基于“零信任”的涉密信息系統信息安全體系構建

辜璐 陳婉君 趙屹

摘要：涉密信息系統的信息安全防護體系，經過多年的建設已經形成固有的防護體系。隨著信息安全技術的發展，云計算、大數據、物聯網、人工智能等新興技術為企業的信息化發展建設帶來了新的生產力，但同時也給信息安全帶來了新挑戰。一方面針對國家關鍵信息基礎設施，已經成為了安全研究人員漏洞挖掘、攻防研究新的對象;另一方面涉密信息系統的使用者及運維人員的不確定性，構成了新的信息安全威脅。

關鍵詞：“零信任”;信息安全;涉密信息系統

1?引言

隨著信息技術的快速發展，云計算、大數據、物聯網、人工智能等新興技術為政府部門及各類企業的信息化發展及現代化建設帶來了新的生產力，但同時也給信息安全帶來了新挑戰。一方面，外部攻擊和內部攻擊愈演愈烈，以APT攻擊為代表的高級持續攻擊仍然能找到各種漏洞突破企業的邊界，另一方面，內部業務的非授權訪問、雇員犯錯、有意的數據竊取等內部威脅層出不窮;只有充分的認識到這個新時代的安全挑戰，才能更好的進行應對。

2?現狀及問題

2.1?企業邊界逐步瓦解

傳統的安全架構基于邊界思維，假定各單位存在一個“內網”，假定存在一個邊界對內外網進行隔離，假定內網是安全的、外網是不安全的。隨著云計算和大數據等技術的廣泛采用，安全邊界已經模糊甚至瓦解。

2.2?外部攻擊防不勝防

近年來，集團內多次組織紅藍對抗，模擬外部攻擊行為，對單位內網進行安全攻擊。隨著大數據技術的發展，數據也趨于集中，數據的集中意味著價值的集中，自然也成為攻擊者的首要攻擊目標，我們必須假設系統一定存在尚未修補的漏洞，必須假設網絡已經被攻破。

2.3?內部威脅持續加劇

傳統的企業安全體系是建立在內外部網絡邊界的基礎之上，是邊界思維，假定了內網中的用戶、設備和流量通常都是可信的。在這種邊界思維的指導下在企業內部網絡中缺乏足夠的安全訪問控制，一旦被攻擊者滲入，數據將會完全暴露，極易泄漏。往往因為非授權訪問、雇員犯錯、外包員工犯錯等等原因，導致?“合法用戶”可以非法訪問特定的業務和數據資源，造成組織內部數據泄漏。

2.4?監管力度不斷加強

上級單位為加強各單位信息安全能力建設，提升信息安全防護能力，為滿足國家對于各單位信息數據安全建設要求，各單位需要以業務需求為導向，規范建設企業數據信息安全保障體系，形成科學實用的規范化安全管理能力、體系化安全技術防護能力、綜合化安全監管運維能力，以滿足相關部門對于企業信息安全的監管要求。

2.5?運維管理暗藏隱患

為了確保企業的核心資產安全運行，保障網絡和數據不受來自外部和內部用戶的入侵和破壞，運維人員通過堡壘機登錄核心資產，通過技術手段監控和記錄運維人員對網絡內的服務器、網絡設備、安全設備、數據庫等設備的操作行為，以便集中報警、及時處理及審計定責。

3?“零信任”信息安全體系

“零信任”網絡模型是約翰.金德維格在Forrester時于2010年提出的，核心理念是最基本的身份安全認證應該基于受控的設備和合法用戶，而不是基于網絡訪問控制，即傳統的網絡安全手段。其中心思想是來自于企業網絡內部外部的行為、數據流量、移動介質均不應被信任，在驗證身份并授權之前任何試圖接入企業網絡的行為、數據流量、移動介質都是不可信的。

3.1?以身份為中心

為網絡中的人、設備、應用都賦予邏輯身份，并基于身份進行細粒度的權限設置和判定。包括：①創建賬戶體系，或從現有身份管理系統包括但不限于AD域、OpenLDAP、CAS等同步賬戶和組織架構信息;②確保用戶在正確的設備上使用正確的賬號登錄，同時可以對賬戶的登錄時間、登錄地點及IP地址進行嚴格控制，以防止非法人員非法接入業務系統;③能夠實時的清除設備數據，即使該設備正在登錄，也可以令用戶立即退出。

3.2?業務安全訪問

所有的訪問請求（應用、接口等）都應該被認證、授權和加密。在TCP/IP數據通信的各層都進行授權控制，防止非法數據進入，對IP對外開放端口對外開放進行隱身。不自動信任網絡的安全性（內網?≠?可信），對任何接入系統的人和設備都進行驗證，每次訪問都要進行身份驗證和行為審計，細粒度訪問控制策略Need-To-Know（最小權限原則）。

3.3?持續評估

對終端、用戶等訪問主體進行持續風險感知和信任評估，根據信任評估對訪問權限進行動態調整。終端是業務的入口，綜合終端的異常行為、越權訪問、系統弱配置等因素，實時更新終端的信任狀態。對終端安裝狀態進行綜合評估，至少包括設備、身份、應用、行為幾個維度來持續信任評估。

3.4?動態訪問控制

訪問權限不是靜態的，而是根據主體屬性、客體屬性、環境屬性和持續的信任評估結果進行動態計算和判定。遵循最小授權原則，能夠實現細粒度的訪問控制，能夠針對每個用戶或用戶組制定專屬訪問控制策略，能夠對時間策略、IP限制、終端限制等訪問策略進行控制。

3.5?用戶行為畫像

綜合關鍵要素，綁定實體用戶，提取人物特征，以可視化形式展現用戶網絡活動軌跡，刻畫人物行為畫像。基于人物行為畫像和關聯分析的數據，構建生成行為基線，通過群組基線分析，構建全是空的上下文環境，避免單一行為的局限性，并采用分布實時數據計算，實時更新安全基線，實現完整的動態行為基線。使用各種機器學習算法，進行異常檢測，通過綜合風險評分來縮小和減少誤報范圍。

4?結束語

本文研究的基于“零信任”的涉密信息系統信息安全體系建設以身份為基石的細粒度訪問控制機制，強化了權限的管控顆粒度，基于持續的風險度量和信任評估，動態調整訪問權限，實現動態訪問授權。采用大數據分析和人工智能技術對用戶、設備、環境屬性等訪問上下文進行感知和建模，實現風險和信任的持續度量。提升管理運維效率，規避管理人為犯錯，切實增強大數據時代數據安全防護能力，有效應對云計算等新興技術對網絡和數據安全防護帶來的挑戰。

參考文獻：

[1]向人鵬.基于“零信任”的工業信息安全防護研究.電力行業信息化年會論文集，2019：171-174.

[2]張大偉，沈昌祥，劉吉強，等.基于主動防御的網絡安全基礎設施可信技術保障體系[J].中國工程科學，2016（6）：58-61.

作者簡介：

第一作者：辜璐（1981-08），女，漢，江西省南昌人，本科學歷，高級工程師，研究方向為信息安全保密管理。

通訊作者：陳婉君?（1990-04），女，漢，北京人，本科學歷，中級工程師，研究方向為信息安全。

第三作者：趙屹?（1975-10），男，漢，重慶人，本科學歷，高級技師，研究方向為網絡安全。