luò)攻擊面。攻擊者通過(guò)集中攻破安全防御能力較弱的某些部署點(diǎn)，從而繞過(guò)具有較強(qiáng)安全防御網(wǎng)絡(luò)邊界，對(duì)網(wǎng)絡(luò)內(nèi)部實(shí)施攻擊，使得整體網(wǎng)絡(luò)邊界防御體系崩塌。
(3)缺乏全局安全策略
傳統(tǒng)邊界防護(hù)機(jī)制規(guī)定了不同安全區(qū)域的訪問(wèn)控制規(guī)則，比如對(duì)來(lái)自不可信區(qū)的網(wǎng)絡(luò)交互流量，通常采用基于密碼技術(shù)的強(qiáng)制身份認(rèn)證及訪問(wèn)控制，對(duì)可信區(qū)內(nèi)部的網(wǎng)絡(luò)流量、用戶(hù)訪問(wèn)等則基于一定程度的信任機(jī)制，采用弱化的安全策略控制，基本暢通無(wú)阻。這種差異化的安全控制策略，使得攻擊者不必強(qiáng)行攻破邊界防護(hù)，而可以將惡意軟件遠(yuǎn)程投遞到網(wǎng)絡(luò)內(nèi)部，在獲得訪問(wèn)權(quán)限后，利用內(nèi)部策略控制漏洞發(fā)起網(wǎng)絡(luò)攻擊。
上述問(wèn)題產(chǎn)生的原因歸根到底是由于傳統(tǒng)網(wǎng)絡(luò)邊界構(gòu)建的安全防護(hù)體系，是基于“私有網(wǎng)絡(luò)內(nèi)部的系統(tǒng)和網(wǎng)絡(luò)流量是可信的”這一假設(shè)。隨著云計(jì)算、移動(dòng)計(jì)算等新型數(shù)字基礎(chǔ)設(shè)施建設(shè)加速，IT技術(shù)架構(gòu)發(fā)生了劇烈變革，網(wǎng)絡(luò)扁平化以及無(wú)邊界化趨勢(shì)，使得不可信網(wǎng)絡(luò)區(qū)域和安全可信的私有網(wǎng)絡(luò)區(qū)域界限愈發(fā)模糊，從而引導(dǎo)網(wǎng)絡(luò)安全體系架構(gòu)，逐漸從以網(wǎng)絡(luò)為中心的分層防護(hù)，向以身份為中心的全域訪問(wèn)控制轉(zhuǎn)變。
02 零信任安全網(wǎng)絡(luò)架構(gòu)研究
2.1 零信任概念和基本特征
零信任網(wǎng)絡(luò)以保護(hù)服務(wù)數(shù)據(jù)安全為目標(biāo)，旨在解決“基于網(wǎng)絡(luò)邊界建立信任”這種理念本身固有的問(wèn)題。它強(qiáng)調(diào)網(wǎng)絡(luò)是不可信的。它將網(wǎng)絡(luò)防御的邊界縮小到單個(gè)或更小的資源組，不再根據(jù)網(wǎng)絡(luò)區(qū)域位置授予預(yù)設(shè)信任權(quán)限，將防護(hù)措施從傳統(tǒng)的網(wǎng)絡(luò)層面擴(kuò)展到應(yīng)用層面。
零信任安全本質(zhì)是以身份為中心進(jìn)行動(dòng)態(tài)訪問(wèn)控制，構(gòu)建從訪問(wèn)主體到目標(biāo)客體之間的端到端，具有最小訪問(wèn)授權(quán)的網(wǎng)絡(luò)安全防護(hù)機(jī)制。
零信任網(wǎng)絡(luò)的基本概念建立在以下5個(gè)基本假定之上：
(1)網(wǎng)絡(luò)無(wú)時(shí)無(wú)刻不處于危險(xiǎn)環(huán)境中。
(2)網(wǎng)絡(luò)中自始至終存在外部或內(nèi)部威脅。
(3)網(wǎng)絡(luò)位置不足以決定網(wǎng)絡(luò)的可信程度。
(4)所有設(shè)備、用戶(hù)和網(wǎng)絡(luò)流量都應(yīng)當(dāng)經(jīng)過(guò)認(rèn)證和授權(quán)。
(5)安全策略必須是動(dòng)態(tài)的，并基于盡可能多的數(shù)據(jù)源進(jìn)行計(jì)算。
相比傳統(tǒng)的網(wǎng)絡(luò)邊界防護(hù)對(duì)象，零信任網(wǎng)絡(luò)將威脅源從網(wǎng)絡(luò)外部延伸至網(wǎng)絡(luò)內(nèi)部，將網(wǎng)絡(luò)中一切行為實(shí)體均視為不可信，將邊界模型中的“信任但驗(yàn)證”轉(zhuǎn)換到“從不信任，始終驗(yàn)證”的模式。相應(yīng)地，零信任安全網(wǎng)絡(luò)具有如下關(guān)鍵特征：
第一，多維身份認(rèn)證。零信任網(wǎng)絡(luò)中，身份認(rèn)證的概念不再局限于對(duì)單一用戶(hù)認(rèn)證或設(shè)備進(jìn)行認(rèn)證，而是將用戶(hù)信息、設(shè)備信息、網(wǎng)絡(luò)流量以及應(yīng)用訪問(wèn)行為均作為廣義身份認(rèn)證對(duì)象，對(duì)多維度身份組合，進(jìn)行強(qiáng)制持續(xù)認(rèn)證。
第二，動(dòng)態(tài)訪問(wèn)控制。零信任網(wǎng)絡(luò)是建立在身份認(rèn)證和授權(quán)重構(gòu)的訪問(wèn)控制基礎(chǔ)上，并且訪問(wèn)策略機(jī)制不是靜態(tài)不變，它基于網(wǎng)絡(luò)業(yè)務(wù)活動(dòng)眾多屬性來(lái)實(shí)時(shí)分析當(dāng)前訪問(wèn)風(fēng)險(xiǎn)，并動(dòng)態(tài)的調(diào)整控制策略和訪問(wèn)權(quán)限來(lái)應(yīng)對(duì)網(wǎng)絡(luò)攻擊。
第三，可變信任管理。零信任網(wǎng)絡(luò)擯棄了傳統(tǒng)的基于角色和權(quán)限預(yù)分配的靜態(tài)策略方式，采用細(xì)粒度信任度量機(jī)制，對(duì)網(wǎng)絡(luò)訪問(wèn)業(yè)務(wù)活動(dòng)進(jìn)行持續(xù)監(jiān)控，并據(jù)此不斷更新網(wǎng)絡(luò)訪問(wèn)實(shí)體的信任評(píng)分，并根據(jù)信任評(píng)分高低，賦予實(shí)體最小訪問(wèn)權(quán)限。
2.2 零信任安全架構(gòu)
美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)研究院(NIST)對(duì)零信任架構(gòu)定義為：零信任架構(gòu)提供一系列概念、理念、組件及其交互關(guān)系，已便消除針對(duì)信息系統(tǒng)和服務(wù)進(jìn)行精準(zhǔn)訪問(wèn)判定所存在的不確定性。文獻(xiàn)[4-5]分別從邏輯組件和技術(shù)方案層面研究了零信任架構(gòu)的參考模型。
總的來(lái)說(shuō)，零信任模型采用身份管理基礎(chǔ)設(shè)施、數(shù)據(jù)平面、控制平面三層架構(gòu)，實(shí)現(xiàn)訪問(wèn)主體到目標(biāo)客體的端到端安全控制。零信任安全架構(gòu)如圖2所示。
圖2 零信任安全架構(gòu)
身份管理基礎(chǔ)設(shè)施作為權(quán)威、可信的第三方，是實(shí)現(xiàn)零信任架構(gòu)以身份為中心的關(guān)鍵支撐。它負(fù)責(zé)為零信任網(wǎng)絡(luò)提供網(wǎng)絡(luò)實(shí)體統(tǒng)一身份認(rèn)證、公鑰證書(shū)簽發(fā)及身份全生命周期管理等功能。
控制平面和數(shù)據(jù)平面為零信任架構(gòu)核心支撐系統(tǒng)。其中控制平面實(shí)現(xiàn)對(duì)訪問(wèn)主體的策略制定、信任管理和持續(xù)動(dòng)態(tài)訪問(wèn)授權(quán)等；數(shù)據(jù)平面由控制平面指揮和配置，接收來(lái)自控制平面下發(fā)的管控策略和網(wǎng)絡(luò)參數(shù)，實(shí)現(xiàn)對(duì)具體網(wǎng)絡(luò)訪問(wèn)請(qǐng)求的策略控制執(zhí)行。
采用控制平面和數(shù)據(jù)平面分離設(shè)計(jì)，有效地縮小了網(wǎng)絡(luò)攻擊面，降低了零信任架構(gòu)的安全風(fēng)險(xiǎn)，同時(shí)能夠更有效地對(duì)訪問(wèn)實(shí)施策略管控。
2.3 關(guān)鍵功能組件
零信任安全在多維身份認(rèn)證的基礎(chǔ)上，通過(guò)強(qiáng)化授權(quán)和信任管理，重構(gòu)訪問(wèn)控制安全架構(gòu)。其關(guān)鍵功能組件包括策略執(zhí)行引擎、授權(quán)策略引擎和信任評(píng)估引擎等，各功能組件通常由各專(zhuān)用設(shè)備或子系統(tǒng)組成，通過(guò)協(xié)同配合，支撐零信任網(wǎng)絡(luò)的安全能力。
(1)策略執(zhí)行引擎
策略執(zhí)行引擎配置于數(shù)據(jù)平面，負(fù)責(zé)攔截網(wǎng)絡(luò)訪問(wèn)請(qǐng)求，同時(shí)通過(guò)和授權(quán)策略引擎組件交互，完成對(duì)該訪問(wèn)的授權(quán)決策，并根據(jù)決策結(jié)果，強(qiáng)制執(zhí)行。只有通過(guò)認(rèn)證，并且具備訪問(wèn)權(quán)限的請(qǐng)求才被予以訪問(wèn)目標(biāo)客體。此外策略執(zhí)行引擎還能夠針對(duì)網(wǎng)絡(luò)流程，動(dòng)態(tài)配置加密算法參數(shù)、加密隧道等參數(shù)，對(duì)網(wǎng)絡(luò)流量實(shí)施加密保護(hù)，支持高性能和安全性的彈性功能伸縮。
(2)策略授權(quán)引擎
策略授權(quán)引擎部署在控制平面，和策略執(zhí)行引擎聯(lián)動(dòng)，對(duì)訪問(wèn)授權(quán)請(qǐng)求進(jìn)行動(dòng)態(tài)授權(quán)判定，并將決策結(jié)果返回策略執(zhí)行引擎組件強(qiáng)制執(zhí)行。這種控制平面和數(shù)據(jù)平面的分離部署方式，能夠支持實(shí)施、動(dòng)態(tài)、按需的授權(quán)決策，同時(shí)有效地縮小了網(wǎng)絡(luò)攻擊面，降低了零信任架構(gòu)的安全風(fēng)險(xiǎn)。
(3)信任評(píng)估引擎
信任評(píng)估引擎組件同樣部署在控制平面，和策略授權(quán)引擎聯(lián)動(dòng)，基于一定算法，結(jié)合網(wǎng)絡(luò)上下文、基本屬性及訪問(wèn)機(jī)制等安全要素，對(duì)網(wǎng)絡(luò)實(shí)體及訪問(wèn)請(qǐng)求風(fēng)險(xiǎn)進(jìn)行量化評(píng)估，策略授權(quán)引擎根據(jù)信任評(píng)估水平，近一步生成授權(quán)決策，確定網(wǎng)絡(luò)活動(dòng)的合法性。
2.4 關(guān)鍵技術(shù)
零信任安全網(wǎng)絡(luò)在控制平面和數(shù)據(jù)平面分離設(shè)計(jì)的基礎(chǔ)上，采用了包括網(wǎng)絡(luò)代理、可變信任評(píng)估和動(dòng)態(tài)訪問(wèn)控制等關(guān)鍵技術(shù)，共同構(gòu)建零信任安全防護(hù)體系。
(1)網(wǎng)絡(luò)代理技術(shù)
網(wǎng)絡(luò)代理技術(shù)是在用戶(hù)和設(shè)備成功通過(guò)認(rèn)證的基礎(chǔ)上，將包括用戶(hù)、應(yīng)用程序以及設(shè)備等網(wǎng)絡(luò)身份實(shí)體信息進(jìn)行整合后，作為訪問(wèn)請(qǐng)求唯一主體，提供的實(shí)時(shí)訪問(wèn)控制依據(jù)。
網(wǎng)絡(luò)代理代表了用戶(hù)信息、設(shè)備狀態(tài)、網(wǎng)絡(luò)地址、業(yè)務(wù)上下文以及訪問(wèn)時(shí)間、空間位置等各個(gè)維度的身份實(shí)體屬性，在授權(quán)申請(qǐng)時(shí)刻的實(shí)時(shí)狀態(tài)。具有即時(shí)性特征，在申請(qǐng)授權(quán)時(shí)按需臨時(shí)產(chǎn)生。這種對(duì)多維度身份屬性，執(zhí)行整體申請(qǐng)授權(quán)的訪問(wèn)機(jī)制，有效地避免了對(duì)每個(gè)單一屬性授權(quán)的復(fù)雜性，同時(shí)降低基于單一維度實(shí)施訪問(wèn)授權(quán)的漏洞風(fēng)險(xiǎn)。
(2)可變信任評(píng)估技術(shù)
可變信任評(píng)估技術(shù)對(duì)網(wǎng)絡(luò)代理提供的多維度實(shí)時(shí)屬性信息，進(jìn)行實(shí)時(shí)信任評(píng)估和分析，通過(guò)持續(xù)量化評(píng)估網(wǎng)絡(luò)活動(dòng)風(fēng)險(xiǎn)等級(jí)，為訪問(wèn)授權(quán)提供判斷依據(jù)。
該技術(shù)在使用了靜態(tài)規(guī)則匹配的基礎(chǔ)上，還采用機(jī)器學(xué)習(xí)、人工智能等技術(shù)，通過(guò)對(duì)網(wǎng)絡(luò)活動(dòng)數(shù)據(jù)特征提取、模型訓(xùn)練等過(guò)程，構(gòu)建信任評(píng)估模型，利用模型輸出和人工定義風(fēng)險(xiǎn)評(píng)分，實(shí)現(xiàn)模型的驗(yàn)證和評(píng)估，并正向反饋至評(píng)估模型，提升模型分析準(zhǔn)確性，增強(qiáng)信任評(píng)估的智能化水平和準(zhǔn)確性，應(yīng)對(duì)日益復(fù)雜的未知網(wǎng)絡(luò)威脅。
(3)動(dòng)態(tài)訪問(wèn)控制技術(shù)
傳統(tǒng)訪問(wèn)控制基于網(wǎng)絡(luò)實(shí)體定義和預(yù)分配的二值判定策略，通常利用靜態(tài)授權(quán)規(guī)則，以及黑白名單等手段，對(duì)業(yè)務(wù)訪問(wèn)執(zhí)行一次性評(píng)估。而零信任架構(gòu)采用安全和易用平衡的持續(xù)度量，執(zhí)行動(dòng)態(tài)訪問(wèn)控制，基于可變信任評(píng)估，訪問(wèn)主題的授權(quán)范圍會(huì)根據(jù)過(guò)去和當(dāng)前行為、身份信息及網(wǎng)絡(luò)環(huán)境的等因素影響，不斷變化，對(duì)每次業(yè)務(wù)訪問(wèn)動(dòng)態(tài)實(shí)施最小授權(quán)，解決了傳統(tǒng)靜態(tài)控制機(jī)制下，安全策略動(dòng)態(tài)性不足問(wèn)題，增強(qiáng)了零信任網(wǎng)絡(luò)防御任意威脅的能力。
03 零信任網(wǎng)絡(luò)安全應(yīng)用研究
3.1 遠(yuǎn)程移動(dòng)辦公應(yīng)用安全風(fēng)險(xiǎn)
隨著信息技術(shù)發(fā)展，移動(dòng)遠(yuǎn)程辦公已成為一種新型高效辦公模式，在2020年初新冠疫情爆發(fā)的情況下，越來(lái)越多的企業(yè)選擇了移動(dòng)遠(yuǎn)程辦公，一方面，有效地促進(jìn)了企業(yè)復(fù)工復(fù)產(chǎn)，同時(shí)對(duì)抑制了疫情的近一步集中爆發(fā)，起到了積極作用。
但另一方面，由于遠(yuǎn)程辦公涉及到不同種類(lèi)的用戶(hù)終端，以及公共網(wǎng)絡(luò)傳輸環(huán)境的復(fù)雜性，使得企業(yè)敏感信息在訪問(wèn)、處理、傳輸、應(yīng)用等過(guò)程中，存在著很大的信息安全風(fēng)險(xiǎn)，安全成為了移動(dòng)遠(yuǎn)程辦公亟需解決的關(guān)鍵問(wèn)題，主要表現(xiàn)為以下幾方面。
(1)網(wǎng)絡(luò)開(kāi)放性增加
目前遠(yuǎn)程移動(dòng)辦公多采用基于公共互聯(lián)網(wǎng)設(shè)施，建立企業(yè)VPN通道，實(shí)現(xiàn)對(duì)企業(yè)內(nèi)部服務(wù)的遠(yuǎn)程訪問(wèn)。這種建立在公開(kāi)網(wǎng)絡(luò)基礎(chǔ)上的信息交換，使得內(nèi)外網(wǎng)絡(luò)邊界更加模糊化，增加了網(wǎng)絡(luò)攻擊面，通過(guò)VPN訪問(wèn)的方式，本質(zhì)上還是利用傳統(tǒng)的邊界防護(hù)的思想，企圖在企業(yè)內(nèi)網(wǎng)和互聯(lián)網(wǎng)之間建立牢固的“護(hù)城河”。
(2)接入設(shè)備多樣性增加
遠(yuǎn)程移動(dòng)辦公允許員工使用包括智能手機(jī)、辦公平板、家用PC機(jī)等多種類(lèi)型用戶(hù)終端，隨時(shí)隨地登錄訪問(wèn)服務(wù)。各種接入設(shè)備的身份管理強(qiáng)度、設(shè)備安全性均參差不齊。通過(guò)這些用戶(hù)終端實(shí)施遠(yuǎn)程訪問(wèn)，給企業(yè)內(nèi)網(wǎng)帶來(lái)了極大安全隱患。
(3)業(yè)務(wù)傳輸復(fù)雜性增加
遠(yuǎn)程移動(dòng)辦公將之前企業(yè)內(nèi)部流通的業(yè)務(wù)信息，完全暴露在公共網(wǎng)絡(luò)上，愈發(fā)復(fù)雜的業(yè)務(wù)處理，使得企業(yè)敏感數(shù)據(jù)和個(gè)人數(shù)據(jù)在網(wǎng)絡(luò)上頻繁傳輸，增加了數(shù)據(jù)泄漏和濫用的風(fēng)險(xiǎn)。
3.2 基于零信任的企業(yè)移動(dòng)遠(yuǎn)程辦公安全架構(gòu)
針對(duì)遠(yuǎn)程移動(dòng)辦公應(yīng)用迫切的安全防護(hù)需求，零信任安全架構(gòu)利用多維身份認(rèn)證、持續(xù)信任管理和動(dòng)態(tài)訪問(wèn)控制等關(guān)鍵能力，并結(jié)合企業(yè)當(dāng)前的信息化網(wǎng)絡(luò)建設(shè)現(xiàn)狀，構(gòu)建基于零信任的企業(yè)移動(dòng)遠(yuǎn)程辦公安全架構(gòu)，如圖3所示。
圖3 基于零信任的移動(dòng)遠(yuǎn)程辦公安全架構(gòu)
信任評(píng)估服務(wù)器和訪問(wèn)授權(quán)系統(tǒng)構(gòu)成零信任網(wǎng)絡(luò)架構(gòu)的控制平面；數(shù)據(jù)平面由目前已部署的直接處理網(wǎng)絡(luò)流量的防火墻、IDS入侵檢測(cè)等安全設(shè)備以及應(yīng)用服務(wù)網(wǎng)關(guān)組成；企業(yè)統(tǒng)一身份認(rèn)證系統(tǒng)、數(shù)字證書(shū)管理系統(tǒng)等，構(gòu)成企業(yè)身份管理基礎(chǔ)設(shè)施。
智能手機(jī)、辦公平板和PC客戶(hù)端等各類(lèi)遠(yuǎn)程訪問(wèn)終端，通過(guò)公共互聯(lián)網(wǎng)接入企業(yè)內(nèi)網(wǎng)時(shí)，數(shù)據(jù)平面捕獲網(wǎng)絡(luò)訪問(wèn)，首先對(duì)用戶(hù)和設(shè)備進(jìn)行身份認(rèn)證，認(rèn)證成功后向控制平面發(fā)起訪問(wèn)授權(quán)請(qǐng)求?？刂破矫娼M件檢查請(qǐng)求相關(guān)數(shù)據(jù)，采用細(xì)粒度業(yè)務(wù)管控策略，分析評(píng)估訪問(wèn)主體的信任度，確定訪問(wèn)授權(quán)級(jí)別，同時(shí)將授權(quán)判定結(jié)果，以控制策略方式下發(fā)，重新配置數(shù)據(jù)平面，對(duì)請(qǐng)求授予最小訪問(wèn)權(quán)限。在獲取訪問(wèn)許可后，遠(yuǎn)程訪問(wèn)終端可通過(guò)數(shù)據(jù)平面訪問(wèn)企業(yè)內(nèi)部應(yīng)用服務(wù)和數(shù)據(jù)信息。
采用零信任網(wǎng)絡(luò)架構(gòu)，增強(qiáng)企業(yè)遠(yuǎn)程移動(dòng)辦公應(yīng)用安全防護(hù)能力，能夠有效地緩解端到端的應(yīng)用訪問(wèn)風(fēng)險(xiǎn)，為企業(yè)常態(tài)化遠(yuǎn)程辦公以及近一步的數(shù)字化轉(zhuǎn)型保駕護(hù)航。
04 結(jié) 語(yǔ)
數(shù)字新時(shí)代下，異構(gòu)網(wǎng)絡(luò)之間互聯(lián)互通愈發(fā)頻繁，企業(yè)內(nèi)外網(wǎng)界限的越發(fā)模糊，同時(shí)隨著網(wǎng)絡(luò)攻防技術(shù)的不斷發(fā)展，傳統(tǒng)的基于網(wǎng)絡(luò)邊界的安全防護(hù)策略，已難以應(yīng)對(duì)層出不窮的網(wǎng)絡(luò)攻擊。采用以身份為中心的零信任安全架構(gòu)，利用基于多維屬性的可變信任管理、最小授權(quán)的動(dòng)態(tài)訪問(wèn)控制，構(gòu)建“端到端”的應(yīng)用安全防護(hù)體系，將逐漸成為企業(yè)網(wǎng)絡(luò)安全發(fā)展新趨勢(shì)，推動(dòng)企業(yè)網(wǎng)絡(luò)安全架構(gòu)的轉(zhuǎn)型和變革。
作者簡(jiǎn)介 >>>
劉 歡(1984—),男，碩士，高級(jí)工程師，主要研究方向?yàn)樾畔⑾到y(tǒng)安全，保密通信;
楊 帥(1988—)，男，碩士，工程師，主要研究方向?yàn)樾畔⑾到y(tǒng)安全，保密通信;
劉皓(1981—)，男，碩士，工程師，主要研究方向?yàn)樾畔⑾到y(tǒng)安全，計(jì)算機(jī)網(wǎng)絡(luò)。
選自《通信技術(shù)》2020年第七期(為便于排版，已省去原文參考文獻(xiàn))
