基于SDP技术构建零信任安全

视频链接：
http://picture.17wclass.com/kc/20200228/13293828022063d5f518194200.mp4
内容摘要：
物理边界曾经是可信网络和不可信网络之间的有效分割，防火墙通常位于网络的边缘，基于静态策略来控制网络流量。位于防火墙内部的用户会被授予高信任等级来访问企业的敏感资源，因为他们被默认是可信的。
但随着业务迁移到云端，APT攻击的泛滥，以及移动办公的趋势，传统的安全边界变的模糊，既然网络和威胁已经发生了变化，我们的防御模型也要跟着变化。
零信任安全是一种更适合当今网络环境的安全架构。随着网络定义边界（SDP）这样的新技术出现。零信任这样的技术得以落地。

如何用SDP实现零信任安全：
零信任是一种安全模型。首先我们要抛弃传统的边界观念，不再依据用户所处的网络位置而决定这个人是否可信。取而代之的是我们对每个请求都进行严格验证
信任建立起来之前，网络上的任何资源都是隐身的。未授权用户和设备是隔离的。完全看不到网络上的任何东西。
验证过程包括人的因素和设备的因素
人的因素包括验证用户的身份，看看他的身份是不是真的。和验证用户是不是有授权，看看他是否被允许访问相应的资源。
除此之外，我们还要了解用户是否使用了合法的设备，设备是否未被攻陷。通过对用户使用的设备进行验证，我们可以避免将敏感数据暴露给被攻陷的设备，并避免被该设备横向攻击网络上的其他用户。
一旦通过了验证过程，就建立了信任。用户就可以访问到请求的资源了。当然其它未授权访问的资源还是隐身的。因为零信任是建立在按需授权的理念之上的。
我只能访问我需要的资源。其它的都不行。除非我发起新的请求，并通过同样的验证和授权过程。
在零信任模型中，对用户的验证是动态的，持续发生的。
这意味着合法用户被攻陷后，设备验证会立即报错。他们对资源的访问将立即被切断，不安全设备和其它资源之间的连接也会立即被切断，以避免数据泄露和横向攻击。
零信任仅仅只是一个理论模型。有很多实际的产品可以帮我们实现它。
SDP（soft-Defined-Perimeter）软件定义边界
SDP可以在你的网络环境中，帮你满足大部分零信任安全模型的规范
SDP借鉴了零信任和SDN的思想，我们要知道SDP有三个组件：
SDN：https://blog.csdn.net/AtlanSI/article/details/95613225
SDN的本质特点是控制平面和数据平面的分离以及开放可编程性。
SDP客户端 SDP控制器 SDP网关
SDP客户端通常是安装在用户终端上的一个软件，他的功能非常广泛，包括设备验证，和SDP网关建立隧道等。
设备验证通常包括员工UEBA(用户行为分析)，EDR（终端检测响应）等功能。以检测设备是否为行为异常，或已被攻陷。
例如：注册表更改，异常的网络流量和其它被攻陷的典型行为特征等
SDP控制器
SDP控制器可以充当客户端和后端资源之间的信任协调人，控制器先与你的IDM（用户身份管理）系统对接，以便对用户请求进行身份验证和授权验证。
控制器可以通过PKI，OpenID,SAML或者AD等方式进行身份验证，控制器还有一个CA证书，用于建立客户端和后端资源之间的加密隧道，这里的关键是控制器只为客户端请求的被授权的特定资源提供访问权限
SDP网关
网关负责授权对之前隐藏的未知资源的访问。他也是和客户端之间TLS连接的终点，在这里我们再次向控制器确认客户端是否可以访问指定资源的，是否可以和应用系统建立连接
SDP方案和NAC(终端准入控制系统)方案之间最大的区别在于NAC通常只在第二层（链路层）工作，而SDP到7层都有效，这意味着用户可以被授权访问服务器1上的应用系统A，而不让访问同一个服务器上的B或者C，在SDP中，未授权用户甚至无法看到该服务器上除A之外的任何其它应用系统
对比而言，NAC方案中授权用户可以看到整个网络中的任何资源，这样是无法避免被黑客进行横向攻击的。
SDP工作例子：
一个安装了SDP客户端的用户点击了桌面上的一个应用程序，这时开始了单包授权过程，SPA数据包包含一把秘钥，SDP控制器通过秘钥识别身份，PKI之后还会用于验证、授权、设备完整性检测，随后，控制器将用户的IP信息发给SDP网关，这样，网关就知道了一会谁会过来进行建立连接，这时SDP客户端会和网关简历一个TLS隧道，之后客户端会穿过这个隧道运行应用程序，与此同时，客户端与网关始终保持和控制器的通信，随时交换信息，如果客户端的秘钥被窃取或变为无效，则会立即断开连接，并切断网络上所有应用系统与服务器的可见性。如果设备有被攻陷的迹象，它将不再被认为是可信的，也将立即与网络断开并不能访问任何资源。

SDP的主要目标是防止针对应用系统的网络攻击，不过在你的网络系统中使用SDP还有很多其他的好处，比如加密隧道，保密性。
包括在SDP协议中使用抗DOS token,以防止DOS攻击，保护位置、防止横向攻击，信息加密，实时事件响应、分段、隔离。
没有经过验证过程，零信任就不会暴露任何关于网络资源的信息，这有效的限制了攻击者在侦查阶段可以获取的信息，SDP客户端持续进行动态设备验证，可以检测到攻击者在安装和控制阶段的异常举动
贯穿整个零信任模型的“按需授权”原则可以有效的限制攻击者在行动阶段的活动。

用户认证参考：
https://spiffe.io/downloads/ 通用安全身份框架
https://www.aqniu.com/learn/39145.html