本文來(lái)自微信公眾號(hào)數(shù)世咨詢，作者/recco。
云安全聯(lián)盟(CSA)最近發(fā)布了軟件定義邊界(SDP)2.0規(guī)范，該規(guī)范與2014年發(fā)布的規(guī)范相比，參考結(jié)合了美國(guó)聯(lián)邦政府的零信任戰(zhàn)略、網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局(CISA)的零信任成熟度模型以及國(guó)家安全電信咨詢委員會(huì)(NSTAC)的零信任和可信身份管理報(bào)告中的許多建議與要求。
SDP2.0不僅更新了實(shí)現(xiàn)SDP的核心組件和原則，還強(qiáng)調(diào)了云原生架構(gòu)、服務(wù)網(wǎng)格實(shí)施，以及更為廣泛的零信任技術(shù)、產(chǎn)品與方案之間的協(xié)同。下面讓我們看一看SDP2.0有哪些關(guān)鍵內(nèi)容：
1、圍繞軟件和網(wǎng)絡(luò)資產(chǎn)
從更高的視角來(lái)看，SDP本質(zhì)上是一個(gè)以軟件和網(wǎng)絡(luò)資產(chǎn)為邊界的技術(shù)，而不是傳統(tǒng)的以網(wǎng)絡(luò)基礎(chǔ)設(shè)施為邊界。由于云計(jì)算的普及，硬件設(shè)備、操作系統(tǒng)、功能服務(wù)等等，所有網(wǎng)絡(luò)資產(chǎn)都可以被軟件定義和代碼化，因此SDP的出現(xiàn)是順理成章的。
對(duì)于安全而言，SDP還有助于實(shí)施零信任的基本原則，如最小權(quán)限訪問(wèn)控制、假定已被入侵和基于先驗(yàn)證再信任的方法論。
“網(wǎng)絡(luò)邊界已死，SDP萬(wàn)歲。”
——SDP概念的締造者之一Juanita Koilpillai
2、基本架構(gòu)
SDP2.0的的基本架構(gòu)包括SDP主機(jī)、SDP控制器，以及控制平面和數(shù)據(jù)平面。
SDP控制器可以看做是零信任上下文中的策略決策點(diǎn)(PDP)，用于定義訪問(wèn)控制策略。SDP主機(jī)的功能類似于零信任上下文中的策略實(shí)施點(diǎn)(PEP)，通常位于應(yīng)用程序和服務(wù)的前面，用于實(shí)現(xiàn)SDP控制器定義的訪問(wèn)策略。
SDP控制器可與內(nèi)部實(shí)體進(jìn)行通信，如身份和訪問(wèn)管理(IAM)服務(wù)，如果組織正在使用基于云的身份即服務(wù)(IDaaS)，則可與外部實(shí)體進(jìn)行通信。
SDP主機(jī)既是發(fā)起主機(jī)又是接受主機(jī)，與訪問(wèn)請(qǐng)求的工作流保持一致。發(fā)起主機(jī)(IH)通常提供與身份相關(guān)的信息，但在更成熟的系統(tǒng)中，還可提供設(shè)備態(tài)勢(shì)或地理位置等數(shù)據(jù)。這一點(diǎn)完全符合網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局(CISA)的零信任成熟度模型中的“設(shè)備支柱”。
在“設(shè)備支柱”中被視為“高級(jí)”的組織，使用與設(shè)備相關(guān)的實(shí)時(shí)風(fēng)險(xiǎn)分析，以促進(jìn)對(duì)數(shù)據(jù)或資源的訪問(wèn)控制決策。
接受主機(jī)(AH)的基本功能是作為策略實(shí)施點(diǎn)(PEP)來(lái)控制對(duì)資源或服務(wù)的訪問(wèn)，AH接收SDP控制器的指令，以促進(jìn)和執(zhí)行訪問(wèn)控制決策。
從以上的基本架構(gòu)組件中可以看出，SDP2.0與業(yè)界廣泛接受的零信任原則保持一致。
3、部署模型
SDP2.0支持六種部署模型，模型中的核心組件，如客戶端、服務(wù)器和網(wǎng)關(guān)是重點(diǎn)。客戶端是請(qǐng)求訪問(wèn)資源的人員或非人實(shí)體(NPE)。SDP網(wǎng)關(guān)的功能類似于上面介紹的AH，運(yùn)行資源和數(shù)據(jù)的策略實(shí)施點(diǎn)(PEP)。在需要端到端保護(hù)的模型中，AH和服務(wù)器作為單個(gè)主機(jī)運(yùn)行，直接實(shí)施組織的訪問(wèn)控制策略，而無(wú)需網(wǎng)關(guān)。組織應(yīng)該清楚這些部署模型的區(qū)別，以選擇最符合需求的部署模型。
4、工作流
成功實(shí)施SDP的關(guān)鍵因素之一是理順相關(guān)的工作流，包括發(fā)起和后續(xù)SDP控制器的工作流程，以及先前討論的用于實(shí)施更廣泛SDP架構(gòu)的AH和IH的工作流程。
通過(guò)上述內(nèi)容可以看出，SDP控制器對(duì)SDP體系結(jié)構(gòu)的重要性不言而喻。因此，組織會(huì)傾向于部署多個(gè)SDP控制器，以促進(jìn)負(fù)載均衡和全面的系統(tǒng)韌性能力，并得以緩解單點(diǎn)故障(SPoF)的風(fēng)險(xiǎn)。簡(jiǎn)而言之，理解SDP工作流是關(guān)鍵。
5、減少攻擊面
通過(guò)降低資源對(duì)非授權(quán)實(shí)體的可見性來(lái)最小化攻擊面，是SDP的基礎(chǔ)特性之一。單包授權(quán)(SPA)使用加密技術(shù)，有密鑰的設(shè)備可以與SDP組件建立網(wǎng)絡(luò)連接，沒(méi)有密鑰的設(shè)備則無(wú)法建立連接。
6、相互驗(yàn)證
SDP2.0的另一個(gè)關(guān)鍵特征是SDP組件之間的相互驗(yàn)證。美國(guó)聯(lián)邦政府零信任戰(zhàn)略和CISA的零信任成熟度模型均有描述，即成熟的零信任環(huán)境會(huì)盡可能加密所有流量，不僅對(duì)外部通信加密，也加密內(nèi)部通信。所有SDP部署模型都強(qiáng)調(diào)“mTLS”(Mutual TLS)，并通過(guò)身份和設(shè)備驗(yàn)證等附加步驟提供支持。
