零信任攻防實踐丨基于零信任理念，助力企業(yè)攻防演練
近年來，APT攻擊、DDoS攻擊等網絡安全問題頻發(fā)。為了筑牢網絡安全防線，我國自2016年開始進行實戰(zhàn)攻防演練，以此來強化網絡安全隱患排查整改，推動以攻促防，查漏補缺。而隨著網絡環(huán)境的改變，攻擊手段的提高，基于固定邊界的網絡安全防御理念已經難以抵擋靈活多變的網絡攻擊。其“圍欄式”的邊界防御，通過防火墻隔離企業(yè)的內網外網，雖然目前很多企業(yè)已經意識到企業(yè)的內網也未必安全，但是依然存在“重外敵，輕內鬼”等問題，內部防御能力不足，缺乏全局視角下發(fā)現(xiàn)實際環(huán)境中安全風險的能力。而零信任理念的出現(xiàn)，也為安全提供了新的建設思路。那么，零信任在實戰(zhàn)攻防演練中，又可以提供哪些能力，起到什么作用呢？芯盾時代研發(fā)副總裁陳曦將為你盤點攻防演練中的零信任安全問題，解析企業(yè)零信任安全建設之道~
Q1：零信任在攻防演練中的防御思路是怎么樣的？
雖然我國的網絡安全建設經過多年的實踐已經逐漸全面，但仍不可避免的會被黑客攻破，其中一個很大的原因就是傳統(tǒng)“壘高墻”式“防外不防內”的安全防護理念已經不適應當前網絡環(huán)境和安全建設的需要了。為了改變攻防不對等的情況，零信任網絡安全防護理念應運而生。其解決了區(qū)域和信任的綁定關系，用戶的訪問權限不再受到網絡區(qū)域的限制，訪問前需要經過身份認證和授權，而身份認證不再僅僅針對用戶，還將對用戶所持客戶端進行安全校驗，并且在訪問過程中進行用戶畫像和持續(xù)性風險評估，對訪問進行動態(tài)、細粒度的授權，同時采用最小授權原則，可以有效防御黑客的入侵以及0day攻擊。落實在具體產品上：零信任實現(xiàn)了資源和SDP網關自身的雙重隱藏，基于SPA單包授權的原則，先認證后連接，緩解非法攻擊，避免成為惡意流量的黑洞。而實時的風險感知則對每一次訪問進行持續(xù)的信任評估，動態(tài)訪問控制引擎根據評估結果實時生成訪問控制策略，自動執(zhí)行細粒度的訪問控制策略，避免風險訪問造成的數據泄露。還可以通過多因素認證，大幅提升系統(tǒng)認證安全性，可有效避免因弱口令、密碼管理不當帶來的系統(tǒng)被盜而導致的失分。Q2：面對互聯(lián)網資產暴露的問題，零信任如何幫助企業(yè)收斂資產暴露面？
當前大多數企業(yè)都存在對自身企業(yè)資產畫像不清晰、威脅響應不及時和管理制度不完善等問題，沒有真正的將資產和威脅管理起來。在攻防演練中，那些部分被遺漏、未被安全管理、未及時下線的系統(tǒng)，由于存在安全漏洞并缺乏相應的安全防護策略，則很容易被攻擊者找到和利用，比如現(xiàn)在企業(yè)常用的 VPN，由于它的端口本身是對外開放的，所以通常會成為被攻擊的目標。而對于這類資產暴露的問題，芯盾時代零信任業(yè)務安全平臺SDP可以通過“網絡隱身”技術，減少資產的暴露面。而“網絡隱身”則是從兩方面來實現(xiàn)的：網關隱身：安全應用網關默認關閉所有端口，外部掃描不到任何網關的端口。只有安裝安全客戶端Agent的終端，能過經過SPA預認證，才能夠通過單包敲門的方式，與SDP安全網關建立連接。應用隱身：從外部無法看到業(yè)務服務，也無法與業(yè)務服務直接建立連接。在與安全應用網關成功連接之后，此時內部的業(yè)務應用還是隱身狀態(tài)。只有通過身份認證的用戶，才能看到有訪問權限的應用系統(tǒng)。總的來說，通過這種 SPA 預認證的機制，確保我們接入設備的安全性，減少暴露端口。像剛才提到的 VPN 問題，很多企業(yè)會用零信任網關去增強或者替代 VPN，從而減少被攻擊的可能性，增強安全性。Q3：弱口令是企業(yè)安全建設中的老大難問題，零信任如何幫助企業(yè)解決這個問題？
弱口令確實是現(xiàn)在企業(yè)安全建設中的一大難題。在攻防演練中，很多攻擊者會利用企業(yè)的應用系統(tǒng)、服務器或網絡設備的弱口令、單因素認證、特權賬號共享等問題，通過賬號密碼登錄到應用系統(tǒng)、服務器或網絡設備，再進一步提權拿下目標系統(tǒng)。針對這些弱口令問題，很好的一個方法就是通過多因素認證去多角度、多方位的保護用戶的合法性。零信任強調的是流量身份化，以身份為核心構建安全防護邊界。通過結合用戶“所知”、“所持”和”所有”的多因素認證方式，如密碼、指紋、令牌、短信、移動端掃碼等，在客戶原有認證流程上增加二次認證流程，保障身份認證的安全性，從而有效的解決暴力破解、拖庫/撞庫、賬號冒用等一系列安全問題。還有一點值得注意，多因素認證也是我們芯盾時代用戶身份與訪問管理平臺（IAM）很重要的功能點之一，IAM更是零信任理念的重要架構，目前我們已經完成了SDP和IAM的融合，實現(xiàn)強強聯(lián)動。Q4：在傳統(tǒng)架構下，攻擊者一旦攻入內網就能造成巨大破壞。零信任能夠防范攻擊者在內網的橫向移動，減少攻擊者帶來的損失？
相比傳統(tǒng)架構，零信任架構有一個很重要的安全價值，就是體現(xiàn)在防止橫向移動上。在網絡安全領域，“橫向移動”是指攻擊者進入網絡后在該網絡內移動。即使攻擊者的進入點被發(fā)現(xiàn)，橫向移動也難以檢測到，因為攻擊者會繼續(xù)入侵網絡的其他部分。還是以傳統(tǒng)架構中的 VPN 為例，VPN 是一次認證、全網通行的，它一旦被攻破，就會進入到內網暢通無阻，這就是所謂的橫向移動。而零信任旨在遏制攻擊者，使他們無法橫向移動。其核心是零信任“永不信任，始終驗證”的原則。每個訪問請求在授予訪問之前都會進行完全身份驗證，同時給予最小的訪問授權，并且利用豐富的智能和分析進行檢測并及時響應異常情況，一旦檢測到攻擊者的存在，就可以隔離遭入侵的設備或用戶帳戶，切斷進一步的訪問，或者拉起二次認證，最大限度地減少橫向遷移。除此之外，作為零信任架構下最早的概念之一的微隔離也主要是防止橫向移動。從數據中心捕獲關鍵資產信息的橫向移動是幾種攻擊的關鍵組成部分，微隔離的目的在于如果這些工作負載之間沒有可操作的理由則限制他們之間未經批準的通信，從而最大限度地減少破壞的影響。與防火墻提供的典型南北向流量保護不同，微隔離著眼于工作負載的東西向流量安全。芯盾時代的零信任產品可以有效阻止橫向移動的問題。首先，芯盾時代SDP通過規(guī)則引擎對前端采集的信息進行不間斷的風險評估。持續(xù)身份認證對賬戶持有者采取“零信任”的態(tài)度，在用戶操作系統(tǒng)的全周期內，持續(xù)性和周期性的通過規(guī)則引擎從設備、身份、行為、環(huán)境、資源、網絡等各個維度進行持續(xù)的風險和信任計算，在用戶訪問應用資源時識別用戶風險信息，評估風險得分。其次，可以根據持續(xù)的信任評估結果進行動態(tài)訪問控制。基于風險評估結果，訪問策略可以對用戶的訪問行為進行攔截，根據風險等級下發(fā)處置策略，包括阻斷、放行、二次認證、隧道控制、動態(tài)權限伸縮、會話退出等。這樣，通過持續(xù)的安全評估即便在安全措施失效、終端失陷的情況下，也能避免整個內網的進一步失陷。Q5：零信任在攻防演練中有這么多優(yōu)勢，企業(yè)是不是應該放棄原有的縱深防御架構，全面轉入零信任？
這樣說是有失偏頗的，轉向零信任架構并不意味著完全舍棄傳統(tǒng)安全架構，這只是網絡安全策略的調整。無論是過去還是現(xiàn)在，基于邊界的防護理念始終保持著防護效果，零信任也并不能完全覆蓋傳統(tǒng)安全架構的能力和使用。存在即合理，不要因為上了零信任而將邊界防護體系完全拋棄，反而要常態(tài)化保持零信任和邊界防御兼具的安全架構。
往期 · 推薦
攻防演練寶典丨進攻方的身份攻擊三板斧，企業(yè)怎樣才能防得住？
基于零信任安全理念的攻防演練方案
實踐案例丨政務系統(tǒng)如何“零信任”？某黨政機關給出標準答案
遠程辦公“芯”方案丨零信任替換VPN，遠程訪問更安全
原文標題：零信任攻防實踐丨基于零信任理念，助力企業(yè)攻防演練
文章出處：【微信公眾號：芯盾時代】歡迎添加關注！文章轉載請注明出處。
聲明：本文內容及配圖由入駐作者撰寫或者入駐合作網站授權轉載。文章觀點僅代表作者本人，不代表電子發(fā)燒友網立場。文章及其配圖僅供工程師學習之用，如有內容侵權或者其他違規(guī)問題，請聯(lián)系本站處理。
舉報投訴
-
芯盾時代
+關注
關注
0文章
230瀏覽量
1940
原文標題：零信任攻防實踐丨基于零信任理念，助力企業(yè)攻防演練
文章出處：【微信號：trusfort，微信公眾號：芯盾時代】歡迎添加關注！文章轉載請注明出處。
發(fā)布評論請先 登錄
相關推薦
芯盾時代榮登17項細分領域榜單
安全、數據安全治理(解決方案)、API安全、商用密碼、UEBA、攻防演練、車聯(lián)網、移動業(yè)務安全、移動應用安全、企業(yè)移動管理EMM、信創(chuàng)安全等17項細分領域榜單。 作為業(yè)界公認的佼佼者，芯盾時代一直致力于為
芯盾時代中標寶雞市金臺醫(yī)院零信任安全認證網關
芯盾時代中標寶雞市金臺醫(yī)院零信任安全認證網關，通過人工智能技術賦能，對網絡環(huán)境中所有用戶實施零信任理念，實現(xiàn)身份/設備管控、持續(xù)認證、動態(tài)授
芯盾時代參編的零信任體系行業(yè)標準即將施行
近日，工信部發(fā)布公告，芯盾時代深度參與編寫的行業(yè)標準《YDT 4598.5-2024 面向云計算的零信任體系 第5部分：業(yè)務安全能力要求》(以下簡稱《業(yè)務安全》)將于2025年2月1日正式施行。
華為入選國際權威機構零信任邊緣領域推薦廠商
簡稱“報告”），對全球25家零信任邊緣方案（SD-WAN、ZTNA、SWG等關鍵技術，即SASE）廠商進行了綜合性評估。報告對零信任邊緣市場進行定義與深入剖析。華為憑借在SASE先進技
簡單認識芯盾時代零信任業(yè)務安全平臺
近年來，我國零信任網絡訪問市場保持高速增長態(tài)勢。IDC報告顯示，2023年中國零信任網絡訪問解決方案市場的規(guī)模達23.3億元，同比增長25.5%。
“新一代”漏洞掃描管理系統(tǒng)：攻防演練不可或缺
于保密與非密領域的分級保護、等級保護、業(yè)務連續(xù)性安全和大數據安全產品解決方案與相關技術研究開發(fā)的領軍企業(yè)——國聯(lián)易安自主研發(fā)出“新一代”漏洞掃描管理系統(tǒng)：國聯(lián)統(tǒng)一系統(tǒng)脆弱性管理平臺。平臺在網絡安全攻防演練中
芯盾時代入選《現(xiàn)代企業(yè)零信任網絡建設應用指南》
近日，國內知名網絡安全媒體安全牛重磅發(fā)布了《現(xiàn)代企業(yè)零信任網絡建設應用指南（2024版）》報告（以下簡稱“報告”）。芯盾時代憑借在零信任市場
Akamai將生成式AI嵌入零信任安全解決方案
近日，全球領先的云服務提供商Akamai宣布，其零信任平臺Akamai Guardicore Platform已成功集成了生成式AI技術。這一創(chuàng)新舉措主要體現(xiàn)在Guardicore助手和AI Labeling兩大功能的推出，為企業(yè)
紅隊攻防之快速打點
導讀： 在整個紅隊攻防體系中，打點是最基礎也是最重要的一步。它對于紅隊在攻防比賽中取得快速和高效的進展至關重要。然而，在實際的攻防比賽中，由于資產數量龐大、紅隊人員稀缺以及時間緊迫等各種因素，導致
以守為攻，零信任安全防護能力的新范式
引言 在當今的數字化時代，網絡安全已成為各個組織面臨的一項重大挑戰(zhàn)。隨著技術的快速發(fā)展，攻擊手段也在不斷演變和升級，傳統(tǒng)的安全防御策略已經無法完全應對新興的安全威脅。在這種背景下，零信任安全
紅隊攻防之JS攻防
前言： 隨著當前攻防水平的不斷提高，實戰(zhàn)攻防過程中，經常能遇到前端的參數被各種各樣的方式加密的情況。毫無疑問，這種方式能夠防止很多腳本小子的腳步，但是很多網站就存在“金玉其外，敗絮其內“的情況，將
芯盾時代中標中國聯(lián)通某省分公司 以零信任賦能遠程訪問安全
芯盾時代中標中國聯(lián)通某省分公司零信任遠程訪問安全，實現(xiàn)數據訪問最小化授權、網絡暴露面收斂、細粒度動態(tài)訪問控制等功能，為客戶建立內外網一體的零信任遠程辦公體系。
什么是零信任？零信任的應用場景和部署模式
? 零信任是新一代網絡安全理念，并非指某種單一的安全技術或產品，其目標是為了降低資源訪問過程中的安全風險，防止在未經授權情況下的資源訪問，其關鍵是打破信任和網絡位置的默認綁定關系。 一
5G雙域專網+零信任的神奇魔法
企業(yè)提供了更快速、更可靠的連接，同時具備更高級別的安全保障。它將公共網絡與私有網絡結合，為企業(yè)打造了一個安全、高效的通信環(huán)境。而零信任模型則從根本上顛覆了傳統(tǒng)的網絡安全
芯盾時代中標正川股份 零信任替換VPN更安全更便捷
芯盾時代中標重慶正川醫(yī)藥包裝材料股份有限公司（簡稱：正川股份），基于零信任安全理念，重構企業(yè)遠程接入系統(tǒng)，替代客戶采用VPN接入辦公的方案，保障企業(yè)
工商網監(jiān)
評論