基于零信任架構的行業內數據中心安全防護

傳統行業內部數據安全防護的問題多用對行業內部網絡設置，實現與互聯網的物理隔離作為保護數據安全的解決方案。通常這種解決方案會提出對邊界安全、防火墻、入侵檢測設備配置等的安全需求，并用信息安全等級保護的標準來規范系統及數據安全。但這種傳統安全方式在逐漸變化的網絡環境下越來越顯示出其弊端和局限性。

另外，云計算的發展使得用戶根本無法得知自己的數據到底存儲在什么物理位置。顯然，用戶存儲數據的位置是動態的，對于終端用戶而言是透明的。這種發展態勢，使得將終端用戶、提供相應服務的服務器拘泥于特定地理位置成為不可能。即使構建再穩固的“安全堡壘”，由于無法保障服務器、終端客戶處于“堡壘里面”。這使得傳統網絡安全架構越來越難以保障網絡的安全性。

圖1 傳統安全模型下的網絡架構

谷歌BeyondCorp計劃中提出了“零信任”模型的安全架構。BeyondCorp認為，應該假定整個網絡不可信，即：“零信任”。基于“零信任”模型的網絡架構是一種有效維護行業內部數據中心安全的新型網絡架構。本文將詳細討論。

傳統安全架構下的行業內數據安全防護

為維護行業內數據安全，一般會在內網、外網接口處建立安全邊界，安裝防火墻、入侵檢測、防病毒等安全設備，需要的話要在邊界部署網閘等設備。當然，根據具體業務需求，在行業內部，劃分若干物理或邏輯隔離區域，如圖1所示。

如圖1，根據任務不同，將行業內網隔離為不同網段，完成相應任務。不同網段之間通信，遵循一定的安全策略，需要通過邊界傳輸，并且根據需要設置通信方式是單工方式還是雙工方式等。

基于這種方式構建的安全網絡架構，假設已經完成確認內網使用用戶身份，并假設所有內網使用用戶不會發生任何異常使用行為。這種假設存在的先天缺陷，使得攻擊者一旦冒充身份，進入內網，就存在極大威脅能夠將自身權限不斷升級直至掌控內網的完全控制權限。該安全架構存在本質上的缺陷，數據安全保障堪憂。

零信任網絡架構無疑是一種很好的解決思路，越來越多為國內外安全專家、企事業單位所接受。

零信任網絡安全架構

1.零信任網絡安全架構簡介

如前所述，谷歌公司提出的“零信任”網絡安全架構是指整合現有成熟技術，不斷兼容新技術，根據行業用戶業務需求及安全需求、用戶所處地理位置等等，對用戶進行分類分級管理，并根據相關標準規范，對每個組的用戶策略進行設置。BondCorp基礎設施組件如圖2所示。

圖2 BondCorp基礎設施組件

進行數據交互及通信時，根據策略進行判斷用戶的合法性，并且根據用戶行為進行動態審計，綜合任務需求及安全級別，每次以“權限最小化”原則，在確認用戶身份后對其分配權限，完成數據交互及通信。當然，在任務完成后將及時收回賦予其權限。基于該網絡架構進行認證及通信的過程如下所述。

2.基于零信任網絡安全架構內網數據安全防護過程監管

基于零信任網絡安全架構內網數據安全防護過程監管實施流程如下所述。

首先，匯總行業內部網絡架構，對行業內部網絡業務系統進行合理分類分級，根據實際需求，確定劃分粒度。當然，根據任務階段不同，基于人工智能技術，實現對系統劃分的動態化和常態化。

其次，引入“第三方”或“權威”認證中心，設置相應策略，使得所有未授權用戶無法訪問內網。并且對每個用戶根據其業務范疇動態賦予其需要的權限，并規范其安全需求。引入常態化審計機制，對于用戶行為進行過程控制，能夠及時發現異常行為并聯動進行處置。

再次，內網中構建能夠完成常態式動態性監管審計中心。審計中心應獨立于認證中心，通過審計中心實現實時監控、管理內網設備（如路由器、交換機等網絡組網設備；網絡生產服務器、網絡存儲、終端用戶等網絡實體）。實現對上述網絡節點狀態的動態感知，實時監控，并能夠及時發現異常情況，以實現“主動防御”，防患于未然，而并非亡羊補牢。

圖3 基于零信任的網絡訪問流程

另外，在內網建立統一的管理中心，在審計中心發現網絡設備故障點后，能夠及時定位故障設備。

重要的是，實現行業內部各實體之間的聯動工作，真正意義上實現用戶訪問數據時的動態授權，實時管控，以及對機器設備及業務系統的及時修復。

最后，引入質量監控過程性控制流程。在PDCA每個重要節點對網絡進行管控，擬將問題的暴露變得更加明顯，問題的發現變得更為及時，問題處置變得更加適合，利用質量監控的方式，實現行業內部網絡安全性的持續提升。整個訪問流程如圖3所示。

結語

保障行業內網數據安全研究至關重要，但是傳統網絡安全架構越來越難以維護數據的安全性。

谷歌的零信任網絡架構提出了一種全新的網絡架構，為當今網絡安全維護提出了合理解決方案。本文的研究，將對未來行業內數據中心的安全防護起到一定借鑒作用。