白山云零信任安全架构构筑数字时代安全堡垒

本篇文章1681字，读完约4分钟

随着企业数字化的升级加速，传统网络边界成为新的安全困境，网络边境急需一种全新的网络安全架构来应对现代复杂的企业网络基础设施，白山云基于零信任的安全架构应运而生。作为创新的边缘云服务提供商，白山云整合企业现有边缘云平台的安全能力，以安全可靠的零信任安全架构产品方案为日益严峻的网络威胁形势带来了安全最优解。

传统安全防护“守成者”危机四伏

传统防护体系基于“边界”构建，默认边界以内，人、设备、系统与网络环境均可信；边界以外，均不可信。然而由于新场景层出不穷，传统网络安全架构在日益严峻的新挑战下险象环生。

内部风险：传统安全访问控制采用粗粒度授权，攻击者一旦进入内网，企业则无法应对其在内部的横向攻击；同时内部“合法用户”的威胁，也否定了基于边界区分是否“可信”的有效性。

外部风险：云计算、物联网、远程办公等技术落地，各类应用分散部署在不同公有云、私有云及本地IDC。越来越多的应用在网络边界暴露业务端口，增加了数据暴露面，被攻击风险大幅上升。

安全管理难度大、IT建设效率低：通过堆叠部署不同维度的安全产品建立的统一安全边界，其“创可贴式安全”提升了IT复杂性，导致网络管理难度加大。

为应对传统边界防护面临的风险及挑战，网络安全建设亟需新架构加持，于是强调“永不可信，始终验证”的零信任理念备受关注。

零信任理念正在成为“破局者

所谓零信任架构(Zero-Trust Architecture (ZTA))，其实是一种网络安全范例，原理是假设网络上始终存在着威胁，其立场是保护网络上的资产，而非网络本身。由于它与用户有关，代理机构根据从应用、位置、用户、设备、时间、数据敏感性等综合因素计算出的风险状况，决定是否批准每个访问请求。正如其名称所示，ZTA是一个架构，而非产品，但可以从架构内的技术手段中寻求进一步的开发。

作为新一代网络安全防护理念，零信任并非单一的安全技术或产品。其目标是降低资源访问过程的安全风险，防止未经授权的资源访问；核心是打破信任和网络位置的默认绑定关系。零信任将防护从依靠网络边界的“马奇诺防线”向个体保护目标收缩，把防护重心从网络转移到资源本身。

行业普遍认为零信任架构需遵循以下原则：

始终假定网络是危险的；

始终警惕存在外部和内部威胁；

仅凭网络位置，不足以决定网络信任度；

所有设备、用户和网络流量均需经过检查、身份认证和授权；

策略必须是动态的，并基于尽可能多的当前状态信息得出。

白山云零信任理念实践

参考零信任架构体系，白山云零信任产品方案也从控制平面和数据平面两方面实现：

控制平面：收集各个节点的检查结果，通过策略引擎进行持续信任评估和分析决策，最终根据决策结果判断下一步访问请求的动作；

数据平面：通过在用户设备上安装的客户端对设备进行安全检查，确保设备接入的安全性；同时将流量引至白山云边缘节点，发挥边缘节点所具备的安全能力，对过往流量进行检查过滤，阻断恶意请求；另一部分访问流量则通过身份认证和权限识别后，最终访问授权应用。

基于两大平面进行五项判断，完成可信性确认与动态信任评估：

确认设备可信：基于客户端、第三方安全检查产品进行设备安全检查，确认接入设备是否可信；

确认行为可信：在边缘节点先行检查所有流量，并结合威胁情报与恶意软件分析技术，实现针对恶意请求和内容的阻断，同时将相关访问行为记录上传策略引擎持续分析，确保行为可信；

确认身份可信：结合身份管理组件，对每一个访问请求进行持续身份认证，保证授权访问应用的身份可信；

确认应用可信：授权访问应用隐藏至白山边缘后端，实现应用完全隐身；

动态信任评估：UEBA引擎基于环境/行为/身份等信息进行持续信任评估，动态调整访问权限；

借助零信任理念，白山云帮助企业实现动态控制与授权、资产集中管控、降低IT复杂度，全面强化安全能力建设。

通过零信任安全架构产品方案，白山云不仅能帮助企业提升了效率，还实现了应用在任意网络环境中的可信访问。目前白山云的边缘服务已经涉及各行各业，接下来也将继续推进零信任实践，持续完善跨行业、跨场景的网络安全解决方案。