1、背景
今天在杭州跟一個金融客戶交流網絡安全方面的需求，結合他們公司的安全標準，給他們推薦了SDP產品。下面稍微給大家介紹下SDP產品的一些細節內容。
2019年底國家推出了《信息安全技術網絡安全等級保護基本要求 GB/T 22239-2019》標準，也就是大家常說的“安全等級保護2.0”簡稱“等保2.0”，其中明確規定了降低互聯網暴露面的要求。就是要求盡量減少暴露在互聯網上的端口、IP地址等網絡信息。從而降低政府、事業單位等被黑客攻擊的風險。
2、SDP理念
隨著信息安全行業中攻防技術的不斷升級，安全攻防技術升級，世界范圍內越來越多的安全公司開始將人工智能、機器學習、自然語言處理等技術運用到安全產品中，加強自己的安全防御能力。
隨著互聯網技術不斷地發展，傳統行業的信息化逐漸向移動化轉變，使得企業信息、人員和服務等都與網絡深度綁定，從過去相對獨立、分散的網絡轉變為深度融合、相互依賴的整體。
隨著企業的業務系統逐步遷移到云端，業務逐漸接入終端移動端，網絡的架構更加復雜，使得傳統的網絡邊界日益模糊。傳統的安全邊界不再堅固，企業網絡架構轉向“無邊界”化。企業的網絡安全也正遭受嚴重的威脅。常見的幾種威脅：APT攻擊、DDoS攻擊、常見病毒攻擊等。
3、SDP安全架構
SDP全稱是Software Defined Perimeter，即軟件定義邊界，是由國際云安全聯盟CSA于2013年提出的基于零信任(Zero Trust)理念的新一代網絡安全技術架構。SDP的設計理念是“零信任”架構設計。就是對未取得安全策略認可的一切設備、信息都置為“不可信”，直至通過設置好的策略后取得信息后方可執行。零信任架構建議圍繞業務系統創建一種以身份為中心的全新邊界，而不是像VPN一樣建立一條“基于網絡邊界的信任機制”。傳統的VPN是以授權給每個人一個可供登錄的賬號密碼，創建了一條加密的虛擬通道，直接連接到企業的內網。至于連接后在內網作了哪些操作動作以及是否存在違規風險操作是無法監控的。而SDP的理念是先由客戶端發起一個連接請求，通過SPA（單包授權），首先接入到的是控制器服務，由控制器服務認證鑒權，認證通過后會將需要連接的內網地址、端口等下發給客戶端，并且連接的隧道是加密的。通過認證后客戶端才會知道真正自己要連接的內網服務器的IP和端口。在沒有取得授權之前客戶端是無法知道真正的內網接入的IP和端口的。
控制器的作用不只是認證授權，還會配置一系列的安全接入的策略。以賬號密碼等多因子認證，實現了“預認證”“預授權”并下發單次接入通道，下發“最小化權限原則”不會將所有內網的操作權限和資源都公開。后續會根據設定的安全策略，逐步地“持續信任評估”，如根據用戶所處的網絡環境、連接工具、常用的IP、操作習慣等因素判斷信任程度。在零信任模型中，所有業務系統都隱藏在安全網關后面。
SDP的通信加密隧道可以采用臨時密鑰機制，周期性地更新認證的臨時密鑰，保障了加密隧道的安全性。并且數據在傳輸過程中使用密鑰簽名，可以有效地防止在傳輸過程中被黑客模擬篡改，數據一旦校驗失敗，SDP安全網絡會丟棄異常的數據包。一般的SDP隧道的數據以UDP包形式傳輸，一旦被丟棄會自動重發。數據包傳輸成功后會動態變更請求頭信息，做到防重放攻擊，即使黑客拿到了之前的正確請求消息并向隧道重放請求，安全網關也會自動丟棄。
SDP架構設計圖
4.CZSP 認證
2020年國際云安全聯盟大中華區組織了第一屆的CZSP的專業認證考試，通過考試的人員授予國際認可的證書。
5.SDP產品
各個廠商的SDP產品實現的邏輯大不相同，有的是基于已有的VPN技術改造，如：深信服，有的基于簡單的零信任理念設計，如：安恒、華安網信、深云互聯、指掌易、易安聯、聯軟等
這里只是簡單的講解了下SDP的原理及相關的一些信息，具體細節的技術和問題，如果大家有興趣可以留言討論或者私信單聊。
