读零信托网络：在不可信网络中构建安全系统06授权
https://img2024.cnblogs.com/blog/3076680/202408/3076680-20240801162911577-7968123.png1. 授权
1.1. 授权决策不容忽视，所有访问哀求都必须被授权
1.2. 数据存储系统和其他各支撑子系统是授权的基石
1.2.1. 子系统提供访问控制的权势巨子数据源和评估依据，直接影响授权决策
1.2.2. 谨慎区分各子系统的职责和能力，需要将其严格隔离
1.2.3. 尽量避免将它们归并到一个单体系统实现
2. 授权体系架构
2.1. 计谋执行组件
2.1.1. 在整个零信托网络中大量存在，摆设时需要尽可能地靠近工作负载
2.2. 计谋引擎
2.2.1. 依据事先订定好的计谋，对哀求及其上下文举行比较并做出决策，根据决策效果通知计谋执行点对访问哀求放行还是拒绝
2.3. 信托引擎
2.3.1. 计谋引擎调用信托引擎，利用各种数据源分析并评估风险
2.3.2. 风险评分类似名誉等级，能有效防护未知威胁，通过风险评分可以提升计谋的安全性和鲁棒性，又不至于因为思量各种界限场景而引入复杂性
2.4. 数据存储系统
2.4.1. 授权决策依据的大量数据都存放在数据存储系统中，各种数据库构成了授权决策的权势巨子数据源，基于这些数据，可以将所有哀求的上下文清晰地刻画出来
2.4.2. 一样寻常利用认证阶段已经确认的实体标识信息作为数据库的主键，用户名和装备序列号都是常用的实体标识
2.4.3. 数据存储系统是授权决策过程的重要支撑系统
2.5. 组件职责各不相同
2.5.1. 视为不同的子系统，从安全的角度来看，将这些组件彼此隔离大有必要
2.5.2. 授权组件是零信托安全模型的核心构成要素，其安全性至关重要，可维护性也需要妥善评估
2.5.3. 不管出于任何目标，如果不得不把这4大组件归并到一个单体系统实现，那么其可行性和安全性都必须谨慎评估，最好是尽量避免这种实现方式
3. 计谋执行组件
3.1. 两大职责
3.1.1. 和计谋引擎交互完成授权决策
3.1.2. 授权决策效果的强制执行
3.1.3. 可以通过一个组件实现，也可以由两个系统组件来分别实现
3.2. 计谋执行组件的位置非常重要
3.2.1. 作为零信托网络在数据平面的现实控制点，它也可以被称为计谋执行点
3.2.2. 需要确保其摆设位置尽量靠近终端，否则信托“收缩”到计谋执行组件之后，零信托的安全性可能会受到影响
3.3. 计谋执行组件确保计谋引擎的授权决策对所有的网络哀求生效，一样寻常位于用户流量必经的数据平面，通过调用计谋引擎举行授权决策并强制执行
4. 计谋引擎
4.1. 计谋引擎基于系统管理员订定的计谋和数据存储系统中存放的数据举行授权决策，是零信托网络的关键组件，其运行环境应该被严格地物理隔离
4.1.1. 在计谋引擎和计谋执行组件之间举行历程级隔离还是必须的
4.1.2. 将计谋引擎作为独立的历程举行摆设，能确保其不受计谋执行组件因为Bug或漏洞而导致的网络攻击的影响
4.2. 计谋引擎是零信托授权模型中举行授权决策的组件
4.2.1. 接收来自计谋执行组件的授权哀求
4.2.2. 和预先订定好的计谋举行比较，决定哀求是否被允许
4.2.3. 决策效果返回计谋执行组件举行强制执行
4.3. 低耽误授权系统适用于对网络活动举行细粒度的复杂授权
4.3.1. 一种可能的场景是作为计谋执行组件的负载均衡器通过历程间通信（IPC）机制而不是网络长途调用发起授权哀求，这种架构可以低落授权决策的时间耽误，此优势在某些场景下很有吸引力
4.3.2. 授权的低耽误就至关重要
4.4. 版本控制系统
4.4.1. 传统的变更管理流程不能很好地满足计谋存储的需求，为了能通过步伐自动对系统举行设置，版本控制系统应运而生
4.4.2. 利用版本控制系统，计谋规则数据可以通过步伐自动读取和利用，加载特定版本的计谋就像摆设一个软件一样简单，而不是像以前一样依靠系统管理员手动加载期望的计谋版本
4.4.3. 系统管理员可以利用成熟的尺度软件开发过程来管理计谋的变更，比如代码回顾、连续集成等软件开发管理的技术手段都能派上用场
4.5. 计谋存储系统
4.5.1. 计谋引擎举行授权决策时所利用的规则需要被长期化存储，计谋规则虽然最终被加载到计谋引擎模块中，但是其订定、存储和管理最好独立于计谋引擎
4.5.2. 将计谋规则存放在版本控制系统中是一种值得推荐的方案
4.5.2.1. 计谋的变更可连续跟踪
4.5.2.2. 计谋变更的缘由可通过版本控制系统举行跟踪
4.5.2.3. 计谋设置的当前状态可通过现实的计谋执行机制举行验证
4.6. 订定计谋
4.6.1. 零信托网络计谋利用信托评分对未知攻击向量举行预估和防护，订定计谋时引入信托评分机制，管理员可以很好地缓解未知威胁，这种威胁很难通过一条具体的计谋举行匹配和处理，因此，应该尽可能地采用信托评分机制
4.6.2. 零信托计谋尚未尺度化
4.6.2.1. 在零信托网络框架下，良好的计谋每每是细粒度的，粒度的粗细一样寻常和网络的成熟度有关
4.6.2.2. 零信托模型和传统网络安全在计谋上的差异点主要体现在用于定义计谋的控制机制不同
4.6.2.2.1. 零信托计谋不基于网络具体信息（如IP地点或网段），而是基于网络中的逻辑组件来订定计谋
4.6.2.2.1.1. 网络服务
4.6.2.2.1.2. 装备终端分类
4.6.2.2.1.3. 装备终端分类
4.6.2.3. 基于网络中的逻辑组件定义计谋，有利于计谋引擎充分利用网络的当前状态等各类信息作为授权决策依据
4.6.3. 尚无计谋描述尺度
4.6.3.1. 目前成熟的零信托网络方案大多是非公开的，它们采用了私有的计谋语言和格式
4.6.3.2. 尺度的、互操作性强的计谋语言，其代价毋庸置疑，但遗憾的是，尺度化工作目前尚未实质性开
4.6.3.3. 计谋不仅仅依靠信托评分，访问哀求包罗的其余属性对计谋订定和授权决策也不可或缺
4.7. 需要将计谋定义和管理的权责开放给资源或服务的所有者，以便分担管理员的计谋维护压力
4.7.1. 将计谋定义权限开放给服务所有者会引入一些潜在风险
4.7.2. 一种有效的流程是计谋查察
4.7.2.1. 计谋都是基于逻辑实体举行定义的，和针对物理实体定义计谋的传统方式相比，前者变更的频率会低很多
4.7.3. 别的一种手段是实施分层计谋
4.7.3.1. 计谋引擎可以默认拒绝来自非信托源的宽松的计谋定义和声明
4.8. 计谋引擎周期性地从权势巨子清单库读取各类实体的属性值，并基于一定的算法举行风险评分盘算
4.8.1. 对风险举行量化并不简单，一种可行的方案是定义一系列专门的规则来对实体的风险评分举行估计
5. 信托引擎
5.1. 信托引擎作为安全系统的新面孔，基于静态规则或机器学习算法盘算访问哀求的信托评分
5.1.1. 信托引擎是对特定的网络哀求或活动举行风险分析的系统组件
5.1.2. 其职责是对网络哀求及活动的风险举行数值评估，计谋引擎基于这个风险评估举行进一步的授权决策，以确定是否允许此次访问哀求
5.1.3. 信托评分是对系统和组件当前信托程度的量化表示，计谋订定者可以基于访问资源所需的信托等级来定义计谋
5.1.4. 信托引擎是利用汗青数据的主要组件
5.2. 成熟的信托引擎除了利用静态规则，还大量采用机器学习技术来实现信托评分功能
5.2.1. 信托引擎一样寻常会混淆利用基于规则的静态评分方法和机器学习方法
5.2.2. 机器学习通过将活动数据的一个子集作为训练数据举行模型训练，推导出评分函数，这些训练数据来自于原始观测，每一条训练数据都和一个信托或不信托的实体相关联，即这些数据已经举行了明确的标定
5.3. 哪些实体需要评分
5.3.1. 应该对攻击者的网络代理举行阻止，这样可以保证正当用户的网络代理不受影响
5.3.1.1. 需要将网络代理作为团体举行风险评分
5.3.2. 仅仅对网络代理举行团体评分是无法对抗其他攻击向量的
5.3.2.1. 装备本身也应该被单独评分
5.3.3. 内部威胁场景
5.3.3.1. 一个恶意用户利用多台网吧装备盗取机密的买卖业务数据，信托引擎应该识别这类行为，并为后续的授权决策连续地给出较低的信托评分，即便此用户换用其他装备发起访问也不能改变其信托评分
5.3.3.2. 用户及其行为需要被单独评估
5.3.4. 应该同时对网络代理及网络代理的构成要素（装备、用户及应用步伐）举行风险评分
5.4. 在很多场景下，一个及时的综合信托评分就足够了，但这样会对信托引擎的可用性提出更高的要求
5.4.1. 为了动态选择最佳的评分函数，信托引擎必须知道被授权哀求的上下文信息，这种方案的构建和运维都会变得更加复杂
5.5. 信托评分的暴露存在风险
5.5.1. 实体的信托评分看似并不机密，但仍然需要尽量避免将信托评分暴露给最终用户
5.5.2. 对于潜在攻击者，当前信托评分无疑是一种提示信号，让他们可以知悉自己在当前系统中的信托度正在上升还是下降，从而举行更多的攻击尝
5.5.3. 隐藏信托评分也需要适度，不要让最终用户完全无法理解他们的行为是如何影响信托评分的，安全和易用需要适量均衡
5.5.4. 一种较好的折中方式是，不直接提供信托评分给用户，但明确标识出能提升信托评分的影响因子
6. 数据存储系统
6.1. 零信托网络的权势巨子数据库存放系统当前和汗青的各类数据
6.1.1. 计谋引擎直接或间接地利用这些数据举行授权决策
6.1.2. 计谋引擎、信托引擎甚至其他第三方系统都大量利用这些数据库作为信托源，利用率较高
6.2. 用于授权决策的数据库可以被视为系统当前和汗青状态的权势巨子数据源
6.2.1. 数据库存放的信息被控制平面的各个系统利用，是授权的一个重要的决策依据
6.3. 存放在控制平面数据库内的信息通过授权系统，最终传递给计谋引擎举行授权决策
6.3.1. 这些数据被计谋引擎直接或间接利用
6.3.2. 当其他系统需要知道网络的当前状态时，这些数据库也是非常有用的权势巨子数据源
6.4. 按照功能划分的数据库
6.4.1. 清单库
6.4.1.1. 清单库是记录资源当前状态的权势巨子数据源
6.4.1.2. 用户清单库存放所有的用户信息
6.4.1.2.1. 用户清单库一样寻常利用用户名做主键
6.4.1.3. 装备清单库则记录公司所有在册的装备的最新信息
6.4.1.3.1. 装备清单库则利用装备序列号做主键
6.4.2. 汗青库
6.4.2.1. 汗青数据库的种类可能多种多样，基于这些数据可以举行的风险分析也无穷无尽
6.4.2.2. 无论哪类汗青数据，都必须能够通过装备清单库或用户清单库的主键（如装备序列号或用户名）举行查询
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]