|
|
传统边界理念
边界安全理念在早期网络环境中是有效的，因为当时的网络规模不大，业务也不复杂，通过边界隔离可以很好的阻断蠕虫类攻击传播和一些未授权的访问，总的来说具有以下优点
优点
1、简单可靠：通过明确的边界和策略，保护目标资源。
2、阻断掉过彻底：可以基于网络层彻底阻断请求数据进入区域内
3、业务入侵低：业务不用做过多改造，边界隔离系统和检测系统可以透明部署
缺点
1、同域横向攻击难以防护：安全设备通常无法覆盖到同域环境内的系统，也自然无法进行防护
2、合法权限的复用难以防护：攻击者通常可以复用合法权限（如口令、访问票据等），边界安全理念系统难以区分是正常访问，还是攻击数据
3、安全检测盲点：边界防护通常不介入到业务中，难以还原所有的轨迹，不能有效关联分析，存在监测盲点
4、边界容易绕过：难以抵御高级威胁攻击，防护机制容易被绕过
5、对云计算等新技术新应用的适应性不强
零信任理念
零信任安全架构提供了增强安全机制，在新的架构模型下，可以区分恶意和非恶意的请求，明确人、终端、资源三者关系是否可信，并进行“持续校验”（NeverTrust，Always Verify），优点如下：
优点
1、安全可信度更高:信任链条环环相扣，如果状态发生改变，会更容易被发现
2、动态防护能力更强:持续校验，更加安全。
3、支持全链路加密，分析能力增强、访问集中管控、资产管理方便等
缺点
1、单点风险：零信任是强管控架构，对资源的控制都集中在网关上，因此一旦单点故障会导致整个业务中断
2、权限集中风险：零信任架构将很多风险收敛集中起来，降低了管理成本但集中化管理如果失控也会带更大风险
3、复杂化：零信任架构覆盖面很广，架构涉组件多，更加复杂，增加了故障判断和修复成本
4、投入风险：零信任架构建设周期比一般架构体系要更长，如果不能持续投入容易功亏一篑
总结
比如传统安全模型结构简单，零信任架构复杂，可是安全防护能力更强,对比如下表
零信任与传统安全产品/设备的关系
零信任是一种安全理念，本质上和传统安全产品/设备并不是同一个维度的概念，但是零信任架构落地的时候，会和传统安全产品/设备产生协作，甚至可能会替代某些传统安全产品/设备
和防火墙的关系
协作补充关系：防火墙提供了划分网络边界、隔离阻断边界之间的流量的一种方式，通过防火墙可以提供简单、快速有效的隔离能力。防火墙和零信任在实践中可以互相补充，常见的场景是在实施了零信任的环境中，通过防火墙限制除了零信任网关端口外的一切访问，最小化非信任网络到信任网络的权限，将攻击面降到最低。
与IAM的关系
协作支撑关系：零信任强调基于身份的信任链条，传统IAM系统可以为零信任提供身份（账号）唯一标识，身份属性，身份全生命周期管理等支持。
与SOC/SIEM/Snort等产品的关系
协作支撑关系：零信任重要理念之一是持续安全校验。校验对象包含了用户、环境、资源、行为是否可信。一些深层次的安全分析往往需要大量数据支撑和较多资源的投入，集中在零信任的策略引擎中会带来引擎负载过大、影响引擎稳定性等风险。因此零信任可以依赖 SOC/SIEM/Snort等产品来实现更深入的风险分析等。
1、SOC/SIEM/Snort等产品的分析检测结果可以输出给零信任，协助零信任做风险评估和判断
2、零信任可以将用户行为数据传给SOC/SIEM/Snort等产品，这些产品根据数据进行分析
与OTP（一次一密）的关系
协作支撑关系：一次一密（OTP）结合PIN码或其他鉴权因子可以实现更加可信的身份鉴别，提高零信任系统中用户可信这一层面的安全性。
与虚拟专用网络（VPN）关系
虽然零信任和VPN是不同维度的概念，但在安全接入和数据加密通信等方面有相似性。Gartner预测到2023年将有60%的VPN被零信任取代。下表是零信任和VPN的比较。
|
|
数据安全
2059 人阅读
|
0 人回复
