零信任架构是美创数据安全实践的核心遵循思想。美创从数据不应该自动信任任何人的基本观点开始，从2010年开始实践，在2015年左右正式形成了零信任架构1.0版本，在美创科技的每个数据安全产品中无缝落地。在经过5年的成熟实践之后，近期美创科技零信任架构即将升级为2.0版本，以更好的满足数据安全和网络安全的诉求。
零信任架构1.0包含四大基本原则和六大实践原则，具体内容如上图所示。在本篇文章中主要讲四大基本原则之一的“不阻断，无安全”。
“不阻断，无安全”是和传统的“检测和响应”相对而言的， “不阻断，无安全”的核心着眼点在访问控制上，“检测和响应”的着眼点在审计和分析上，两者存在基本观点的差异。传统网络安全的一个隐含先天假设就是保护对象是低价值的，是可以基于概率失败的。在这个观点指导之下，“检测和响应”自然就成为其核心技术手段。零信任架构的对象先天是高价值对象的保护，基于概率的失败从某种程度上是不可接受的，这个时候访问控制自然就成为其核心技术手段，也就是“不阻断，无安全”。本文我们以数据作为高价值对象为例子来看“不阻断，无安全”。
接下来我们从两个层面来看为什么高价值目标的保护需要“不阻断，无安全”的基本理念。
“不阻断，无安全”的前置背景
简单而言，数据安全问题有三种不同类型：泄露、完整性和错误，破坏和销毁。
数据泄露：通过各种方法和渠道数据到达了不该到达的人手中。依据数据价值的不同，有些数据单条信息就构成重大数据泄露，比如领导人信息，特工信息。
完整性和错误：对于数据的部分内容或者全部内容进行非预期更新，使其内容错误，导致对象认知错误或者业务导向错误。
破坏和销毁：对于数据进行删除，清除和破坏，比如删除表格记录，表格销毁，数据和文件加密破坏等等。
01 一旦失去，永久失去
高价值的数据安全问题的一个共同特点就是一旦成为安全事件，损失就无法控制和挽回。数据泄露完全不具备可追溯性和可控制性，一旦泄露就开始在体外进行无限循环和复制，进程会完全失去控制，甚至无法进行止损。完整性和错误，破坏和销毁等行为一旦成功，对于任何企业和组织都意味着灾难，甚至会决定组织生命是否可以延续。前不久发生的“微盟事件”以及全球各地经常在上演的删库跑路都是“检测和响应”机制不可承载的，只有访问控制机制才有可能对抗。
02 非对称对抗让响应无从响应
聪明的入侵者总是在被攻击者放松警惕的时候发动攻击。 即使被攻击者在受到攻击后及时响应，也无法及时止损。只要入侵者成功入侵后，即使顶级专家也不能保证做出迅速、正确的响应。正是基于这个考虑，我们现在需要安全自动编排和响应（SOAR）的支持，SOAR成为了当前热门技术和手段。
如何实现“不阻断，无安全”
基于以上论述， “不阻断，无安全”显然要建立在访问控制技术基础之上，以基本的串联技术手段实现微隔离和守门员功能。访问控制可以在以下三个层面进行层层推进：
01 黑白响应
非黑即白的二元论是访问控制的基本内容，各种不同形式的授权则是访问控制的基础。针对高目标价值的任何未授权访问都是黑的，也就是说是应该被阻断的内容。对于授权的访问则给予放行，也就是白的。黑白响应存在一些问题，当你授权的对象具有较大不确定性时候可能会导致控制失败，任何简单身份凭证都有可能被假冒和盗用的。比如简单的对于ip地址做授权，对应用程序授权，对一个简单的账户做授权。
02 灰度响应
灰度响应建立在黑白响应的基础之上，对于不确定性比较高的授权对象做适当灰度化。当一个标记为白的响应在持续经过灰度加载到一定程度，则意味着由白变黑。MFA可以作为灰度响应的出发点，时空上下文和操作上下文则成为灰度响应的绘图因子。在交互式响应中，二次验证往往可以成为灰度响应的灰度判断方法。
03 观察链
对于一个外部入侵而言，在确定真正杀伤性的攻击和利用动作之前，可以进行持续观察。通过持续观察来确定灰度响应，让灰度不断变深，最终实现由白变黑，做出阻断响应。
响应阻断的各种形式
响应阻断可以依据不同的场景做不同的实现，主要包含以下响应方式：
01 拒绝和错误
以权限不足或者其他错误提示等方式明确给予提醒告知。
02 不存在
以告知对方访问目标不存在的方式明确给予提醒告知。
03 中断
以中断会话和连接的方式进行阻断处理。
04 脱敏加密
对于访问内容以脱敏或者加密的方式提供，使之实际不可访问。
05 置空
置空：以不提供内容的方式进行阻断，使入侵者无法达到目标。
06 限制返回记录
通过限制返回记录数量的方式来降低可能遭受的风险损失。
07 隔离
禁止该身份对于资产的后续访问或者禁止该身份对所有资产的访问。
文章来源：美创科技 柳遵梁
来源：freebuf.com 2020-05-28 17:43:28 by: datasecurity
请登录后发表评论
注册