讀零信任網(wǎng)絡(luò)：在不可信網(wǎng)絡(luò)中構(gòu)建安全系統(tǒng)02零信任模型.png

1. 零信任網(wǎng)絡(luò)

1.1. 利用分布式策略實(shí)施和應(yīng)用零信任原則，可以構(gòu)建零信任架構(gòu)網(wǎng)絡(luò)安全架構(gòu)

1.2. 信任級(jí)別（Trust Level）定義了所需安全協(xié)議強(qiáng)度的下限

1.2.1. 安全協(xié)議強(qiáng)度超出需求的情況是很少見(jiàn)的，因此盡可能減少信任是更明智的做法

1.2.2. 一旦信任被內(nèi)置于系統(tǒng)中，就很難消除

1.3. 零信任網(wǎng)絡(luò)就是一個(gè)完全不可信的網(wǎng)絡(luò)

1.3.1. 零信任模型認(rèn)為，主機(jī)無(wú)論處于網(wǎng)絡(luò)的什么位置，都應(yīng)當(dāng)被視為互聯(lián)網(wǎng)主機(jī)

1.3.2. 它們所在的網(wǎng)絡(luò)，無(wú)論是互聯(lián)網(wǎng)還是內(nèi)部網(wǎng)絡(luò)，都必須被視為充滿威脅的危險(xiǎn)網(wǎng)絡(luò)

1.3.3. 零信任模型首先假設(shè)內(nèi)部網(wǎng)絡(luò)中同樣存在惡意的攻擊者，并據(jù)此建立安全機(jī)制來(lái)防范這種威脅

1.3.4. 只有認(rèn)識(shí)到這一點(diǎn)，才能建立安全通信

1.3.4.1. 至少有辦法阻止針對(duì)某個(gè)特定IP地址（主機(jī)）的攔截或篡改攻擊

1.3.4.2. 自動(dòng)化系統(tǒng)使我們能夠把這一級(jí)別的安全防護(hù)機(jī)制應(yīng)用到基礎(chǔ)設(shè)施中的所有系統(tǒng)

1.4. 5個(gè)基本假定

1.4.1. 網(wǎng)絡(luò)無(wú)時(shí)無(wú)刻不處于危險(xiǎn)的環(huán)境中

1.4.2. 網(wǎng)絡(luò)中自始至終存在外部或內(nèi)部威脅

1.4.3. 網(wǎng)絡(luò)的位置不足以決定網(wǎng)絡(luò)的可信程度

1.4.4. 所有的設(shè)備、用戶和網(wǎng)絡(luò)流量都應(yīng)當(dāng)經(jīng)過(guò)認(rèn)證和授權(quán)

1.4.5. 安全策略必須是動(dòng)態(tài)的，并基于盡可能多的數(shù)據(jù)源計(jì)算而來(lái)

1.5. 零信任架構(gòu)的支撐系統(tǒng)稱為控制平面，其他部分稱為數(shù)據(jù)平面，數(shù)據(jù)平面由控制平面指揮和配置

1.6. 控制平面

1.6.1. 訪問(wèn)受保護(hù)資源的請(qǐng)求首先經(jīng)過(guò)控制平面處理，包括設(shè)備和用戶的身份認(rèn)證與授權(quán)

1.6.2. 細(xì)粒度的控制策略也在這一層進(jìn)行，控制平面可以基于組織中的角色、時(shí)間或設(shè)備類型進(jìn)行授權(quán)

1.6.3. 如果用戶需要訪問(wèn)安全等級(jí)更高的資源，那么就需要執(zhí)行更高強(qiáng)度的認(rèn)證

1.6.4. 一旦控制平面完成檢查，確定該請(qǐng)求具備合法的授權(quán)，它就會(huì)動(dòng)態(tài)配置數(shù)據(jù)平面，接收來(lái)自該客戶端（且僅限該客戶端）的訪問(wèn)流量

1.6.5. 能夠?yàn)樵L問(wèn)請(qǐng)求者和被訪問(wèn)的資源協(xié)調(diào)配置加密隧道的具體參數(shù)

1.6.5.1. 一次性的臨時(shí)憑證、密鑰和臨時(shí)端口號(hào)

1.6.6. 由一個(gè)權(quán)威的、可信的第三方基于多種輸入來(lái)執(zhí)行認(rèn)證、授權(quán)、實(shí)時(shí)的訪問(wèn)控制等操作

1.7. 零信任模型的確將安全水平提高到了一定的程度，即使降低或取消這些安全外殼也不是不可行的

1.7.1. 零信任模型中的絕大多數(shù)安全功能都能夠?qū)ψ罱K用戶透明，這看起來(lái)甚至解決了安全性和易用性的矛盾

1.7.2. 零信任模型更安全、更易用

2. 零信任網(wǎng)絡(luò)的關(guān)鍵組件

2.1. 3個(gè)關(guān)鍵組件：用戶/應(yīng)用程序認(rèn)證、設(shè)備認(rèn)證和信任

2.2. 第一個(gè)組件包含了用戶認(rèn)證和應(yīng)用認(rèn)證兩層含義

2.2.1. 并不是所有的操作都由用戶執(zhí)行，比如在數(shù)據(jù)中心內(nèi)部，很多操作由應(yīng)用程序自動(dòng)執(zhí)行，在這種情況下，通常把應(yīng)用程序等同于用戶看待

2.2.2. 采用密碼學(xué)技術(shù)對(duì)身份進(jìn)行強(qiáng)認(rèn)證，意味著對(duì)于任意連接都可以不用在意它的源IP地址到底是什么

2.3. 設(shè)備的認(rèn)證和授權(quán)與用戶/應(yīng)用程序的認(rèn)證和授權(quán)同樣重要，這一特性很少出現(xiàn)在采用邊界安全模型保護(hù)的網(wǎng)絡(luò)中

2.3.1. 在傳統(tǒng)的網(wǎng)絡(luò)中，設(shè)備認(rèn)證通常會(huì)出現(xiàn)在VPN或NAC技術(shù)中，但是在端到端的場(chǎng)景下很少用到

2.4. 如果代理發(fā)出的訪問(wèn)請(qǐng)求被批準(zhǔn)，那么零信任模型的控制平面會(huì)通知數(shù)據(jù)平面接受該請(qǐng)求，這一動(dòng)作還可以配置流量加密的細(xì)節(jié)參數(shù)

2.5. 通過(guò)這些認(rèn)證/授權(quán)組件，以及使用控制平面協(xié)助完成的加密通道，就可以確保網(wǎng)絡(luò)中每一個(gè)訪問(wèn)流量都按照預(yù)期經(jīng)過(guò)了認(rèn)證、授權(quán)和加密

2.6. 沒(méi)有經(jīng)過(guò)認(rèn)證、授權(quán)和加密完整處理的流量會(huì)被主機(jī)和網(wǎng)絡(luò)設(shè)備丟棄，以確保敏感數(shù)據(jù)不會(huì)泄露出去

2.7. 控制平面的每個(gè)事件和每項(xiàng)操作都會(huì)被記錄下來(lái)，用于完成基于訪問(wèn)流或訪問(wèn)請(qǐng)求的審計(jì)工作

3. 自動(dòng)化系統(tǒng)

3.1. 構(gòu)建零信任網(wǎng)絡(luò)并不需要太多新的技術(shù)，而是采用全新的方式使用現(xiàn)有技術(shù)

3.2. 自動(dòng)化系統(tǒng)是建設(shè)和運(yùn)營(yíng)零信任網(wǎng)絡(luò)的關(guān)鍵組件

3.2.1. 控制平面和數(shù)據(jù)平面之間的交互需要自動(dòng)化系統(tǒng)來(lái)處理

3.2.2. 如果策略執(zhí)行不能動(dòng)態(tài)更新，那么零信任網(wǎng)絡(luò)就無(wú)法實(shí)現(xiàn)，因此，策略執(zhí)行過(guò)程的自動(dòng)化和速度是問(wèn)題的關(guān)鍵

4. 云環(huán)境

4.1. 零信任非常適合在云環(huán)境中部署

4.1.1. 你完全不需要信任公有云環(huán)境中的網(wǎng)絡(luò)

4.2. 由于零信任模型主張加密所有通信數(shù)據(jù)，哪怕通信雙方位于同一個(gè)數(shù)據(jù)中心內(nèi)部，因此管理員不需要操心哪些數(shù)據(jù)包流經(jīng)互聯(lián)網(wǎng)，哪些不流經(jīng)互聯(lián)網(wǎng)

4.3. 在AWS這樣的大型公有云中，一個(gè)“區(qū)域”（region）往往由若干數(shù)據(jù)中心組成，這些數(shù)據(jù)中心之間采用光纖進(jìn)行連接，最終用戶往往并不清楚公有云的這些架構(gòu)細(xì)節(jié)

4.4. 網(wǎng)絡(luò)服務(wù)供應(yīng)商自身的網(wǎng)絡(luò)實(shí)施也可能存在風(fēng)險(xiǎn)，或許網(wǎng)絡(luò)中的鄰居也能夠看到你的網(wǎng)絡(luò)流量

4.5. 網(wǎng)絡(luò)管理員在進(jìn)行故障排查時(shí)監(jiān)聽(tīng)捕獲了你的網(wǎng)絡(luò)流量

4.6. 不能認(rèn)為數(shù)據(jù)中心內(nèi)部的網(wǎng)絡(luò)流量就是安全的，就能夠防監(jiān)聽(tīng)、防篡改

5. 邊界安全模型與零信任模型的對(duì)比

5.1. 邊界安全模型試圖在可信資源和不可信資源（本地網(wǎng)絡(luò)和互聯(lián)網(wǎng)）之間建一堵墻

5.2. 零信任模型則“認(rèn)輸”了，它接受“壞人”無(wú)處不在的現(xiàn)實(shí)

5.2.1. 零信任模型不是依靠建造城墻來(lái)保護(hù)墻內(nèi)柔弱的身體，而是讓全體民眾都擁有了自保的能力

5.3. 邊界安全模型事實(shí)上為受保護(hù)的內(nèi)部網(wǎng)絡(luò)賦予了一定級(jí)別的信任

5.3.1. 這種做法違背了零信任模型的基本原則，會(huì)導(dǎo)致一系列問(wèn)題的發(fā)生

5.3.2. 可信區(qū)域內(nèi)部的主機(jī)很少有自我保護(hù)的能力，因?yàn)榧热贿@些主機(jī)共享同一個(gè)可信區(qū)域，也就意味著它們之間是互相信任的

5.4. 零信任模型假定整個(gè)網(wǎng)絡(luò)完全不可信，那么就必須假定攻擊者可以使用任意IP地址進(jìn)行通信

5.4.1. 僅使用IP地址或物理位置作為標(biāo)識(shí)符來(lái)保護(hù)資源是不夠的

5.4.2. 僅有主機(jī)的身份標(biāo)識(shí)是不夠的，還需要對(duì)網(wǎng)絡(luò)流量進(jìn)行強(qiáng)加密處理

5.4.3. 攻擊者并不僅限于發(fā)起主動(dòng)攻擊，他們還可以執(zhí)行被動(dòng)攻擊，通過(guò)監(jiān)聽(tīng)網(wǎng)絡(luò)流量獲取敏感信息