国内首个零信任技术标准《零信任系统技术规范》出炉

首页 / 业界 / 政策 /  正文
来源:安全419
发布于:2个月前
近日,中国电子工业标准化技术协会发布了国内首个零信任技术实现标准——T/CESA 1165-2021《零信任系统技术规范》(以下简称《规范》)团体标准。

随着全球数字化和万物互联的加速,传统物理边界已经被彻底打破,以“零信任”理念重构安全防御体系近年来被广泛认可。但在方案设计、技术实现、测试评估、实际部署等阶段缺乏统一、准确的标准指导,一直是零信任产业发展的一大桎梏。

《规范》的发布填补了国内零信任领域的技术标准空白。据了解,其由腾讯安全牵头起草,联合公安部第三研究所、国家计算机网络应急技术处理协调中心、中国移动设计院等业内16家零信任厂商、测评机构及用户共同编制。编制过程充分借鉴国际零信任标准构建的相关理念和实践经验,并深入考虑国内的市场现状和未来发展需求,对零信任理念及相关技术在国内的发展和应用具有重要的指导作用。

从内容来看,《规范》规定了零信任系统用户在“访问资源”和“服务之间调用”两种场景下,应有的功能及性能技术要求和相应的测试方法,包括逻辑架构、认证、访问授权管理、传输安全、安全审计、自身安全等方面。适用于零信任系统的设计、技术开发和测试,让“零信任”行业拥有了标准化技术规范,对于引导产业技术发展以及企业开展零信任实践,都具有很强的借鉴意义和参考价值。

测试环境典型示意图

零信任的应用场景

零信任在所有需要对资源访问进行安全防护的场景都可以使用,主要场景分为两类,一类是站在发起方,用户访问资源的场景,指的是用户访问内部资源时,如何验证用户是可信的, 如何确保访问来源终端可信,如何确认拥有访问资源权限。

另外一类是站在服务方,即服务资源之间如何安全的互相访问。但是否采用,应根据企业可接受的安全风险水平和投入综合考虑决定。

用户访问资源场景技术要求

用户访问资源场景下,主要包括四个逻辑组件:访问主体,零信任网关,零信任控制中心和访问客体。其中访问主体为资源访问发起方,零信任网关提供对来访请求的转发和拦截功能,零信任控制中心提供对来访请求的认证和持续访问控制功能,访问客体提供被访问的资源。

另外,系统还可以通过联动接口,与身份认证、安全分析、入侵检测方面的其他系统进行对接。

用户访问资源场景逻辑架构图

服务之间访问场景技术要求

服务之间访问场景下,主要包含两个逻辑组件:策略控制点和策略执行点。策略控制点负责鉴权和授权判断,并提供业务流的可视化能力;策略执行点用于执行访问控制决策,允许/拒绝通信或进行协商加密;有时也会将工作负载的相关信息同步给安全控制中心,从而辅助其进行决策。

策略执行点有两种形态:一是部署在工作负载上的服务端代理,另一种是运行在网络上的网关。

服务之间访问场景逻辑架构图

此外,《规范》还对“用户访问资源”和“服务之间访问”场景下,应有的功能、系统自身安全、性能、部署、容灾技术要求以及测试方法进行了具体解读。