今天分享關於零信任網絡架構設計文章,本人不太願意寫細節文章,主要是我們一起把思路理順,後期落地有方向即可,如有錯誤或不夠細節地方,還請見諒,有問題咱們一起溝通交流!
一、什麼是零信任
零信任簡單來講是對於網絡環境中,主機設備、網絡通信、應用系統等都不可信,只有授權可信後方可進行相關訪問。零信任假定是:
- 網絡都不可信,時刻有危險;
- 網絡中存在內部與外部威脅;
- 之前當以的網絡識別(如Ip)可信程度不高;
- 網絡中各個環境都需要授權認證後方可進行訪問。
零信任假設
二、google BeyondVCorp架構設計
隨着google業務不斷髮展,基於邊界的安全防護已經不能滿足google安全需求,所以google下定決心,重構內部網絡安全架構,這就是BeyondVCorp的誕生。
google BeyondVCorp架構設計
- 設備清單庫:受控設備,以該庫爲基礎。系統會持續監測該設備,如果出現異常,則記錄狀態爲不可信。
- 清單庫中狀態分爲:未註冊(初始狀態)、已註冊(系統有等級)、不可信(不符合要求)、可信(符合要求)。
- 設備身份:每個受控設備都有一個唯一身份,同時查詢清單庫的相關信息,只有在設備清單庫登記且狀態爲可信的纔可以獲得設備徵收。爲避免設備證書竊取,可放在TPM模塊中(具體可信見我淺談可信計算,如有需要,我會寫篇詳細介紹)。
- sso:用戶集中式認證,實現內部單點登錄。需要進行雙因子認證。用戶認證成功後,賦予該用戶token信息,用戶資源訪問授權使用。
- 代理網關:主要是實現負載均衡,對用戶和設備進行認證、對用戶和設備進行授權、網絡准入控制、網絡審計等。
google零信任整體實現效果簡單舉例來說:
- 只允許公司派發電腦,且補丁更新最新的電腦進行訪問。
- 訪客區電腦,只有補丁更新最新才能進行相應訪問,否則進行修復區進行補丁升級。修復區限制網絡訪問。
三、零信任架構實戰設計
通過對google的零信任簡單描述後,下面我們設計相對可落地的零信任網絡架構(我們以目標爲導向,分步實施)。在設計之前,我們需要從設備、網絡、應用等幾個層面需要了解的關注點。
零信任架構設計關注點
- 設備層面:可信環境(具體可信見我淺談可信計算,如有需要,我會寫篇詳細介紹)、漏洞信息、補丁信息、防病毒信息等;
- 網絡層面:安全域的規劃、身份認證規劃、授權及訪問控制規劃、流量審計關注點;
- 應用層面:SSO設計、業務系統的身份認證規劃、存儲中臺設計;
零信任架構設計
架構參考
- 代理網關。可以根據Janusec進行改造。功能包括:反向代理、接入身份認證、網絡接入授權、網絡訪問控制、網絡層審計、資產保護。
- radius。可以根據freeRadius進行改造(近期我會一篇關於freeRadius的部署及測試文章最爲延展)。
- SSO。可以根據JA-SIG CAS進行改造。
以上就是我的整體零信任思路架構介紹。
ps:越寫文章欠的文章越多,感覺延展後才能形成體系。與你共勉!