01。零信任安全（zerotrustsecurity）零信任安全是一种IT安全模型。零信任安全需要在访问私有网络资源时，对所有网络内外的人和设备进行严格的认证。零信任安全需要通过多种网络安全技术来实现。零信任安全技术的特点包括：零信任网络背后的思想是假设攻击者同时存在于网络内外，因此不应自动信任任何用户或计算机。零信任安全的另一个原则是最小特权访问。即只为用户提供所需的访问权限，从而最大限度地减少每个用户可以访问的网络敏感资源。零信任网络使用微分段的概念。微分段是将安全边界划分为小区域以保持对网络各个部分的单独访问的做法。例如，使用微分段的文件驻留在单个数据中心的网络可能包含数十个独立的安全区域。未经单独授权，有权访问这些区域之一的个人或程序将无法访问任何其他区域。零信任安全加强了多因素身份验证(MFA)的使用，用户需要使用多条证据进行身份验证，仅输入密码不足以获得访问权限。零信任除了控制用户的访问权限外，还需要严格控制用户使用的设备。零信任系统需要监控有多少不同的设备试图访问其网络，并确保每个设备都获得授权。这进一步减少了网络的攻击面。02.软件定义边界（software-definedperimeter）SDP是一种实现零信任安全的方式。用户和设备都必须经过身份验证才能连接，并且只有最低限度的网络访问权限。SDP旨在使应用程序所有者能够在需要的地方部署安全边界，以将服务与不安全的网络隔离开来。SDP将物理设备替换为在应用程序所有者的控制下运行的逻辑组件。SDP仅在设备验证和身份验证后才允许访问企业应用程序基础设施。SDP消除了需要远程访问网关设备的缺点。SDP要求发起者在获得对受保护服务器的网络访问之前先经过身份验证和授权。然后在请求系统和应用程序基础设施之间实时创建加密连接。03.SDP架构SDP控制器决定哪些SDP主机可以相互通信。SDP控制器可以将信息中继到外部身份验证服务。SDP连接发起主机(IH)与SDP控制器通信以请求它们可以连接到的SDP连接接受器(AH)列表。控制器可以在提供任何信息之前向SDP连接发起主机请求硬件或软件清单等信息。默认情况下，SDP连接接受主机(AH)拒绝来自除SDP控制器以外的所有主机的所有通信。SDP连接接受主机只有在控制器发出指令后才接受来自SDP连接发起主机的连接。04.SDP访问流程一个或多个SDP控制器服务上线并连接到适当的可选认证和授权服务（例如PKI颁发的证书认证服务、设备认证、地理定位、SAML、OpenID、Oauth、LDAP、Kerberos等服务多因素认证）。一台或多台SDP连接接受主机(AH)上线。这些主机连接到控制器并由控制器进行身份验证。但是，它们不会应答来自任何其他主机的流量，也不会响应非预分配的请求。每个在线SDP连接启动主机(IH)都与SDP控制器连接并经过身份验证。在对SDP连接发起主机(IH)进行身份验证后，SDP控制器确定SDP连接发起主机(IH)有权与之通信的SDP连接接受主机(AH)列表。SDP控制器通知SDP连接接受主机(AH)接受来自SDP连接发起主机(IH)的通信以及加密通信所需的所有可选安全策略。SDP控制器向SDP连接发起主机(IH)发送可以接受连接的SDP连接主机(AH)列表和可选的安全策略。SDP连接发起主机（IH）向每个可以接受连接的SDP连接接受主机（AH）发起单包授权，并与这些SDP连接接受主机（AH）建立双向TLS连接。05.SDP部署方法5.1Client-Gateway模型在client-gateway实现模型中，一台或多台服务器被SDP连接接受主机（AH）保护。通过这种方式，SDP连接接受主机（AH）充当客户端和受保护服务器之间的网关。这种实施模型可以在企业网络内执行，以减轻常见的横向移动攻击，例如服务器扫描、操作系统和应用程序漏洞攻击、中间人攻击、散列传递等。或者，它可以通过Internet实施，将受保护的服务器与未经授权的用户隔离开来，并减轻拒绝服务(DoS)、SQL注入、操作系统和应用程序漏洞攻击、中间人攻击、跨站点攻击等攻击脚本（XSS）、跨站请求伪造（CSRF）等攻击。5.2客户端-服务器模型客户端到服务器的实现在功能和优点上与上面讨论的客户端到网关的实现相似。然而，在这种情况下，受保护的服务器将运行接受连接主机(AH)的软件。客户端到网关和客户端到服务器实现之间的选择通常基于要保护的服务器数量、负载平衡方法、服务器的弹性以及其他类似的拓扑因素。5.3服务器-服务器模型在服务器到服务器的实现模型中，提供具象状态传输（REST）服务、简单对象访问协议（SOAP）服务、远程过程调用（RPC）或互联网的任何类型的应用程序编程可以是安全接口(API)服务器，以保护它免受网络上所有未经授权的主机的攻击。例如，对于REST服务，发起REST调用的服务器将是SDP连接发起主机(IH)，而提供REST服务的服务器将是连接接受主机(AH)。为此用例实施软件定义的边界可以显着降低这些服务的负载并减轻与上述类似的许多攻击。这个概念可以用于任何服务器到服务器的通信。5.4客户端-服务器-客户端模型客户端到服务器到客户端的实现在两个客户端之间创建了一种对等关系，可用于IP电话、聊天和视频会议等应用。在这些情况下，软件定义的边界会混淆连接客户端的IP地址。作为一个细微的变化，如果用户还希望隐藏应用程序服务器，则可以使用客户端到客户端的配置。06.SDP应用场景6.1企业应用隔离对于涉及知识产权、财务信息、人力资源数据等仅在企业网络内可用的数据集的数据泄露，攻击者可能通过入侵网络中的一台计算机进入内部网络，然后横向移动以获得高价值信息资产。在这种情况下，企业可以在其数据中心内部署SDP，以将高价值应用程序与数据中心内的其他应用程序以及网络中的未授权用户隔离开来。受保护的应用程序将无法被未经授权的用户检测到，从而减轻了这些攻击所依赖的横向移动。6.2私有云和混合云除了帮助保护物理机之外，SDP的软件覆盖特性还允许它轻松集成到私有云中，以利用此类环境的灵活性和弹性。此外，企业可以使用SDP隔离来隐藏和保护其公共云实例，或作为包含私有云和公共云实例和/或跨云集群的统一系统。6.3软件即服务软件即服务(SaaS)提供商可以使用SDP框架来保护他们提供的服务。在这个应用场景中，SaaS服务是一个SDP连接接受主机（AH），所有连接该服务的终端用户都是SDP连接发起主机（IH）。这样，SaaS生产商就可以通过互联网向全球用户提供服务，而无需担心安全问题。6.4基础设施即服务基础设施即服务(IaaS)提供商可以向其客户提供SDP即服务作为受保护的入口。这使他们的客户能够充分利用IaaS的灵活性和成本效益，同时减轻各种潜在攻击。6.5平台即服务平台即服务(PaaS)提供商可以通过提供SDP架构作为其服务的一部分来实现差异化。这为最终用户提供了一种嵌入式安全服务，可以减轻基于网络的攻击。6.6基于云的虚拟桌面基础设施虚拟桌面基础设施(VDI)可以部署在弹性云中，这样VDI使用按小时付费。但是，如果VDI用户需要访问公司网络中的服务器，VDI可能难以使用并且会产生安全漏洞。然而，VDI与SDP相结合通过更轻松的用户交互和细粒度访问解决了这两个问题。6.7物联网大量新设备正在连接到互联网。管理这些设备或从这些设备中提取信息的后端应用程序或两者的任务至关重要，因为它充当私人或敏感数据的保管人。软件定义的边界可用于隐藏这些服务器及其在Internet上的交互，以最大限度地提高安全性和正常运行时间。
