云上零信任网络：从传统安全范围到软件定义范围

安全边界曾被视为安全分界线内部的区域，该区域将那些在区域外部被认为是不安全或不受信任的因素与内部被认为安全或受信任的因素隔离开。

在物理世界中，安全外围的边缘是由壕沟、栅栏或墙壁所保护的，并且在入口点对进入者身份进行检查。在虚拟网络中，防火墙通常起保护边界的责任，而静态策略则用来验证用户并授予他们访问权限。

其他策略用来保护敏感资源免受恶意入侵者的攻击，这些入侵者根据策略逃避检测。

该策略在静态环境中表现良好，在静态环境中，数据和关键资源通常位于本地。而在一个基于多云的环境中，移动的工作人员希望在任何地方、任何时间、从任何设备对云进行访问，这种模式是不可持续的。

新的现实导致了零信任安全的出现，这是一种为当今基于云的网络设计的架构。

当今最先进的零信任体系结构是软件定义边界（SDP）的体系结构。在SDP中，与以前的资源和以数据为中心的外围区不同，安全措施集中在单个用户及其设备上。

用户和设备都受到监视，即使是可信设备上的可信用户也需要在每次连接时进行验证，然后仅获得对网络中某个细分部分的访问权，以及单个会话的访问权。

验证过程包括人员和设备元素，以便对用户和设备均进行验证。人员验证步骤要求用户通过身份验证确认其身份，并通过授权确认其特权访问级别。

但是，仅验证真实用户还不够。由于设备可以访问软件定义网络（SDN），因此它已与SDP集成在一起，因此也需要进行验证。这是通过计算机验证完成的。试图从不受信任的设备进行连接的受信任用户访问所请求的资源会被拒绝。

当用户和设备都经过验证时，SDP定义的策略将根据特权访问级别（通常在需要了解的基础上建立）来校准用户连接，将特权级别限制为该用户/设备对可用的最低级别，并且限制对单一资源的访问，防止越权行为。

一个SDP系统包含三个主要组件

SDP客户端

SDP客户端是外围设备中每个节点上安装的软件。SDP客户端功能包括设备验证和隧道设置。

设备验证功能本身在不同的SDP供应商之间是不同的。

用户和实体行为分析(UEBA):

监视端点或设备的可疑行为，这些行为可能表明终端或设备受到了危害，需要额外的身份验证/验证或断开设备连接。

端点检测和响应（EDR）：

监视端点或设备是否存在威胁迹象，并消除威胁或断开设备连接。

远程浏览器隔离（RBI）：

通过在外部接口上定位所有基于浏览器的活动来防止对设备的攻击。随着设备与浏览器分离，基于浏览器的威胁（包括来自恶意网站的威胁）将被消除。

沙箱：一种隔离的测试环境，用于测试可能包含病毒或其他恶意软件的可疑程序，而不允许该软件损害主机设备。

数据卫生，即内容解除和重构(CDR):

沙箱所有下载的文件，解析所有可执行代码，在没有任何未经批准的可执行代码的情况下重构文件。这消除了恶意的可执行文件下载。

SDP控制器

它在SDP客户端和SDP网关之间配置一个传输层安全(TLS)连接。这个加密的隧道执行两个功能

它作为客户端和后端资源之间的可信通道，绑定到你的云解决方案进行身份验证(公钥基础设施(PKI)、开放ID、SAML、活动目录……)，并检查任何连接请求的授权。

它携带一个证书颁发机构(CA)，在客户端和远程资源之间建立一个加密的通道。

SDP网关

SDP网关是访问请求资源之前的最后一次检查。它尽可能靠近请求的资源，与SDP控制器确认客户端已经过授权、验证和验证，可以授予对请求会话的资源的访问权。

收到确认后，网关允许连接到应用程序。与在第2层停止的MAC连接不同，SDP控制器和网关覆盖了第7层之前的所有层。

这在现实生活中将如何运作？

SampleCompany配备了SDP，所有员工的设备都已更新。他们的销售代理西德尼(Sidney)需要通过手机访问SalesManagementApp。他点击应用程序进行连接，发送一个包含加密密钥的单包授权(SPA)。

使用其公钥基础设施(PKI)， SDP控制器将检查密钥。由于密钥是正确的，所以它可以识别和验证Sidney。

如果控制器PKI确认了Sidney的身份和他的移动设备的完整性，则SDP控制器将在Sidney的移动设备和SDP网关之间创建一个加密的隧道。然后，该网关允许Sidney的移动设备访问SalesManagementApp。

但是，即使SalesAnalyticsApp与SalesManagementApp驻留在同一服务器上，并且Sidney拥有访问它的必需特权，他也将必须经历相同的过程才能访问SalesAnalyticsApp。

在Sidney的移动设备始终连接到SalesManagementApp的整个过程中，SDP客户端和SDP网关之间的通信将继续。如果在连接期间任何时候Sidney的移动设备遭到破坏，则连接将被断开，并且侵入Sidney的移动设备的恶意行为者将被锁定在整个SDP中。

如果客户端的密钥被盗用或无效，则其连接将立即被阻塞，并且网络上所有应用程序的可见性都将被切断。如果设备显示出受到威胁的迹象，则将不再将其视为受信任的机器，并会立即从网络和对任何资源的访问中断开。

SDP的整个目标是防止对应用程序的网络攻击，但是在您的网络中使用SDP还有其他一些优点，包括：

通过加密隧道的机密性

在SDP协议中使用TLS反DOS令牌进行DOS保护

地理位置保护

分段消除越权行为

信息混淆

突发事件应对

隔离

*本文作者：130421106，转载请注明来自FreeBuf.COM