摘 ?要：隨著云計算、大數(shù)據(jù)、IoT、5G等技術(shù)的迅猛發(fā)展，數(shù)字化進(jìn)程進(jìn)一步推進(jìn)，企業(yè)呈現(xiàn)出服務(wù)形式“網(wǎng)絡(luò)化”、內(nèi)部流程“數(shù)字化”、核心應(yīng)用“云端化”、業(yè)務(wù)節(jié)點“邊緣化”、辦公場地和設(shè)備“多樣化”等多種“新態(tài)勢”，傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)在兼容性和擴展性上滿足不了新業(yè)務(wù)的需求。文章從“互聯(lián)網(wǎng)+”背景下的安全網(wǎng)絡(luò)架構(gòu)進(jìn)行分析，對無邊界零信任網(wǎng)絡(luò)進(jìn)行研究探討，為在“互聯(lián)網(wǎng)+”背景下傳統(tǒng)網(wǎng)絡(luò)向零信任網(wǎng)絡(luò)的轉(zhuǎn)型應(yīng)用提出觀點建議。

關(guān)鍵詞：網(wǎng)絡(luò)安全;零信任;無邊界網(wǎng)絡(luò);互聯(lián)網(wǎng)+

中圖分類號：TP393.0 ? ? 文獻(xiàn)標(biāo)識碼：A 文章編號：2096-4706（2021）06-0153-05

Research and Application of a Borderless Zero Trust Network under the

“Internet Plus” Background

DU Zhaohui

（Guangdong Vocational Collage of Post and Telecom，Guangzhou ?510630，China）

Abstract：With the rapid development of the cloud computing，big data，IoT，5G ?and other technologies，the digital process is further advanced. Enterprises are showing many new trends such as “networking” of service forms，“digitization” of internal processes，“cloud”of core applications，“marginalization” of business nodes，“diversification” of office spaces and equipments，etc. The traditional network security architecture can not meet the needs of new businesses in compatibility and scalability. This paper analyzes the security network architecture under the “internet plus” background，and discusses the borderless zero trust network. At the same time，the paper gives some suggestions for the transformation application of the traditional network to zero trust network under “internet plus” background.

Keywords：network security;zero trust;borderless network;internet plus

0 ?引 ?言

數(shù)字化進(jìn)程經(jīng)歷了重啟和加速，各行各業(yè)也進(jìn)一步加快擁抱產(chǎn)業(yè)互聯(lián)網(wǎng)，尋求新的增長曲線。大數(shù)據(jù)、人工智能、IoT、5G等“互聯(lián)網(wǎng)+”新技術(shù)的融合使用已經(jīng)成為一種趨勢，“互聯(lián)網(wǎng)+”不僅帶來了全新的安全場景，也成為網(wǎng)絡(luò)安全攻防當(dāng)中的利器。企業(yè)網(wǎng)絡(luò)數(shù)字化的意識和能力不斷提升，在這種環(huán)境下，業(yè)務(wù)的發(fā)展需要更強大的網(wǎng)絡(luò)能力來支撐，網(wǎng)絡(luò)基礎(chǔ)設(shè)施需要更好地適應(yīng)多技術(shù)融合的需求，同時傳統(tǒng)的網(wǎng)絡(luò)安全架構(gòu)也漸漸難以適應(yīng)業(yè)務(wù)發(fā)展的需要，更加安全可靠的安全保護(hù)措施期待呈現(xiàn)。

1 ?傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)描述

傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)有內(nèi)外網(wǎng)的邊界概念，認(rèn)為內(nèi)網(wǎng)中的用戶、設(shè)備和信息通常都是安全的、可信的，基本思路是先根據(jù)業(yè)務(wù)和信息敏感程度定義要保護(hù)的對象來確認(rèn)對象的安全級別，對于級別相同的對象認(rèn)為屬于同一安全區(qū)域。有邊界的網(wǎng)絡(luò)安全防護(hù)模型，通常在劃分安全區(qū)域后，在不同安全級別區(qū)域之間建立網(wǎng)絡(luò)邊界。由于安全級別不同，通過相關(guān)的技術(shù)來進(jìn)行安全隔離，實現(xiàn)對各個安全區(qū)域的安全防護(hù)，通常傳統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)如圖1所示。

傳統(tǒng)網(wǎng)絡(luò)安全的保證是通過防火墻、IPS等邊界安全設(shè)備對企業(yè)網(wǎng)絡(luò)邊界進(jìn)行防護(hù)，默認(rèn)邊界內(nèi)是可信任的，對邊界內(nèi)的操作基本不設(shè)置過多限制，將攻擊者盡可能攔截在非信任網(wǎng)絡(luò)的邊界外，并在企業(yè)內(nèi)部通過VLAN劃分、端口隔離等方式來制定資源訪問權(quán)限和流量控制，邊界外用戶想要進(jìn)入邊界內(nèi)的網(wǎng)絡(luò)需要通過防火墻、VPN等安全機制。

2 ?新技術(shù)發(fā)展與傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)的不匹配

隨著云計算、物聯(lián)網(wǎng)以及移動辦公等新技術(shù)新應(yīng)用的興起，企業(yè)的業(yè)務(wù)架構(gòu)和網(wǎng)絡(luò)環(huán)境也隨之發(fā)生了重大的變化，這給傳統(tǒng)邊界安全理念帶來了新的挑戰(zhàn)。云計算技術(shù)的普及帶來了物理安全邊界模糊的挑戰(zhàn)，遠(yuǎn)程辦公、多方協(xié)同辦公成為常態(tài)帶來了訪問需求復(fù)雜化，產(chǎn)生了內(nèi)部資源暴露面擴大的風(fēng)險，各種互聯(lián)網(wǎng)設(shè)備、企業(yè)人員不再受地理位置和時間的限制，企業(yè)需要滿足業(yè)務(wù)流程移動性、可訪問性和快速響應(yīng)，傳統(tǒng)的網(wǎng)絡(luò)安全架構(gòu)及安全產(chǎn)品呈現(xiàn)出多種弊端。

2.1 ?原有邊界安全的風(fēng)險過大

隨著業(yè)務(wù)流程移動化、資源存儲的云端化，大數(shù)據(jù)的分散性，導(dǎo)致傳統(tǒng)內(nèi)外網(wǎng)邊界模糊，企業(yè)無法基于傳統(tǒng)的物理邊界來建立安全的基礎(chǔ)設(shè)施，企業(yè)風(fēng)險不斷增加。在融合多種“互聯(lián)網(wǎng)+”技術(shù)的網(wǎng)絡(luò)環(huán)境中，黑客常用的嗅探方式、端口掃描、DOS、SQL注入以及跨站腳本攻擊等攻擊手段不僅依然存在，攻擊更有可能是跨主機甚至是跨數(shù)據(jù)中心的部署，由于網(wǎng)絡(luò)邊界不可見，原有的物理防御邊界被打破，傳統(tǒng)意義上的邊界防御手段很難保證新的信息網(wǎng)絡(luò)安全的需求。

2.2 ?網(wǎng)絡(luò)攻擊擴大

隨著時代的發(fā)展，網(wǎng)絡(luò)節(jié)點數(shù)量爆發(fā)式增長，而攻擊模式則多種多樣，可以輕松越過安全邊界，服務(wù)器資源所遭受的攻擊頻率也急劇增高。傳統(tǒng)安全架構(gòu)下，企業(yè)內(nèi)部系統(tǒng)完全暴露在企業(yè)辦公網(wǎng)絡(luò)，一旦內(nèi)網(wǎng)終端設(shè)備被植入木馬或者未知威脅的惡意代碼，攻擊者就可以直接進(jìn)行企業(yè)內(nèi)網(wǎng)掃描和橫向擴張性的移動，快速掌握企業(yè)內(nèi)網(wǎng)的所有數(shù)字資產(chǎn)。企業(yè)外部，移動設(shè)備的流行使得員工訪問企業(yè)內(nèi)部系統(tǒng)的終端設(shè)備不再安全可靠。傳統(tǒng)遠(yuǎn)程辦公，多數(shù)企業(yè)是采用VPN的方案，這越來越無法滿足當(dāng)前網(wǎng)絡(luò)安全和訪問效率需求。

2.3 ?網(wǎng)絡(luò)安全維護(hù)量增大

新的應(yīng)用和業(yè)務(wù)場景不斷涌現(xiàn)，數(shù)據(jù)量龐大分散，對網(wǎng)絡(luò)規(guī)則的管理成本已經(jīng)越來越高，安全事件層出不窮，當(dāng)安全事件發(fā)生后，網(wǎng)絡(luò)管理員面對大量的安全日志、告警等信息，很難快速提取有效的安全數(shù)據(jù)信息來進(jìn)行全局分析判斷并解決，這就使得企業(yè)網(wǎng)絡(luò)缺乏防護(hù)措施、面臨安全風(fēng)險，一旦網(wǎng)絡(luò)攻擊擴大時，維護(hù)工作變得更為復(fù)雜混亂，同時企業(yè)網(wǎng)絡(luò)安全產(chǎn)品的多樣性導(dǎo)致系統(tǒng)的維護(hù)成本升高。

2.4 ?網(wǎng)絡(luò)管控過于寬松

普通企業(yè)用戶在內(nèi)網(wǎng)的權(quán)限設(shè)置過大，在工作中非必要的權(quán)限被開放。網(wǎng)絡(luò)管理人員的權(quán)限同樣可能被擴大化，管理員會訪問到不該訪問的業(yè)務(wù)系統(tǒng)，利用業(yè)務(wù)系統(tǒng)存在的弱口令或是由于程序員的疏忽在設(shè)計權(quán)限管理模塊時出現(xiàn)的一些漏洞，能夠訪問與自己工作不想關(guān)的數(shù)據(jù)，造成數(shù)據(jù)泄露。另外，傳統(tǒng)的網(wǎng)絡(luò)安全架構(gòu)采用粗粒度的訪問設(shè)置方式，這又大大降低了網(wǎng)絡(luò)的安全性。

基于以上原因，傳統(tǒng)完全可信的邊界化網(wǎng)絡(luò)安全架構(gòu)滿足不了新時代的網(wǎng)絡(luò)需求，無邊界零信任的網(wǎng)絡(luò)安全架構(gòu)勢不可擋。

3 ?零信任網(wǎng)絡(luò)安全架構(gòu)分析

零信任網(wǎng)絡(luò)架構(gòu)并不是一個新的概念，在2013年就被提出，但并沒有廣泛應(yīng)用。隨著傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)難以適應(yīng)“互聯(lián)網(wǎng)+”背景下的多種新技術(shù)產(chǎn)生，邊界網(wǎng)絡(luò)安全風(fēng)險層出不窮。在2020年，VPN事件、用戶隱私數(shù)據(jù)泄露事件時有發(fā)生，這使得零信任機制有了呼之欲出的勢頭。

3.1 ?零信任機制的產(chǎn)生和發(fā)展

行業(yè)調(diào)查和研究機構(gòu)Forrester公司認(rèn)為當(dāng)前以數(shù)據(jù)為中心的世界，威脅不僅僅來自外部，在網(wǎng)絡(luò)世界中所有的流量都是不可信任的，需要采用“零信任”模型構(gòu)建安全的網(wǎng)絡(luò)。該公司在2013年提出了一個零信任安全架構(gòu)（Zero Trust），F(xiàn)orrester認(rèn)為在“零信任”網(wǎng)絡(luò)中，不再有可信的設(shè)備、接口和用戶。

隨著零信任網(wǎng)絡(luò)發(fā)展演進(jìn)，從2014年開始，Google公司針對自己的內(nèi)部網(wǎng)絡(luò)進(jìn)行BeyondCorp零信任安全模型的研究，此安全體系是針對Google公司內(nèi)部員工建立，在員工訪問企業(yè)資源時，認(rèn)證授權(quán)的依據(jù)不再是終端所在網(wǎng)絡(luò)位置和IP地址，而是依賴于設(shè)備和用戶身份憑證，對服務(wù)的訪問必須全部通過身份雙向驗證后獲得訪問資源的權(quán)限。同時，資源的訪問是加密傳輸，在這個體系中內(nèi)外網(wǎng)的邊界已經(jīng)消失。

2019年9月，美國國家標(biāo)準(zhǔn)技術(shù)研究所（NIST）發(fā)布了《零信任架構(gòu)》草案，此草案的標(biāo)準(zhǔn)在2020年8月正式發(fā)布，2019年是零信任標(biāo)準(zhǔn)化研制工作爆發(fā)的元年，我國多個公司的零信任實施方案也相繼推出。

3.2 ?零信任架構(gòu)原則

“零信任”所遵循的是從不信任網(wǎng)絡(luò)上的任何人、任何訪問，每一次的訪問都需要驗證。在網(wǎng)絡(luò)中任何位置的客戶訪問系統(tǒng)資源的過程中，都以身份信息作為授權(quán)的依據(jù)，通過策略決定訪問資源的等級，并賦予支持完成工作的最小訪問權(quán)限。為客戶機建立的訪問系統(tǒng)資源信道都是點對點單次生效，傳輸過程中數(shù)據(jù)是經(jīng)過加密的。同時，系統(tǒng)動態(tài)評估訪問安全等級，保持最小訪問權(quán)限并始終監(jiān)控，確保資源在最安全的狀態(tài)。

3.3 ?零信任架構(gòu)邏輯組成

對于零信任無邊界安全網(wǎng)絡(luò)架構(gòu)組成各組織有自己的思路，2020年8月15日，NIST發(fā)布的《零信任架構(gòu)》標(biāo)準(zhǔn)作為零信任網(wǎng)絡(luò)方案在美國落地，此標(biāo)準(zhǔn)描述的邏輯及核心產(chǎn)品組件，如圖2所示，具體各組件的含義如表1所示。

此架構(gòu)核心組件由數(shù)據(jù)平面的PDP和控制平面的PEP組成。當(dāng)用戶訪問網(wǎng)絡(luò)資源時，第一道關(guān)口就是控制訪問的PEP。它是客戶端和資源之間的門衛(wèi)，充當(dāng)客戶端的代理和資源網(wǎng)關(guān)。當(dāng)PEP收到客戶端訪問請求后，與PDP中PA進(jìn)行通信，PA請求PE根據(jù)身份驗證、策略判斷等決定是否給客戶機授權(quán)。當(dāng)客戶機被授，PA建立客戶端和資源的邏輯連接之后，客戶機即可以訪問資源。PEP在整個數(shù)據(jù)傳輸?shù)倪^程中進(jìn)行安全監(jiān)控，當(dāng)傳輸完成后，PEP終止客戶機和資源之間的連接。此架構(gòu)除了核心組件PDP和PEP以外，還有“身份管理系統(tǒng)”“數(shù)據(jù)訪問策略”“活動日志”“威脅情報”“PKI”等組件，它們提供給PE制定訪問決策的依據(jù)。

4 ?零信任網(wǎng)絡(luò)部署應(yīng)用

新的應(yīng)用和業(yè)務(wù)場景不斷涌現(xiàn)，借鑒NIST零信任安全網(wǎng)絡(luò)架構(gòu)標(biāo)準(zhǔn)，以下是針對不同的網(wǎng)絡(luò)應(yīng)用環(huán)境進(jìn)行幾個典型的應(yīng)用部署。

4.1 ?遠(yuǎn)程訪問企業(yè)資源的部署

員工遠(yuǎn)程辦公訪問公司的OA系統(tǒng)，技術(shù)人員進(jìn)行遠(yuǎn)程系統(tǒng)測試、遠(yuǎn)程管理運維或者公司存在分支機構(gòu)，需要連接總部的網(wǎng)絡(luò)進(jìn)行日常的工作。在這種場景中，遠(yuǎn)程的連接請求由零信任網(wǎng)關(guān)接收，并將連接請求發(fā)送給PA，PA將請求轉(zhuǎn)發(fā)到PE進(jìn)行評估。如果請求被授權(quán)，PA將在零信任網(wǎng)關(guān)和企業(yè)資源之間配置通信通道，加密的數(shù)據(jù)流開始傳輸。當(dāng)數(shù)據(jù)流正常傳輸完成或由于異常安全事件使得PA被觸發(fā)時，零信任網(wǎng)關(guān)和資源之間的連接將終止。這里的PA和PE的功能由零信任控制引擎提供，場景結(jié)構(gòu)如圖3所示。

所有的終端訪問都需進(jìn)行用戶身份校驗以及終端、系統(tǒng)、應(yīng)用的可信確認(rèn)，并進(jìn)行細(xì)粒度的權(quán)限訪問校驗，然后通過零信任網(wǎng)關(guān)訪問具體的業(yè)務(wù)，這樣能極大地減少企業(yè)內(nèi)部資源被非授權(quán)訪問的行為。

4.2 ?云平臺下的零信任部署

隨著云平臺的使用，企業(yè)可能使用多個云服務(wù)提供商來承載應(yīng)用程序和數(shù)據(jù)，多個云復(fù)用同一個零信任安全控制中心，提供統(tǒng)一的訪問控制策略，通過低流量的策略同步做到統(tǒng)一的授權(quán)管理，用戶在具體要訪問某個公有云上業(yè)務(wù)的時候，就可以通過安全控制中心，對接到相應(yīng)云的零信任安全網(wǎng)關(guān)入口進(jìn)行訪問。在云平臺的零信任網(wǎng)絡(luò)中，如果服務(wù)是多級的，比如，當(dāng)一個服務(wù)使用到云資源1，之后又需要使用云資源2，那么平臺通過零信任安全網(wǎng)關(guān)進(jìn)行驗證，驗證通過后，可以在云資源平臺進(jìn)行直接建立連接，這樣提高了訪問效率，多云平臺下的零信任場景如圖4所示。

4.3 ?大數(shù)據(jù)平臺下零信任部署

在大數(shù)據(jù)應(yīng)用場景下，攻擊者如果擁有應(yīng)用系統(tǒng)訪問權(quán)限后能夠訪問到數(shù)據(jù)資源就會造成數(shù)據(jù)泄露風(fēng)險。如果擁有較高數(shù)據(jù)訪問權(quán)限的數(shù)據(jù)分析運維人員也會對數(shù)據(jù)安全造成潛在威脅。數(shù)據(jù)是企業(yè)資源的核心，訪問量大、入口多，數(shù)據(jù)的泄露風(fēng)險也比較大，因此對數(shù)據(jù)的訪問更需要細(xì)粒度控制并進(jìn)行動態(tài)授權(quán)訪問。針對終端用戶、外部應(yīng)用或數(shù)據(jù)服務(wù)平臺、數(shù)據(jù)分析和運維人員的數(shù)據(jù)訪問，部署零信任方案。在用戶身份、設(shè)備安全、應(yīng)用安全、鏈路安全等信任屬性基礎(chǔ)上，增加數(shù)據(jù)類別、數(shù)據(jù)級別、數(shù)據(jù)操作等更多數(shù)據(jù)本身的屬性，實施動態(tài)、細(xì)粒度的訪問控制。這樣部署后，即便某一應(yīng)用系統(tǒng)遭受到攻擊，也只能攻擊該應(yīng)用系統(tǒng)所能操控的數(shù)據(jù)范圍，不會影響到大數(shù)據(jù)環(huán)境下其他數(shù)據(jù)的安全，此應(yīng)用場景如圖5所示。

4.4 ?物聯(lián)網(wǎng)平臺下零信任實現(xiàn)

物聯(lián)網(wǎng)屬于典型的大型分布式網(wǎng)絡(luò)系統(tǒng)，其本質(zhì)屬于“無邊界網(wǎng)絡(luò)”，終端資產(chǎn)多為傳感器。物聯(lián)網(wǎng)安全接入網(wǎng)關(guān)能夠做到對傳感器進(jìn)行識別、動態(tài)展現(xiàn)、異常接入檢測告警，這是傳統(tǒng)網(wǎng)關(guān)類設(shè)備不具備的。物聯(lián)網(wǎng)連接方式豐富，支持LoRa、Wi-Fi、RS 485等接入方式，在物聯(lián)網(wǎng)接入層，確認(rèn)傳感器的狀態(tài)之后，形成接入層安全狀態(tài)的模型，上報上層管理中心，接入設(shè)備的安全狀態(tài)發(fā)生變化時，可接受管理中心的策略，切斷傳感器的連接甚至是接入層的連接，保證物聯(lián)網(wǎng)匯聚節(jié)點的安全。可以持續(xù)監(jiān)控傳輸流量的協(xié)議類型，識別傳感器的業(yè)務(wù)種類，進(jìn)行業(yè)務(wù)安全行為分析，為設(shè)備標(biāo)注可信標(biāo)簽，快速地檢測實時網(wǎng)絡(luò)攻擊，此應(yīng)用場景如圖6所示。

以上介紹了幾種“互聯(lián)網(wǎng)+”技術(shù)應(yīng)用場景的零信任安全架構(gòu)部署，企業(yè)的零信任安全網(wǎng)絡(luò)可以是這幾種場景的靈活復(fù)用。

5 ?結(jié) ?論

“互聯(lián)網(wǎng)+”時代，邊界安全防護(hù)理念漸漸衰退失效，“零信任”不是簡單的產(chǎn)品和技術(shù)，更是一種符合現(xiàn)實情況的先進(jìn)安全架構(gòu)理念，這將成為數(shù)字時代下主流的網(wǎng)絡(luò)安全架構(gòu)。根據(jù)Gartner預(yù)測，到2022年，80%向生態(tài)合作伙伴開放的新數(shù)字業(yè)務(wù)應(yīng)用將通過零信任網(wǎng)絡(luò)訪問來訪問。到2023年，60%的企業(yè)將采用零信任替代大部分遠(yuǎn)程訪問虛擬專用網(wǎng)（VPN），中國正迎來移動辦公和萬物互聯(lián)的時代，5G、IoT、邊緣計算等技術(shù)的普及將加速這一進(jìn)程，“無邊界”訪問的理念將逐漸深入人心。隨著網(wǎng)絡(luò)安全防護(hù)從傳統(tǒng)邊界安全理念向無邊界理念演進(jìn)，零信任將成為數(shù)字安全時代網(wǎng)絡(luò)安全的主流架構(gòu)，同時零信任網(wǎng)絡(luò)的呈現(xiàn)是一個漸進(jìn)的過程，基于企業(yè)目前的網(wǎng)絡(luò)安全架構(gòu)，可以嘗試進(jìn)行零信任網(wǎng)絡(luò)的分步改造并初步完善。

參考文獻(xiàn)：

[1] 楊正權(quán)，靳明星，張曉東.“零信任”在云化業(yè)務(wù)中的安全技術(shù)研究 [J].信息安全與通信保密，2020（3）：91-98.

[2] ROSE S W，BORCHERT O，MITCHELL S，et al. Zero Trust Architecture [R/OL].（2020-08-10）.https：//www.nist.gov/publications/zero-trust-architecture.

[3] 中國網(wǎng)絡(luò)安全產(chǎn)業(yè)聯(lián)盟.2020年中國網(wǎng)絡(luò)安全行業(yè)研究報告 [R/OL].（2020-09-15）.https：//www.sohu.com/a/42245 5474_358040.

[4] 王斯梁，馮暄，蔡友保，等.零信任安全模型解析及應(yīng)用研究 [J].信息安全研究，2020，6（11）：966-971.

[5] nana.軟件定義邊界（SDP）如何緩解常見安全威脅 [EB/OL].[2020-05-01].https：//www.aqniu.com/learn/56787.html.

[6] WEINBERG N. The VPN is dying，long live zero trust [EB/OL].（2019-12-04）.https：//www.networkworld.com/article/3487720/the-vpn-is-dying-long-live-zero-trust.html.

[7] 蒯向春.云網(wǎng)融合應(yīng)用關(guān)鍵技術(shù)研究與設(shè)計 [D].南京：南京郵電大學(xué)，2017.

[8] 吉爾曼，巴斯.零信任網(wǎng)絡(luò) [M].奇安信身份安全實驗室，譯.北京：人民郵電出版社，2019.

[9] aqniu.5分鐘了解谷歌BeyondCorp零信任安全模型 [EB/OL].（2020-03-17）.https：//www.aqniu.com/learn/65462.html.

[10] 21世紀(jì)經(jīng)濟報道.零信任：網(wǎng)絡(luò)安全的新“邊界” [EB/OL].（2021-01-01）.https：//finance.sina.com.cn/tech/2021-01-01/doc-iiznctke9597141.shtml.

作者簡介：杜朝暉（1969.11—），女，漢族，河北保定人，副教授，碩士，研究方向：計算機網(wǎng)絡(luò)、云計算技術(shù)與應(yīng)用。