在之前的文章中,深信服提出,零信任不止于遠程辦公,應(yīng)逐步向更廣泛的場景進發(fā),詮釋安全接入的全新范式。
在幫助用戶向更廣泛的應(yīng)用場景進發(fā)過程中,我們識別到零信任還面臨兩大挑戰(zhàn):
挑戰(zhàn)一:零信任SDP無法緩解人的脆弱性帶來的安全風(fēng)險。
挑戰(zhàn)二:零信任SDP所設(shè)想的最小權(quán)限過于理想,落地障礙巨大。
對此,深信服不禁思考:我們需要的是一款怎樣的零信任SDP產(chǎn)品?
一張?zhí)珮O八卦圖,可以很好描述我們的啟發(fā)性思考。
浩瀚宇宙間,一切事物和現(xiàn)象都包含著陰和陽,相反相成,缺一不可。
實戰(zhàn)攻防中,黑白并舉,攻守兼?zhèn)?方能謂之業(yè)務(wù)安全接入防護之“道”。
用戶真正需要的零信任SDP產(chǎn)品,除了具備體系化與縱深化的被動防御能力,還應(yīng)該擴展主動防御能力。而這兩種能力,需要以超前穩(wěn)定的底層架構(gòu)內(nèi)核能力為支撐。
由此,深信服在業(yè)界率先推出零信任全新能力X-SDP——集“被動防御+主動防御”于一身,擴展升級傳統(tǒng)SDP架構(gòu),創(chuàng)新融合“鑒白”“鑒黑”邏輯,實現(xiàn)零信任SDP產(chǎn)品的又一大能力跨越,助力用戶安全領(lǐng)先一步。
01
三道防線 層層守護
——體系化與縱深化的被動防御能力
從攻防對抗視角看,當SDP構(gòu)建起業(yè)務(wù)防護邊界,攻擊者一般只能從SDP賬號、SDP終端和暴露在外網(wǎng)的SDP設(shè)備入手。
攻擊者需要突破這三道防線,才能攻擊受保護業(yè)務(wù)系統(tǒng)。
基于此,深信服零信任圍繞“賬號、終端、設(shè)備”體系化建設(shè),深挖戰(zhàn)壕,構(gòu)建層層縱深防護的三道安全防線。
第一道:設(shè)備安全防線
SDP設(shè)備的自身安全是業(yè)務(wù)訪問安全的基石。
在設(shè)備被攻破前,深信服零信任提供SPA單包授權(quán)、RASP自防護、防中間人攻擊的三道子防線。即使在極端情況下,設(shè)備被攻破,深信服零信任也可以提供、HIPS防護、安全內(nèi)核的兩道子防線,層層守護設(shè)備自身安全性。
其中,深信服持續(xù)引領(lǐng)SPA單包授權(quán)技術(shù)的發(fā)展和創(chuàng)新,率先推出第四代SPA“一次一碼”,完美規(guī)避以往安全碼泄露、冒用等潛在風(fēng)險。
第二道:賬號安全防線
基于攻擊視角,深信服零信任賬號安全防線可以分為兩個階段:
在賬號登錄前,需經(jīng)首次認證、終端認證、準入檢查、多因素認證、增強認證,五道認證機制,層層審核。
在賬號登錄后,通過權(quán)限鑒權(quán)、動態(tài)權(quán)限訪問控制,告別以往“非黑即白”的粗放式管理,形成精細化管控。
第三道:終端安全防線
假設(shè)終端已經(jīng)失陷的情況下,深信服零信任終端安全防線可通過基線核查、進程安全、網(wǎng)絡(luò)隔離、終端數(shù)據(jù)防泄漏、權(quán)限鑒權(quán)、動態(tài)權(quán)限訪問控制,有效防止攻擊者通過已失陷終端作為跳板攻擊業(yè)務(wù)系統(tǒng)。
深信服零信任提供驅(qū)動級終端網(wǎng)絡(luò)隔離能力,支持10+終端基線檢查,在“辦公不上網(wǎng),上網(wǎng)不辦公”的場景,用戶連接辦公網(wǎng)則自動斷開互聯(lián)網(wǎng)等不安全網(wǎng)絡(luò),有效防止終端遠控。
02
零誤報鑒黑 秒速自阻斷
——可擴展的主動防御能力
零信任SDP是對傳統(tǒng)邊界安全機制的升級,在解決傳統(tǒng)邊界模糊、不可控的問題時,隨著社工釣魚、遠控內(nèi)部終端等攻擊手法愈發(fā)常見,仍然面臨著利用人員的習(xí)慣性疏忽進行攻擊、最小化權(quán)限過于理想以致難以落地等挑戰(zhàn)。
為了逆轉(zhuǎn)實戰(zhàn)中攻防不對等的局面,零信任SDP需要進一步演化升級,向協(xié)同式的“被動防御+主動防御”進行轉(zhuǎn)變,切實兌現(xiàn)業(yè)務(wù)安全接入的承諾。
深信服零信任X-SDP創(chuàng)新擴展主動防御能力,通過威脅誘捕和安全雷達兩大核心能力,持續(xù)強化和升級主動防御和主動預(yù)警的能力,實現(xiàn)原生零誤報鑒黑、秒速自阻斷。
威脅誘捕——請君入甕 手到擒來
當終端被攻陷,攻擊者需要通過失陷終端查找網(wǎng)絡(luò)路由DNS、翻找瀏覽器記錄和磁盤敏感文件、訪問業(yè)務(wù)應(yīng)用等方式進行掃描偵察。
零信任X-SDP通過主動部署終端多維誘餌、應(yīng)用誘餌,以及獨創(chuàng)的原生無交互蜜罐,推送終端文件、瀏覽器記錄、網(wǎng)絡(luò)路由等多種類型的信息類誘餌,引導(dǎo)潛入終端的攻擊者暴露攻擊行為,快速精準發(fā)現(xiàn)終端釣魚、帳號泄露等事件,實時阻斷攻擊通路,快速回溯攻擊路徑。
并且,這種信息類誘餌類似于在終端放置一張“紙條”,推送后不占用終端CPU和內(nèi)存資源,實現(xiàn)部署零消耗,向攻擊者反向釣魚,實現(xiàn)精準鑒黑。
安全雷達——順藤摸瓜 一網(wǎng)打盡
安全雷達可細分為行為洞察、實體調(diào)查和防線可視三個子能力,實現(xiàn)零信任訪問體系內(nèi)的全鏈路行為追蹤洞察、用戶實體AI智能風(fēng)險預(yù)警、防線縱深流量可視,完成事前預(yù)警、事中運營處置、事后溯源閉環(huán)。
1.全鏈路行為追蹤洞察
基于完整的賬號/終端/進程信息,通過會話跟蹤技術(shù)串聯(lián)日志上文,快速還原事件的完整登錄及訪問行為路徑,對事件進行定性分析,并通過關(guān)聯(lián)分析,對明確的攻擊以點帶面、以面及網(wǎng),順藤摸瓜,所有潛在威脅一網(wǎng)打盡。
2.用戶實體AI智能風(fēng)險預(yù)警
依托全身份化的訪問記錄,利用AI智能分析引擎,對關(guān)鍵實體(賬號、IP、終端)進行深入調(diào)查分析和風(fēng)險評級,高危實體及時預(yù)警,高效支撐事中運營處置。
3.防線縱深流量可視
以桑吉圖可視化的形式,展示端到端全流程用戶訪問應(yīng)用過程,通過設(shè)備/賬號/終端三道防線及15+子防線的的流量分布和流向,幫助安全管理員全方位、實時掌握安全態(tài)勢。
03
穩(wěn)穩(wěn)承載單用戶超百萬并發(fā)
——超前穩(wěn)定的底層架構(gòu)內(nèi)核能力
能力持續(xù)演進的背后,離不開超前穩(wěn)定的底層架構(gòu)內(nèi)核能力。
作為支撐業(yè)務(wù)安全訪問的設(shè)施,深信服零信任潛心打磨數(shù)十載,以高性能隧道傳輸技術(shù)X-Tunnel和自研分布式高可靠架構(gòu)X-Performance,為X-SDP提供超前穩(wěn)定的底層內(nèi)核支撐,穩(wěn)穩(wěn)承載單用戶超百萬并發(fā),兩倍超壓下業(yè)務(wù)成功率高達90%。
深信服零信任X-SDP,被動防御+主動防御一體化新能力,正如太極陰陽兩儀,既矛盾對立,又交融統(tǒng)一,兩者缺一不可,是實戰(zhàn)場景中攻防兼?zhèn)涞摹钢苿俜▽殹埂?/p>
在今年的實戰(zhàn)攻防演練中,我們有不少金融、能源等各行業(yè)用戶進行了升級試用,X-SDP的效果得以驗證并持續(xù)優(yōu)化,也歡迎更多新老朋友成為X-SDP體驗官,攜手共創(chuàng)。
