零信任网络综述

针对目前网络安全形势日益严峻的问题,零信任网络给出了一种能够有效缓解传统网络安全威胁的架构及其设计与实现方法。零信任的核心思想是“永不信任,始终验证”,零信任网络是在传统网络架构中有效融入零信任机制的一种新型网络安全架构,将实现对网络中所有的对象进行验证,并授予其最小访问权限,同时对所有的访问行为进行持续、动态的评估决策。介绍了零信任网络的基本定义,指出了传统网络架构的不足之处,给出了零信任网络架构。重点从身份和访问管理、微分段以及软件定义边界等方面简述了零信任网络的关键技术,评价了各自的技术特点及应用场景。对目前零信任网络在大数据、云计算、5G和物联网等相关领域内的研究进展和成果进行了分析。对零信任网络进行了总结,并对未来的发展进行了展望。     

基于零信任架构的安全网关设计

随着用户访问位置的不确定性和企业内部资源部署的云化/Saas化，传统的基于边界的防护理念已经不能适应新的安全挑战，为了解决这一问题，本着“从不信任，持续验证”的零信任防护理念应运而生。基于该理念下的零信任架构也成为了研究的热点，本文在研究了软件定义边界（SDP）的基础上，以零信任网关产品的设计实现为出发点，重点介绍了接入控制方案中的端口隐身技术和持续验证技术，并提出了一种两级验证的持续验证方法。     

基于马尔可夫过程的5G网络功能信任预测机制

第五代移动通信网络(The 5th generation mobile network,5G)已成为全球新一轮科技革命和产业革命的重要驱动力量,服务功能日益完善,面临的安全挑战更加复杂多样。传统防御方法主要通过创建网络边界保护网络内部安全,所应用的网络形态较为单一。基于软件定义网络和虚拟化技术的5G网络愈加开放灵活,网络边界逐渐消失,需要新的安全理念。零信任理论适用于开放性网络的数据安全防护,5G核心网络是由网络功能组成的动态系统,网络功能通信行为可抽象为马尔可夫过程,网络功能信任模型是实现5G零信任安全的重要技术手段。针对此问题,本文提出了基于马尔可夫过程的5G网络功能信任预测机制(Markov Network Function Trust Prediction,MNFTP),此机制包含网络功能信任评估和信任预测。信任评估机制依据行为方式将网络功能分类为合法、伪装、非法,层次分析访问请求安全威胁性并得出信任评分,采用k-means++算法将信任评分归类为五种信任状态。信任预测机制基于马尔可夫过程构建网络功能访问请求信任状态链,结合时间因子和自适应奖惩因子计算马尔可夫状态转移矩阵,通过求解转移矩阵平稳分布得出预测信任状态。最后,网络功能基于预测信任状态抵御不可信的访问请求。实验表明,MNFTP机制相对于现有信任预测机制对伪装网络功能和非法网络功能有更好的抑制效果和信任状态分类能力。     

基于零信任的5G网络切片安全研究

随着5G网络的广泛部署和网络切片技术的出现,安全问题逐渐成为5G网络建设中不可忽视的一部分。在5G网络中,传统基于边界的安全防护架构无法满足更高安全需求的挑战,而不再划分信任区域、持续验证的零信任架构逐渐得到认可。分析切片现有安全技术缺陷,结合软件定义安全边界的思想,设计了基于零信任的切片安全架构。在信任评估中引入基于服务质量参数的可信度量方法,从可用性、可靠性和实时性角度建立可信度量过程,为持续验证用户是否可信、提供细粒度的访问控制决策奠定了基础。试验结果初步验证了可信度量方法的可行性。所设计的零信任网络安全架构和可信度量方法对信息安全防御相关研究和工程技术人员具有借鉴意义。     

信任在访问控制中的应用及研究

根据大规模、开放式的分布式网络环境的特点,分析了传统安全机制的不足,把信任机制引入到访问控制中,并给出了信任的定义和分类,重点讨论了行为信任的性质和计算方法,给出相应的访问控制模型.通过同时对身份信任和行为信任的验证,增强了资源访问的安全性.     

一种通过DNS实施零信任身份认证的方法设计与实现

随着网络攻击的不断演变，以传统的身份认证方式应对当下的安全威胁已经开始变得力不从心。文章介绍一种基于DNS实现零信任安全认证的方法，在零信任安全模式下，所有用户都被视为潜在攻击者，必须通过严格的身份认证才能获得访问权限。基于DNS的身份认证方法技术是较为新兴的技术方案，在国内关于DNS与零信任安全模式融合尚处于空白，能够有效抵御暴力扫描、DDoS攻击、域名劫持、DNS欺骗等多种攻击手段。通过研究针对DNS的零信任部署能够有效提高防护手段，降低在企业场景下来自内部与外部各类攻击的风险。     

基于零信任的云环境数据存储加密模型研究

云存储资源高可用及弹性配置，也带来对资源的横向移动攻击、系统超级用户非授权访问、用户数据泄露等安全隐患。本文以NIST零信任架构为基础，扩展软件定义边界架构，提出SDP网关和存储加密网关双网关相结合的零信任云存储安全模型。细化控制面安全框架，定义主体可信判别、操作权限可信判别的访问控制模型，改进信任传递逻辑和密码安全机制，不但满足云计算环境先认证后连接，进而提供先认证后资源管理、先认证后操作存储数据安全。     

基于零信任体系的数字身份安全平台设计与研究

高校在统一身份认证和访问控制方面的防控仍较薄弱,面对层出不穷的网络安全威胁显得力不从心。为此,提出基于零信任体系的数字身份安全平台解决方案。引入零信任SDP技术搭建高校零信任安全架构,重构统一身份认证与访问授权平台,按功能划分DMZ微隔离区,实现用户身份统一管理、平台多因素多维认证、服务端口和设备信息对外动态隐藏、访问链接动态授权。结合四网融合场景分析校内外5G用户、校内Wi-Fi用户、校园网用户和校外互联网用户访问数字身份安全平台的准入方式。研究成果极大地丰富了智慧校园研究内容,也为高校重构和升级统一身份认证和访问授权平台提供一种全新的解决思路。     

基于SDP的电力物联网安全防护方案

电力物联网的快速发展及海量终端的泛在连接和智能交互使得电力物联网的网络边界变得模糊,网络安全风险点和暴露面显著增多。文章摒弃传统的先连接后认证的安全认证措施,结合零信任安全机制提出一种基于软件定义边界的电力物联网安全防护方案,该方案利用改进的单包授权技术解决电力物联终端接入过程中存在的身份认证、电力物联系统资源隐藏及访问控制等问题,并从安全和性能两方面对方案进行分析。实验结果表明,该方案能有效抵御多类网络攻击,节省了电力物联终端的计算和通信资源,有效解决了电力物联网存在的安全认证等问题。     

零信任在气象网络安全中的应用研究

分析了气象信息网络面临的新形势和存在的问题，设计了一种基于零信任的气象网络安全模型，采用全流量网络数据包认证的方法，解决了模型中零信任服务的主机安全问题以及资源请求全过程的通信安全问题，结合气象网络的实际特点，给出了零信任气象网络的部署方式，并将模型应用在重庆气象业务中的互联网远程访问、互联网/气象专网统一访问和气象云/政务云统一访问等场景，实践证明，该模型提高了气象数据资源的安全性。     

一种基于身份的多信任域认证模型

在分析了现有认证框架存在的问题的基础上，提出了一种基于身份的多信任域认证模型．该模型以基于身份的密码体制为基础，避免了基于传统PKI的认证框架的诸多弊端，实现了跨信任域的身份认证和资源访问主体的匿名性，并利用CK模型对该模型的身份认证和匿名性安全进行了详细的分析和证明．分析表明该模型是安全且满足安全需求的．     

基于JSP的在线评估系统的安全机制

保证在线系统的安全是网络持续发展的关键。介绍了基于JSP的在线评估系统的安全机制，对其系统管理、身份认证（包括登录的身份认证和内部页面的身份认证）和专家评估的安全机制等进行了详细的分析，并给出了解决这些问题的方法。     

零信任落地实践方案探讨

零信任概念的提出,彻底颠覆了原来基于边界安全的防护模型,近年来受到了国内外网络安全业界的追捧. 所谓零信任顾名思义就是"从不信任",那么企业是否需要摒弃原有已经建立或正在搭建的传统基于边界防护的安全模型,而向零信任安全模型进行转变呢?零信任是企业安全建设中必须经历的安全防护体系技术革新,但它必然要经历一个长期探索实践的...     

运用于IPSec VPN的身份验证机制分析与改进

基于IP安全协议IPSec的VPN可以构建安全的网络传输层，通过协商建立的安全隧道，实现安全的通信传输。而基础公钥设施（PKI）主要在IPSec的密钥交换（IKE）阶段实现双方的身份验证，防止第三方伪造身份的攻击。为了让IPSec（隧道模式或者传输模式）就加密进行协商，系统首先必须决定通信双方如何取得互相信任。IPSec定义了两种方法实现这一目的。     

派拉软件携手麒麟软件打造国产化数字身份统一管理平台

近日,派拉软件携手麒麟软件打造国产化下的数字身份统一管理平台解决方案。据介绍,解决方案基于银河麒麟高级服务器操作系统V10,在保证基础运行环境安全、稳定、高效、灵活的基础上,以用户身份数据为中心,打造一体化零信任安全架构。从用户接入前的SDP构建虚拟边界,隐藏资源和端口;再到中间IAM的统一身份管理认证、权限分配及审计管理等5A能力;最后通过API网关实现用户对各业务系统的安全访问。     

新的基于角色的跨信任域授权管理模型

多信任域间的安全访问是一项重要的研究内容。结合基于角色访问控制机制（RBAC）的优势及现有的跨域认证技术构建了一种适用于大规模分布式网络环境的跨信任域授权管理CTDPM（Crossing the Trusted-domain Privilege Management）模型。模型中提出角色推荐和单向角色映射策略,支持分布式环境下任意两个信任域之间的安全访问。运用集合论和谓词逻辑对CTDPM模型进行了系统的形式化描述,提出了一套合理的授权与安全规则,并进行了特性分析,最后给出该模型在访问控制系统中的安全应用。     

基于区块链和域信任度的物联网跨域信任评估模型

不同信任域发生跨域访问时需要评估不同域之间的信任关系，现有的信任评估关系仅针对终端设备，但在实际应用场景中，部分通信往往以域形式出现，并根据域整体的信任评估关系给予其访问权限。为高效安全地实现跨域访问，保证信任评估环境的可信度，引入域信任度的概念，将区块链与域信任度相结合，建立基于区块链和域信任度的物联网跨域信任评估模型。根据物联网跨域访问需求，构建物联网跨域信任评估模型系统架构和多域环境下的网络结构。在此基础上，提出多维度用户节点信任度及域信任度评估方法，设计基于区块链和域信任度的跨域访问合约，并对模型的信任度、安全性和区块链网络性能等进行实验分析和性能测试。实验结果表明，与BC-RBAC相比，该评估模型用户信任度评估更加细腻，能有效防止时间开关攻击，保证域信任度处于较稳定的水平，与EigenTrust、PeerTrust模型相比，恶意用户节点检测率提升了8%和12%，能在更短时间内检测出更多的恶意用户节点，可有效解决物联网跨域信任评估中的安全性问题。     

基于零信任架构的MFA多因素统一身份认证平台的运用

在零信任原则和网络安全等级防护2.0的大背景下,网络结构已不再决定计算设备的访问能力,在获得访问许可前,任何计算设备都必须完成多维度、关联性的识别与验证,并且可以根据需求发起多次不同的身份认证。授权不再仅仅依靠于网络结构、用户角色等传统的静态访问控制,转而通过可视化风险监控,加强用户认证和用户管理,进行动态、权限细粒度的分配。     

基于可信计算的P2P信任模型

P2P网络的安全需求中,信任关系的建立是重点也是难点。传统的信任评估模型,采用适当的信任评估手段,能够在一定程度上削弱单纯欺骗、不作为、诽谤和联合作弊的安全威胁,但却不能有效地抵御Pseudospoofing和Pseudostheft攻击。在本文中,我们将可信计算组织推出的可信计算技术引入P2P网络,提出了一种有效的P2P网络实体数字身份的创建和管理策略。新的信任模型在信任评估过程中贯穿着平台认证,很好地解决了P2P网络的安全问题。     

基于零信任的系统架构应用

当前,网络攻击、文件破坏、数据泄露等网络安全事件频频发生,内网访问和VPN访问的安全模式已经难以适应当前网络安全要求.为解决影响企业发展的网络安全问题,零信任的系统框架以用户为中心、以动态认证和最小授权为机制,通过终端、链路、节点全方位的安全监测为企业提供全过程的安全保障.在零信任机制上搭建的统一身份认证平台不仅解决了...