天天操人人干,夜夜操夜夜爽,一级片中国,国产成视频

為幫助國內市場更好的了解零信任架構，并且做好架構遷移的相關工作，奇安信身份安全實驗室著手開展了大量的漢化工作，并于近日正式推出了中文版本。

云計算和大數據時代，網絡安全邊界逐漸瓦解，內外部威脅愈演愈烈，傳統(tǒng)的邊界安全架構難以應對，零信任安全架構應運而生。奇安信身份安全實驗室，作為奇安信集團下屬專注“零信任身份安全架構”研究的專業(yè)實驗室，是業(yè)界首部零信任安全技術圖書《零信任網絡：在不可信網絡中構建安全系統(tǒng)》譯者。

2018年，以“零信任安全，新身份邊界”為技術思想，奇安信身份安全實驗室正式在業(yè)內推出零信任身份安全解決方案，致力于解決國內“企業(yè)物理邊界正在瓦解、傳統(tǒng)邊界防護措施正在失效”的新一代網絡安全問題，推出“以身份為基石、業(yè)務安全訪問、持續(xù)信任評估、動態(tài)訪問控制”為核心的奇安信零信任身份安全解決方案。

該團隊結合行業(yè)現(xiàn)狀，大力投入對零信任安全架構的研究和產品標準化，積極推動“零信任身份安全架構”在業(yè)界的落地實踐，其方案已經在部委、央企、金融等行業(yè)進行廣泛落地實施，得到市場、業(yè)界的高度認可。

Gartner認為，到2022年，在面向生態(tài)合作伙伴開放的新型數字業(yè)務應用程序中，80%將通過零信任網絡訪問（ZTNA）進行訪問。零信任安全架構基于“以身份為基石、業(yè)務安全訪問、持續(xù)信任評估、動態(tài)訪問控制”四大關鍵能力，構筑以身份為基石的動態(tài)虛擬邊界產品與解決方案，助力企業(yè)實現(xiàn)全面身份化、授權動態(tài)化、風險度量化、管理自動化的新一代網絡安全架構。

以下是報告核心要點。

1 零信任參考架構

零信任的本質是在訪問主體和客體之間構建以身份為基石的動態(tài)可信訪問控制體系，其核心能力可以概括為以身份為基石、業(yè)務安全訪問、持續(xù)信任評估和動態(tài)訪問控制的關鍵能力，基于對網絡所有參與實體的數字身份，對默認不可信的所有訪問請求進行加密、認證和強制授權，匯聚關聯(lián)各種數據源進行持續(xù)信任評估，并根據信任的程度動態(tài)對權限進行調整，最終在訪問主體和訪問客體之間建立一種動態(tài)的信任關系。

圖 零信任架構的關鍵能力模型

零信任架構下，訪問客體是核心保護的資源，針對被保護資源構建保護面，資源包括但不限于企業(yè)的業(yè)務應用、服務接口、操作功能和資產數據。訪問主體包括人員、設備、應用和系統(tǒng)等身份化之后的數字實體，在一定的訪問上下文中，這些實體還可以進行組合綁定，進一步對主體進行明確和限定。

2 零信任安全解決方案

方案構成

奇安信零信任安全解決方案主要包括：奇安信TrustAccess動態(tài)可信訪問控制平臺、奇安信TrustID智能可信身份平臺、奇安信ID智能手機令牌及各種終端Agent組成，如下圖所示。

奇安信零信任安全解決方案中，動態(tài)可信訪問控制平臺和智能可信身份平臺邏輯上進行解耦，當客戶現(xiàn)有身份安全基礎設施滿足零信任架構要求的情況下，可以不用部署智能可信身份平臺，通過利舊降低建設成本。

圖 奇安信零信任安全解決方案

奇安信零信任安全解決方案在零信任參考架構的基礎上對產品組件進行了拆分和擴展，但在總體架構上保持了高度一致，將其產品組件映射到零信任參考架構如下圖所示：

圖 奇安信零信任安全解決方案與參考架構的關系

另外，奇安信零信任安全解決方案和奇安信豐富的安全產品和平臺之間可以實現(xiàn)聯(lián)動，比如奇安信的移動安全解決方案、數據安全解決方案以及云安全管理平臺等。

典型應用場景

下面以一個典型應用場景為例，描述奇安信零信任安全解決方案的邏輯原理。此應用場景數據子網需要保護的資源包括業(yè)務應用和API服務，用戶/外部平臺子網的用戶終端需要訪問業(yè)務應用，外部應用需要通過接口調用API服務，方案邏輯圖如下圖所示。

圖 典型場景方案

在此方案中，通過在用戶子網和數據子網之間部署邏輯的零信任訪問控制區(qū)構建端到端的零信任解決方案。通過可信應用代理接管所有的用戶終端業(yè)務訪問請求，通過可信API代理接管所有的外部應用API調用請求，所有的訪問請求通過可信訪問控制臺進行身份驗證及動態(tài)授權。

可信終端感知系統(tǒng)持續(xù)對終端進行感知和評估，可信網絡感知系統(tǒng)持續(xù)對網絡流量進行感知和評估，并生成安全事件上報至智能身份分析平臺，智能身份分析平臺綜合訪問日志信息、安全事件信息、身份與權限信息進行信息關鍵和信任評估，為可信訪問控制臺輸出信任等級作為權限判定或撤銷的依據。

3 零信任遷移方法論

零信任架構作為一種全新的安全架構，和企業(yè)現(xiàn)有的業(yè)務情況、安全能力、組織架構都有一定的關系，零信任遷移不可能一蹴而就，需要遵循一定的方法論，結合企業(yè)現(xiàn)狀，統(tǒng)一目標和愿景后進行妥善規(guī)劃并分步建設。

圖 零信任遷移方法

確定愿景

零信任的建設和運營需要企業(yè)各干系方積極參與，可能涉及到安全部門、業(yè)務開發(fā)部門、IT技術服務部門和IT運營部門等。企業(yè)數字化轉型的關鍵決策者應該將基于零信任的新一代安全架構上升到戰(zhàn)略層面，確定統(tǒng)一的愿景，建議成立專門的組織（或虛擬組織）并指派具有足夠權限的人作為負責人進行零信任遷移工作的整體推進，建議至少由CIO/CSO或CISO級別的人員在公司高層決策者的支持下推動零信任項目。

規(guī)劃先行
規(guī)劃的目的在于厘清形狀，確定路徑。對于零信任架構而言，需要從兩個維度進行梳理和評估，一是能力成熟度，二是業(yè)務范圍維度。企業(yè)需要評估當前具備的安全能力，并基于風險、安全預算、合規(guī)要求等信息，確定安全能力建設的優(yōu)先級。一般來說新建業(yè)務和核心業(yè)務作為第一優(yōu)先級考慮。

分步建設
根據規(guī)劃的思路導向，建設階段的劃分依各企業(yè)而各有不同。如果是能力優(yōu)先型建設思路，需要針對少量的業(yè)務構建從低到高的能力，通過局部業(yè)務場景驗證零信任的完整能力，然后逐步遷移更多的業(yè)務。

首先在一個較小業(yè)務范圍內，構建中等的零信任安全能力，對整體方案進行驗證；方案驗證完成后，對驗證過程的一些局部優(yōu)化點進行能力優(yōu)化，并同時遷入更多的業(yè)務進一步驗證方案并發(fā)現(xiàn)新的安全需求；最后，基于驗證結果規(guī)劃后續(xù)能力演進階段，逐步有序的提升各方面的零信任能力。