零信任体系化能力建设:身份可信与访问管理.docx
《零信任体系化能力建设:身份可信与访问管理.docx》由会员分享,可在线阅读,更多相关《零信任体系化能力建设:身份可信与访问管理.docx(12页珍藏版)》请在第一文库网上搜索。
1、零信任体系化能力建设:身份可信与访问管理目录前言1?零信任身份安全1?身份安全的关键能力2?身份库多方整合3?认证与凭据管理3?访问与授权管理4?身份安全的最佳实践10?梳理身份能力10?减少口令使用11?缩减特权账户11?强化操作集成11?结语12前言以身份基石、构建并实施零信任是大多数厂商和解决方案的共识,究其原因主要有两个,其一是企业组织需要通过身份来管理权限、实施授权,并控制访问,其二是与身份相关的攻击手段越来越多地被用于实施网络攻击。本文主要从与身份相关的安全建设入手,讨论了零信任安全中身份库、认证、授权和访问控制等问题。关键字:零信任;成熟度模型;身份安全;访问授权零信任身份安全根
2、据身份定义安全联盟IDSA2023年数字身份安全趋势的调查结果,随着数字身份的激增,针对身份的攻击事件也在增加,其中最常见的手段是钓鱼攻击(占62%),其他与身份相关的安全事件包括暴力破解攻击(占31%)、社交工程密码攻击(占30%)、特权身份入侵(占28%)、凭证盗用(占28%)等。在N1ST零信任参考架构中,身份是指描述用户或实体(包括非人实体,如设备、应用程序或服务)的一个或一组属性。零信任的实施以身份为中心,确保正确的人(或实体)在正确的上下文中,以正确的权限级别访问正确的资源,并且持续评估访问权限。在实际的零信任实践中,不同企业业务和架构的差异,导致“身份”的范围和组成(与业务和资源
3、访问场景密切相关)具有明显的差异,为了推动零信任身份能力的成熟度演进,组织需要结合自身的需要和现状,从身份治理的顶层规划出发,梳理、建设并持续发展相关能力。图1给出了在“身份”能力域中,组织所应考虑和关注的身份能力范围和组成。用户身份设备身份网络身份服务器身份资源身份图1零信任身份安全能力的组成身份安全的关键能力在企业网络安全建设中,仅仅保护终端设备、基础设施和网络,并不能有效防御基于身份和凭证的攻击威胁,为了能够解决类似账户劫持的身份攻击问题,组织必须建设并实施以身份为中心的安全措施,以保障业务和数据安全。因此,组织在身份安全能力建设中,应重点关注身份、凭据和访问管理等方面的能力建设,以确保
4、达成以下目标: 通过验证和认证请求访问的人员、进程或设备,确保其被正确授权; 理解并实现正确的请求上下文; 确定访问环境的风险,结合最小权限的执行,为组织提供了最高的安全姿态。身份库多方整合身份管理需要为当前所有用户(包括人员和非人实体)建立准确的身份清单,其内容包含身份治理实践所需的各种身份属性。在大多数早期的企业系统和应用中,每个系统都有自己的身份数据存储(并进行独立授权),这些数据可能分散在各个部门、业务系统和应用程序之间。企业也可能使用多个独立的身份库来管理不同类型的身份信息(例如员工身份、客户身份和合作伙伴身份),并由不同的团队或部门管理,导致身份数据的冗余和不一致。这些分散、异构和
5、独立的身份库为企业实施零信任带来了挑战。例如,如果HR系统在更新员工信息后,没有将其及时同步到访问管理系统,将会导致身份数据的不一致,进而影响用户授权和访问安全。为了改善企业的身份库现状,组织在建设身份安全能力时,需要将身份数据集中到一个统一的身份管理系统中,并确保身份数据在不同系统和应用间的及时同步和集成,以改善身份管理的效率、安全性和一致性。认证与凭据管理凭据管理是指管理和保护用户(包括NPE)的身份验证凭据,如用户名、密码、证书、令牌等,确保凭据的安全性、可靠性和合规性。凭据管理包括凭据的颁发、使用和撤销。一旦身份管理系统为用户建立了身份,就必须为其颁发安全的凭据,以向系统证明其所声称的
6、身份。通常,由于实体在组织中可能担任不同的角色或职责,每个身份可以与多个凭据相关联,特别是对于高权限用户,一般需要为其特权角色和非特权角色创建并使用不同的凭据。通常,认证因素可分为所知、所持和所有内容3类,多因素认证(MFA)采用其中的至少两种进行身份认证。NIST的SP800-63B按认证保证级别(AA1)将认证强度划分为3个等级,包括AA11AA130对具有关键资源访问权限的人员用户,建议使用强认证方法,这些认证方法在用户设备和服务器之间建立了持续的身份认证连接,以便提供抗钓鱼能力。非人实体的认证应通过基于硬件的机制进行保护。理想情况下,NPE实体身份通过公钥证书来表征,无论该实体是物理设
7、备、进程还是其他逻辑实体,其私钥受所属实体的严格控制。不支持公钥认证的实体可以使用随机生成、且满足长度要求的口令字(PaSSWOrd),这些口令字根据需要存储在受硬件保护的口令库或隔离环境中。另外,还需要关注密码敏捷的问题。当系统采用的密码技术过时或安全强度降低时,企业必须能够通过快速撤销过时或受损的机制,并使用安全方法部署新的凭据。访问与授权管理访问与授权管理负责建立、维护访问授权策略和鉴权机制,以确保只有经过身份验证和授权的用户才能够访问受保护资源。不同的访问控制框架因采用不同的实现机制和安全模型,能够在不同层级上提供访问决策,但更精细的访问规则代表着较高的成熟度。在设计访问控制机制时,应



- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信任 体系化 能力 建设 身份 可信 访问 管理
