零信任入门知识——云时代企业面临的安全挑战

从IT基础设施诞生以来，企业通常都是围绕其数据中心部署边界防御措施来保护自己的内部资源，比较常见的有防火墙、入侵检测系统、入侵防御系统等。我们可以形象的称之为“城堡”模型，这个时候企业需要考虑的是如何构建更高、更厚、更结实的“城墙”，来抵御外部虎视眈眈的“敌人”发起的攻击。然而，随着企业越来越多的采用云计算、大数据、移动互联网等新兴技术，过去只在企业内网中的应用被放到了云上，出现了“云应用”；而过去只在“城堡”内办公的人也走出了“城堡”，出现了“移动办公”。这使得传统的基于“城堡”模型的固有安全边界被打破，企业的IT架构正在从“有边界”向“无边界”进行转变。

然而，在这个“无边界”的时代，网络上的黑客可以通过诸如网络钓鱼攻击等手段轻松的劫持边界内的设备，并从内部攻击企业的应用服务器。同时，由于自带设备办公（BYOD）的普及、以及企业外包人员和合作伙伴的存在，使得边界内部的设备逐渐增多，导致系统漏洞和威胁不断增加。

另外，除了传统的数据中心，企业正在不断的使用外部的云计算资源，比如PaaS、IaaS和 SaaS，导致防火墙、IDS、IPS等传统的边界安全网络设备，在网络拓扑上已经不能很好的保护企业的应用服务器。因此，在“云时代”、“无边界”时代下企业迫切需要找到一种新的方法，来保护企业数据中心的服务器，以及位于公有云当中的应用设施。

SDP是什么

SDP全称是Software Defined Perimeter，即“软件定义边界”，是国际云安全联盟CSA于2013年提出的基于零信任（Zero Trust）理念的新一代网络安全模型。SDP旨在通过软件的方式，在“移动+云”的时代背景下，为企业构建起一个虚拟边界，利用基于身份的访问控制机制，为企业应用和服务穿上“隐身衣”，使网络黑客因看不到目标而无法对企业的资源发动攻击，有效保护企业的数据安全。

SDP体系结构通常由两部分组成：SDP主机和SDP控制器。SDP主机可以发起连接或接受连接。这些操作通过安全控制通道与SDP控制器交互来管理。在SDP中，控制平面与数据平面分离以实现完全可扩展的系统。而在获得对受保护服务器的网络访问之前，SDP要求发起方首先进行身份验证并获得授权，然后在请求系统和应用之间实时创建加密连接。

SDP对于企业的核心价值

SDP可以有效的减少暴露面和被攻击面，缓解或者彻底消除安全威胁、风险和漏洞，帮助企业更好的保护自己的数据资产，使企业能够集中资源于自身所擅长的领域，是企业数据资产的贴身保镖。

1. SDP帮助企业应用和服务在网络上实现“隐身”，以减少被攻击的风险
2. SDP为企业提供一种更灵活的VPN替代方案，使远程访问/办公更便捷、更安全。
3. SDP助力企业业务发展，使企业应用可以实现安全上云。
4. SDP为企业用户访问应用提供一致的体验，与用户当前所处的网络位置无关。

国外SDP成功实践案例

Google BeyondCorp：基于SDP的安全办公平台

BeyondCorp 一开始是 Google 内部的一项举措，旨在让每个员工都能在不借助 VPN 的情况下通过零信任的网络工作，如今它已融入大部分 Google 员工的日常工作。 BeyondCorp通过将访问权限控制措施从网络边界转移至具体的设备，让员工可以更安全地在任何地点工作，而不必借助于传统的 VPN。 2009年Google内网遭受了代号为“极光行动” 的APT攻击，推动Google重新搭建整体安全架构，从而诞生了BeyondCorp项目。自2012年Google开始在内部实施BeyondCorp，共发表了6篇相关的论文。

美国国防部与中情局的实践

SDP安全模型源于美国国防部（DoD）与联邦政府机构多年的零信任安全实践。美国中情局的前CTO、著名安全专家Bob Flores是国际云安全联盟SDP标准工作组的联席主席。