網絡安全防護相關幾個術語整理

推薦一篇有意思的廣告:掛圖作戰|易霖博發佈圖解網絡靶場V1.1

(一)MTD 移動目標防禦技術

移動目標防禦技術,主要包括系統隨機化,生物啓發MTD,網絡隨機化,雲MTD,動態編譯等等。研討會還就威脅建模和量化移動目標防禦技術的效能評估進行了推進。理論和定量的模型對於該技術的顛覆性影響至關重要。研討會爲MTD技術從理論層面到實踐層面的推進發揮了巨大的作用,會議對爲什麼定義移動目標防禦爲改變遊戲規則的網絡安全新技術做了說明。

現有的靜態防禦技術主要包括:檢測、預防,監測,溯源,威脅修復等,防禦的主要關注點在漏洞、木馬、病毒等具體的攻擊方法。而移動目標防禦則更加關注於背後的人。通過動態的思想使攻擊面動態變化,讓攻擊者攻擊難度增加。因此移動目標防禦已經將網絡安全上升至攻擊者與防禦者之間的博弈問題。

目前計算機系統的靜態性質使其易於攻擊,難以防禦。攻擊者具有不對稱的優勢,因爲他們有時間研究系統,識別漏洞,並自由選擇攻擊的時間和地點來獲得最大的利益。而移動目標防禦(MTD)的思想是使系統動態化。通過不斷變化的系統和不斷變化的攻擊面,攻擊者將和今天的防守者一樣,不得不面對很大的不確定性,難以預測和探索。

MTD的最終目標是增加攻擊者工作量,給攻擊者和防禦者提供一個網絡安全的競爭環境,使他們具備PK的基礎,並且希望利用這種競爭讓攻防天平傾向於防禦者而不是現在的攻擊者。

(二)P2DR

P2DR模型是可適應網絡安全理論或稱爲動態信息安全理論的主要模型。P2DR模型是TCSEC模型的發展,也是目前被普遍採用的安全模型。P2DR模型包含四個主要部分:Policy(安全策略)、Protection(防護)、Detection(檢測)和Response (響應)。防護、檢測和響應組成了一個所謂的“完整的、動態”的安全循環,在安全策略的整體指導下保證信息系統的安全。

  • 安全策略(Policy)——定義系統的監控週期、確立系統恢復機制、制定網絡訪問控制策略和明確系統的總體安全規劃和原則。
  • 保護(Protection)——通常是通過採用一些傳統的靜態安全技術及方法來實現的,主要有防火牆、加密、認證等方法。
  • 檢測(Detection)——通過不斷地檢測和監控網絡和系統,來發現新的威脅和弱點,通過循環反饋來及時作出有效的響應。
  • 響應(Response)——在檢測到安全漏洞和安全事件之後必須及時做出正確的響應,從而把系統調整到安全狀態。

(三)IATF框架

信息保障技術框架(Information Assurance Technical Framework,IATF)是由美國國家安全局(NSA)制定併發布的,其前身是網絡安全框架(Network Security Framework,NSF)。自1998年起,NSA就開始着眼於美國信息化現狀和信息保障的需求,建立了NSF。1999年,NSA將NSF更名爲IATF,併發布IATF 2.0。直到現在,隨着美國信息技術的進步和對信息安全認識的逐步加深,IATF仍在不斷完善和修訂。

IATF是一系列保證信息和信息設施安全的指南,爲建設信息保障系統及其軟硬件組件定義了一個過程,依據所謂的縱深防禦策略,提供一個多層次的、縱深的安全措施來保障用戶信息及信息系統的安全。

IATF將信息系統的信息保障技術層面劃分成了四個技術框架焦點域:局域計算環境(Local Computing Environment)、區域邊界(Enclave Boundaries)、網絡和基礎設施(Networks & Infrastructures)、支撐性基礎設施(Supporting Infrastructures)在每個焦點域內,IATF都描述了其特有的安全需求和相應的可控選擇的技術措施。IATF提出這四個焦點域的目的是讓人們理解網絡安全的不同方面,以全面分析信息系統的安全需求,考慮恰當的安全防禦機制。

四個焦點域中,局域計算環境包括服務器、客戶端及其上所安裝的應用程序、操作系統等;區域邊界是指通過局域網相互連接、採用單一安全策略且不考慮物理位置的本地計算設備的集合;網絡和基礎設施提供區域互聯,包括操作域網(OAN)、城域網(MAN)、校園域網(CAN)和局域網(LANs),涉及廣泛的社會團體和本地用戶;支撐性基礎設施爲網絡、區域和計算環境的信息保障機制提供支持基礎。

IATF信息保障的核心思想是縱深防禦戰略,該戰略爲信息保障體系提供了全方位、多層次的指導思想,通過採用多層次、在各個技術框架區域中實施保障機制,以最大限度降低風險、防止攻擊,保障用戶信息及其信息系統的安全。IATF的縱深防禦戰略,其中人(People)、技術(Technology)和操作(Operation)是主要核心因素,是保障信息及系統安全必不可少的要素。

(四)ANSM  --AdaptiveNetwork Security Model,

 

(五)TCPA ——可信計算平臺聯盟

 

(六)Zero Trust

零可信

 

零信任安全建立在一個簡單的、衆所周知的前提之上:不信任網絡內部和外部的任何人/設備/系統;不信任傳統網絡邊界保護,而代之以微邊界保護,零信任不再區分傳統定義上的內網、外網、公網、私網,信任區域、非信任區域、DMZ區域,統統一視同仁,先認證,再授權。

零信任最早由市場研究機構Forrester在2010年左右提出,後來Gartner和Forrester由對零信任概念、應用場景、遷移方式進行了完善和補充。

零信任並非對安全的顛覆,甚至算不上重大創新,零信任的主要理念或者原則都是網絡安全領域存在已久的公認原則:

 

  • 最小特權原則(least privilege)
  • 需要知道原則(need to know)
  • 深層防禦原則(defense in depth)

基於以上原則,零信任能夠做到:

•       確保所有資源被安全訪問,不論用戶或資源位於何處

•       記錄和檢查所有流量

•       強制執行最小特權原則

零信任要求將用戶的訪問權限限制爲完成特定任務所需的最低限度,在組織內部重構以身份爲中心的信任體系和動態訪問控制體系,建立企業全新的身份邊界,即微邊界。零信任的關鍵在於控制對數據的訪問權限,而與數據所在的位置無關,與訪問發起者的位置無關。

零信任的做法是先信任,後連接,只有通過動態的認證和授權,纔可能發起對數據資源的訪問連接,這是和傳統網絡安全方法的主要區別。

零信任實現的簡單方法:

1.      標識你的敏感數據

2.      映射敏感數據流(比如通過五元組或七元組,瞭解其流量流向)

3.      設計零信任微邊界

4.      持續監控分析零信任生態系統

5.      安全自動化與編排

(七)Pro ative Defense 主動防禦,

比如張長河的虛擬動態防禦,鄔江興的產品擬態冗餘計算。

 

(八)Deception Trap 蜜罐,蜜網,

比如安天網絡的一些產品,對網絡進行模擬,衛達的一些產品也實現了一個虛擬節點,觸碰了也會造成被捕獲。

 

(待續)

 

 

 

 

 

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章