京东安全零信任架构建设：限制横向移动攻击的关键策略
3月23日，在京东安全主办的零信任京奇技术沙龙上，京东安全专家熊毅分享，在京东安全决定构建零信任架构之前，需要对每一个安全事件进行审核。有时，优化方案中提到的安全能力中总有一项缺失：需要对基础设施进行整改，以限制横向攻击的移动。这也是京东安全零信任安全建设最重要的目标之一。为什么限制横向移动攻击成为京东安全的痛点？
这是甲方企业安全建设过程中常见的安全问题吗？
在近年来各领域发生的一些APT攻击案例中，可以发现横向移动在复杂的网络攻击中得到了广泛的应用。恶意攻击者通常会尝试多种综合攻击方式，包括钓鱼邮件攻击、漏洞利用等，来突破目标周界防御系统，然后伺机利用横向移动的方式访问受感染系统中的更多设备，包括更多设备。目标组织内部。有计划、有组织地渗透重要资产的服务器和主机，伺机潜伏窃取敏感数据。横向移动攻击甚至可以让攻击者控制同一环境中的所有机器。
在业界披露的APT组织蓝宝石APT-C-12针对中国政府、军工、科研、金融等重点单位和部门进行的长期间谍攻击中，分析捕获的670余个该组织的恶意代码发现，其中包含60多个专为横向移动而设计的恶意插件。已知擅长利用横向移动攻击的恶意软件不计其数，例如、、、、Petya等，其中名列前茅。
除了APT攻击之外，这种攻击方式在我国HW行动这种大规模攻防对抗演习中也很常见。横向移动也被渗透测试人员称为“最令人兴奋”的技术之一。一旦目标被渗透，如果你在系统内部找到了路径，你就可以在目标系统内部留下后门，为所欲为。
传统边境安全的弊端日益暴露，推动零信任解决方案在京东的落地
在熊毅看来，在讨论京东安全零信任计划的实施过程时，有必要讨论一下该计划实施前京东安全面临的安全问题和安全现状。京东在打造自己的安全城堡时发现，虽然安全团队不断强化边境防御策略，层层完善安全机制，但最终还是防不胜防，久而久之就会出现安全问题。到时间了。
京东作为流量和数据量惊人的大型互联网公司，拥有大量的信息系统。此前，京东对这些信息系统的做法是人为地划分复杂的安全域来进行权限分级，比如划分核心系统域，以及将一些第三方代理商和供应商划分为一个域，但这种静态隔离的方法会让一些安全域变得非常臃肿，一些快速增长的域还需要扩展，使得管理变得非常困难，还有一些比如域控制器、邮件服务器以及一些基于账户的公共服务被共享后，会出现横向蔓延非常严重会导致一些非常严重的安全问题。
因此，有时虽然提升了很多安全防御能力，但在大量安全产品堆叠后，发现资产管理、漏洞安全运营、内部隔离等基础安全工作仍然跟不上时代的变化。安全形势和关键资产仍然存在。会受到威胁。
https://img2.baidu.com/it/u=1638964406,1529608749&fm=253&fmt=JPEG&app=120&f=JPEG?w=1203&h=456
在重新分析和审视自身的安全机制后，京东发现京东的安全需要一个以关键资产为第一人称视角，由内而外考虑安全状况的解决方案。在此背景下，京东安全开始建立自己的零信任微隔离解决方案，推动基于零信任理念的新一代安全框架落地，为自身打造更强的安全能力。
京东安全为何选择微隔离作为重点？
曾在《零信任网络接入市场指南（2020年版）》中表示，零信任削弱了网络位置的主导地位，消除了过多的隐性信任，代之以基于身份的显性信任。从某种意义上说，零信任创建了一个仅包含用户、设备和应用程序的个性化“虚拟边界”。零信任还使用户体验正常化，消除了企业网络内外存在的访问差异。至关重要的是，它还最大限度地减少了横向移动的能力。
“隔离”的概念并不难理解。一般来说，企业通常将网络分为外部网络和内部网络，以有效管理一些资源和访问权限，而“微隔离”则是基于更细粒度的网络隔离技术。微隔离的概念和技术诞生以来，其核心能力需求就集中在水平流量的隔离上。首先，它与防火墙的隔离功能不同。其次，是云计算环境下的真实需求。
微隔离可以满足传统环境、虚拟化环境、混合云环境、容器环境中东西向流量隔离的需求。主要用于防止攻击者进入企业数据中心网络后进行横向移动。
熊毅提到，除了限制横向移动攻击外，京东安全还希望通过微隔离技术实现工作负载级的软件定义隔离，可以让信息系统在工作负载条件下继续在暂时亚健康状态下运行。然后给安全团队更多的时间来等待修复安全风险的机会。此外，针对安全域管理难度，京东安全希望通过微隔离技术获得对端点更加精细、动态的控制能力。
互联网企业具体应该如何实施微隔离？
熊毅分享，在微隔离技术的实现方法上，有两种构建方案可以考虑：
一是可以选择放置智能交换机或者防火墙等网关设备基础设施作为PEP来保护一部分资源集合；
第二种选择是使用端点资产上的软件代理或防火墙作为 PEP 来实现基于主机的微隔离，动态授予个人访问权限。
https://img0.baidu.com/it/u=256495006,1237003536&fm=253&fmt=JPEG&app=138&f=JPG?w=941&h=500
两种方案各有优缺点，安全团队应根据公司自身的安全风险考虑具体的实施方案。
基于网关设备的微隔离解决方案的主要思想是调动企业原有的所有安全设备，包括计算引擎，将零信任安全策略与漏洞扫描平台、流量检测等网关设备相结合平台形成事前、事中、事后数据，一旦出现安全问题，可以快速识别并进行相应处理。这样，通过零信任的思想不断验证其有效性，使边境安全防护形成不断验证自身有效性的能力。
基于网关设备的微隔离解决方案通常难以关闭边缘设备。混合云下的边缘设备软硬件形态复杂、业务形态复杂、原有运维系统可能不允许设备配置变更、各种传统安全设备的兼容性等困难要求企业安全团队根据自身实际情况进行优化处理。
基于主机的微隔离的核心思想是尽量减少微隔离对系统的影响。在策略引擎层面，主要关注的是利用更多的数据和计算引擎来输出合理的足够的访问权限和执行程度。在管理方面，用户管理、配置管理、策略管理和业务管理必须转化为更简单、更易于操作的语言，以协助管理人员建立更好的基于主机的微隔离策略。
基于主机的微隔离方案面临的主要挑战主要体现在性能上，比如在性能方面是否会消耗大量的CPU内存和磁盘，在稳定性方面是否会导致内核崩溃，以及能适配虚拟机和物理机、虚拟化平台、容器架构，以及如何做到极小的性能消耗等等。
熊毅表示，综上所述，解决这些问题必须策略和技术并行。策略必须根据实际业务情况进行相应的配置。例如，什么情况下轮询级别最低？然后根据微隔离的不同阶段，采用限制存储、优化采集上传算法等方法来解决问题。熊毅认为，微隔离方案一旦涉及到客户端，客户端的性能越好，安全收益就越大。
既然两种方案各有利弊，那么甲方互联网公司在选择微隔离方案时应该如何决策呢？熊毅认为：“面对选择什么样的零信任建设方案这一话题，甲方安全团队应该从自身的现实问题和需求出发，思考我们面临什么问题、我们要解决什么问题、什么解决方案可以解决问题。这才是最适合你的。”
对于微隔离，最重要的考虑因素是计算机性能的成本。从原来的传统安全架构升级到零信任架构，注定是一个长期的整体工程。这是一种不断的自我完善和提高。因此，在零信任架构的神户建设计划中，企业应重点提升和优化自身的安全防御能力，结合策略和技术手段，制定适合自己的建设方案。
#网络安全##京东#
页:
[1]