域名預(yù)訂/競(jìng)價(jià)，好“米”不錯(cuò)過(guò)

零信任安全（Zero Trust）是以身份為中心進(jìn)行訪問(wèn)控制的安全概念，其核心觀點(diǎn)是不自動(dòng)信任何訪問(wèn)者或設(shè)備，任何訪問(wèn)都應(yīng)該進(jìn)行認(rèn)證、授權(quán)或者訪問(wèn)控制，以避免內(nèi)網(wǎng)滲透等安全風(fēng)險(xiǎn)。零信任代表未來(lái)安全架構(gòu)的發(fā)展方向，在本文中，筆者主要從主機(jī)領(lǐng)域分析零信任框架的落地與實(shí)踐。

思考：如果沒(méi)有零信任，我們將面臨怎樣的安全威脅？

場(chǎng)景1：東西向移動(dòng)

以近期被肆虐的勒索病毒為例，我們?cè)诨厮萘硕嗥鹄账鞑《臼录娜肭周壽E后發(fā)現(xiàn)，黑客均是先攻擊業(yè)務(wù)系統(tǒng)中安全防御能力較弱的主機(jī)，再利用業(yè)務(wù)系統(tǒng)中主機(jī)間的“信任”關(guān)系，東西向移動(dòng)至核心系統(tǒng)，滲透成功后鎖定核心業(yè)務(wù)、竊取數(shù)據(jù)或者勒索用戶，也就說(shuō)在“默認(rèn)內(nèi)網(wǎng)安全”的架構(gòu)下，無(wú)論核心業(yè)務(wù)系統(tǒng)的安全防御能力多強(qiáng)，只要業(yè)務(wù)系統(tǒng)中還存在安全薄弱點(diǎn)，都一樣可能遭受黑客入侵。

解決主機(jī)間東西向移動(dòng)的零信任架構(gòu)是微隔離技術(shù)，微隔離從2016年開(kāi)始連續(xù)三年入選Gartner 10大安全技術(shù)，其本質(zhì)是基于主機(jī)agent的分布式防火墻技術(shù)，目標(biāo)是解決進(jìn)入云計(jì)算時(shí)代后安全邊界模糊導(dǎo)致的防火墻策略丟失，以應(yīng)對(duì)云計(jì)算時(shí)代的東西向流量防護(hù)。

云鎖將微隔離技術(shù)衍生為二個(gè)模塊：流可視化、微隔離（東西向流量防護(hù)、南北向流量防護(hù)），以實(shí)現(xiàn)業(yè)務(wù)系統(tǒng)主機(jī)間的零信任安全框架。

流可視化

流可視化的功能分為兩部分：1，業(yè)務(wù)資產(chǎn)可視化；2，業(yè)務(wù)資產(chǎn)間訪問(wèn)關(guān)系可視化。

下圖中圖標(biāo)代表安裝agent的主機(jī)資產(chǎn)，主機(jī)間的線代表訪問(wèn)關(guān)系，線的顏色代表訪問(wèn)綠色-合規(guī)流量；紅色-違規(guī)流量（被攔截）；灰色-未設(shè)置規(guī)則流量；黃色-監(jiān)控模式流量。

微隔離

微隔離采用白名單機(jī)制，可以細(xì)粒度控制主機(jī)、主機(jī)應(yīng)用間的訪問(wèn)關(guān)系。分為兩個(gè)部分：

1.東西向流量防護(hù)

可以基于角色、標(biāo)簽定義主機(jī)、主機(jī)應(yīng)用間的細(xì)粒度訪問(wèn)控制策略。比如在一個(gè)安全域內(nèi)允許A類主機(jī)（如web服務(wù)器）去訪問(wèn)B類主機(jī)（如數(shù)據(jù)庫(kù)），其他類型的主機(jī)去訪問(wèn)B類主機(jī)將被禁止；或者A類主機(jī)的web應(yīng)用可以去訪問(wèn)B類主機(jī)的數(shù)據(jù)庫(kù)應(yīng)用，A類主機(jī)的其他應(yīng)用訪問(wèn)B類主機(jī)的數(shù)據(jù)庫(kù)應(yīng)用將被禁止。

2. 南北向流量防護(hù)

主要解決主機(jī)非法外連問(wèn)題，可以定義主機(jī)允許訪問(wèn)的特定IP、IP段、域名，不在規(guī)則外的訪問(wèn)將被禁止。

在流可視化和微隔離的訪問(wèn)控制下，實(shí)現(xiàn)了主機(jī)間訪問(wèn)關(guān)系的零信任，內(nèi)網(wǎng)主機(jī)再也無(wú)法成為黑客東西向橫向移動(dòng)的“跳板”。

場(chǎng)景2：應(yīng)用漏洞利用

微隔離解決了主機(jī)與主機(jī)間的零信任問(wèn)題，而主機(jī)內(nèi)部應(yīng)用間的零信任模型如何建立？應(yīng)用漏洞利用是黑客常用的攻擊手段，在主機(jī)內(nèi)部應(yīng)用之間的默認(rèn)“信任”的前提下，利用存在漏洞的應(yīng)用發(fā)起一系列攻擊，最終獲得服務(wù)器權(quán)限。

應(yīng)對(duì)應(yīng)用漏洞攻擊的零信任架構(gòu)，1，在內(nèi)核層剝離應(yīng)用過(guò)高權(quán)限；2，對(duì)在易受攻擊應(yīng)用中注入rasp應(yīng)用運(yùn)行時(shí)自我防護(hù)技術(shù)。

應(yīng)用權(quán)限控制

ASVE虛擬化安全域是云鎖在內(nèi)核層的應(yīng)用權(quán)限控制技術(shù)，可以將web服務(wù)、數(shù)據(jù)庫(kù)服務(wù)等高權(quán)限應(yīng)用隔離在受限環(huán)境，實(shí)現(xiàn)主機(jī)內(nèi)部應(yīng)用“零信任”，可以有效抵御提權(quán)等利用應(yīng)用漏洞的黑客攻擊，如限制WEB服務(wù)器進(jìn)程權(quán)限，禁止執(zhí)行cmd.exe等；限制數(shù)據(jù)庫(kù)進(jìn)程權(quán)限，禁止創(chuàng)建可執(zhí)行文件等。

Rasp應(yīng)用運(yùn)行時(shí)自我防護(hù)

Rasp(Runtime Application Self Protection)技術(shù)不再單純關(guān)注應(yīng)用漏洞本身，而是將監(jiān)控與防護(hù)移至命令執(zhí)行、腳本解析等攻擊發(fā)起點(diǎn)，實(shí)現(xiàn)對(duì)應(yīng)用系統(tǒng)的流量、上下文、行為的持續(xù)監(jiān)控。

Rasp技術(shù)的核心思想是默認(rèn)應(yīng)用是不可被信任的，應(yīng)用自身需要具備對(duì)抗黑客攻擊的能力，解決了應(yīng)用補(bǔ)丁的滯后性問(wèn)題，縮短attack free攻擊時(shí)間差，降低了0day漏洞的安全威脅。

結(jié)束語(yǔ)：

主機(jī)是信息安全的最后一道防線，主機(jī)安全也必將成為零信任安全框架落地的重要構(gòu)成。

申請(qǐng)創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！