欧美一区二区三区久久精品,久久精品久久久精品美女,久久人人97超碰caoporen

近年來，APT攻擊、DDoS攻擊等網絡安全問題頻發。為了筑牢網絡安全防線，我國自2016年開始進行實戰攻防演練，以此來強化網絡安全隱患排查整改，推動以攻促防，查漏補缺。而隨著網絡環境的改變，攻擊手段的提高，基于固定邊界的網絡安全防御理念已經難以抵擋靈活多變的網絡攻擊。其“圍欄式”的邊界防御，通過防火墻隔離企業的內網外網，雖然目前很多企業已經意識到企業的內網也未必安全，但是依然存在“重外敵，輕內鬼”等問題，內部防御能力不足，缺乏全局視角下發現實際環境中安全風險的能力。而零信任理念的出現，也為安全提供了新的建設思路。那么，零信任在實戰攻防演練中，又可以提供哪些能力，起到什么作用呢？芯盾時代研發副總裁陳曦將為你盤點攻防演練中的零信任安全問題，解析企業零信任安全建設之道~

Q1：零信任在攻防演練中的防御思路是怎么樣的？

雖然我國的網絡安全建設經過多年的實踐已經逐漸全面，但仍不可避免的會被黑客攻破，其中一個很大的原因就是傳統“壘高墻”式“防外不防內”的安全防護理念已經不適應當前網絡環境和安全建設的需要了。為了改變攻防不對等的情況，零信任網絡安全防護理念應運而生。其解決了區域和信任的綁定關系，用戶的訪問權限不再受到網絡區域的限制，訪問前需要經過身份認證和授權，而身份認證不再僅僅針對用戶，還將對用戶所持客戶端進行安全校驗，并且在訪問過程中進行用戶畫像和持續性風險評估，對訪問進行動態、細粒度的授權，同時采用最小授權原則，可以有效防御黑客的入侵以及0day攻擊。落實在具體產品上：零信任實現了資源和SDP網關自身的雙重隱藏，基于SPA單包授權的原則，先認證后連接，緩解非法攻擊，避免成為惡意流量的黑洞。而實時的風險感知則對每一次訪問進行持續的信任評估，動態訪問控制引擎根據評估結果實時生成訪問控制策略，自動執行細粒度的訪問控制策略，避免風險訪問造成的數據泄露。還可以通過多因素認證，大幅提升系統認證安全性，可有效避免因弱口令、密碼管理不當帶來的系統被盜而導致的失分。

Q2：面對互聯網資產暴露的問題，零信任如何幫助企業收斂資產暴露面？

當前大多數企業都存在對自身企業資產畫像不清晰、威脅響應不及時和管理制度不完善等問題，沒有真正的將資產和威脅管理起來。在攻防演練中，那些部分被遺漏、未被安全管理、未及時下線的系統，由于存在安全漏洞并缺乏相應的安全防護策略，則很容易被攻擊者找到和利用，比如現在企業常用的 VPN，由于它的端口本身是對外開放的，所以通常會成為被攻擊的目標。而對于這類資產暴露的問題，芯盾時代零信任業務安全平臺SDP可以通過“網絡隱身”技術，減少資產的暴露面。而“網絡隱身”則是從兩方面來實現的：網關隱身：安全應用網關默認關閉所有端口，外部掃描不到任何網關的端口。只有安裝安全客戶端Agent的終端，能過經過SPA預認證，才能夠通過單包敲門的方式，與SDP安全網關建立連接。應用隱身：從外部無法看到業務服務，也無法與業務服務直接建立連接。在與安全應用網關成功連接之后，此時內部的業務應用還是隱身狀態。只有通過身份認證的用戶，才能看到有訪問權限的應用系統。總的來說，通過這種 SPA 預認證的機制，確保我們接入設備的安全性，減少暴露端口。像剛才提到的 VPN 問題，很多企業會用零信任網關去增強或者替代 VPN，從而減少被攻擊的可能性，增強安全性。

Q3：弱口令是企業安全建設中的老大難問題，零信任如何幫助企業解決這個問題？

弱口令確實是現在企業安全建設中的一大難題。在攻防演練中，很多攻擊者會利用企業的應用系統、服務器或網絡設備的弱口令、單因素認證、特權賬號共享等問題，通過賬號密碼登錄到應用系統、服務器或網絡設備，再進一步提權拿下目標系統。針對這些弱口令問題，很好的一個方法就是通過多因素認證去多角度、多方位的保護用戶的合法性。零信任強調的是流量身份化，以身份為核心構建安全防護邊界。通過結合用戶“所知”、“所持”和”所有”的多因素認證方式，如密碼、指紋、令牌、短信、移動端掃碼等，在客戶原有認證流程上增加二次認證流程，保障身份認證的安全性，從而有效的解決暴力破解、拖庫/撞庫、賬號冒用等一系列安全問題。還有一點值得注意，多因素認證也是我們芯盾時代用戶身份與訪問管理平臺（IAM）很重要的功能點之一，IAM更是零信任理念的重要架構，目前我們已經完成了SDP和IAM的融合，實現強強聯動。

Q4：在傳統架構下，攻擊者一旦攻入內網就能造成巨大破壞。零信任能夠防范攻擊者在內網的橫向移動，減少攻擊者帶來的損失？

相比傳統架構，零信任架構有一個很重要的安全價值，就是體現在防止橫向移動上。在網絡安全領域，“橫向移動”是指攻擊者進入網絡后在該網絡內移動。即使攻擊者的進入點被發現，橫向移動也難以檢測到，因為攻擊者會繼續入侵網絡的其他部分。還是以傳統架構中的 VPN 為例，VPN 是一次認證、全網通行的，它一旦被攻破，就會進入到內網暢通無阻，這就是所謂的橫向移動。而零信任旨在遏制攻擊者，使他們無法橫向移動。其核心是零信任“永不信任，始終驗證”的原則。每個訪問請求在授予訪問之前都會進行完全身份驗證，同時給予最小的訪問授權，并且利用豐富的智能和分析進行檢測并及時響應異常情況，一旦檢測到攻擊者的存在，就可以隔離遭入侵的設備或用戶帳戶，切斷進一步的訪問，或者拉起二次認證，最大限度地減少橫向遷移。除此之外，作為零信任架構下最早的概念之一的微隔離也主要是防止橫向移動。從數據中心捕獲關鍵資產信息的橫向移動是幾種攻擊的關鍵組成部分，微隔離的目的在于如果這些工作負載之間沒有可操作的理由則限制他們之間未經批準的通信，從而最大限度地減少破壞的影響。與防火墻提供的典型南北向流量保護不同，微隔離著眼于工作負載的東西向流量安全。芯盾時代的零信任產品可以有效阻止橫向移動的問題。首先，芯盾時代SDP通過規則引擎對前端采集的信息進行不間斷的風險評估。持續身份認證對賬戶持有者采取“零信任”的態度，在用戶操作系統的全周期內，持續性和周期性的通過規則引擎從設備、身份、行為、環境、資源、網絡等各個維度進行持續的風險和信任計算，在用戶訪問應用資源時識別用戶風險信息，評估風險得分。其次，可以根據持續的信任評估結果進行動態訪問控制。基于風險評估結果，訪問策略可以對用戶的訪問行為進行攔截，根據風險等級下發處置策略，包括阻斷、放行、二次認證、隧道控制、動態權限伸縮、會話退出等。這樣，通過持續的安全評估即便在安全措施失效、終端失陷的情況下，也能避免整個內網的進一步失陷。

Q5：零信任在攻防演練中有這么多優勢，企業是不是應該放棄原有的縱深防御架構，全面轉入零信任？

這樣說是有失偏頗的，轉向零信任架構并不意味著完全舍棄傳統安全架構，這只是網絡安全策略的調整。無論是過去還是現在，基于邊界的防護理念始終保持著防護效果，零信任也并不能完全覆蓋傳統安全架構的能力和使用。存在即合理，不要因為上了零信任而將邊界防護體系完全拋棄，反而要常態化保持零信任和邊界防御兼具的安全架構。

往期 · 推薦

攻防演練寶典丨進攻方的身份攻擊三板斧，企業怎樣才能防得住？

基于零信任安全理念的攻防演練方案

實踐案例丨政務系統如何“零信任”？某黨政機關給出標準答案

遠程辦公“芯”方案丨零信任替換VPN，遠程訪問更安全

原文標題：零信任攻防實踐丨基于零信任理念，助力企業攻防演練

文章出處：【微信公眾號：芯盾時代】歡迎添加關注！文章轉載請注明出處。

聲明：本文內容及配圖由入駐作者撰寫或者入駐合作網站授權轉載。文章觀點僅代表作者本人，不代表電子發燒友網立場。文章及其配圖僅供工程師學習之用，如有內容侵權或者其他違規問題，請聯系本站處理。舉報投訴