對(duì)于零信任，你需要了解的第一件事情是，對(duì)于一個(gè)強(qiáng)大的概念來說，這個(gè)名稱并不是很好。這里的重點(diǎn)不是：沒有什么可信任。相反，重點(diǎn)是：沒有假定的信任。所有信任關(guān)系都需要明確說明。

也許最好將零信任表述為零隱式信任—基于隱式信任的所有方面，這包括：

• 沒有人擁有訪問網(wǎng)絡(luò)的隱式權(quán)利-只有顯式權(quán)利，可通過網(wǎng)絡(luò)訪問特定系統(tǒng);
• 沒有人擁有保留在網(wǎng)絡(luò)上的隱式權(quán)利-只有使用網(wǎng)絡(luò)的顯式權(quán)利，前提是他們沒有表現(xiàn)不好并且系統(tǒng)保持良好狀態(tài)

軟件定義的邊界(SDP)概念源自美國國防信息系統(tǒng)局(DISA)，在過去十年中該概念得到云安全聯(lián)盟正式認(rèn)可并普及。

SDP在網(wǎng)絡(luò)級(jí)別體現(xiàn)了零信任的原則。它引入機(jī)制來控制對(duì)系統(tǒng)的網(wǎng)絡(luò)級(jí)訪問、請(qǐng)求訪問并授予訪問權(quán)限。SDP是以端點(diǎn)為中心的虛擬、深度細(xì)分的網(wǎng)絡(luò)，覆蓋所有現(xiàn)有物理和虛擬網(wǎng)絡(luò)。

SDP角色和職責(zé)

SDP依賴于網(wǎng)絡(luò)“外部”的控制器來管理對(duì)該網(wǎng)絡(luò)的訪問。

• 在受保護(hù)網(wǎng)絡(luò)上通信的實(shí)體(連接發(fā)起主機(jī))必須運(yùn)行SDP軟件，并通過SDP控制器進(jìn)行身份驗(yàn)證。請(qǐng)注意，這里的身份驗(yàn)證涉及多級(jí)別的驗(yàn)證，包括從設(shè)備證書到活躍系統(tǒng)運(yùn)行狀況檢查，并且始終包括用戶身份驗(yàn)證-最好是多重身份驗(yàn)證。
• 通過身份驗(yàn)證后，連接發(fā)起主機(jī)會(huì)被告知允許與哪些其他實(shí)體(接收主機(jī))通信，并告知那些主機(jī)允許其與之通信?？刂破饕呀?jīng)知道接收主機(jī)控制器;它們已經(jīng)通過驗(yàn)證。對(duì)控制器當(dāng)前不可見的主機(jī)不在允許的主機(jī)列表中。接收主機(jī)的列表由背景信息決定，根據(jù)發(fā)起主機(jī)嘗試連接的服務(wù)以及該服務(wù)允許執(zhí)行的操作。它應(yīng)僅包括那些對(duì)所請(qǐng)求的通信必不可少的接收主機(jī)。 發(fā)起主機(jī)直接建立虛擬專用網(wǎng)隧道到給定接收主機(jī)。請(qǐng)注意，控制器不是該端到端加密虛擬網(wǎng)絡(luò)的一部分。
• 對(duì)于不在控制器授權(quán)的發(fā)起主機(jī)列表中的主機(jī)，接收主機(jī)將拒絕或丟棄這些主機(jī)發(fā)起的網(wǎng)絡(luò)通信。
• 控制器和主機(jī)可以在或不在現(xiàn)場(chǎng);云控制器可以管理任何地方的主機(jī)的通信，本地控制器也可以。甚至SaaS選項(xiàng)也可以通過代理或云訪問安全代理，置于SDP的保護(hù)之下。

各種架構(gòu)將網(wǎng)關(guān)主機(jī)放置在環(huán)境中，它們充當(dāng)該環(huán)境外的客戶端(無論是數(shù)據(jù)中心還是云)的接收主機(jī)，并與提供服務(wù)的實(shí)際主機(jī)進(jìn)行所有通信。發(fā)起主機(jī)僅看到網(wǎng)關(guān)，而從不直接與提供應(yīng)用程序服務(wù)的基礎(chǔ)結(jié)構(gòu)進(jìn)行通信。

部署SDP的主要好處是，在控制器允許接收主機(jī)連接前，該接收主機(jī)對(duì)網(wǎng)絡(luò)中其他系統(tǒng)和用戶不可見。只有控制器批準(zhǔn)的發(fā)起主機(jī)能看到它;對(duì)于其他所有事物，它都不可見。這是一種非常強(qiáng)大的基本安全狀態(tài)，也是DISA推廣此方法的主要原因。

SDP是零信任的一種形式

由于SDP是基于“誰可以與誰連接”的精細(xì)管理，并且默認(rèn)立場(chǎng)是“如果未明確批準(zhǔn)，則沒有流量傳輸”，因此SDP顯然是零信任的一種形式。

但是，零信任的范圍更廣，并且包含SDP中認(rèn)為不是必不可少的概念。例如，零信任要求動(dòng)態(tài)的信任映射來響應(yīng)行為。SDP允許這樣做，但這并不被認(rèn)為是基礎(chǔ)。

SDP還假定，在控制器的指導(dǎo)下，主機(jī)是唯一的實(shí)體，以決定是否進(jìn)行網(wǎng)絡(luò)通信、從未經(jīng)批準(zhǔn)的通信伙伴丟棄數(shù)據(jù)包。另外，零信任度允許基礎(chǔ)架構(gòu)可以主動(dòng)參與，從而在流量到達(dá)主機(jī)之前就將其丟棄。在零信任下，可能包含基于網(wǎng)絡(luò)的組件用于流量管理，除SDP之外或替代SDP。

那些尋求建立全面、多云安全基礎(chǔ)的企業(yè)正在擁抱零信任的概念，但他們還應(yīng)該評(píng)估SDP工具以表達(dá)該原則。

分享題目：了解零信任-SDP關(guān)系
當(dāng)前鏈接：http://uogjgqi.cn/article/cccpiji.html