零信任安全（Zero Trust）是以身份為中心進行訪問控制的安全概念，其核心觀點是不自動信任何訪問者或設備，任何訪問都應該進行認證、授權(quán)或者訪問控制，以避免內(nèi)網(wǎng)滲透等安全風險。零信任代表未來安全架構(gòu)的發(fā)展方向，在本文中，筆者主要從主機領域分析零信任框架的落地與實踐。
思考：如果沒有零信任，我們將面臨怎樣的安全威脅？
場景1：東西向移動
以近期被肆虐的勒索病毒為例，我們在回溯了多起勒索病毒事件的入侵軌跡后發(fā)現(xiàn)，黑客均是先攻擊業(yè)務系統(tǒng)中安全防御能力較弱的主機，再利用業(yè)務系統(tǒng)中主機間的“信任”關(guān)系，東西向移動至核心系統(tǒng)，滲透成功后鎖定核心業(yè)務、竊取數(shù)據(jù)或者勒索用戶，也就說在“默認內(nèi)網(wǎng)安全”的架構(gòu)下，無論核心業(yè)務系統(tǒng)的安全防御能力多強，只要業(yè)務系統(tǒng)中還存在安全薄弱點，都一樣可能遭受黑客入侵。
解決主機間東西向移動的零信任架構(gòu)是微隔離技術(shù)，微隔離從2016年開始連續(xù)三年入選Gartner 10大安全技術(shù)，其本質(zhì)是基于主機agent的分布式防火墻技術(shù)，目標是解決進入云計算時代后安全邊界模糊導致的防火墻策略丟失，以應對云計算時代的東西向流量防護。
云鎖將微隔離技術(shù)衍生為二個模塊：流可視化、微隔離（東西向流量防護、南北向流量防護），以實現(xiàn)業(yè)務系統(tǒng)主機間的零信任安全框架。
流可視化
流可視化的功能分為兩部分：1，業(yè)務資產(chǎn)可視化；2，業(yè)務資產(chǎn)間訪問關(guān)系可視化。
下圖中圖標代表安裝agent的主機資產(chǎn)，主機間的線代表訪問關(guān)系，線的顏色代表訪問綠色-合規(guī)流量；紅色-違規(guī)流量（被攔截）；灰色-未設置規(guī)則流量；黃色-監(jiān)控模式流量。
微隔離
微隔離采用白名單機制，可以細粒度控制主機、主機應用間的訪問關(guān)系。分為兩個部分：
1.東西向流量防護
可以基于角色、標簽定義主機、主機應用間的細粒度訪問控制策略。比如在一個安全域內(nèi)允許A類主機（如web服務器）去訪問B類主機（如數(shù)據(jù)庫），其他類型的主機去訪問B類主機將被禁止；或者A類主機的web應用可以去訪問B類主機的數(shù)據(jù)庫應用，A類主機的其他應用訪問B類主機的數(shù)據(jù)庫應用將被禁止。
2. 南北向流量防護
主要解決主機非法外連問題，可以定義主機允許訪問的特定IP、IP段、域名，不在規(guī)則外的訪問將被禁止。
在流可視化和微隔離的訪問控制下，實現(xiàn)了主機間訪問關(guān)系的零信任，內(nèi)網(wǎng)主機再也無法成為黑客東西向橫向移動的“跳板”。
場景2：應用漏洞利用
微隔離解決了主機與主機間的零信任問題，而主機內(nèi)部應用間的零信任模型如何建立？應用漏洞利用是黑客常用的攻擊手段，在主機內(nèi)部應用之間的默認“信任”的前提下，利用存在漏洞的應用發(fā)起一系列攻擊，最終獲得服務器權(quán)限。
應對應用漏洞攻擊的零信任架構(gòu)，1，在內(nèi)核層剝離應用過高權(quán)限；2，對在易受攻擊應用中注入rasp應用運行時自我防護技術(shù)。
應用權(quán)限控制
ASVE虛擬化安全域是云鎖在內(nèi)核層的應用權(quán)限控制技術(shù)，可以將web服務、數(shù)據(jù)庫服務等高權(quán)限應用隔離在受限環(huán)境，實現(xiàn)主機內(nèi)部應用“零信任”，可以有效抵御提權(quán)等利用應用漏洞的黑客攻擊，如限制WEB服務器進程權(quán)限，禁止執(zhí)行cmd.exe等；限制數(shù)據(jù)庫進程權(quán)限，禁止創(chuàng)建可執(zhí)行文件等。
Rasp應用運行時自我防護
Rasp(Runtime Application Self Protection)技術(shù)不再單純關(guān)注應用漏洞本身，而是將監(jiān)控與防護移至命令執(zhí)行、腳本解析等攻擊發(fā)起點，實現(xiàn)對應用系統(tǒng)的流量、上下文、行為的持續(xù)監(jiān)控。
Rasp技術(shù)的核心思想是默認應用是不可被信任的，應用自身需要具備對抗黑客攻擊的能力，解決了應用補丁的滯后性問題，縮短attack free攻擊時間差，降低了0day漏洞的安全威脅。
結(jié)束語：
主機是信息安全的最后一道防線，主機安全也必將成為零信任安全框架落地的重要構(gòu)成。
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機遇！
