Oracle Cloud 免费套餐

免费在 OCI 上构建、测试和部署应用。

零信任安全模型

零信任是一种关于保护敏感数据安全,同时确保遵守新隐私法规要求的 IT 安全方法。随着云技术服务的使用快速扩展,企业不可避免地面临着新的威胁,即特权管理员或应用的凭据破坏和失窃。此外,由于有效的安全控制方法一般只关注事后补救,伴随云技术服务而来的还有数据失窃和网络欺诈风险。对此,零信任支持企业在实施有效控制的同时,对系统、网络和数据访问进行管理。目前,越来越多的企业开始迁移到零信任(即不信任任何人)安全模型,通过安全控制(即按照特定策略来限制用户访问数据)来保护数据安全。

零信任安全模型视频


什么是零信任方法?

标准网络安全态势专注于阻止来自网络边界以外的威胁,但无法防范网络内部的盗窃行为。它通过防火墙、VPN、访问控制、IDS、IPS、SIEM 以及电子邮件网关实施安全保护。然而,网络罪犯现已熟知如何攻破这些边界安全措施。这意味着,只要拥有正确的凭据,任何人都可以访问任意网络的站点、应用或设备。而在零信任安全方法下,无论是来自网络内部还是外部,任何人都默认不被信任。零信任方法要求对请求访问资源的每一位用户进行验证,即验证用户身份,对系统、网络和数据访问进行监管。这一过程包括验证用户身份和用户对特定系统的访问权限,可帮助企业有效管理用户的数字身份,确保正确访问。为了加强验证,零信任方法还通过多层高级访问控制,对网络设备和服务器访问进行管理。最后,零信任方法支持企业跟踪用户活动,创建用户活动报告,实施适当的策略来确保合规。

零信任架构

 

以下是美国国家标准技术研究院 (NIST) 定义的零安全架构原则:

  1. 所有数据源和计算服务均视为资源。
  2. 无论网络位置如何,所有通信都是安全的 — 网络位置不影响信任关系。
  3. 针对单个企业资源的访问,每连接一次,授予一次访问权限;在授予访问权限前,对是否信任请求者进行评估。
  4. 是否授予资源访问权限由策略决定,包括用户身份和请求系统的可观察状态 — 可能还包括其他行为属性。
  5. 企业确保所有的自有系统和相关系统处于可实现的最安全状态,同时监测系统,确保系统始终处于可实现的最安全状态。
  6. 授予访问权限前,动态、严格执行用户身份验证;这是一个扫描和评估威胁、做出响应、连续验证身份的连续过程。

零信任安全有哪些优势?

降低风险
“安全优先”设计原则可降低连续不断的威胁风险。同时,内置租户隔离和最小权限访问也有助于确保满足合规和隐私法规要求。通过适当的身份管理,企业可以更好地控制用户访问,降低内部和外部违规风险。

访问控制
零信任安全方法包括捕获用户信息、管理用户身份以及编排访问权限,可帮助企业更好地监管组织内用户对系统或网络的访问。

增强企业安全态势

  • 访问/权限控制使用不当导致数据泄露
  • 使用非授权的云技术服务导致数据丢失
  • 缺乏跨网络边界与云技术服务的数据移动可见性
  • 用户通过云技术服务与第三方用户分享敏感数据
  • 远程用户和个人设备导致数据泄露
  • 恶意的内部人员(包括拥有活动账户/权限的已离职员工)活动
  • 已认证的云技术服务使用不当导致数据泄露
  • 非加密数据
  • 攻击者利用盗取的凭据伪装为员工
  • 对象存储账户配置不当
零信任模型

 

增强竞争优势

通过从标准边界安全方法升级到零信任模型,企业可充分利用自动化、安全和治理技术增强整体竞争优势,提升业务敏捷性。

零信任安全的优秀实践

要想采用零信任安全模型,企业必须:

  • 评估当前系统,确定其当前状态,然后制定相应的修补计划。企业必须首先识别数据并设置数据优先级,确定在哪里实施访问控制。零信任安全方法要求企业可靠保护数据,例如知识产权、财务数据、客户或员工的个人数据 — 绝大部分情况下是这三类数据的组合。
  • 检测针对策略允许范围以外的数据的访问意图,识别数据访问异常。由于几乎所有访问活动都是重复性活动,企业可将访问异常视为数据盗窃事件的先兆。零信任模型要求企业捕获用户信息、管理用户身份、编排访问权限。
  • 阻止数据访问。如果没有对资源和行为进行自动监视,组织很容易受到用户凭证泄露和数据泄露的影响。零信任模型可为企业提供更高的用户和活动可见性。

一个行之有效的零信任安全模型可提供:

  1. “安全优先”设计原则,可通过内置安全性降低风险。

        -  隔离网络虚拟化
        -  细粒度职责分离
        -  最小权限访问

  1. 自动化安全,可降低复杂性,防范人为错误。

        -  自动化威胁缓解和修复

  1. 持续、始终可用的安全,可实现无缝保护。

        -  默认启用、无处不在的加密
        -  持续监视用户行为
        -  具有上下文感知能力的自适应验证



注:为免疑义,本网页所用以下术语专指以下含义:

  1. 除Oracle隐私政策外,本网站中提及的“Oracle”专指Oracle境外公司而非甲骨文中国 。
  2. 相关Cloud或云术语均指代Oracle境外公司提供的云技术或其解决方案。