來(lái)源：云安全聯(lián)盟大中華區(qū)
▼
軟件定義邊界（Software Defined Perimeter, SDP）是一個(gè)能夠?yàn)?SPAN lang=EN-US>OSI七層協(xié)議棧提供安全防護(hù)的網(wǎng)絡(luò)安全架構(gòu)。SDP可實(shí)現(xiàn)資產(chǎn)隱藏，并在允許連接到隱藏資產(chǎn)之前使用單個(gè)數(shù)據(jù)包通過(guò)單獨(dú)的控制和數(shù)據(jù)平面建立信任連接。使用SDP實(shí)現(xiàn)的零信任網(wǎng)絡(luò)使組織能夠防御舊攻擊方法的新變種，這些新變種攻擊方法不斷出現(xiàn)在現(xiàn)有的以網(wǎng)絡(luò)和基礎(chǔ)設(shè)施邊界為中心的網(wǎng)絡(luò)模型中。企業(yè)實(shí)施SDP可以改善其所面臨的攻擊面日益復(fù)雜和擴(kuò)大化的安全困境。
從本質(zhì)上講，零信任是一種網(wǎng)絡(luò)安全概念，其核心思想是組織不應(yīng)自動(dòng)信任傳統(tǒng)邊界內(nèi)外的任何事物，并旨在捍衛(wèi)企業(yè)資產(chǎn)。實(shí)施零信任需要在授予訪問(wèn)權(quán)限之前驗(yàn)證所有嘗試連接到資產(chǎn)的事物，并在整個(gè)連接期間對(duì)會(huì)話進(jìn)行持續(xù)評(píng)估。
軟件定義邊界和零信任
▼
（全文略）
零信任概念有三個(gè)要點(diǎn)：
向網(wǎng)絡(luò)引入信任的概念，以確保資源永遠(yuǎn)可以被安全地訪問(wèn)，無(wú)論是誰(shuí)創(chuàng)建流量或流量來(lái)自何處，無(wú)論在任何位置或者使用何種托管模型，無(wú)論是在云上、私有部署、或者混合部署的資源。
采用最小授權(quán)策略（LPS）來(lái)實(shí)施訪問(wèn)控制，以消除訪問(wèn)禁用資源的人性誘惑。
持續(xù)記錄用戶流量并分析檢查是否存在可疑活動(dòng)。
由于SDP對(duì)于底層的基于IP的基礎(chǔ)架構(gòu)是透明的，并且基于該基礎(chǔ)架構(gòu)保證所有連接的安全，而且它可以部署在OSI/TCP/IP傳輸層協(xié)議之前的網(wǎng)絡(luò)層并在會(huì)話層的應(yīng)用之前，因此它是采用零信任策略的最佳架構(gòu)。這一點(diǎn)很重要，因?yàn)閭鬏攲涌梢詾閼?yīng)用程序提供主機(jī)到主機(jī)的通信服務(wù)，而會(huì)話層是終端應(yīng)用程序進(jìn)程之間打開(kāi)、關(guān)閉和管理會(huì)話的機(jī)制。兩者都有已知的和未發(fā)現(xiàn)的弱點(diǎn)，例如TLS漏洞和建立會(huì)話時(shí)的TCP/IP SYN-ACK 攻擊。
附：軟件定義邊界和零信任.pdf
