辜璐 陳婉君 趙屹

摘要：涉密信息系統(tǒng)的信息安全防護體系，經(jīng)過多年的建設已經(jīng)形成固有的防護體系。隨著信息安全技術的發(fā)展，云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等新興技術為企業(yè)的信息化發(fā)展建設帶來了新的生產(chǎn)力，但同時也給信息安全帶來了新挑戰(zhàn)。一方面針對國家關鍵信息基礎設施，已經(jīng)成為了安全研究人員漏洞挖掘、攻防研究新的對象;另一方面涉密信息系統(tǒng)的使用者及運維人員的不確定性，構成了新的信息安全威脅。

關鍵詞：“零信任”;信息安全;涉密信息系統(tǒng)

1?引言

隨著信息技術的快速發(fā)展，云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等新興技術為政府部門及各類企業(yè)的信息化發(fā)展及現(xiàn)代化建設帶來了新的生產(chǎn)力，但同時也給信息安全帶來了新挑戰(zhàn)。一方面，外部攻擊和內部攻擊愈演愈烈，以APT攻擊為代表的高級持續(xù)攻擊仍然能找到各種漏洞突破企業(yè)的邊界，另一方面，內部業(yè)務的非授權訪問、雇員犯錯、有意的數(shù)據(jù)竊取等內部威脅層出不窮;只有充分的認識到這個新時代的安全挑戰(zhàn)，才能更好的進行應對。

2?現(xiàn)狀及問題

2.1?企業(yè)邊界逐步瓦解

傳統(tǒng)的安全架構基于邊界思維，假定各單位存在一個“內網(wǎng)”，假定存在一個邊界對內外網(wǎng)進行隔離，假定內網(wǎng)是安全的、外網(wǎng)是不安全的。隨著云計算和大數(shù)據(jù)等技術的廣泛采用，安全邊界已經(jīng)模糊甚至瓦解。

2.2?外部攻擊防不勝防

近年來，集團內多次組織紅藍對抗，模擬外部攻擊行為，對單位內網(wǎng)進行安全攻擊。隨著大數(shù)據(jù)技術的發(fā)展，數(shù)據(jù)也趨于集中，數(shù)據(jù)的集中意味著價值的集中，自然也成為攻擊者的首要攻擊目標，我們必須假設系統(tǒng)一定存在尚未修補的漏洞，必須假設網(wǎng)絡已經(jīng)被攻破。

2.3?內部威脅持續(xù)加劇

傳統(tǒng)的企業(yè)安全體系是建立在內外部網(wǎng)絡邊界的基礎之上，是邊界思維，假定了內網(wǎng)中的用戶、設備和流量通常都是可信的。在這種邊界思維的指導下在企業(yè)內部網(wǎng)絡中缺乏足夠的安全訪問控制，一旦被攻擊者滲入，數(shù)據(jù)將會完全暴露，極易泄漏。往往因為非授權訪問、雇員犯錯、外包員工犯錯等等原因，導致?“合法用戶”可以非法訪問特定的業(yè)務和數(shù)據(jù)資源，造成組織內部數(shù)據(jù)泄漏。

2.4?監(jiān)管力度不斷加強

上級單位為加強各單位信息安全能力建設，提升信息安全防護能力，為滿足國家對于各單位信息數(shù)據(jù)安全建設要求，各單位需要以業(yè)務需求為導向，規(guī)范建設企業(yè)數(shù)據(jù)信息安全保障體系，形成科學實用的規(guī)范化安全管理能力、體系化安全技術防護能力、綜合化安全監(jiān)管運維能力，以滿足相關部門對于企業(yè)信息安全的監(jiān)管要求。

2.5?運維管理暗藏隱患

為了確保企業(yè)的核心資產(chǎn)安全運行，保障網(wǎng)絡和數(shù)據(jù)不受來自外部和內部用戶的入侵和破壞，運維人員通過堡壘機登錄核心資產(chǎn)，通過技術手段監(jiān)控和記錄運維人員對網(wǎng)絡內的服務器、網(wǎng)絡設備、安全設備、數(shù)據(jù)庫等設備的操作行為，以便集中報警、及時處理及審計定責。

3?“零信任”信息安全體系

“零信任”網(wǎng)絡模型是約翰.金德維格在Forrester時于2010年提出的，核心理念是最基本的身份安全認證應該基于受控的設備和合法用戶，而不是基于網(wǎng)絡訪問控制，即傳統(tǒng)的網(wǎng)絡安全手段。其中心思想是來自于企業(yè)網(wǎng)絡內部外部的行為、數(shù)據(jù)流量、移動介質均不應被信任，在驗證身份并授權之前任何試圖接入企業(yè)網(wǎng)絡的行為、數(shù)據(jù)流量、移動介質都是不可信的。

3.1?以身份為中心

為網(wǎng)絡中的人、設備、應用都賦予邏輯身份，并基于身份進行細粒度的權限設置和判定。包括：①創(chuàng)建賬戶體系，或從現(xiàn)有身份管理系統(tǒng)包括但不限于AD域、OpenLDAP、CAS等同步賬戶和組織架構信息;②確保用戶在正確的設備上使用正確的賬號登錄，同時可以對賬戶的登錄時間、登錄地點及IP地址進行嚴格控制，以防止非法人員非法接入業(yè)務系統(tǒng);③能夠實時的清除設備數(shù)據(jù)，即使該設備正在登錄，也可以令用戶立即退出。

3.2?業(yè)務安全訪問

所有的訪問請求（應用、接口等）都應該被認證、授權和加密。在TCP/IP數(shù)據(jù)通信的各層都進行授權控制，防止非法數(shù)據(jù)進入，對IP對外開放端口對外開放進行隱身。不自動信任網(wǎng)絡的安全性（內網(wǎng)?≠?可信），對任何接入系統(tǒng)的人和設備都進行驗證，每次訪問都要進行身份驗證和行為審計，細粒度訪問控制策略Need-To-Know（最小權限原則）。

3.3?持續(xù)評估

對終端、用戶等訪問主體進行持續(xù)風險感知和信任評估，根據(jù)信任評估對訪問權限進行動態(tài)調整。終端是業(yè)務的入口，綜合終端的異常行為、越權訪問、系統(tǒng)弱配置等因素，實時更新終端的信任狀態(tài)。對終端安裝狀態(tài)進行綜合評估，至少包括設備、身份、應用、行為幾個維度來持續(xù)信任評估。

3.4?動態(tài)訪問控制

訪問權限不是靜態(tài)的，而是根據(jù)主體屬性、客體屬性、環(huán)境屬性和持續(xù)的信任評估結果進行動態(tài)計算和判定。遵循最小授權原則，能夠實現(xiàn)細粒度的訪問控制，能夠針對每個用戶或用戶組制定專屬訪問控制策略，能夠對時間策略、IP限制、終端限制等訪問策略進行控制。

3.5?用戶行為畫像

綜合關鍵要素，綁定實體用戶，提取人物特征，以可視化形式展現(xiàn)用戶網(wǎng)絡活動軌跡，刻畫人物行為畫像?；谌宋镄袨楫嬒窈完P聯(lián)分析的數(shù)據(jù)，構建生成行為基線，通過群組基線分析，構建全是空的上下文環(huán)境，避免單一行為的局限性，并采用分布實時數(shù)據(jù)計算，實時更新安全基線，實現(xiàn)完整的動態(tài)行為基線。使用各種機器學習算法，進行異常檢測，通過綜合風險評分來縮小和減少誤報范圍。

4?結束語

本文研究的基于“零信任”的涉密信息系統(tǒng)信息安全體系建設以身份為基石的細粒度訪問控制機制，強化了權限的管控顆粒度，基于持續(xù)的風險度量和信任評估，動態(tài)調整訪問權限，實現(xiàn)動態(tài)訪問授權。采用大數(shù)據(jù)分析和人工智能技術對用戶、設備、環(huán)境屬性等訪問上下文進行感知和建模，實現(xiàn)風險和信任的持續(xù)度量。提升管理運維效率，規(guī)避管理人為犯錯，切實增強大數(shù)據(jù)時代數(shù)據(jù)安全防護能力，有效應對云計算等新興技術對網(wǎng)絡和數(shù)據(jù)安全防護帶來的挑戰(zhàn)。

參考文獻：

[1]向人鵬.基于“零信任”的工業(yè)信息安全防護研究.電力行業(yè)信息化年會論文集，2019：171-174.

[2]張大偉，沈昌祥，劉吉強，等.基于主動防御的網(wǎng)絡安全基礎設施可信技術保障體系[J].中國工程科學，2016（6）：58-61.

作者簡介：

第一作者：辜璐（1981-08），女，漢，江西省南昌人，本科學歷，高級工程師，研究方向為信息安全保密管理。

通訊作者：陳婉君?（1990-04），女，漢，北京人，本科學歷，中級工程師，研究方向為信息安全。

第三作者：趙屹?（1975-10），男，漢，重慶人，本科學歷，高級技師，研究方向為網(wǎng)絡安全。