零信任架构(ZTA)解读

零信任架构（ZTA）解读
现代企业的基础设施变得越来越复杂。

单个企业可能拥有多个内部网络、拥有自己可远程办公的基础设施、远程和移动个人设备，以及云服务等。

这种复杂性已经超过了基于边界的网络安全的传统方法能力，因为企业没有单一的、容易识别的边界。

基于边界的网络安全被证明是不够的，因为一旦攻击者突破边界，进一步的横向移动就不会受到阻碍。

这种复杂的企业基础设施的安全要求导致了一种名为“零信任”(Zero Trust, ZT)的网络安全新模式的发展。

零信任方法主要关注数据和服务的保护，但也扩展到包括所有企业资产(设备、基础设施组件、应用程序、虚拟和云组件)和主体(最终用户、应用程序和其他从资源中请求信息的非人类实体)的保护。

零信任安全模型假定环境中存在攻击者，并且企业拥有的环境与任何外部环境没有什么不同，即内部网络并不比外部网络更安全。

在这种新的模式中，企业不能有任何隐性的信任假设，并不断地分析和评估其资产和业务功能的风险，然后制定保护措施以减轻这些风险。

一、传统边界网络安全架构凸显的不足
对传统的基于边界的网络安全防御架构，也称为城堡-护城河安全模式（Castle-and-Moat,图1），其主要策略是使攻击者很难从外部进入企业网络内部，而网络内部的每个设备和人员，默认都是受信任的。

但是一旦攻击者获
得了访问企业内部网络资源的能力，就相当于为攻击者打开了一扇“自由之门”。

图1：城堡-护城河
1) 基于边界的防御策略无法解决“内部人攻击”，以及系统被破坏之后，
攻击者在网络内部的水平移动（Lateral movement）无法阻止,如图2.
图2：基于边界的安全防御部署示意图
2) 如今云化模式下，数据中心东西向流量占70%,而东西向流量都在传统边
界防火墙之后（即不受边界防火墙的保护，如图3）
图3：现在数据中心内部的流量远超过外部与数据中心之间的流量如今内部威胁导致的数据泄露日趋严重，安全防御一定要假定“网络一定会被攻破”，安全策略需要从被动防御走向主动防御。

二、零信任概念
1. 零信任的基本概念
零信任是2004年由杰里科论坛（Jericho Forum,）提出的一个安全设计概念，杰里科论坛是一个总部位于英国的首席信息安全官(CISOs)组织，这一富有远见的团队提出了一种安全模型，适用于传统边界正在消失或变得不那么重要的世界，工作流正在转移到云上，移动终端正在成为应用程序访问的标准。

2010年，John Kindervag在Forrester做研究时，创造了“零信任”或“零信任网络”这一术语，以解决杰里科论坛带来的反边界化问题。

从那时起，人们越来越关注零信任，认为这是一种潜在的安全方法，可以解决边界的消失或边界不断移动带来的安全问题。

大多数现有的公司网络是扁平的，即数据和用户网络很少或根本没有分离。

传统的中心辐射型网络模型的弱点在于它的架构。

通过防火墙跨越信任与
不信任之间的鸿沟本质上是危险的。

相反，零信任不再区分网络边界的“内部”和“外部”。

零信任架构(ZTA)是一种基于零信任原则的企业网络安全架构，旨在防止数据泄露和限制内部横向移动。

基于“永不信任，始终验证”的原则，通过综合用户身份、位置、数据、历史行为等上下文信息，执行认证授权。

零信任(ZT)提供了一组概念和想法，旨在信息系统和服务中执行准确的、使每个请求拥有最少特权的访问决策时，将决策的不确定性降到最低。

零信任体系结构(ZTA)是利用零信任概念并包含组件关系、工作流和访问策略的企业网络安全计划。

2. 零信任的五个基本主张
图4：零信任5大基本主张
3. 零信任六大支柱（ACT-IAC定义）
图5：零信任6大支柱
支柱#1 -用户
人员/身份安全
持续的对可信用户进行身份验证对ZT至关重要。

这包括使用身份、凭证和访问管理(ICAM)等技术和多因素身份验证，并持续监视和验证用户的可信度，以管理其访问和特权。

支柱2-设备
设备安全性
设备的实时网络安全状况和可信赖性是ZT方法的基本属性。

一些“记录系统”解决方案（例如移动设备管理器）提供的数据可用于设备信任评估。

此外应针对每个访问请求进行其他评估（例如，检查危害状态，软件版本，保护状态，加密启用等）。

支柱3-网络
网络安全
一些人认为，边界保护对于网络，工作流，工具和操作的重要性正在下降。

这不是由于单一的技术或用例，而是许多新技术和服务的结合，这些新技术和服务允许用户以新方式进行工作和交流。

零信任网络有时被称为“无边界的”，但这有点用词不当。

零信任网络实际上是在尝试从网络边缘移入网络内部并进行分段，并将关键数据与其他数据隔离开来。

尽管以更细粒度的方式，边界仍然是存在的。

传统的基础架构防火墙外围的“城堡和护城河”方法是不够的。

外围设备必须与微分段协作以更靠近数据，以加强保护和控制。

随着代理机构将其网络扩展到部分或全部过渡到软件定义网络，软件定义广域网和基于Internet的技术，网络安全性也在不断扩展。

（a）控制特权网络访问，（b）管理内部和外部数据流，（c）防止网络中的横向移动以及（d）具有可见性以制定动态策略并对网络和数据流量进行信任决策，这一点至关重要。

分割，隔离和控制网络的能力仍然是安全的关键点，对于零信任网络至关重要。

支柱4-应用程序
应用程序和工作负载安全
保护和正确管理应用程序层以及计算容器和虚拟机对于采用ZT至关重要。

具有识别和控制技术堆栈的能力有助于更精细和准确的访问决策。

毫不奇怪，在为ZT环境中的应用程序提供适当的访问控制时，多因素身份验证已成为越来越关键的部分。

支柱5-自动化
安全自动化与编排
和谐，经济高效的ZT充分利用了安全自动化响应工具，该工具可以通过工作流自动化跨产品的任务，同时允许最终用户进行监督和交互。

安全运营中心通常利用其他自动化工具来进行安全信息和事件管理以及用户和实体行为分析。

安全流程将这些安全工具连接在一起，并有助于管理不同的安全系统。

这些工具以集成的方式工作，可以大大减少人工和事件反应时间，并降低成本。

支柱6-分析
安全性可见性和分析
您无法应对看不见或无法理解的威胁。

ZT利用安全信息管理，高级安全分析平台，安全用户行为分析和其他分析系统等工具，使安全专家可以实时观察正在发生的事情，并以更智能的方式确定防御的方向。

对与网络相关的事件数据进行分析的重点可以帮助在实际事件发生之前制定主动的安全措施。

4. 其他研究机构零信任原则
NIST：零信任不是一个单一的体系结构，而是一套工作流、系统设计和操作的指导原则，可用于提高任何分类或敏感级别的安全状况
Gartner：零信任架构作为一个产品是不存在的，尽管很多产品宣传他们是。

ZTA不是关于保障网络安全的，而是聚焦保障应用和数据的安全。

零信任架构不是产品，无法直接获得。

三、NIST零信任架构
图6：NIST零信任逻辑架构图
1. 组件描述
l 策略引擎(Policy engine，PE):该组件负责为特定的主体授予对资源的访问权做出最终决策。

PE使用企业策略和来自外部来源作为输入(如CDM系统、威胁情报服务)作为信任算法的输入，以授予、拒绝或撤销对资源的访问。

PE与策略管理器（policy administrator）配对。

策略引擎做出并记录决策(批准或拒绝)，策略管理器执行决策。

l 策略管理器（Policy administrator，PA）：此组件负责建立和/或关闭主体和资源之间的通信路径（通过对相关PEP的命令）。

它生成客户端用于访问企业资源的任何特定于会话的身份验证和身份验证令牌或凭据。

它与PE紧密相关，并取决于其最终允许或拒绝会话的决定。

如果会话被授权并且请求被认证，则PA将PEP配置为允许会话开始。

如果会话被拒绝（或取消了先前的批准），则PA会向PEP发出信号以关闭连接。

某些实现可
能会将PE和PA视为同一个服务。

在这里，它分为两个逻辑部分。

创建通信路径时，PA与PEP进行通信。

该通信是通过控制平面完成的。

l 策略执行点（Policy enforcement point，PEP）：此系统负责启用，监视并最终终止主体与企业资源之间的连接。

PEP与PA通信以转发请求和/或从PA接收策略更新。

这是ZTA中的单个逻辑组件，但可以分为两个不同的组件：客户端（例如，便携式计算机上的代理）和资源端（例如，控制访问的资源前的网关组件）或作为单个门户组件。

作为通信路径的看门人，PEP之后是托管企业资源的信任区域。

2. 用以信任评估的外部输入源
除了实现ZTA的企业中的核心组件外，还有几个数据源提供了策略引擎在做出访问决策时使用的输入和策略规则。

这包括本地数据源以及外部(即非企业控制或创建的)数据源。

这些可以包括:
l持续诊断和消减系统(Continuous diagnostics and mitigation，CDM):该系统收集有关企业资产当前状态的信息，并对配置和软件组件进行更新。

企业CDM系统向策略引擎提供有关发出访问请求的资产的信息，例如它是否正在运行已修补操作系统，企业批准的软件组件的完整性或是否存在未批准的组件，以及资产是否具有任何已知漏洞。

CDM系统还负责在企业基础结构上活动的非企业设备上识别并可能执行一部分策略。

l行业遵从性系统（Industry compliance system）: 这确保了企业仍然符合其可能属于的任何监管制度(例如FISMA、医疗保健或金融行业信息安全需求)。

这包括企业为确保遵从性而开发的所有策略规则。

l威胁情报（Threat intelligence）系统: 这提供了来自内部或外部资源
的信息，帮助策略引擎做出访问决策。

这些服务可以是从内部和/或多个外部源获取数据，并提供有关新发现的攻击或漏洞的信息。

这还包括新发现的软件缺陷、新识别的恶意软件，以及其他资产报告的攻击。

l网络和系统活动日志（Network and system activity logs）:该企业
系统聚合资产日志、网络流量、资源访问操作和其他事件，提供对企业信息系统安全状况的实时(或近实时)反馈。

l数据访问策略(Data access policies):这些是访问企业资源的属性、规则和策略。

这组规则可以编码(通过管理接口)，也可以由策略引擎动态生成。

这些策略是授权访问资源的起点，因为它们为企业中的帐户和应用程序/服务提供基本的访问特权。

这些政策应该基于已定义的任务、角色和组织的需求。

l企业公共密钥基础结构（PKI）：该系统负责生成和记录企业颁发给资源，主体，服务和应用程序的证书。

这也包括全球证书颁发机构生态系统和联邦PKI，可能会也可能不会与企业PKI集成。

这也可能是不基于
X.509证书的PKI。

lID管理系统：负责创建，存储和管理企业用户帐户和身份记录（例如，轻型目录访问协议（LDAP）服务器）。

该系统包含必要的主体信息（例如，名称，电子邮件地址，证书）和其他企业特征，例如角色，访问属性和分配的资产。

该系统通常将其他系统（例如PKI）用于与用户帐户关联的工件。

该系统可以是较大的联合社区的一部分，并且可以包括非企业雇员或与非企业资产的链接以进行协作。

l安全信息和事件管理（SIEM）系统：它收集以安全为中心的信息，以供以后分析。

然后，该数据将用于完善策略并警告可能对企业资产的攻击。

四、NIST零信任架构部署模式
1. 设备代理/基于网关的部署
在此部署模型中，PEP被分为驻留在资源上或直接位于资源前面的两个组件。

例如每个企业发行的资产都有一个已安装的设备代理，用于协调连接，每个资源都有一个组件（即网关），该组件直接放置在最前面，因此该资源仅与网关进行通信，本质上是充当网关的代理资源。

代理是将某些（或全部）流量定向到适当的PEP以便评估请求的软件组件。

网关负责与策略管理器进行通信，并仅允许策略管理器配置允许的通信路径。

在典型的场景中，拥有企业发放的笔记本电脑的主体希望连接到企业资源(例如人力资源应用程序/数据库)。

访问请求由本地代理接收，并将请求转发给策略管理器。

策略管理器和策略引擎可以是企业本地资产或云托管服务。

策略管理器将请求转发给策略引擎进行评估。

如果请求被授权，策略管理器将通过控制平面配置设备代理和相关资源网关之间的通信通道。

这可能包括诸如互联网协议(IP)地址、端口信息、会话密钥或类似的安全构件等信息。

然后，设备代理和网关连接起来，并开始加密应用/业务数据流。

当工作流完成或策略管理器由于安全事件(如会话超时、重新认证失败)触发时，设备代理和资源网关之间的连接将被终止。

该模型最适合那些拥有健壮的设备管理程序以及可以与网关通信的离散资源的企业。

对于大量使用云服务的企业，这是云安全联盟(CSA)软件定义边界(SDP) [CSA-SDP]的客户机-服务器实现。

此模型也适用于不希望采用BYOD策略的企业。

只能通过设备代理访问，设备代理可以放置在企业拥有的资产上。

图7：设备代理/基于网关的零信任部署模式
2. Enclave-Based部署
此部署模型是上述设备代理/网关模型的变体。

在此模型中，网关组件可能并不驻留在资产或单个资源的前面，而是驻留在资源enclave(例如on-location数据中心)的边界上，如图6所示。

通常这些资源服务于单一的业务功能，或者可能不能直接与网关通信(例如遗留数据库系统没有可以用于与网关通信的应用程序编程接口[API])。

这个部署模型对于那些为单个业务流程(例如用户通知、数据库查找、工资支付)使用基于云的微服务的企业也很有用。

在这个模型中，整个私有云位于网关后面。

在此模型中，企业资产有一个设备代理，用于连接到enclave网关，但这些连接使用与基本设备代理/网关模型相同的流程创建。

此模型对于那些拥有遗留应用程序或内部数据中心而不能设置单独网关的企业非常有用。

企业需要一个健壮的资产和配置管理程序来安装/配置设备代理。

其缺点是网关保护一组资源，可能无法单独保护每个资源。

这也允许主体查看他们没有权限访问的资源。

图8：基于Enclave的零信任部署模式
3. 基于资源门户的部署Resource Portal-Based Deployment
图9：基于资源门户的零信任部署模式
4. 设备应用沙箱Device Application Sandboxing
代理/网关部署模型的另一个变体是在资产上划分运行的审查应用程序或流程。

这些分隔可以是虚拟机、容器或其他实现，但目标是相同的:保护应用程序或应用程序实例免受可能受到损害的主机或在资产上运行的其他应用程序的侵害。

在图8中，主体设备在一个沙箱中运行批准的、经过审查的应用程序。

应用程序可以与PEP通信以请求对资源的访问，但是PEP将拒绝资产上其他应用程序的请求。

PEP可以是此模型中的企业本地服务或云服务。

此模型变体的主要优点是将各个应用程序从资产的其余部分分割开来。

如果不能扫描资产的漏洞，这些单独的，沙箱应用程序可能会保护免受潜在的恶意软件感染的主机资产。

此模型的缺点之一是，企业必须为所有资产维护这些沙箱应用程序，并且可能无法完全看到客户资产。

企业还需要确保每个沙箱应用程序是安全的，这可能比简单地监视设备需要更多的工作。

图10：基于设备沙箱的零信任部署模式
五、NIST信任算法Trust Algorithm
对于具有ZTA部署的企业来说,策略引擎（PE）可以被认为是大脑，而PE的信任算法作为其主要的思考过程。

信任算法(TA)是策略引擎使用的过程,最终授予或拒绝访问资源。

策略引擎从多个来源获取输入，策略数据库具有可观察的主体、主体属性和角色、历史主体行为模式、威胁情报来源和其他元数据源的信息。

这个过程可以分为广泛的类别,如图9所示。

图11：信任算法的输入
•访问请求:这是来自主体的实际请求。

所请求的资源是所使用的主要信息，但是也使用了有关请求者的信息。

这可以包括操作系统版本、所使用的软件(例如，请求的应用程序是否出现在已批准的应用程序列表中?)和补丁级别。

根据这些因素和资产安全状况，获取资产可能受到限制或被拒绝。

•主体数据库:这是请求访问资源[SP800-63]的“谁”。

这是企业或合作者的一组主体(人员和流程)，以及分配的主体属性/特权的集合。

这些主体和属性构成了资源访问策略的基础[SP800-162] [NISTIR 7987]。

用户身份可以
混合包含逻辑身份(例如，帐户ID)和pep执行的身份验证检查结果。

身份的属性可以被考虑到产生置信水平包括时间和地理位置。

授予多个主体的特权的集合可以被认为是一个角色，但是特权应该根据个体分配给主体，而不仅仅是因为它们可能适合组织中的某个特定角色。

这个集合应该被编码并存储在ID管理系统和策略数据库中。

这也可能包括过去观察到的PE在某些(TA)变体中的行为数据(见第3.3.1节)。

•资产数据库(和可观察的状态):这是包含每个企业拥有(可能是已知的非企业/BYOD)资产(某种程度上是物理的和虚拟的)的已知状态的数据库。

这是与发出请求的资产的可观察状态相比较的，可以包括OS版本、软件当前、其完整性位置(网络位置和地理位置)和补丁级别。

根据与此数据库相比较的资产状态，可能会限制或拒绝对资产的访问。

•资源需求:这组策略补充了用户ID和属性数据库[SP800-63]，并定义了访问资源的最低需求。

需求可能包括验证者保证级别，如MFA网络位置(例如，拒绝来自海外IP地址的访问)、数据敏感性和对资产配置的请求。

这些要求应由数据保管人(即负责数据的人)和负责利用数据的业务流程的人(即负责任务的人)共同制定。

•威胁情报:这是一个或多个关于互联网上运行的一般威胁和活跃恶意软件的信息源。

这也可能包括从可疑设备上看到的通信的具体信息(如查询可能的恶意软件命令和控制节点)。

这些提要可以是外部服务，也可以是内部扫描和发现，可以包括攻击特征和缓解。

这是最有可能在服务而不是企业控制下的唯一组件。

每个数据源的重要性权重可以是专有算法，也可以由企业配置。

这些权重值可以用来反映数据源对企业的重要性。

然后将最终决定传递给PA执行。

PA的工作是配置必要的PEPs以使能授权的通信。

根据ZTA的部署方式，这可能涉及向网关、代理或资源门户发送身份验证结果和连接配置信息。

PAs还可以在通信会话上暂停，以便根据策略要求重新验证和重新授权连接。

PA还负责根据策略(例如超时后，当工作流已经完成时，收到一个安全告警等)发出终止连接的命令。

信任算法的变化Trust Algorithm Variations
实现信任算法有不同的方法。

不同的实施者可能希望根据这些因素的重要性的不同来衡量上述因素。

还有两个主要特征可以用来区分不同的算法实现。

首先是如何评估这些因素，无论是作为二元决策，还是作为整体“分数”或置信水平的加权部分。

第二个是如何根据相同主体、应用程序/服务或设备的其他请求评估请求。

•基于标准的 vs. 基于分数的（criteria- versus score-based）: Ø基于标准的TA假定一组合格的属性必须满足，然后才授予一个
资源或一个操作是允许的。

这些标准由企业配置，并且应该针对每
种资源独立配置。

只有在满足所有条件时，才授予访问权或对资源
应用操作。

Ø基于分数的TA根据每个数据源的值和企业配置的权重计算置信
水平。

如果评分大于资源配置的阈值，则允许访问或执行操作。

否
则，请求将被拒绝，或者访问权限将减少(例如对文件授予读访问权
限，但不授予写访问权限)。

•单一的 vs. 上下文TA(Singular versus contextual):
Ø单个TA会单独处理每个请求，并且在评估时不会考虑主体历史
记录。

这样可以加快评估速度，但存在这样的风险，即如果攻击处
在其允许角色权限范围内，则可能无法被检测到。

Ø在评估访问请求时，上下文TA会考虑主体或网络代理的最近历
史记录。

这意味着PE必须维护所有主体和应用程序的一些状态信
息，但可能更容易检测到攻击者使用被破坏的凭据以一种不同于PE
所看到的给定主体的模式访问信息。

这也意味着，在通信时，PE与
PA(和PEP)交互时，必须通知PE用户的行为。

对主体行为的分析可
用于提供可接受使用的模型，偏离此行为可能触发额外的身份验证
检查或资源请求拒绝。

这两个因素并不总是相互依赖的。

可能会有一个TA为每个主体和/或设备分配一个置信度，并且仍然独立地考虑每个访问请求（即单一的）。

但是，基于上下文的基于分数的TA将提供提供更多动态和粒度访问控制的能力，因为该分数为请求帐户提供了当前的置信度，并且比人工管理员修改的静态策略更快地适应变化的因素。

理想情况下，ZTA信任算法应该是上下文的，但是对于企业可用的基础结构组件而言，这可能并非总是可行的。

上下文TA可以缓解威胁，即攻击者仍在针对受害主体帐户或内部人员攻击而接近“正常”访问请求集的情况下。

在定义和实现信任算法时，平衡安全性，可用性和成本效益非常重要。

不断地促使主体针对与其组织中的任务功能和角色的历史趋势和规范相一致的行为重新进行身份验证可能会导致可用性问题。

例如如果代理机构的HR部门中的员工通常在一个典型的工作日中访问20到30条员工记录，则如果访问请求在一天中突然超过100条记录，则上下文TA可能会发送警报。

如果有人在正常工作时间之后发出访问请求，则上下文TA也可能会发送警报，因为这可能是攻击者通过使用受损的HR帐户来窃取记录。

在这些示例中，上下文TA可以检测到攻击，而单一的TA可能无法检测到新行为。

在另一个示例中，通常在正常工作时间访问财务系统的会计现在正试图在深夜从无法识别的位置访问该系统。

上下文TA可能会触发警报，并要求主体满足更严格的置信度。

六、NIST零信任架构对网络的要求
1. 数据平面与控制平面分离
在ZT环境中，用于控制和配置用于执行组织实际工作的网络和应用程序/服务通信流的通信流量应该分开（逻辑或物理上）。

通常将其分解为用于网络控制通信的控制平面和用于应用程序/服务通信流的数据平面。

Ø控制平面由各种基础结构组件（企业拥有和服务提供商使用）来维护和配置资产。

判断，授予或拒绝对资源的访问；并执行任何必要的操作以建立资源之间的通信路径。

Ø数据平面用于软件组件之间的实际通信。

在通过控制平面建立路径之前，可能无法使用此通信通道。

例如，PA和PEP可以使用控制平面来。