基于“零信任”的涉密信息系統(tǒng)信息安全體系構(gòu)建

辜璐 陳婉君 趙屹

摘要：涉密信息系統(tǒng)的信息安全防護(hù)體系，經(jīng)過(guò)多年的建設(shè)已經(jīng)形成固有的防護(hù)體系。隨著信息安全技術(shù)的發(fā)展，云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等新興技術(shù)為企業(yè)的信息化發(fā)展建設(shè)帶來(lái)了新的生產(chǎn)力，但同時(shí)也給信息安全帶來(lái)了新挑戰(zhàn)。一方面針對(duì)國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施，已經(jīng)成為了安全研究人員漏洞挖掘、攻防研究新的對(duì)象;另一方面涉密信息系統(tǒng)的使用者及運(yùn)維人員的不確定性，構(gòu)成了新的信息安全威脅。

關(guān)鍵詞：“零信任”;信息安全;涉密信息系統(tǒng)

1?引言

隨著信息技術(shù)的快速發(fā)展，云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等新興技術(shù)為政府部門(mén)及各類企業(yè)的信息化發(fā)展及現(xiàn)代化建設(shè)帶來(lái)了新的生產(chǎn)力，但同時(shí)也給信息安全帶來(lái)了新挑戰(zhàn)。一方面，外部攻擊和內(nèi)部攻擊愈演愈烈，以APT攻擊為代表的高級(jí)持續(xù)攻擊仍然能找到各種漏洞突破企業(yè)的邊界，另一方面，內(nèi)部業(yè)務(wù)的非授權(quán)訪問(wèn)、雇員犯錯(cuò)、有意的數(shù)據(jù)竊取等內(nèi)部威脅層出不窮;只有充分的認(rèn)識(shí)到這個(gè)新時(shí)代的安全挑戰(zhàn)，才能更好的進(jìn)行應(yīng)對(duì)。

2?現(xiàn)狀及問(wèn)題

2.1?企業(yè)邊界逐步瓦解

傳統(tǒng)的安全架構(gòu)基于邊界思維，假定各單位存在一個(gè)“內(nèi)網(wǎng)”，假定存在一個(gè)邊界對(duì)內(nèi)外網(wǎng)進(jìn)行隔離，假定內(nèi)網(wǎng)是安全的、外網(wǎng)是不安全的。隨著云計(jì)算和大數(shù)據(jù)等技術(shù)的廣泛采用，安全邊界已經(jīng)模糊甚至瓦解。

2.2?外部攻擊防不勝防

近年來(lái)，集團(tuán)內(nèi)多次組織紅藍(lán)對(duì)抗，模擬外部攻擊行為，對(duì)單位內(nèi)網(wǎng)進(jìn)行安全攻擊。隨著大數(shù)據(jù)技術(shù)的發(fā)展，數(shù)據(jù)也趨于集中，數(shù)據(jù)的集中意味著價(jià)值的集中，自然也成為攻擊者的首要攻擊目標(biāo)，我們必須假設(shè)系統(tǒng)一定存在尚未修補(bǔ)的漏洞，必須假設(shè)網(wǎng)絡(luò)已經(jīng)被攻破。

2.3?內(nèi)部威脅持續(xù)加劇

傳統(tǒng)的企業(yè)安全體系是建立在內(nèi)外部網(wǎng)絡(luò)邊界的基礎(chǔ)之上，是邊界思維，假定了內(nèi)網(wǎng)中的用戶、設(shè)備和流量通常都是可信的。在這種邊界思維的指導(dǎo)下在企業(yè)內(nèi)部網(wǎng)絡(luò)中缺乏足夠的安全訪問(wèn)控制，一旦被攻擊者滲入，數(shù)據(jù)將會(huì)完全暴露，極易泄漏。往往因?yàn)榉鞘跈?quán)訪問(wèn)、雇員犯錯(cuò)、外包員工犯錯(cuò)等等原因，導(dǎo)致?“合法用戶”可以非法訪問(wèn)特定的業(yè)務(wù)和數(shù)據(jù)資源，造成組織內(nèi)部數(shù)據(jù)泄漏。

2.4?監(jiān)管力度不斷加強(qiáng)

上級(jí)單位為加強(qiáng)各單位信息安全能力建設(shè)，提升信息安全防護(hù)能力，為滿足國(guó)家對(duì)于各單位信息數(shù)據(jù)安全建設(shè)要求，各單位需要以業(yè)務(wù)需求為導(dǎo)向，規(guī)范建設(shè)企業(yè)數(shù)據(jù)信息安全保障體系，形成科學(xué)實(shí)用的規(guī)范化安全管理能力、體系化安全技術(shù)防護(hù)能力、綜合化安全監(jiān)管運(yùn)維能力，以滿足相關(guān)部門(mén)對(duì)于企業(yè)信息安全的監(jiān)管要求。

2.5?運(yùn)維管理暗藏隱患

為了確保企業(yè)的核心資產(chǎn)安全運(yùn)行，保障網(wǎng)絡(luò)和數(shù)據(jù)不受來(lái)自外部和內(nèi)部用戶的入侵和破壞，運(yùn)維人員通過(guò)堡壘機(jī)登錄核心資產(chǎn)，通過(guò)技術(shù)手段監(jiān)控和記錄運(yùn)維人員對(duì)網(wǎng)絡(luò)內(nèi)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、數(shù)據(jù)庫(kù)等設(shè)備的操作行為，以便集中報(bào)警、及時(shí)處理及審計(jì)定責(zé)。

3?“零信任”信息安全體系

“零信任”網(wǎng)絡(luò)模型是約翰.金德維格在Forrester時(shí)于2010年提出的，核心理念是最基本的身份安全認(rèn)證應(yīng)該基于受控的設(shè)備和合法用戶，而不是基于網(wǎng)絡(luò)訪問(wèn)控制，即傳統(tǒng)的網(wǎng)絡(luò)安全手段。其中心思想是來(lái)自于企業(yè)網(wǎng)絡(luò)內(nèi)部外部的行為、數(shù)據(jù)流量、移動(dòng)介質(zhì)均不應(yīng)被信任，在驗(yàn)證身份并授權(quán)之前任何試圖接入企業(yè)網(wǎng)絡(luò)的行為、數(shù)據(jù)流量、移動(dòng)介質(zhì)都是不可信的。

3.1?以身份為中心

為網(wǎng)絡(luò)中的人、設(shè)備、應(yīng)用都賦予邏輯身份，并基于身份進(jìn)行細(xì)粒度的權(quán)限設(shè)置和判定。包括：①創(chuàng)建賬戶體系，或從現(xiàn)有身份管理系統(tǒng)包括但不限于AD域、OpenLDAP、CAS等同步賬戶和組織架構(gòu)信息;②確保用戶在正確的設(shè)備上使用正確的賬號(hào)登錄，同時(shí)可以對(duì)賬戶的登錄時(shí)間、登錄地點(diǎn)及IP地址進(jìn)行嚴(yán)格控制，以防止非法人員非法接入業(yè)務(wù)系統(tǒng);③能夠?qū)崟r(shí)的清除設(shè)備數(shù)據(jù)，即使該設(shè)備正在登錄，也可以令用戶立即退出。

3.2?業(yè)務(wù)安全訪問(wèn)

所有的訪問(wèn)請(qǐng)求（應(yīng)用、接口等）都應(yīng)該被認(rèn)證、授權(quán)和加密。在TCP/IP數(shù)據(jù)通信的各層都進(jìn)行授權(quán)控制，防止非法數(shù)據(jù)進(jìn)入，對(duì)IP對(duì)外開(kāi)放端口對(duì)外開(kāi)放進(jìn)行隱身。不自動(dòng)信任網(wǎng)絡(luò)的安全性（內(nèi)網(wǎng)?≠?可信），對(duì)任何接入系統(tǒng)的人和設(shè)備都進(jìn)行驗(yàn)證，每次訪問(wèn)都要進(jìn)行身份驗(yàn)證和行為審計(jì)，細(xì)粒度訪問(wèn)控制策略Need-To-Know（最小權(quán)限原則）。

3.3?持續(xù)評(píng)估

對(duì)終端、用戶等訪問(wèn)主體進(jìn)行持續(xù)風(fēng)險(xiǎn)感知和信任評(píng)估，根據(jù)信任評(píng)估對(duì)訪問(wèn)權(quán)限進(jìn)行動(dòng)態(tài)調(diào)整。終端是業(yè)務(wù)的入口，綜合終端的異常行為、越權(quán)訪問(wèn)、系統(tǒng)弱配置等因素，實(shí)時(shí)更新終端的信任狀態(tài)。對(duì)終端安裝狀態(tài)進(jìn)行綜合評(píng)估，至少包括設(shè)備、身份、應(yīng)用、行為幾個(gè)維度來(lái)持續(xù)信任評(píng)估。

3.4?動(dòng)態(tài)訪問(wèn)控制

訪問(wèn)權(quán)限不是靜態(tài)的，而是根據(jù)主體屬性、客體屬性、環(huán)境屬性和持續(xù)的信任評(píng)估結(jié)果進(jìn)行動(dòng)態(tài)計(jì)算和判定。遵循最小授權(quán)原則，能夠?qū)崿F(xiàn)細(xì)粒度的訪問(wèn)控制，能夠針對(duì)每個(gè)用戶或用戶組制定專屬訪問(wèn)控制策略，能夠?qū)r(shí)間策略、IP限制、終端限制等訪問(wèn)策略進(jìn)行控制。

3.5?用戶行為畫(huà)像

綜合關(guān)鍵要素，綁定實(shí)體用戶，提取人物特征，以可視化形式展現(xiàn)用戶網(wǎng)絡(luò)活動(dòng)軌跡，刻畫(huà)人物行為畫(huà)像?；谌宋镄袨楫?huà)像和關(guān)聯(lián)分析的數(shù)據(jù)，構(gòu)建生成行為基線，通過(guò)群組基線分析，構(gòu)建全是空的上下文環(huán)境，避免單一行為的局限性，并采用分布實(shí)時(shí)數(shù)據(jù)計(jì)算，實(shí)時(shí)更新安全基線，實(shí)現(xiàn)完整的動(dòng)態(tài)行為基線。使用各種機(jī)器學(xué)習(xí)算法，進(jìn)行異常檢測(cè)，通過(guò)綜合風(fēng)險(xiǎn)評(píng)分來(lái)縮小和減少誤報(bào)范圍。

4?結(jié)束語(yǔ)

本文研究的基于“零信任”的涉密信息系統(tǒng)信息安全體系建設(shè)以身份為基石的細(xì)粒度訪問(wèn)控制機(jī)制，強(qiáng)化了權(quán)限的管控顆粒度，基于持續(xù)的風(fēng)險(xiǎn)度量和信任評(píng)估，動(dòng)態(tài)調(diào)整訪問(wèn)權(quán)限，實(shí)現(xiàn)動(dòng)態(tài)訪問(wèn)授權(quán)。采用大數(shù)據(jù)分析和人工智能技術(shù)對(duì)用戶、設(shè)備、環(huán)境屬性等訪問(wèn)上下文進(jìn)行感知和建模，實(shí)現(xiàn)風(fēng)險(xiǎn)和信任的持續(xù)度量。提升管理運(yùn)維效率，規(guī)避管理人為犯錯(cuò)，切實(shí)增強(qiáng)大數(shù)據(jù)時(shí)代數(shù)據(jù)安全防護(hù)能力，有效應(yīng)對(duì)云計(jì)算等新興技術(shù)對(duì)網(wǎng)絡(luò)和數(shù)據(jù)安全防護(hù)帶來(lái)的挑戰(zhàn)。

參考文獻(xiàn)：

[1]向人鵬.基于“零信任”的工業(yè)信息安全防護(hù)研究.電力行業(yè)信息化年會(huì)論文集，2019：171-174.

[2]張大偉，沈昌祥，劉吉強(qiáng)，等.基于主動(dòng)防御的網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施可信技術(shù)保障體系[J].中國(guó)工程科學(xué)，2016（6）：58-61.

作者簡(jiǎn)介：

第一作者：辜璐（1981-08），女，漢，江西省南昌人，本科學(xué)歷，高級(jí)工程師，研究方向?yàn)樾畔踩Ｃ芄芾怼?/p>

通訊作者：陳婉君?（1990-04），女，漢，北京人，本科學(xué)歷，中級(jí)工程師，研究方向?yàn)樾畔踩?/p>

第三作者：趙屹?（1975-10），男，漢，重慶人，本科學(xué)歷，高級(jí)技師，研究方向?yàn)榫W(wǎng)絡(luò)安全。