• 自适应零信任解决方案介绍


    随着数字化的深入,数据成为重要生产要素。数据伴随着业务和 应用,在不同载体间流动和留存,贯穿信息化和业务系统的各层面、 各环节,在复杂的应用环境下,保证重要数据、核心数据以及用户个 人隐私数据等敏感数据不发生外泄,是数据安全保障工作的重要挑战。

    数据安全靠的不是单点技术,而是能力体系。真正做好数据安全 防护,需要从零散建设升级到体系化建设,内生安全框架是安全体系 化建设的核心,“一中心两体系”是内生安全框架落地的具体方法, 即网络安全态势感知与管控中心、网络安全防护体系以及零信任动态 授权体系,从而打造认知、安全、授权三个重要能力。其中零信任数 据动态授权体系,则是授权能力的落地。从实体安全、身份可信、业 务合规三个目标出发,抽象出主体、客体、主体环境,通过动态评估 主体的数字身份、安全状态和信任、数据安全治理的成果,进行动态 细粒度授权及访问控制,并结合数据安全防护体系的技术能力,实现 对应用和数据的、服务,API 接口、大数据平台、数据库行、列等级 别的精准管控。

    本报告总结分析了数字化时代数据安全的背景和挑战,结合零 信任理念,提出构建数据动态授权能力的建设思路,以及以工程化思 维推进零信任架构演进的建设方法,旨在为组织开展数据安全体系化 建设提供参考和建议。

    数字化时代的数据安全发展现状背景

    (一) 数据安全成为数字化发展基石

    2021 年 9 月 1 日,《数据安全法》正式颁布实施,明确提出了 数据安全保护要求,包括从战略上将数据安全上升到国家总体安全观 层面;从组织责任上明确数据流转过程中组织的安全责任与义务,明 确监管要求;在安全保护方面完善数据安全保护体系,提升数据安全 能力;在安全监管方面建立数据安全应急机制和审查制度。《数据安 全法》同时也阐明了数据安全与发展的关系,即“国家统筹发展和安 全,坚持以数据开发利用和产业发展促进数据安全,以数据安全保障 数据开发利用和产业发展”。坚持安全与发展并重,在数据作为生产 要素之一的大背景下,探索全新数据安全体系、保障新形势下的数据 安全,已成为维护国家安全和国家竞争力的战略需要。

    (二) 数据成为关键生产要素加速数据流转

    今年是我国“十四五”规划实施的第二年,是迎接数字时代、激 活数据要素潜能、推进网络强国建设的重要一年。全球也进入全面数 字化转型时期,数据作为关键生产要素发挥着巨大作用,推动着数字 经济的发展。传统信息技术开始向以数据和业务为核心的新一代信息 技术转变,数据资源的种类数量、对接程度、应用领域、价值实现不 断扩张,数据资源逐步走出企业物理边界;大数据、物联网等新业务 的开放协同集合企业的业务和数据,多部门、多平台、多业务的数据 融合打破了业务之间、部门之间的数据边界。其典型特征是企业间的 信息化交互大幅增加,企业与外部合作伙伴的关系也更加密切,通过业务协同、数据共享实现流程优化、合作共赢已经成为共识。

    同时,可以预见到,未来数据流转情况将更加开放,业务生态将 更加复杂,参与数据处理的角色将更多元,系统、业务、组织边界将 进一步模糊,导致数据的产生、流动、处理等过程比以往更加丰富和 多样。数据的频繁跨界流动,多环节的信息隐性留存,带来了严峻的 数据安全挑战。一方面,数据在各组织、部门之间流动,系统和数据 安全的责权边界变得模糊,主体责任划分不清,权限控制不足,导致 数据泄漏事件频发;另一方面,数据在跨组织间的流转,导致原本的 边界安全机制无法有效保护流转到边界外的数据,基于边界的安全管 理和技术措施,已经无法适应当前的安全需要。在数据安全风险与日 俱增的新形势下,安全作为发展的前提,数据安全已成为数字经济时 代最紧迫和最基础的安全问题。

    (三) 应用架构演变伴生数据使用场景日趋复杂

    随着云计算平台、大数据算力融合平台技术架构的演进,硬件平 台和网络体系经过多次结构化重组,以容器、微服务、DevOps 为代 表的云原生技术发展,以及边缘计算技术的大规模采用,企业普遍应 用新技术,帮助企业提升决策水平、构建新型业务模式,实现产业升 级。如微服务架构的盛行,导致数据被调用得更加频繁。单体应用架 构下数据只经过单个服务的处理就流向了访问主体(人、应用、终端 等),而在微服务架构下,服务的职能被切分得更加细致,数据可能 需要经过几个甚至十几个服务的处理才会流向访问主体。同时,组织 的数据业务交互变得更加开放,数据的访问可能来源于组织内部,也可能来自于分支结构,甚至是外部的第三方合作伙伴。

    另外,新技术、新业态的应用架构带来数据交互日益频繁的同时, 业务上云、远程办公、应用程序的频繁调用,数据的流动区域、传输 链路、访问行为等都发生了根本性的改变。数据使用场景的日益复杂 化,数据安全防护需求随之动态变化,但由于各组织的数据安全能力 不一致,属性不同,难以进行有效管控。数据安全的违规行为往往隐 藏在正常的应用场景中,如数据 API 滥用——数据 API 按业务需求 开放后,可能有具备权限的第三方服务没有按约定场景使用,或长时 间没有使用形成暴露在外的幽灵 API 等;由于从业务视角短期来看这 些行为都属于正常行为,但实际上已成为潜在的数据安全风险,需要 用动态的安全思路来应对这些新需求、新挑战。

    数字化时代的数据安全挑战

    (一) 边界弱化,企业资源暴露面增加

    随着新一代信息技术的快速演进,移动互联网、物联网、工业互 联网、车联网等新技术新场景的不断涌现,应用架构随技术发展不断 演进,打破了传统单体架构部署于数据中心内的模式,由数据中心向 云端、终端等各个环节不断延伸,组织的网络环境愈发多样,如移动 网络、固定网络接入、虚拟化网络等;接入方式也愈发复杂,如手机、 台式机、平板电脑及各类终端等;传统网络安全边界逐渐消失,用户、 设备、业务、平台等多样化趋势不可阻挡。新技术态势下的网络安全 威胁和风险同样不断涌现、扩散,企业与组织等的数字化系统正在面 临来自多方面严峻的安全挑战,对安全防护能力的要求随之提升,传统安全防护的劣势凸显。

    (二) 攻击的目标从网络转向身份、应用和数据

    数据的要素化促进了数据的价值体现和价值释放,数据已成为 各企业或组织的重要资产。而另一方面,数据价值凸显引来更多的攻 击者,从近年来的主要网络安全事件结果来看,由于利益驱使,网络 攻击从原来针对平台、网络、系统已经向数据资源转变。据威胁情报 公司 Cyble 透露,2021 年 8 月,美国电信巨头 T-Mobile 遭遇重大安 全事件,攻击者声称窃取了多个数据库,总计 106GB 的数据,涉及 近 1 亿用户数据,其中包括 T-Mobile 的客户关系管理(CRM)数据 库,并且攻击者将数据在地下黑产信息售卖赚取高额非法回报。

    (三) 远程办公增加数据泄漏和权限滥用风险

    远程办公已经逐步成为一种常态化的工作模式,这也是移动办公 延展后的必然结果。办公场景也不再局限于日常工作协同沟通、视频 会议等,包括远程办公平台、远程开发、远程运维、远程客服、远程 教学等等都已成为现实,远程办公已经成为走出固定地点(如办公室、 写字楼),随时随地的办公形态。远程办公常态化以及数据的开放协 同增加了数据风险暴露面,各种接入人员的身份和权限管理混乱各种 接入设备(BYOD、合作伙伴设备)安全性参差不齐,以及各种远程 接入程序的使用,带来了对设备、人员的权限管理难度和不可控安全 因素都可能导致数据更容易“意外”泄漏。如何确保数据在流经、留 存的各种计算环境、终端设备上的安全变得充满挑战。

    (四) 内部威胁成数据泄漏主要原因

    根据 Fortinet《内部威胁报告》调查显示,90%的网络安全组织 感到容易受到内部攻击;53%的网络安全专业人员确认在过去一年中 其组织遭受过内部攻击。内部威胁一方面指内部人员因为安全意识的 疏忽或操作的失误暴露了某些安全脆弱环节,从而导致被攻击者利用 造成的数据泄漏等安全事件;另一方面指组织内部员工通过滥用访问 权限、违规获取访问权限等行为窃取组织数据资源,例如水滴泄密— —企业内部员工利用自身合法权限每天进行少量敏感数据下载,积累 到一定程度后加密压缩外发到个人网盘。历年的“净网行动”曾发现 多起内部员工对数据的恶意窃取事件,虽然部分"内部人员"权限较低, 但他们仍可以通过盗用高权限人员的账号密码数字证书登录内网获 取敏感数据。

    参考资料

    红蓝攻防构建实战化网络安全防御体系
    青藤云安全 2022攻防演练蓝队防守指南

  • 相关阅读:
    Nginx优化与防盗链
    Set集合
    解析Redis缓存穿透、击穿和雪崩问题及解决方案
    Weblogic XMLDecoder 远程代码执行漏洞 CVE-2017-10271 漏洞复现
    数据预处理(ML)
    torch.hub.load报错urllib.error.HTTPError: HTTP Error 403: rate limit exceeded
    快速创建软件安装包-ClickOnce
    Shell编程实际应用
    @Transactional初探
    PCL点云处理之Pcd文件读取、法线与曲率计算、多线程加速、属性字段合并 (二百零八)
  • 原文地址:https://blog.csdn.net/securitypaper/article/details/127131295