基于零信任的網絡安全模型架構與應用研究

李歡歡 徐小云 王紅蕾

DOI：10.16661/j.cnki.1672-3791.2107-5042-9133

摘 ?要：隨著新技術的快速發展，傳統的網絡安全模型無法滿足企業信息安全防護要求，基于零信任的網絡安全模型應運而生，被眾多企業選擇。該文闡述并分析了傳統網絡安全模型的優缺點，并對零信任網絡安全模型的架構進行了詳細闡述，在此基礎上以零信任網絡安全模型在某網信息安全支撐技術平臺上的實踐為例，提出了基于零信任架構的安全應用解決方案。

關鍵詞：零信任?信任評估?動態訪問?網絡安全

中圖分類號：TP393.8? ? ?文獻標識碼：A???文章編號：1672-3791（2021）06（b）-0007-03

Research on the Architecture and Application of Network Security Model Based on Zero Trust

LI Huanhuan XU Xiaoyun WANG Honglei

（Aostar Information Technology Co.，?Ltd.， Chengdu，?Sichuan Province，610041 China）

Abstract：?With the rapid development of new technology， the traditional network security model can not meet the requirements of enterprise information security protection， the network security model based on zero trust arises at the historic moment， has been chosen by many enterprises. This paper first analyzes the advantages and disadvantages of the traditional network security model， and elaborates on the architecture of the zero trust network security model. On this basis， taking the practice of the zero trust network security model on a network information security support technology platform as an example， this paper proposes a security application solution based on the zero trust architecture.

Key Words：?Zero trust; Trust assessment; Dynamic access;?Cyber security

多數企業當前主要采用傳統的網絡安全模型，即對網絡進行分區并設置網絡隔離的模型，企業使用邊界防護設備將企業網絡設置為企業內網與企業外網，從而構建出企業自身的網絡安全防護體系。隨著云計算、大數據、物聯網、移動互聯網等新興技術的發展，企業的業務架構與網絡應用環境已發生較大變化。從而導致基于邊界防護的傳統網絡安全模型不足以滿足新環境下的網絡安全要求，在一些進化的持續性威脅攻擊面前無法有效防護網絡與系統安全，內網安全事故也因此頻繁發生。

針對傳統的網絡安全模型無法滿足當前企業在數字化轉型階段對網絡安全的需求，基于零信任的網絡安全模型應運而生。對任一訪問企業網絡的主體，包括發起訪問的人員、發起訪問的設備以及被訪問的應用，在每次訪問時都默認為不可信狀態，需要通過持續的身份驗證以及訪問授權來構建動態訪問的信任。這是零信任網絡安全模型的核心思想，其本質是以訪問主體的身份為中心來進行訪問控制^[1]。

該文首先闡述并分析了傳統網絡安全模型的優缺點，然后對零信任網絡安全模型的架構進行詳細闡述，在此基礎上以零信任網絡安全模型在某網信息安全支撐技術平臺上的實踐為例，提出了基于零信任架構的安全應用解決方案。

1 ?傳統網絡安全模型

當前傳統網絡安全模型一般采用在企業網絡邊界上設置隔離認證區，對訪問與數據交互進行認證與控制。針對一個存在企業內外網數據交互需求的傳統網絡，傳統網絡安全模型將建立基于網絡位置的可信控制模型，利用可信控制模型將企業網絡劃分為企業內網和企業外網。在此網絡架構下一般默認企業內網為可信網絡，企業外網絡為不可信網絡。內網可以根據業務系統的實際需要，劃分為多個子網絡，子網絡之間存在物理或邏輯上的隔離。為維護企業內網的安全、保護內網數據，企業內外網之間通過邊界隔離認證區進行連接，從而實現內外網的可控通信。然而傳統網絡安全模型存在信任過度的問題，由于網絡安全信任策略限制，來自外部的網絡攻擊如果傳過隔離認證區，攻擊者可隨意訪問內部網絡;來自內網的網絡攻擊，更是難以防護，網絡安全難以得到保障^[2-3]。傳統網絡架構，如圖1所示。

2 ?零信任安全網絡模型

零信任安全網絡模型對企業網絡中每位用戶與每臺設備發起的每次連接，以及申請的每次服務請求，在認證策略判決之前默認為不可信的。零信任安全網絡模型的認證不是一站式服務，而是精細為對每次服務請求都做可信判斷。零信任網絡邏輯如圖2所示。

與傳統的網絡安全模型不同，零信任網絡模型不單考慮來自外網的網絡攻擊，同時增加了對來自內網網絡攻擊的防護。對企業業務訪問中的所有行為實體，都使用零信任安全網絡模型進行評估，確保每個行為實體的可信任。因而，零信任安全網絡模型具有以下特性：

首先是多維度身份認證特性。在零信任安全網絡模型中，身份認證的對象不僅僅是與傳統的網絡安全模型一樣，對網絡業務訪問用戶以及訪問的設備進行認證。同時還會將用戶信息、訪問設備的主機信息、訪問業務系統的行為特征以及用戶權限等都作為身份認證的對象，對多維信息進行融合，構建出用戶畫像，從多個維度對訪問對象的可信度進行評估。

其次是動態訪問控制特性。零信任完全網絡模型的訪問控制策略不再是固定不變的，其訪問控制策略是建立在身份認證與授權重構的雙重訪問控制之上。他通過對網絡訪問主體的多維度信息進行實時判斷，確認當前訪問的風險。同時對控制策略以及應用訪問權限進行實時調控，來應對可能發生的網絡攻擊。

最后是可變信任管理特性。不同于傳統的基于用戶與權限預分配的訪問策略，零信任網絡采用更精細的信任評估訪問機制。對企業網絡中的訪問行為進行全生命周期的監管，同時不斷計算網絡訪問行為在零信任網絡模型中的信任評分，并依據實時評分數值大小，對實體賦予不同的訪問權限，實現對訪問實體的可變信任管理。

在零信任安全網絡模型中，用于實時計算訪問實體信任評分的信任評估算法，是零信任網絡的核心，其維護著整個零信任網絡的正常運作。信任評估算法的輸入包含用戶信息、設備狀態、用戶權限、行為屬性、訪問信息、訪問策略以及外部威脅等。其中用戶信息包含用戶名、用戶權限、用戶屬性以及應用角色等。設備信息包含設備MAC地址、設備IP等信息。設備狀態包含當前設備的操作系統版本以及安裝的應用軟件版本號、補丁包版本號等情況以及設備是否中毒等。訪問信息包含用戶待訪問資源的屬性、類別信息與安全等級等。行為屬性包含用戶訪問網絡的行為特性、用戶習慣、訪問時間、訪問來源IP地址、訪問來源物理位置信息、訪問頻度等。外部威脅包含網絡監測到的惡意攻擊以及已知漏洞等信息^[3-4]。

3 ?零信任安全網絡模型的應用研究

隨著互聯網的發展，某電網公司信息系統不斷推廣建設和延伸覆蓋，內、外網業務不斷增加，致使復雜多樣的用戶類型需使用不同的終端訪問企業內、外網系統開展工作。給公司的網絡資源、信息安全帶來了新的挑戰，在訪問策略、協議安全、數據傳輸、密鑰安全性方面提出更嚴苛的整改要求以至于滿足公司信息化建設安全標準。為保障網絡安全，加強數字化轉型進程中的網絡安全風險防控，公司開展防范新業務應用安全風險的技術攻關。隨后使用零信任安全網絡模型代替傳統的網絡安全模型，從而提升了新一代數字化業務平臺網絡安全防護能力。零信任安全網絡模型的應用，加強了公司對企業數據資產和公民個人信息的安全保護，強化了公司對企業內外網的安全防護能力，提高了企業網絡的安全態勢感知與應急處置能力^[5]。

零信任安排評估模型中的信任評估算法由用戶風險畫像、風險基線庫、可信身份風控模型、智能身份分析服務、可信身份服務以及風險數據采集服務等幾部分組成。

通過用戶的類型、權限數量、常用IP以及上次信任評分等情況，構建用戶風險畫像，評估用戶靜態信任值。智能身份分析服務通過對風險數據的分析，形成實時的用戶風險評估結果，支撐用戶動態訪問控制。通過智能身份分析服務數據，提供多因子認證訪問策略和執行，實現動態可信身份服務^[6]。應用的整體架構如圖3所示。

4 ?結語

在愈來愈多的云環境、遠程辦公等應用訪問需求下，基于零信任的網絡安全模型將得到愈來愈多的應用，并逐步替代傳統的網絡安全模型。零信任網絡安全模型不僅僅帶來了安全技術本身的突破，同時還是傳統網絡模式下的網絡防護機制、網絡訪問管理模式一種突破。然而機制的突破將面臨諸多企業已有資產的再利用等問題，零信任網絡將與傳統網絡在較長的一段時間內將協同工作，結合零信任網絡安全模型中的風險管理方法以及身份認證、全生命周期監測等技術，共同解決企業網絡訪問中面臨的威脅，保障企業網絡安全。

參考文獻

[1]劉歡，楊帥，劉皓.零信任安全架構及應用研究[J].通信技術，2020，53（7）：1745-1749.

[2]曾玲，劉星江.基于零信任的安全架構[J].通信技術，2020，53（7）：1750-1754.

[3]洪濤，龔文濤.基于模糊數學的信任度評估方法[J].自動化技術與應用，2020，39（2）：41-44.

[4]吉爾曼，巴斯.零信任網絡：在不可信網絡中構建安全系統[M].奇安信身份安全實驗室，譯.北京：人民郵電出版社，2019：1-123.

[5]葉馬力.零信任安全模型在央企安全管理中的應用研究[J].電子世界，2019（11）：164-165.

[6]左英男.零信任架構在關鍵信息基礎設施安全保護中的應用研究[J].保密科學技術，2019（11）：33-38.

作者簡介：李歡歡（1987—），男，碩士，工程師，研究方向為計算機視覺。

徐小云（1993—），女，碩士，助理工程師，研究方向為機器學習。

王紅蕾（1991—），女，碩士，助理工程師，研究方向為計算機視覺。