零信任 | 超越零信任——自適應(yīng)安全框架

零信任框架是目前比較前沿的技術(shù)，相比之下，自適應(yīng)安全框架更加超前，雖然兩者提出的時間相差無幾,但它們之間有著千絲萬縷的關(guān)系。所以在講超越零信任框架之前，我們需要先了解下零信任框架，具體的細(xì)節(jié)部分請參考技術(shù)干貨 | 遇見零信任——零信任框架文章，這里就不再展開，當(dāng)涉及到具體概念時我們會在文中一起講。

自適應(yīng)安全框架來自CARTA（Continuous Adaptive Risk and Trust Assessment），零信任是CARTA的組成部分，早在2015年Gartner十大安全趨勢報(bào)告就已涉及，在2018年，正式確認(rèn)了“持續(xù)自適應(yīng)風(fēng)險與信任評估”（CARTA）的安全趨勢，也即是自適應(yīng)安全架構(gòu)3.0的由來。雖然該框架還在不斷完善中，但越來越得到IT界的認(rèn)同，完整框架技術(shù)應(yīng)用的實(shí)現(xiàn)也只是時間問題。

在CARTA中每個部分都由四個領(lǐng)域組成，在攻擊保護(hù)方面分別由防御、監(jiān)控、響應(yīng)、預(yù)測按順時針組成外部閉環(huán)；在訪問保護(hù)方面分別由訪問、監(jiān)控、管理、發(fā)現(xiàn)按順時針組成內(nèi)部閉環(huán)。

通過對訪問的監(jiān)控和數(shù)據(jù)的分析來時時調(diào)整訪問風(fēng)險的應(yīng)對，作用著內(nèi)部策略引擎的決策狀態(tài)評估。套用現(xiàn)在抗擊疫情的形象詞來概括就是“外防內(nèi)控”，只不過是抗擊疫情需要人工參與，CARTA由系統(tǒng)自動完成。

CARTA每個組成部分都有相應(yīng)的獨(dú)立機(jī)制，會形成自己的閉環(huán)，譬如在攻擊保護(hù)中的監(jiān)控部分，當(dāng)發(fā)生攻擊或異常行為，監(jiān)控部分會進(jìn)行事故檢測，并實(shí)現(xiàn)風(fēng)險確認(rèn)和排序，并完成事故隔離，產(chǎn)生的結(jié)果輸出又為外部循環(huán)做準(zhǔn)備。CARTA核心是持續(xù)進(jìn)行監(jiān)測評估風(fēng)險，以最大程度地降低攻擊機(jī)會并減少平均修復(fù)時間，訪問是自適應(yīng)的，并根據(jù)上下文而變化。

我們再來看看零信任在CARTA自適應(yīng)安全框架構(gòu)成中的訪問與攻擊方面充當(dāng)什么樣的角色以及各組成部分所涉及的內(nèi)容。

原因在零信任的可信終端部分，零信任中的可信終端先認(rèn)證后訪問機(jī)制保障了終端的合法性，而在終端安裝的代理可以實(shí)現(xiàn)對終端系統(tǒng)的加固、隔離，也解決了御防性攻擊。

這里涉及零信任的授權(quán)中心部分，授權(quán)中心由訪問控制引擎和風(fēng)險信任評估引擎組成，訪問控制引擎也就是之前文章提到的基于細(xì)粒度訪問控制（ABAC）， ABAC基于動態(tài)策略解決了自適應(yīng)訪問控制的問題，而風(fēng)險信任評估引擎解決實(shí)體的信任級別問題，根據(jù)終端、環(huán)境、資源相關(guān)的權(quán)限信息組合分配不同的信任等級，提供給ABAC中的策略執(zhí)行點(diǎn)（PDP）進(jìn)行決策。

在整個CARTA自適應(yīng)安全架構(gòu)中安全性是由零信任來保障的，但要實(shí)現(xiàn)整體架構(gòu)的構(gòu)建，還需要分析用戶和實(shí)體（終端、應(yīng)用、網(wǎng)絡(luò)等 IT 資產(chǎn)實(shí)體）的行為來自動適配并控制安全風(fēng)險，而對用戶和實(shí)體的分析就是UEBA（User& Entity Behavior Analytics）了，主要功能是收集用戶和實(shí)體的數(shù)據(jù)進(jìn)行大數(shù)據(jù)分析和機(jī)器學(xué)習(xí)，用來找出一些安全問題，形成業(yè)務(wù)模式來觸發(fā)策略評估機(jī)制，完成自我適應(yīng)訪問控制的調(diào)整。

CARTA自適應(yīng)安全框架目前還是概念模型，還沒有已實(shí)現(xiàn)的產(chǎn)品推出，但在云安全領(lǐng)域的影響已初見波瀾，對企業(yè)無疑更有著重大的深遠(yuǎn)意義，不久的將來CARTA我們肯定會遇見，值得期待。