数字化时代，企业如何重构网络安全信任体系

信任是需要建立关系的，如果没有具体的关系很难信任，这也就是我们为什么会收到诈骗电话诈骗短信，一般像年轻人可能置之不理，但老年人不一定。其实核心就是没有建立信任关系的联系，其实都可以断掉。通常我们在信息安全管理过程中，似乎没有真正考虑过这点，就是信任是一种依赖关系，是有关联，有业务关系或者有依存关系，这是信任的前提。底下还有比较重要的一些概念，交换过程中间信任者要值得信任的证据，这个证据一定要证明你是这个自然人或者你是可信的设备，这一点也是关键。

而英文对Trust的定义是，相信这个人是好的，诚实的，还有一个关键的点，这个事儿是安全靠谱的。也就是说，信任，不光要考虑对人的信任，还得考虑对的资产和行为的信任。我们所有的实体，我们说现在有一个词叫数字实体，其实这个词很关键，也就是说因为我们之前理解的IT资产很简单，服务器、终端包括我们的应用，可能就到这个粒度了。实际上，随着云计算的发展，包括微服务的发展，你会发现每一个应用、服务、应用的接口，这应该都属于数字实体，我们做身份管理需要把这些所有的数字实体都得考虑进去。

同样我们说所有的数字实体，腾讯提了一个概念叫做“全要素”。我们要重构信任体系，需要考虑全要素身份体系的定义，其中包括身份体系的关联关系，也就是全要素之间的关联关系，以及全要素的安全控制体系。

当然，我们加一个IT层面要考虑的问题，就是把IT或者说数字实体的资源和自然人要关联起来，而且是紧密关联起来，以上这些都应该是我们考虑信任体系重构的关键要素。

我们把刚才字面意思的解读得到的一些启发再放到整个网络环境里面，第一个要素自然人，人一定是我们安全管控的核心，人要依靠终端、用身份ID、通过帐号、获取认证拿到授权，去操作相应的资产，记录下日志和监控。在整个人到资产之间的访问链条来看，黑客会从哪边儿入手呢？ 就是帐号，他从帐号入手会把你前面的链条全部切断，我直接用你的帐号获取认证，进行操作，你溯源的话只是溯源到帐号，实际上你很难抓到他相关的其他内容，你就会发现如果在整个帐号体系和前端没有打通的环境下，我们的溯源工作基本就失败了，这个就是我们目前很多站点被黑客攻击，实际上很难溯源，抓不到源头，因为和自然人、相关IT身份没有真正强绑定，这里面有些问题出在，比如有些企业多人共用帐号，一个人多个ID，帐号和自然人没有真正实体绑定，帐号体系没有是统一的管理体系，这些都是造成这些方面的一些原因。

认证，在整个这个过程中还是重中之重，人和证一定要强关联，现在有很多人脸核身、人证核身技术，我们推荐企业客户一定要做账号的双因素认证，核心就是要人和帐号体系一定要强绑定，或者死绑定，这个才能确保你的安全性。

另外一个比较严重的问题是，攻击者只要拿到内网的权限，横向移动几乎是畅通无阻的。这里的问题通常是，授权粒度不够，没有达到资源级授权，缺乏流量和行为审计，缺乏违规操作识别和管控，资产间访问控制粒度不够。数字实体全要素资产的操作需要有全记录和全监控，腾讯在这点做的比较好，所有应用的操作日志以及网络流量全部记录下来，为后面溯源包括做安全事件分析做好充足的准备。

总体来讲，建立一个完整的信任体系，身份帐号的管理，包括我们的自然人和帐号的，人脸核身和认证，包括后续对于你对实体的操作包括权限控制需要做完整和严格的管控体系。

后面就是把前面所思考的点做一个汇总，做好一个信任体系，我总结了9点：

第一是识别保护对象。保护对象就是刚才提到的所有数字实体全要素的资产要识别清楚，到底在体系内有多少是数字资产，是关键的数字实体，这块要真正的识别清楚。以前只管人或者只管服务器设备、终端、数据库。但在云时代下，这个管理颗粒度还需要细化到数据，服务甚至是应用接口。

第二是梳理依赖关系。这是之前提到的关键点，当这两个连接在业务上没有充分依赖关系的话，就不要让它连起来，但在实际场景下，连接和访问关系异常复杂，安全管理者根本不知道谁和谁有关系，他们自由的连接，真正是“互联互通”，但我觉得作为信息安全管理者或者说信息管理者，如果二者之间没有依赖关系，就可以考虑不要连接。

第三是人、资产和帐号的强绑定。某些互联网企业在这方面做得非常好，作为自然人的员工进入到企业有企业微信，企业微信有Open ID这个唯一标识的ID，再和其他应用帐号再关联，和企业HR的信息直接关联，所以它会通过Open ID把所有帐号包括个人信息全部关联起来，最后不管是做了任何事情，都可以通过Open ID去检索和查询，永远能溯到源头。

第四是帐号的全生命周期管理。因为很多企业现在帐号体系比较分散，有可能一个企业是多个IAM系统，还没有做后台数据的打通，各自为政，这里面就存在一个人可能多个帐号，而且一个人在多个不同的IAM平台里面，这里面管理会有很大的问题。

这里我们强调是新一代的IAM，因为IAM是比较老的体系，但它要适应现在新的IT基础设施，目前我们也发现很多企业在升级IAM，主要关键点是哪些点？一个是它得支撑所有数字实体，以前身份管理体系不会考虑微服务或者API接口，这些可能不在他的考虑范围之内，所以现在要支持这些，还有多方的认证协议，我们认证协议已经变的五花八门，而且各种生物识别技术，协议支持要跟得上。还有就是常提到的原生安全，以及还有现在我把身份管理变成一个云服务，需要兼容这些特征。以前我们身份管理更多的是依赖于AD、LDAP做身份数据的管理，其实现在大家都在用开源数据库做整个身份数据统一的管理。所以这都是现代IAM典型的特征，大家可以思考下在现有IAM体系里面怎么做一些升级和提升。

第五是强身份的认证，这就是常说的双因素或多因素认证，其核心目的就是把自然人和帐号建立强绑定关系。

（编辑：应用网_阳江站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!