CN117729057A - 一种基于身份安全的零信任接入系统的方法 - Google Patents

Abstract

本申请涉及信息安全传输技术领域，具体公开一种基于身份安全的零信任接入系统的方法。本方法在客户端和业务系统之间部署应用堡垒，应用堡垒为客户端访问业务系统的唯一入口。应用堡垒连接于应用堡垒控制中心。本方法包括：用户在设备上登录客户端，通过客户端向应用堡垒发出访问业务系统的请求；应用堡垒控制中心采集访问信息并解析，然后进行风险评估，根据风险评估结果得出本次访问的访问权限决策，将该决策发送至应用堡垒；应用堡垒根据该访问权限决策进行访问权限控制。本方法通过应用堡垒提供统一的业务安全访问通道，所有的终端访问都要经过终端身份校验，极大的降低内部业务资产被恶意扫描和攻击的行为，增强业务系统的安全性。

Description

一种基于身份安全的零信任接入系统的方法

技术领域

本申请涉及信息安全传输技术领域，更具体地说，涉及一种基于身份安全的零信任接入系统的方法。

背景技术

随着云计算、移动互联网、IoT等新技术架构广泛应用，现在的网络安全是零信任的时代。但是，长久以来大部分用户错误的认为内网是可信的，因此风险意识相对淡薄，内控措施匮乏，却忽略了城堡往往是从内部攻破的，来自内部的安全风险更加致命。

由于业务系统自身安全性问题考虑较少，导致业务系统缺乏安全的自动化监测手段。在零信任架构的趋势下，内部应用安全防护的风险越来越大。

发明内容

鉴于在零信任架构的趋势下，由于业务系统缺乏安全的自动化监测手段，内部应用安全防护的风险越来越大的问题，本申请提出了一种基于身份安全的零信任接入系统的方法，并采用如下技术方案。

一种基于身份安全的零信任接入系统的方法，在客户端和业务系统之间部署应用堡垒，所述应用堡垒为客户端访问业务系统的唯一入口。所述应用堡垒连接于应用堡垒控制中心。所述方法包括：用户在设备上登录客户端，通过客户端向所述应用堡垒发出访问业务系统的请求；所述应用堡垒控制中心采集访问信息并解析，然后进行风险评估，根据风险评估结果得出本次访问的访问权限决策，将该决策发送至所述应用堡垒；所述应用堡垒根据该访问权限决策进行访问权限控制。

通过采用上述技术方案，通过应用堡垒提供统一的业务安全访问通道，关闭终端直连业务系统的网络策略，尽可能避免企业内部服务全部暴露在办公网络。所有的终端访问都要经过终端身份校验，极大的降低内部业务资产被恶意扫描和攻击的行为，增强业务系统的安全性。

作为该基于身份安全的零信任接入系统的方法的一种改进，所述用户和所述设备为访问主体；所述业务系统为访问客体；所述风险评估包括：

所述应用堡垒控制中心采集环境感知日志以及用户访问行为日志。

所述应用堡垒控制中心解析环境感知日志以及用户访问行为日志，得到目标数据集合。

所述应用堡垒控制中心按照预设的访问主体评估周期，根据目标数据集合对访问主体进行综合信任量化评分，输出当前周期中的访问主体的信任级别，访问主体的综合信任量化评分和访问主体的信任级别作为初始可信度评估数据。

所述应用堡垒控制中心在当前访问主体评估周期中，获取所述目标数据集合中的实时更新数据，根据实时更新数据计算动态信任评估数据以及静态信任评估数据；将所述动态信任评估数据、所述静态信任评估数据和所述初始可信度评估数据进行整合，得到目标可信度评估数据，通过该目标可信度评估数据对应得出访问权限决策。

通过采用上述技术方案，应用堡垒控制中心通过采集环境感知日志、用户访问行为日志，综合分析出环境风险和用户风险，根据计算的环境、用户风险，决定该用户通过该环境的此次访问所应得到的授权访问应用，然后将授权访问决策权发送给应用堡垒，由应用堡垒执行客户端相应的访问授权。

作为该基于身份安全的零信任接入系统的方法的一种改进，所述环境感知日志包括访问端的本地状态，所述本地状态包括设备是否安装杀毒软件、客户端是否打了漏洞补丁程序，以及设备是否有异常进程之中的一种或者多种。所述用户访问行为日志包括审计上报数据；所述审计上报数据包括进程审计、登录审计、服务审计、用户密码审计、用户权限审计、用户信息审计、共享审计和Windows注册表审计之中的一种或者多种。

通过采用上述技术方案，环境感知日志和用户访问行为日志包含访问主体的各种重要属性，能有效的评估出访问主体存在的风险。

作为该基于身份安全的零信任接入系统的方法的一种改进，所述目标数据集合包含本地状态、认证记录、历史行为记录、属性情况、异常风险记录、访问行为特征、请求访问的用户数据、请求访问的应用权重和资产数据之中的一种或者多种。

通过采用上述技术方案，目标数据集合包含多种重要属性，能有效的评估出访问主体的风险。

作为该基于身份安全的零信任接入系统的方法的一种改进，所述初始可信度评估数据的获得，包括通过预先建立所述目标数据集合之中的各项参数和评分之间的映射关系，并在评分时基于此种映射关系，确定出对应的各项参数的得分，再将各项得分汇总得到所述综合信任量化评分，并确定该综合信任量化评分所落入的信任级别。

通过采用上述技术方案，初始可信度评估数据是多种参数的复合，可信度高，可以作为访问鉴权基线值。

作为该基于身份安全的零信任接入系统的方法的一种改进，计算所述动态信任评估数据的方式为：根据访问主体请求业务系统的资源的行为特征，结合上下文行为信息，对访问行为进行信任量化评分，并确定当前访问行为的信任级别；所述动态信任评估数据包括访问行为的信任量化评分和访问行为的信任级别。计算所述静态信任评估数据的方式为：对访问请求中的静态属性进行评估，得出静态属性的信任量化评分和信任级别；所述静态属性包括用户身份、部门、岗位、权限、账号、设备归属、资产权重和应用权重之中的一种或者多种；所述静态信任评估数据包括静态属性的信任量化评分和静态属性的信任级别。

通过采用上述技术方案，可以动态调整访问行为的信任等级，能在各项属性发生变化的情况下，更为准确的对访问行为进行权限控制，使得系统资源被安全、受控的使用。

作为该基于身份安全的零信任接入系统的方法的一种改进，所述通过该目标可信度评估数据对应得出访问权限决策为：

围绕目标可信度评估数据之中的访问主体的综合信任量化评分、访问主体的信任级别、访问行为的信任量化评分、访问行为的信任级别、静态属性的信任量化评分和静态属性的信任级别，来设置分组，基于该分组对应得出相应的访问权限，生成相应的访问权限决策。

通过采用上述技术方案，不同分组对应不同的访问权限，符合安全访问要求。

作为该基于身份安全的零信任接入系统的方法的一种改进，应用堡垒控制中心在主体访问过程中采用动态安全监测机制，针对客户端对业务系统的每次访问都重新进行风险评估，每次均得出访问权限决策。

通过采用上述技术方案，能有效阻止内外网人员对业务应用的非法扫描和非法渗透，增强业务应用的安全性。

作为该基于身份安全的零信任接入系统的方法的一种改进，客户端与应用堡垒之间的访问链路采用国密算法加密；用户与应用堡垒通过SM4加密后的TLS协议数据包进行数据访问，应用堡垒再将解密后的TLS协议数据包与业务系统进行交互。

通过采用上述技术方案，主体访问客体的安全性高。

综上所述，本申请的基于身份安全的零信任接入系统的方法主要有以下四点有益效果：

1.业务隐藏

零信任访问管理系统在零信任的规范指导下，支持通过端口隐藏和连接排斥的能力实现对业务代理网关的保护。

端口隐藏是指正常情况下代理网关对于未授权的客户端IP不允许访问到代理网关，只有在认证通过之后，控制器将对应的信息下发给代理网关，代理网关才会给对应的客户端开启访问的权限。

连接排斥是指在客户端发起连接时，只有通过零信任访问管理系统验证的客户端才可以访问代理网关，其他的终端发起的请求不能正常的建立连接。

2.身份最小权限

零信任访问管理系统区别于以往的基于网络位置的权限控制体系，主张以身份为中心，将身份化的人、设备和应用进行运行时组合构建访问主体，并为访问主体设定其所需的最小权限。

3.终端访问动态控制

零信任访问管理系统在用户使用的过程中，可以通过实时的检查策略，动态控制终端用户对业务的访问，从时间、来源IP、终端环境变化等维度允许或者阻止用户对业务的访问；只有在满足业务允许访问的全部条件时，才可以正常的访问业务。

4.持续的信任评估

零信任访问管理系统可以通过自适应多因子认证能力，根据人员、终端、环境、接入网络等因素动态调整认证策略，兼顾安全与易用，访问过程中，根据风险情况，持续验证用户身份是否可信。

附图说明

图1为基于身份安全的零信任接入系统的结构示意图。

具体实施方式

以下对基于身份安全的零信任接入系统的方法进行具体说明。

请参考图1，一种基于身份安全的零信任接入系统的方法，在零信任的客户端和业务系统之间部署应用堡垒，应用堡垒为客户端访问业务系统的唯一入口。应用堡垒连接于应用堡垒控制中心。

该方法包括：用户在设备上登录客户端，通过客户端向应用堡垒发出访问业务系统的请求；应用堡垒控制中心采集访问信息并解析，然后进行风险评估，根据风险评估结果得出本次访问的访问权限决策，将该决策发送至应用堡垒；应用堡垒根据该访问权限决策进行访问权限控制。

用户和设备为访问主体。业务系统为访问客体。客户端与应用堡垒之间的访问链路采用国密算法加密。用户与应用堡垒通过SM4加密后的TLS协议数据包进行数据访问，应用堡垒再将解密后的TLS协议数据包与业务系统进行交互，使得主体访问客体的安全性高。

国密应用堡垒提供针对应用系统的SSO（单点登录）功能，用户只需要登录到国密应用堡垒，就可以直接访问所有的应用系统。国密应用堡垒也提供了完整的一键注销功能，当用户从登录状态注销时，将会同时注销所有开启的应用，安全性高。

该基于身份安全的零信任接入系统的方法，通过应用堡垒提供统一的业务安全访问通道，关闭终端直连业务系统的网络策略，尽可能避免企业内部服务全部暴露在办公网络。所有的终端访问都要经过终端身份校验，极大的降低内部业务资产被恶意扫描和攻击的行为，增强业务系统的安全性。

在设备上安装好客户端以后，会生成一个本地终端标识号，将该标识号通过邮件或者其他形式发送给应用堡垒管理员，管理员会根据终端标识号在系统上建立该客户端的登录账户，同时会生成一个激活码，将激活码返给该客户端，客户端通过激活码完成注册后即可通过零信任方式接入到网络内访问业务系统。该终端标识号还可以用于在应用堡垒中进行访问权限控制，可以关联该终端标识号对应可访问的业务系统。无法参照上述方式获取识别码的本地客户端则无法接入到本地可信网络中。

应用堡垒是采用物理部署逻辑串联形式，所有访问业务系统都通过应用堡垒的门户进行访问。当零信任客户接入后，应用堡垒会根据接入进来的客户端使用者的身份，来进行授权策略的配置，即根据人员的身份，来设置能访问哪些业务系统，不能访问的业务系统在登录到应用堡垒的门户后，无法看见业务系统的地址URL信息。

在产品的设计上，应用堡垒重点实现客户端到应用端的安全访问管控，包括：客户端安全访问管控，重点实现对人员和终端设备的安全管控，如用户账号安全管理、用户访问控制、用户身份认证，例如身份安全的用户才允许访问业务系统；应用端安全访问管控，重点实现对应用系统的授权访问和安全防护，如反向代理、逻辑隔离、通讯加密、应用授权；访问过程的安全管控，重点实现在用户访问应用系统的过程中的安全防护，如访问会话管理、入侵防范、输入验证、页面水印、数据脱敏，以及整体的安全审计。

该基于身份安全的零信任接入系统的方法之中，应用堡垒控制中心进行风险评估，风险评估的主要任务是通过采集尽可能丰富的数据，利用尽可能多的分析手段，识别主体的风险行为，评估该风险行为对当前网络安全的风险影响，为安全决策提供智力支持。

风险评估的主要分析方法有基于条件分值和基于上下文的方法。

基于条件分值：企业会对资源访问设置一组条件和分值。根据访问的主体、资产等评估是否满足设定的条件和分值，只有满足条件才授予访问权限。基于条件分值的意思就是假设在授予对资源的访问或允许操作之前必须满足一组合格属性，只有在满足所有条件时，才授予对资源的访问权或对资源应用操作。比如：通过对用户过去的行为以及用户是否安装杀毒软件、终端是否注册等信息进行信任评估得出一个分数，对应的分数则对应相应的规则。比如：60分以下拒绝访问应用资源，60-80分之间进行短信的二次验证，并且分数会根据用户行为动态评估变化。

基于上下文：在评估访问请求时考虑主体的历史记录，根据是否与行为模式发生行为上的偏离，动态评定访问的风险等级。

上下文是某事物存在或发生的环境/条件/情况/背景，可以帮助解释或理解该事物。这里的“某事物”也可以理解为上一节中的内容。由于在零信任访体系下访问的目的是在不可信环境中，实现主体对客体的安全访问。所以零信任需要一个安全访问决策：即在当前的上下文中，主体能否访问客体。这里的主体可以是人、用户、应用、服务等；客体是服务、工作负载、API、数据等；它们中间的对应关系是访问，访问就是我们常说的认证、授权和访问控制。而上下文内容就是终端设备健康状态、访问位置、访问时间、行为基线等信息。为了能够更快、更准确地度量信任级别，评估主体是否允许访问客体，我们必须在做出安全决策时纳入更多实时上下文信息。

该风险评估的过程包括：

（1）应用堡垒控制中心采集环境感知日志以及用户访问行为日志。

（2）应用堡垒控制中心解析环境感知日志以及用户访问行为日志，得到目标数据集合。

（3）应用堡垒控制中心按照预设的访问主体评估周期，根据目标数据集合对访问主体进行综合信任量化评分，输出当前周期中的访问主体的信任级别，访问主体的综合信任量化评分和访问主体的信任级别作为初始可信度评估数据。

（4）应用堡垒控制中心在当前访问主体评估周期中，获取目标数据集合中的实时更新数据，根据实时更新数据计算动态信任评估数据以及静态信任评估数据；将动态信任评估数据、静态信任评估数据和初始可信度评估数据进行整合，得到目标可信度评估数据，通过该目标可信度评估数据对应得出访问权限决策。

该风险评估过程，应用堡垒控制中心通过采集环境感知日志、用户访问行为日志，综合分析出环境风险和用户风险，根据计算的环境、用户风险，决定该用户通过该环境的此次访问所应得到的授权访问应用，然后将授权访问决策权发送给应用堡垒，由应用堡垒执行客户端相应的访问授权。

当客户端接入内网且能访问业务系统后，应用堡垒控制中心参考系统设置的安全基线，采用终端可信环境检测技术周期性的扫描客户端的关键指标信息，来确保用户使用终端的环境安全可信。客户端关键指标信息获取一般逻辑上可划分为环境感知上报和行为审计上报。

上述步骤（1）之中，环境感知日志包括访问端的本地状态，本地状态包括设备是否安装杀毒软件、客户端是否打了漏洞补丁程序，以及设备是否有异常进程之中的一种或者多种。用户访问行为日志包括审计上报数据；审计上报数据包括进程审计、登录审计、服务审计、用户密码审计、用户权限审计、用户信息审计、共享审计和Windows注册表审计之中的一种或者多种。环境感知日志和用户访问行为日志包含访问主体的各种重要属性，能有效的评估出访问主体存在的风险。以上两种信息汇聚上报至应用堡垒控制中心后，系统会实时进行研判，一经判断有风险发生，则动态生成访问控制策略，及时阻断发生风险的终端接入，此时就需要客户端本地进行系统基线的安全加固后才能正常访问。

应用堡垒控制中心对接入的客户端在访问过程中的访问过程的关键对象内容、访问的内容模块的权限、自身的访问过程等安全因素进行识别，对在访问的建立、访问过程中做风险评估判断，如果判定有风险的相关访问，控制中心及时采取降权、阻断等防护策略，阻断客户端的异常访问。

应用堡垒控制中心在访问过程中采用动态安全监测机制，对控制中心客户端安全状态的检验是持续动态的过程，客户端对资源每次访问都重新进行相关的鉴权和检验，同时结合获取访问过程中关键对象、关键环境的安全状态，判定访问过程是否有风险。

上述步骤（2）之中，解析旨在解析访问主体对资源的访问请求，从访问请求中提取出涉及的用户实体、设备实体、数据资源、应用资源等信息，并对访问请求进行字段标准化，转化为信任引擎可以处理的格式。然后将这些实体、资源信息传递给访问实体评估模块、动态信任评估模块和静态信任评估模块处理，进入信任评估。

上述步骤（2）之中，目标数据集合包含本地状态、认证记录、历史行为记录、属性情况、异常风险记录、访问行为特征、请求访问的用户数据、请求访问的应用权重和资产数据之中的一种或者多种。该目标数据集合包含多种重要属性，能有效的评估出访问主体的风险。

上述步骤（3）之中，初始可信度评估数据的获得，具体包括通过预先建立目标数据集合之中的各项参数和评分之间的映射关系，然后对所有的用户和设备进行周期性的信任评估，系统按照一定周期，根据用户和设备的本地状态、认证记录、历史行为记录、当前各项属性情况以及历史的异常风险记录进行评分，并在评分时基于各项参数和评分之间的映射关系，确定出对应的各项参数的得分，再将各项得分汇总得到综合信任量化评分，并确定该综合信任量化评分所落入的信任级别。该访问主体的综合信任量化评分和信任级别作为访问鉴权基线值。

上述步骤（4）之中，计算动态信任评估数据的方式为：根据访问主体请求业务系统的资源的行为特征，结合上下文行为信息，对访问行为进行信任量化评分，并确定当前访问行为的信任级别；动态信任评估数据包括访问行为的信任量化评分和访问行为的信任级别。计算静态信任评估数据的方式为：对访问请求中的静态属性进行评估，得出静态属性的信任量化评分和信任级别；静态属性包括用户身份、部门、岗位、权限、账号、设备归属、资产权重和应用权重之中的一种或者多种；静态信任评估数据包括静态属性的信任量化评分和静态属性的信任级别。该风险评估可以动态调整访问行为的信任等级，能在各项属性发生变化的情况下，更为准确的对访问行为进行权限控制，使得系统资源被安全、受控的使用。

上述步骤（4）之中，通过该目标可信度评估数据对应得出访问权限决策为：围绕目标可信度评估数据之中的访问主体的综合信任量化评分、访问主体的信任级别、访问行为的信任量化评分、访问行为的信任级别、静态属性的信任量化评分和静态属性的信任级别，来设置分组，基于该分组对应得出相应的访问权限，生成相应的访问权限决策。例如，预先设置不同的访问主体的综合信任量化评分、访问主体的信任级别、访问行为的信任量化评分、访问行为的信任级别、静态属性的信任量化评分和静态属性的信任级别的组合映射不同的访问权限，然后计算目标可信度评估数据所映射的访问权限，对应得出访问权限决策。不同分组对应不同的访问权限，符合安全访问要求。应用堡垒依据该访问权限决策进行访问权限控制。

应用堡垒控制中心在主体访问过程中采用动态安全监测机制，针对客户端对业务系统的每次访问都重新进行风险评估，每次均得出访问权限决策，能有效阻止内外网人员对业务应用的非法扫描和非法渗透，增强业务应用的安全性。

本实施方式的基于身份安全的零信任接入系统的方法，通过零信任访问管理系统和智能接入终端，建立VPDN虚拟专网，创建安全的业务安全访问通道与环境，以可信身份为基础，建立每个用户与业务系统和数据资产的对应关系，保障用户安全接入办公内网，有效保护业务数据的安全。

以上仅是本申请的一些实施例，本申请的保护范围并不局限于上述实施例，对于本技术领域的普通技术人员来说，在不脱离本申请创意设计前提下的若干改进和润饰，也应落入本申请的保护范围。

Claims (9)

1.一种基于身份安全的零信任接入系统的方法，其特征在于，在客户端和业务系统之间部署应用堡垒，所述应用堡垒为客户端访问业务系统的唯一入口；所述应用堡垒连接于应用堡垒控制中心；

所述方法包括：用户在设备上登录客户端，通过客户端向所述应用堡垒发出访问业务系统的请求；所述应用堡垒控制中心采集访问信息并解析，然后进行风险评估，根据风险评估结果得出本次访问的访问权限决策，将该决策发送至所述应用堡垒；所述应用堡垒根据该访问权限决策进行访问权限控制。

2.根据权利要求1所述的基于身份安全的零信任接入系统的方法，其特征在于，所述用户和所述设备为访问主体；所述业务系统为访问客体；所述风险评估包括：

所述应用堡垒控制中心采集环境感知日志以及用户访问行为日志；

所述应用堡垒控制中心解析环境感知日志以及用户访问行为日志，得到目标数据集合；

所述应用堡垒控制中心按照预设的访问主体评估周期，根据目标数据集合对访问主体进行综合信任量化评分，输出当前周期中的访问主体的信任级别，访问主体的综合信任量化评分和访问主体的信任级别作为初始可信度评估数据；

所述应用堡垒控制中心在当前访问主体评估周期中，获取所述目标数据集合中的实时更新数据，根据实时更新数据计算动态信任评估数据以及静态信任评估数据；将所述动态信任评估数据、所述静态信任评估数据和所述初始可信度评估数据进行整合，得到目标可信度评估数据，通过该目标可信度评估数据对应得出访问权限决策。

3.根据权利要求2所述的基于身份安全的零信任接入系统的方法，其特征在于，所述环境感知日志包括访问端的本地状态，所述本地状态包括设备是否安装杀毒软件、客户端是否打了漏洞补丁程序，以及设备是否有异常进程之中的一种或者多种；

所述用户访问行为日志包括审计上报数据；所述审计上报数据包括进程审计、登录审计、服务审计、用户密码审计、用户权限审计、用户信息审计、共享审计和Windows注册表审计之中的一种或者多种。

4.根据权利要求2所述的基于身份安全的零信任接入系统的方法，其特征在于，所述目标数据集合包含本地状态、认证记录、历史行为记录、属性情况、异常风险记录、访问行为特征、请求访问的用户数据、请求访问的应用权重和资产数据之中的一种或者多种。

5.根据权利要求2或4所述的基于身份安全的零信任接入系统的方法，其特征在于，所述初始可信度评估数据的获得，包括通过预先建立所述目标数据集合之中的各项参数和评分之间的映射关系，并在评分时基于此种映射关系，确定出对应的各项参数的得分，再将各项得分汇总得到综合信任量化评分，并确定该综合信任量化评分所落入的信任级别。

6.根据权利要求2所述的基于身份安全的零信任接入系统的方法，其特征在于，

计算所述动态信任评估数据的方式为：根据访问主体请求业务系统的资源的行为特征，结合上下文行为信息，对访问行为进行信任量化评分，并确定当前访问行为的信任级别；所述动态信任评估数据包括访问行为的信任量化评分和访问行为的信任级别；

计算所述静态信任评估数据的方式为：对访问请求中的静态属性进行评估，得出静态属性的信任量化评分和信任级别；所述静态属性包括用户身份、部门、岗位、权限、账号、设备归属、资产权重和应用权重之中的一种或者多种；所述静态信任评估数据包括静态属性的信任量化评分和静态属性的信任级别。

7.根据权利要求2所述的基于身份安全的零信任接入系统的方法，其特征在于，所述通过该目标可信度评估数据对应得出访问权限决策为：

围绕目标可信度评估数据之中的访问主体的综合信任量化评分、访问主体的信任级别、访问行为的信任量化评分、访问行为的信任级别、静态属性的信任量化评分和静态属性的信任级别，来设置分组，基于该分组对应得出相应的访问权限，生成相应的访问权限决策。

8.根据权利要求1所述的基于身份安全的零信任接入系统的方法，其特征在于，应用堡垒控制中心在主体访问过程中采用动态安全监测机制，针对客户端对业务系统的每次访问都重新进行风险评估，每次均得出访问权限决策。

9.根据权利要求1所述的基于身份安全的零信任接入系统的方法，其特征在于，客户端与应用堡垒之间的访问链路采用国密算法加密；用户与应用堡垒通过SM4加密后的TLS协议数据包进行数据访问，应用堡垒再将解密后的TLS协议数据包与业务系统进行交互。