基于云计算的安全信任体系系列标准解读.pdf

基于云计算的安全信任体系系列标准 解读演讲人：吴倩琳背 景 介 绍数字化时代企业IT架构云化，由封闭走向开放1323IT架构从以传统数据中心为核心向以云计算为承载的数字基础设施转变，多云、混合云成为主要形态资源位于数据中心内网对互联网开放有限端口资源分布于云端安全边界模糊1传统 IT 架构数字化时代IT架构默认内网可信侧重南北流量防护资源粒度细化东西向流量增多2内网办公企业内部设备远程办公和自有设备供应链跨云协作3以云计算为承载的IT架构数字化IT架构引入更多信任危机，传统安全防护体系遭遇瓶颈资产位置边界打破企业上云，资产位置分布于云上。数据系统融合数字时代使用大数据实现精准预测，构建新的存储体系。应用架构微服务化满足应用快速迭代，追赶热点与时下需求。服务云化应用SaaS化、平台PaaS化，企业专注于价值创造。资源纳管粒度细化，具有弹性容器/虚拟化技术令基础设施能力跟随需求灵活扩缩。用户接入位置边界打破远程办公趋势。分支机构互连分支机构与数据中心高质量网络互连。终端使用个性化服务接入方式便捷化，促生BYOD(Bring Your Own Device，自带设备)使用量增多。技术应用数据网络接入网络边缘接入设备增多，是否全部可信？资源暴露面增大，工作负载可信？用户进入内网后的行为可信？东西向流量增多，流量是否可信？数字化技术面临新威胁，传统安全架构有局限公有云ASaaS策略1策略2策略3IDS/IPS漏洞扫描杀毒代理数据中心以安全边界为核心的传统安全架构传统安全架构通过在数据中心出口部署防火墙、入侵检测、漏洞扫描等设备，实现对IT资源的防护，在数字化时代其作用遭遇瓶颈资源暴露面增大工作负载可信程度难保障 海量攻击和威胁对防护能力提出更高要求，传统硬件设备性能不足 资源分布于多云，企业对工作负载安全管控能力变弱多云/混合云分布式应用架构导致东西流量激增默认可信的风险大 容器、无服务等资源促进应用架构向分布式微服务转变，东西向流量激增，传统安全架构侧重南北向流量监控云原生技术以零信任为核心的安全理念兴起，弥补传统安全机制缺陷政策驱动，为产业发展指明方向美国重视零信任发展2019年10月，DIB（国防创新委员会）提出零信任架构（ZTA）建议，将零信任实施列为最高优先事项。2019年7月，美国国防部发布国防部数字现代化战略，将零信任实施列为最高优先事项。2019年9月，工信部发布的关于促进网络安全产业发展的指导意见（征求意见稿）中将“零信任安全”列入需要“着力突破的网络安全关键技术”。2020年8月，工信部发布的关于开展2020年网络安全技术应用试点示范工作的通知中将“零信任”列为具有前沿性、创新性、先导性的重大网络安全技术理念。中国重视零信任发展国家层面以政策推动零信任技术研究与应用企业层面有序推进零信任逐步实施据 IDC Worldwide Future of Trust 2021Predictions预测，随着应用从集中式数据中心向边缘的IaaS/PaaS/SaaS迁移，到2022年，企业采购遵循零信任规则的软件定义安全访问解决方案的预算将成倍增长，替代传统VPN。国内厂商纷纷拥抱零信任，解决方案各有优势公司公司产品名称产品名称SaaS版版优势特点优势特点腾讯云腾讯零信任安全管理系统iOA以身份安全、终端安全和链路安全三大核心能力，为企业内网安全和应用上云打造统一、安全和高效的访问入口。蔷薇灵动蔷薇灵动蜂巢自适应微隔离安全平台将安全能力与工作负载紧密结合，实现跨平台统一安全管理、业务与安全同步交付。天融信天融信零信任安全解决方案以身份安全为核心，对数据和功能两大核心资产的访问行为进行精细化访问控制。深信服零信任访问控制系统aTrust以流量身份化和动态自适应访问控制为核心，实现可信访问、智能权限和极简运维。白山云应用可信访问（Access）以身份认证、访问控制、应用统一管理和全面审计作为核心能力绿盟科技UIP&SAG聚焦与业务应用安全和数据安全，实现端到端的网络/数据安全防护。阿里云云安全访问服务CSAS聚焦身份安全，基于云原生架构建立安全能力触达边缘的办公安全统一管控平台青云SD-NaaS以身份、网络、终端和网关安全为核心，为开发者服务的安全云原生网络即服务平台。华为云华为云应用信任中心围绕用户应用打造的安全服务，通过构建应用安全威胁全景拓扑，实现细粒度访问控制。奇安信零信任基础架构将身份安全与零信任能力结合，实现端到端应用与数据的细粒度访问。云服务商、大型安全厂商、初创安全服务商等围绕自身安全技术优势形成并不断丰富侧重点各有不同的零信任解决方案。国内零信任起步较晚，缺少标准规范产业有序发展何种实现程度可以称之为实现了零信任？哪些功能是必须实现的？面向甲方和乙方的零信任是否有区别？不同零信任的场景有什么区别？工 作 介 绍制定基于云计算的安全信任体系系列标准，规范产业有序发展中国信息通信研究院牵头联合数十家科技公司，开展基于云计算的安全信任体系系列标准研究腾讯、蔷薇灵动、天融信、深信服、白山云、阿里云、华为、青云、天翼云、360、安恒、绿盟、新华三、金山云、西安邮电大学、中兴、网宿、浪潮云、联通软研院、中国铁塔、思特沃克2021年4月16日2021年4月29日2021年6月17日2021年7月13日基于云计算的安全信任体系 第1部分：总体架构总体架构定义 基于云计算的安全信任架构 静态因子：访问主体与数据、网络、应用系统、服务器、终端设备等物理和虚拟资源。动态因子：静态因子全生命周期的各项行为活动，如静态因子间的访问、操作等，动态因子作用于静态因子使其发生变化。基于零信任和原生安全理念构建的安全架构，由多个逻辑组件构成，各逻辑组件间通过安全信息共享、安全事件协同处置保障 IT 系统全生命周期安全。零信任核心原则因子 构成 IT 架构的所有要素基于云计算的安全信任架构 默认不可信任 动态授权策略和最小权限原则 动态验证和授权 持续安全保护身份安全终端安全网络安全安全管理应用安全工作负载安全数据安全策略引擎控制引擎安全代理信任资源（静态因子）访问主体（静态因子）安全管控中心管理平面控制平面数据平面动态因子动态因子原生安全理念部署模式组件化/服务化与IT架构深度融合开放协同，信息联动解决数字基础设施面临的新安全问题影响企业IT安全的全部影响因子基于云计算的安全信任架构要求 通用要求组件弹性接口互通分布式高可用弹性扩缩组件模块化策略下发接口事件上报接口分布式组件分布式架构数字化转型时代，数字基础设施对弹性能力要求增高，企业需要按需对资源开展扩缩，以节省基础设施建设成本。新形势下数字基础设施的各组件，需要具有连通能力，可以协同处理事件，实现IT数字化具备的信息全盘流通能力。事件处置数字化转型时代，企业处于多云、多数据中心、多分支机构等场景中，分布式的数字基础设施能满足企业各场景的需求。基于云计算的安全信任架构要求 安全管控中心数据安全关键技术应用安全关键技术终端安全关键技术数据安全治理数据脱敏数据防泄漏数据加密数据安全审计Web攻击防护CC攻击防护网页防篡改漏洞扫描爬虫识别应用安全沙箱数据不落地员工开箱即用工作负载安全关键技术安全管理关键技术网络可视化漏洞管理基线检查入侵检测病毒扫描应急响应与处置安全态势感知海量数据多维度分析安全态势可视化安全风险智能预警安全运营中心资源/安全策略统一管理、安全事件统一运营安全编排与自动化响应网络安全关键技术容器虚机虚机容器虚机虚机容器容器网络隔离安全策略统一下发，精细化网络管理身份安全关键技术IAMSSO目录服务MFA基于云计算的安全信任体系 第2部分：零信任安全能力要求零信任安全总体架构定义零信任策略执行零信任策略控制零信任多源评估访问主体被访问主体不受信任访问请求受信任访问请求日志审计权限管理平台监控接口内部/外部其他系统身份管理日志管理安全分析零信任控制中心管理中心零信任安全零信任安全设计原则01访问主体与被访问主体都被视为资源02动态验证访问请求03最小授权原则04持续动态访问控制和授权05持续安全防护所有数据源和计算服务都被视为资源用户作为访问主体，向服务器、应用等发起访问请求工作负载作为访问主体，工作负载间发起访问请求仅授予各访问请求所需的最小权限实时计算授权策略，实时进行控制通过监控企业安全态势，确保资源处于安全状态零信任安全通用能力要求01易用性02可用性03接口兼容性04安全性售前电话咨询与售后服务使用与帮助文档专家支持零信任安全策略执行能力弹性扩展存储能力弹性扩展计算能力弹性扩展与身份管理系统接口交互与日志审计系统接口交互与安全分析系统接口交互安全审计凭据动态获取系统加固（可选）安全通信（链路+组件间）零信任安全关键能力要求 策略执行能力要求用户零信任访问场景工作负载零信任访问场景 支持多种模式部署能力：B/S架构、C/S架构 多类型终端设备 支持多种网络环境能力：移动蜂窝网络、固定网络 认证能力：多种身份认证方式（图形、安全令牌等）单点登录（协议支持SAML2.0 OAuth2等）数据采集能力：访问主体身份、网络、终端、数据、应用等信息 数据采集能力：工作负载信息、网络信息广域网用户零信任访问场景 边缘云能力：安全能力集成在云的边缘侧，用以实现用户访问的就近响应与决策零信任安全关键能力要求 多源评估能力要求分析处理能力零信任安全策略执行处收集的信息安全分析系统收集的信息数据治理能力清洗、归并、格式化收集数据算法更新能力SaaS版 可自动或手动更新私有化版可手动更新工作负载零信任访问场景对未命中策略的工作负载间流量执行访问阻断零信任安全关键能力要求 策略控制能力要求（广域网）用户零信任访问场景为不同安全等级的访问主体切换不同等级访问资源实时阻断评估结果未达标的访问请求零信任安全管理能力要求零信任安全平台监控能力CPU、内存、存储等资源消耗情况资源消耗情况可视化展示资源消耗情况设置阈值告警零信任安全平台权限管理能力创建用户、用户组多级授权模式控制台访问操作权限分离零信任安全平台日志管理能力日志报表筛查、导出向内部或外部日志审计系统上报日志零信任安全平台接口对接能力与内部或外部身份管理系统对接与内部或外部日志审计系统对接与内部或外部安全分析系统对接对外提供API，满足其他系统功能调用需求工作开展情况和计划首批评估结果隆重揭晓用户零信任访问场景（2家）工作负载零信任访问场景（1家）腾讯云计算（北京）有限责任公司天融信网络安全技术有限公司北京蔷薇灵动科技有限公司广域网用户零信任访问场景（2家）深信服科技股份有限公司贵州白山云科技股份有限公司仅用户和工作负载间零信任访问仅用户和工作负载间零信任访问零信任实验室正式成立副理事单位：腾讯云天融信蔷薇灵动（7家）深信服阿里云白山云华为云成员单位：安恒信息天翼云绿盟360政企（16家）新华三中兴青云安天浪潮云中国铁塔联通软研院网宿世纪互联天谷信息中国电子云思特沃克引领产业方向通过专家研讨和行业交流，明确产业发展定位，提高零信任产业的发展向心力和发展质量。整合沟通渠道，减少沟通成本，形成专家组与信通院直接对接渠道，提高零信任工作推进效率，助力零信任产业发展研究。联动上下游企业，助力业态发挥新动能，开展技术研究，完善标准体系，开展测试评估，搭建合作桥梁。形成产业合力统一沟通渠道推动业态发展集合零信任行业内龙头企业的专业力量，整合优质资源，形成发展合力，引领零信任产业健康有序发展。工作开展情况与未来工作计划标准制定测试评估建立健全基于云计算的安全信任标准体系：总体架构零信任安全数据安全终端安全身份安全工作负载安全应用安全根据首批测试情况，修订测试用例21年下半年开展零信任安全能力测评：针对服务商侧和用户侧分别进行测评；服务商侧针对用户零信任访问场景、广域网用户零信任访问场景、工作负载间零信任访问场景进行测评；举办零信任相关沙龙活动行业报告资源群行业报告资源群1.进群即领福利报告与资源合编，内有近百行业、上万份行研、管理及其他学习资源免费下载；2.每日分享学习最新6+份精选行研资料；3.群友交流，群主免费提供相关领域行研资料。微信扫码 长期有效微信扫码 长期有效知识星球 行业与管理资源 是投资、产业研究、运营管理、价值传播等专业知识库，已成为产业生态圈、企业经营者及数据研究者的智慧工具。知识星球 行业与管理资源每月更新5000+份行业研究报告、商业计划、市场研究、企业运营及咨询管理方案等，涵盖科技、金融、教育、互联网、房地产、生物制药、医疗健康等；微信扫码加入后无限制搜索下载。微信扫码 行研无忧微信扫码 行研无忧客服微信客服微信合作与沟通，请联系客服免责申明：1.本附加与原报告无关;2.本资料来源互联网公开数据；3.本资料在“行业报告资源群”和“知识星球 行业与管理资源”均免费获取；4.本资料仅限社群内部学习，如需它用请联系版权方