En 400-6655-581
5
返回列表
> 資源中心 > 文章>主題>零信任安全> 零信任框架下的動態(tài)授權

零信任框架下的動態(tài)授權

文章

2021-09-24瀏覽次數：324

隨著數字化轉型的不斷加速，企業(yè)不僅存在多個內部網絡，還存在通過遠程連接本地網絡基礎設施的遠程辦公室、移動用戶以及云服務等，一旦攻擊者突破企業(yè)網絡的邊界防護，便可以在內部網絡中進一步橫向移動進行攻擊破壞，不受阻礙和控制。因此，在傳統(tǒng)網絡邊界局限性日益凸顯的背景下，如何構筑身份邊界、實現實時的風險感知和動態(tài)的細粒度授權是當下所關注的重點。

 

 

動態(tài)授權成為零信任安全架構關鍵組件

 

在零信任安全架構中，其設計理念主要包括身份、環(huán)境、權限和訪問控制等主要因素，架構設計中明確系統(tǒng)以身份為中心，構建每一個應用、設備、用戶等實體達到唯一的身份和唯一的標識，結合環(huán)境感知，對用戶終端的環(huán)境、網絡的環(huán)境以及用戶自身訪問的行為進行持續(xù)的監(jiān)測和身份認證，同時依據動態(tài)的權限控制，進行細粒度的權限管理和動態(tài)權限的管控，整體架構實踐的過程中，嚴格遵循業(yè)務安全訪問控制和安全策略，實現全面的安全執(zhí)行檢查點，保障多維度安全體系。

動態(tài)授權作為零信任安全架構關鍵組件，發(fā)揮著整個零信任安全體系中大腦中樞的指揮作用，業(yè)務系統(tǒng)的安全訪問和使用，都與動態(tài)授權能力緊密相連。

 

 

 零信任框架下動態(tài)授權核心能力

 

零信任框架下的動態(tài)授權服務主要包括兩大核心能力，一是基于策略或安全需求形成的基礎授權服務，一是基于風險感知形成的動態(tài)授權服務，其中基礎授權服務，主要根據所屬組織機構、職級等預置權限，通常依賴不同的權限模型如ABAC、RBAC、TBAC、WBAC等進行權限分配和控制，而動態(tài)授權服務，以環(huán)境、風險評估、用戶信用等級等維度進行風險評分而實現權限的自適應服務。

如用戶A，目前擁有四個業(yè)務系統(tǒng)的訪問權限，其中業(yè)務系統(tǒng)N是一個高敏應用，零信任安全平臺在用戶訪問系統(tǒng)過程中持續(xù)檢測環(huán)境和環(huán)境感知，將風險分值提供給認證服務，如果風險分值低，也就是風險等級高，那么認證服務通知權限服務，需做權限變更，調整該用戶的應用訪問權限，實現動態(tài)的變更。當用戶再次登錄，因為權限已做變更，則只展示A、B、C業(yè)務系統(tǒng)，N業(yè)務系統(tǒng)的圖標就無法看到。當用戶環(huán)境恢復到安全狀態(tài)，權限服務才將業(yè)務系統(tǒng)N的訪問權限重新賦予。通過認證服務、權限服務和環(huán)境感知，可實現一次完整的用戶動態(tài)權限的變更。

 

 

零信任框架下動態(tài)授權的落地實踐

 

零信任安全架構與現有邊界、縱深防御架構結合和聯動，試點先行選擇特定業(yè)務場景，快速構建零信任技術環(huán)境，落地提升安全能力，持續(xù)研究持續(xù)規(guī)劃分層落地，推動企業(yè)網絡安全架構的變革，通過快速構建零信任架構能力，“選擇場景-確定范圍-構建環(huán)境-創(chuàng)建策略-監(jiān)控改進” 流程，選擇“IAM-SDP-MSG” 技術，快速構建零信任安全技術能力流。

 

動態(tài)授權核心能力逐步采取基礎授權服務構建、權限試點應用到自適應動態(tài)授權等幾個階段進行落地和實踐，確保滿足企業(yè)的零信任安全規(guī)劃和實際業(yè)務需求。