零信任安全架构
网络安全参考架构
2023.2.7,美国国防部网络安全参考架构CS-Ref-Architecture,可执行的安全体系架构概念图
![可执行的安全体系架构概念图](/assets/OperationalConceptGraphic-cd934485.png)
可执行的操作分解图
![可执行的操作分解图](/assets/OperationalActivitiesDecomposition-eeb4f13d.png)
访问控制模型
2019.2.25 NIST SP 800-162 基于属性的访问控制(ABAC)的定义和注意事项
NIST:基于属性的访问控制模型ABAC参考体系结构
![基于属性的访问控制模型](/assets/nistabacexample-c8b533cb.png)
零信任架构
2020.8.11 NIST SP 800-207 零信任架构Zero Trust Architecture
![零信任核心组件](/assets/NIST-fcbe5cf5.png)
![零信任核心组件](/assets/NISTSP800207-d4d0c7cd.png)
2020.10.21 NIST+NCCoE 实现零信任架构(NIST SP 800-207的落地实践)Implementing a Zero Trust Architecture
![零信任高级架构](/assets/ztarch-bed5c814.png)
![零信任高级架构](/assets/ztarchcn-279a6289.png)
2022.06.02 奇安信主导的《信息安全技术 零信任参考体系架构》(征求意见稿)
![零信任参考体系架构图](/assets/GBztarch-87b10be7.png)
软件定义边界SDP
2022.03.10 软件定义边界 (SDP) 规范 v2.0 Software-Defined Perimeter (SDP) Specification v2.0
![SDP架构](/assets/SDPArchitecture-fafc977b.png)
SDP有效实现了NIST零信任架构(ZTA)定义的基本原则以及业务逻辑:
- 数据平面 (Data Plane)与控制平面(Control Plane)分离
- 资源对未授权的用户/设备不可见(网络隐身)
- 最小授权原则
- 所有流量加密,等等…
![SDP处理逻辑](/assets/SDPProcess-462043d3.png)
AH可以与目标服务部署在相同的设备,或者部署在相同的网络中。
![SDP处理逻辑](/assets/SDPSplit-09976b18.png)
零信任网关产品架构
国内最常见的零信任网关类产品将安全策略执行点(PEP)简化为一个安全网关(甚至很多公司直接将策略执行点翻译为安全网关),通过多个位置部署或某个位置的集群部署,实现特定区域保护的效果,控制粒度较粗,难以实现主机/应用/容器级的全网精细化访问控制,无法实现全链路加密。
零信任网关中的隐身网关的作用,类似于防火墙。隐身网关对用户的身份进行检测,对合法用户打开防火墙的端口。对非法用户来说,所有端口都是关闭的。
如果把隐身网关放在Web代理网关(正向代理或反向代理)之前的话,可以使Web代理网关具备“隐身”防护能力,抵抗针对Web代理网关的漏洞扫描或者DDoS攻击。Web代理网关的缺点是很多应用Web应用无法直接代理可能涉及应用系统改造,并且存在性能下降的问题,通过集群部署可以改善性能缺陷,但是用户还是可以感受到性能的这种差异。
网络隧道网关的作用是覆盖Web之外更多使用场景(如C/S架构的业务系统,远程运维连接SSH、连接数据库等),很多零信任产品是用VPN来实现网络隧道网关的,包括SSL VPN或wireguard。 网络隧道网关的缺点是暴露网络层的资源,安全性更低。
服务器之间的访问需要API网关来管理。第三方服务器调取被保护资源的API时,隐身网关放行后需要进行身份验证。
安全网关是零信任架构的中心,是零信任理念的执行者。安全网关通常会部署在企业网络的入口,对企业影响非常大。因此,网关对各种协议是否都能支持,网关是否支持高可用,加密通信的性能和稳定性,是零信任安全网关最重要的评价指标。
- 零信任网关的产品架构
![零信任网关的产品架构](/assets/SDPinChina-be8c2e26.png)
- 零信任网关的多集群部署
![零信任网关的多集群部署](/assets/SDPcolony-4607c5a3.png)
零信任安全网关的作用如下:
零信任安全网关隔开了左侧外网和右侧内网。用户在左侧网络中。用户想获取右侧的数据资源,只能通过网关进入。网关就像是门卫一样,合法的让进,不合法的拦住。
所有的安全策略都由网关执行。零信任要求对用户的身份、设备、行为路径等等多个方面进行检测和判断,检测结果由网关执行。用户的请求到网关之后,网关解析出请求中的用户信息,然发给各个策略检测模块。所有的检测结果都汇聚到网关,由网关最终执行。
零信任成熟度模型
2023.4.12 美国网络安全和基础设施安全局CISA:零信任成熟度模型2.0 Zero Trust Maturity Model Version 2
零信任的五大支柱(身份、设备、网络、应用程序和工作负载、数据)和三个交叉功能(可见性和分析、自动化和编排、安全治理)
![零信任成熟度模型支柱](/assets/ZeroTrustMaturityModelPillars-1a65597c.png)
零信任成熟度模型功能视图
![零信任成熟度模型功能视图](/assets/HighLevelZeroTrustMaturityModelOverview-9b99109b.png)