2023零信任大数据网络安全新架构

零信任—大数据时代的网络安全新架构20231、新IT技术架构的安全挑战2、零信任架构的发展历史3、什么是零信任架构？4、零信任架构的应用实践1、新IT技术架构的安全挑战2、零信任架构的发展历史3、什么是零信任架构？4、零信任架构的应用实践以大数据为核心的新一代信息化建设浪潮以大数据为核心的新一代信息化建设浪潮浙江杭州城市数据大脑贵阳警方“人像大数据”系统国家电网全业务统一数据中心异地就医“全国一卡通”政务数据整合汇聚与共享应用综合交通出行大数据开放云平台挑战挑战1：新一代IT技术架构加剧了边界安全架构的失效云物理边界用户多样化设备多样化物理边界

边界瓦解移动办公边界瓦解

物理边界

合作伙伴平台多样化业务多样化数据分散在不同的业务应用中并持续流动数据的流动加剧了大数据的安全风险

IoT/OT挑战挑战2：传统的边界安全架构忽视了内部威胁数据泄露“黑天鹅”事件背后都隐藏着“灰犀牛”式的危机别有用心的内部人员数据中心数据泄露“黑天鹅”事件背后都隐藏着“灰犀牛”式的危机别有用心的内部人员数据中心DMZ办互联网广域网渗透进来的攻击者公内网边界安全架构：为内网中的人和设备预设了过多的信任安全意识？ 安全投入？ 安全措施？零信任架构ZeroTrustArchitecture1、新IT技术架构的安全挑战2、零信任架构的发展历史3、什么是零信任架构？4、零信任架构的应用实践发展简史：发展简史：2005，JerichoForum 发展简史：发展简史：2009，ForresterZero核心概念：1、资源的安全访问和位置无关。2、遵循最小权限原则并强制实施访问控制。3、检测和记录所有流量发展简史：发展简史：2017，GoogleBeyondCorpGoogleBeyondCorp是在构建零信任网络6年经验的基础上打造的新一代企业安全架构。通过将访问权限控制措施从网络边界转移到具体的设备、用户和应用让员工可以更安全地在任何地点工作，而不必借助于传统的VPN。发展简史：2018，MicrosoftZeroTrustModel20192019年：3基础设施厂商IAM厂商传统安全厂商创新安全公司GoogleCentrifySymantecLuminateDoubleOctopusMSAzureOktaPANAporetoGuardicoreAWSDUOZscalerCloudHarmonicsJumpCloudAkamaiPingIdentityTripwireCloudflareNetronome……ForgeRockAlgoSecCymbelPlixerPulseSecureMobielIronCyxteraScaleFT…………SecureCircleidaptivArecaBayBasil…………20192019年：7月，美国国防信息系统局（DISA）战略规划2019-2022DISA技术发展路线图20192019年：7月，《美国国防部数字现代化战略》零信任安全的概念：泄露。零信任安全的优势：这种以数据为中心色或进程的概念，并转变为基于多属性的信任级别在最小特权访问概念下得以实现。效的方式设计安全性，同时实现不受阻碍的操作。除了总体上保护架构的优势外，还有其他跨功能的好处。1、新IT技术架构的安全挑战2、零信任架构的发展历史3、什么是零信任架构？4、零信任架构的应用实践什么是零信任架构？在不可信的网络环境下重建信任什么是零信任架构？在不可信的网络环境下重建信任①应该假设网络始终存在外部威胁和内部威胁，仅仅通过网络位置来评估信任是不够的。②默认情况下不应该信任网络内部或外部的任何人/设备/系统，而是基于认证和授权重构业务访问控制的信任基础。③每个设备、用户的业务访问都应该被认证、授权和加密。④访问控制策略和信任应该是动态的，基于设备、用户和环境的多源环境数据计算出来。技术本质是构建以身份为基石的业务动态可信访问控制机制！什么是零信任架构？什么是零信任架构？Gartnervs.ForresterGARTNER:CARTAFORRESTER:ZTXGARTNER:CARTAFORRESTER:ZTX范围的扩展：用户、设备、工作负载能力的扩展：微隔离—>可视、分析、自动化、编排什么是零信任架构？什么是零信任架构？美国NIST《零信任架构》草案的集合，旨在消除在信息系统和服务中实施精准访问策略的不确定性。2019年9月什么是零信任架构？什么是零信任架构？NextGenerationAccessControl什么是零信任架构？什么是零信任架构？Whynow?攻防攻防vs. 控制架构驱动演进★恶意代码 ★访问控制Mainframevs.InternetMainframevs.Internetvs.Cloudrwxrwxrwx 防火墙 零信任最小权限JIT(JustInTime)&JEA(JustEnoughAccess)1、新IT技术架构的安全挑战2、零信任架构的发展历史3、什么是零信任架构？4、零信任架构的应用实践奇安信对零信任的解读奇安信对零信任的解读安全能力内嵌入业务系统，构建自适应内生安全机制。① 以身份为基石② 业务安全访问③ 持续信任评估④ 动态访问控制以身份为基石以身份为基石业务访问主体完整不可分割主体环境应用程序访问主体设备人业务安全访问业务安全访问外部平台数据交换

TLS用户终端业务访问

TLS物联设备边缘接入

TLS业务资产可信代理全场景业务隐藏 全流量加密代理 业务资产可信代理持续信任评估持续信任评估数字信任身份的数字信任 数字信任身份的数字信任客体安全等级主体信任程度主体信任终端风险网络风险威胁情报……基于环境的风险判定认证强度访问时间地理位置……基于身份的信任评估设备身份属性终端安全状态系统行为分析用户身份属性凭证安全属性用户行为分析基于行为的异常发现动态访问控制动态访问控制环境信任等级主体

基于属性的访问控制基线

环境安全等级客体基于风险感知的动态权限提升信任|缓解风险|拒绝访问人设备应用环境基于信任等级的分级访问当主体信任等级大于客体安全等级时，访问权限才真正授予威胁价值人设备应用环境基于信任等级的分级访问当主体信任等级大于客体安全等级时，访问权限才真正授予威胁价值环境信任评估因子

风险感知

安全等级构筑以身份为基石的动态虚拟边界构筑以身份为基石的动态虚拟边界少量的静态的物理的网络安全边界少量的静态的物理的网络安全边界云移动办公物理边界合作伙伴IoT/OT大量的动态的虚拟的身份安全边界安全价值：收缩攻击面、缓解高风险安全价值：收缩攻击面、缓解高风险非法用户身份

端口扫描隐藏

流量窃听

高风险终端

系统漏洞应安全属性应

越权访问权限基线

权限遗留主体 加密

访问 用 分级行为 访问合法主体

合理请求 合规信任 动态权限 &非法终端

非指定终端最小权限

访问控制旁路

爬取数据强制授权

中间人攻击

安全预期偏差

异常行为身份关联

非授权访问

接口风险感知环境风险全面身份化 风险度量化 授权动态化 管理自动化奇安信零信任身份安全架构奇安信零信任身份安全架构

用户区认证TLSTLS

可信应用代理可信API代理

零信任动态可信访问控制区身份权限动态授权 可信访问控制台信任评估

数据区物联设备边缘接入

TLS

访问 智能身分析代理感知终端感知 网络感知感知实践：某部委新一代实践：某部委新一代IT架构下的大数据智能化业务业务建设：云大物移业务开展、数据共享、数据安全数据集中：多部门、多平台、多业务数据融合，风险集中网络打通：打破业务之间、部门之间网络边界，互通互访

DC1

DC2DC5

DC3DC6

DC4业务1 业务2 …

业务N

如何确保业务的安全、可信、合规？网络隔离/数据隔离终端用户终端用户终端用户部业务 业务 终端用户终端用户终端用户部终端用户终端用户终端用户省业物业物业物业务理务理务理务访隔访隔访隔访问离问离终端用户终端用户终端用户省终端用户终端用户终端用户市终端 终端 终端用户终端用户终端用户市用户 用户 用户 用户 互通互访实践：梳理核心资产的访问路径，构建虚拟身份边界实践：梳理核心资产的访问路径，构建虚拟身份边界可信API代理服务器环境感知内部人员可信API代理服务器环境感知

大数据中心微服务应用1 3微服务应用可信应用代理终端可信环境感知暴露面 大数据平台 可信应用代理终端可信环境感知关系型数据库可信API代理大数据–结构化 4可信API代理

外部应用外部应用（API调用）外部数据外部人员可信应用代理终端可信环境感知

2

非结构化数据、文件 云计算平台

暴露面

服务平台静态的物理网络边界

可信访问控制台

动态的虚拟身份基础设施（TrustID身份基础设施（TrustID或利旧）实践：基于零信任架构的动态可信安全访问平台实践：基于零信任架构的动态可信安全访问平台基于零信任架构设计，大数据子网不再暴露物理网络边界，建设跨网安全访问平台隐藏业务应用和数据。用户终端终端可信感知Agent用户子网 安全访问控制区 用户终端终端可信感知Agent外部应用服务器外部应用服务器Agent

可信环境感知系统调用可信环境感知系统

日志上报风险事件日志上报

应用访问动态授权智能身份分