Loading… 零信任,为「白名单威胁」而生_TOM科技
正文
Qzone
微博
微信
零信任,为「白名单威胁」而生
雷锋网    2021-05-29 17:50

今年的315晚会,宛如“隐私专场”,人脸识别滥用、简历流入黑市。

整个三月,或谩骂或不忿或担忧。

当舆论热潮消退,隐私问题也暂时从聚光灯下退场。

隐私等信息安全,却无时无刻不在敲打着安全界的神经。

如果你手动搜索,会看到全球互联网巨头中,经历过大规模数据泄露事件的不在少数。

信息泄露,并不只存在于每年的315,也不该只在315受到全民关注。

为何数据泄露事件成灾,网络安全防护难道手无缚鸡之力?

回答这个问题之前,需先弄明白,数据安全,不仅存在于人脸、简历等隐私数据,还在于视频监控、邮件等等方面。

而当下隐私信息安全的处境,并不乐观。

内忧层见叠出。

首先是产品本身安全不足。

据数据显示,2019年的物联网安全事件中,主要可归为三类:漏洞和弱口令、准入控制乏力、应用监管不足。

其中,有一半是漏洞和弱密码造成的。

漏洞和弱密码的风险在于极其容易被控制,继而设备被利用,造成信息泄露,或引发DDOS等攻击。

这也意味着,安防产品自身的可靠性是系统安全的根基。如果自身的安全性得不到保障,只是通过外部来防护,难以做到完全的安全。

宇视安全&网络解决方案总工王连朝告诉AI掘金志,造成产品本身安全不足的原因主要有两个。

一是组织管理的不足,在设计之初就未考虑安全设计,漏洞发现、修复和响应机制等等被忽略,由此事后很难修复。

二是技术防范手段不足,存在弱口令,预留后门,或者软件开发本身不规范,缺失认证机制、数据明文传输等。

据部分智能摄像头企业的安全监测结果,不少厂商产品在软件设置上不强制用户修改初始密码,甚至可不设密码。

其次,内部另一风险来自应用监管不足,视频被内部人员泄露。

早在2016年6月,智联招聘的经营者北京网聘咨询有限公司就向公安机关报案,称其内部员工利用公司漏洞,以低价出售了几十万条平台上的求职者简历。

据悉,被315点名的万店掌透露,其平台目前拥有的人脸数据量已经上亿。

若内部管理不足,这些数据,可轻易通过盗取录像、抓图导出、截屏、录屏、外发等各种方式泄密。

外患层出不穷。

在攻击手段上,利用伪造网站、虚假邮件等诱骗手法的网络钓鱼行为愈演愈烈。

“被钓者”的登录凭据被窃取后,攻击者可假其身份发送邮件进行汇款授权等操作。

2014年至2016年间,“CEO欺诈”这一钓鱼式攻击已影响了12,000家公司,并造成20亿美元的损失。

从系统层面看,其整个流程都面临着威胁。

感知层的感知设备有可能被劫持;传输层会受到“私接”网络、DDoS等攻击;

管理层(平台服务层)可能会遭遇非法入侵,数据被窃;应用层则可能会受到黑客对PC机或应用设备的攻击。

着眼各层面防护和预警,迫在眉睫。

传统的防护思维,判断安全与否就看一条分界线。

边界内的一切事物被视为不具有威胁,基本拥有全部的访问权限。

随着云计算、移动互联的发展,传统边界正在瓦解,基于边界的防护正在失效。

拥有“白名单”权限的访问者,恰有可能是最危险的。

而“零信任”这一概念,正如它的字面意思,以“不相信任何人”为原则。

其关键能力可概括为:以身份为基石、业务安全访问、持续信任评估和动态访问控制。

不同的访问者可访问的资源,取决于自身的权限级别。

每一次被授权前都需重新验证,更灵活地建立了防护边界。

腾讯研发落地的“腾讯ioA”零信任安全管理系统,以身份安全可信、设备安全可信、应用进程可信、链路保护等功能,对终端访问过程进行持续的权限控制和安全保护。

除了腾讯自身,腾讯ioA在金融、医疗、交通等多个行业领域都实现了应用。

内网办公、远程办公、云上办公等不同场景的风险得到控制,员工实现了“无论何时、何地、使用何设备都可安全访问授权资源以处理何种业务”的新型办公方式。

不将鸡蛋放在同一个篮子里,是投资者的降低风险之策;信息安全的防护,也不可在一次授权后就高枕无忧。

零信任作为新一代网络安全理念,将“有边”变为“无边”,将授权防护落实在每一次动态访问上,让“白名单威胁”无缝可钻。

就零信任领域中的持续信任评估而言,需要访问者提供多个身份验证方法。

这也就是说,在态势感知方面对访问进行持续分析,有助于零信任的访问管理。

在新型IT环境下,网络攻击的形态演变不断。

企业若是没有及时发现未知威胁,就无法定位攻击目标及源头,更无法对入侵途径和动机进行溯源。

目前,实现对威胁的准确检测,仍基于安全大数据的分析。

奇安信推出的威胁态势感知系统,基于自有的多维度大数据,自动挖掘与云端关联分析。

利用检索分析平台中的告警日志和流量日志,并与其他数据进行关联,帮助进一步分析。

若是提前洞悉到威胁,系统会推出威胁情报,对其进行描述。

同样,通过态势感知对攻击事件、攻击源和威胁告警进行分类统计和分析,华为云目前能检测出超二十大类的云上安全风险。

常见的DDoS攻击、Web攻击等威胁也囊括其中。

如今,为实现安全运营等闭环管理,态势感知已达到一定程度的普及。

化被动为主动,为零信任架构提供了必需的安全保障。

为应对信息泄露等危机,不仅有各企制定出解决方案与预防手段,政府也在立法层面不断加强管制。

自2019年实施起的等保2.0,对保护对象分级监管,并新增了云计算、移动互联、物联网和工控四大安全拓展要求,以及集中管控、入侵防范、恶意代码防范和安全审计等网络和通信安全类项目。

去年,国内发布的《信息安全技术个人信息安全规范》,对收集个人生物识别信息的告知和存储要求也作出了明确规定。

但信息安全与威胁将长期共存,消除眼下的危机,不代表可一劳永逸。

企业仍需不断提升自身防御能力,建立一套持续监测、持续改进优化的机制,才是可持续发展之计。雷锋网雷锋网雷锋网

【以上内容转自“雷锋网”,不代表本网站观点。未经授权不得转载】

 

广告
责任编辑: 4126TJ

责任编辑: 4126TJ
  热点精选
广告