白話(huà)零信任

1 零信任的歷史\t1
1．1 零信任理念的誕生\t1
1．1．1 傳統(tǒng)安全模式面臨的挑戰(zhàn)\t1
1．1．2 零信任思想的雛形\t3
1．1．3 Forrester正式提出零信任概念\t3
1．1．4 Forrester對(duì)零信任概念的豐富\t4
1．2 最早的零信任實(shí)踐――谷歌BeyondCorp\t6
1．2．1 谷歌為什么要開(kāi)發(fā)BeyondCorp\t6
1．2．2 BeyondCorp架構(gòu)\t7
1．2．3 員工的使用體驗(yàn)\t9
1．2．4 服務(wù)器與服務(wù)器之間的零信任架構(gòu)――BeyondProd\t10
1．3 國(guó)外零信任行業(yè)的大發(fā)展\t12
1．3．1 零信任網(wǎng)絡(luò)訪問(wèn)方案\t12
1．3．2 云形式的零信任方案\t12
1．3．3 以身份為中心的零信任方案\t13
1．3．4 微隔離方案\t14
1．3．5 美國(guó)國(guó)防部零信任參考架構(gòu)\t14
1．4 零信任行業(yè)技術(shù)標(biāo)準(zhǔn)\t15
1．4．1 國(guó)際云安全聯(lián)盟提出SDP技術(shù)架構(gòu)\t15
1．4．2 美國(guó)NIST制定行業(yè)標(biāo)準(zhǔn)\t18
1．4．3 國(guó)內(nèi)技術(shù)標(biāo)準(zhǔn)大事記\t20
1．5 令人眼花繚亂的國(guó)內(nèi)市場(chǎng)\t20
1．5．1 國(guó)內(nèi)對(duì)零信任的重視\t20
1．5．2 零信任還處于初級(jí)階段\t21
1．5．3 國(guó)內(nèi)的零信任方案\t21
1．6 過(guò)熱之后必然經(jīng)歷幻滅和重生\t23
2 零信任的概念\t25
2．1 零信任的假設(shè)\t25
2．2 零信任的原則\t25
2．3 拿傳染病防控打個(gè)比方\t27
2．4 對(duì)零信任的幾個(gè)誤解\t27
2．5 零信任的價(jià)值\t28
2．6 零信任的風(fēng)險(xiǎn)及應(yīng)對(duì)措施\t29
3 零信任架構(gòu)\t31
3．1 當(dāng)前網(wǎng)絡(luò)架構(gòu)\t31
3．2 零信任網(wǎng)絡(luò)架構(gòu)\t33
3．2．1 零信任管控平臺(tái)\t33
3．2．2 零信任客戶(hù)端\t35
3．2．3 零信任安全網(wǎng)關(guān)\t35
3．2．4 微隔離組件\t37
3．2．5 零信任策略執(zhí)行點(diǎn)\t37
3．3 零信任安全能力地圖\t38
3．3．1 身份\t39
3．3．2 設(shè)備\t40
3．3．3 網(wǎng)絡(luò)\t40
3．3．4 應(yīng)用\t42
3．3．5 數(shù)據(jù)\t43
3．3．6 可見(jiàn)性與分析\t43
3．3．7 自動(dòng)化與編排\t44
3．4 零信任的典型用例\t45
3．5 零信任的量化評(píng)價(jià)指標(biāo)\t46
4 零信任組件技術(shù)\t48
4．1 零信任的隱身黑科技\t48
4．1．1 SPA端口隱藏\t48
4．1．2 端口隱藏的效果\t56
4．1．3 SPA技術(shù)的增強(qiáng)\t57
4．1．4 管控平臺(tái)的SPA防護(hù)\t59
4．1．5 雙層隱身架構(gòu)\t60
4．1．6 無(wú)端模式隱身\t62
4．1．7 隱身安全能力總結(jié)\t64
4．2 零信任安全網(wǎng)關(guān)\t64
4．2．1 零信任架構(gòu)的中心\t64
4．2．2 Web代理網(wǎng)關(guān)\t65
4．2．3 隱身網(wǎng)關(guān)\t66
4．2．4 網(wǎng)絡(luò)隧道網(wǎng)關(guān)\t67
4．2．5 Web代理與隧道網(wǎng)關(guān)的關(guān)系\t68
4．2．6 API網(wǎng)關(guān)\t68
4．2．7 其他代理網(wǎng)關(guān)\t69
4．2．8 網(wǎng)關(guān)集群\t70
4．2．9 加密傳輸\t72
4．2．10 關(guān)鍵能力總結(jié)\t75
4．3 動(dòng)態(tài)權(quán)限引擎\t76
4．3．1 權(quán)限策略與風(fēng)險(xiǎn)策略的關(guān)系\t76
4．3．2 權(quán)限引擎的架構(gòu)\t76
4．3．3 權(quán)限策略模型\t78
4．3．4 典型的策略構(gòu)成\t81
4．3．5 分層制定授權(quán)策略\t84
4．4 風(fēng)險(xiǎn)與信任評(píng)估\t87
4．4．1 持續(xù)的風(fēng)險(xiǎn)與信任評(píng)估模型\t87
4．4．2 零信任的風(fēng)險(xiǎn)分析架構(gòu)\t88
4．4．3 風(fēng)險(xiǎn)分析方法\t90
4．4．4 風(fēng)險(xiǎn)分析可視化\t93
4．4．5 風(fēng)險(xiǎn)攔截策略\t95
4．4．6 綜合信任評(píng)估\t97
4．5 零信任的終端安全閉環(huán)\t100
4．5．1 終端安全基線(xiàn)\t101
4．5．2 數(shù)據(jù)防泄密\t104
4．5．3 安全上網(wǎng)\t112
4．5．4 終端一體化\t113
4．6 微隔離\t114
4．6．1 威脅的橫向擴(kuò)散\t114
4．6．2 微隔離如何防止威脅擴(kuò)散\t115
4．6．3 以前為什么沒(méi)有微隔離\t119
4．6．4 怎么實(shí)現(xiàn)微隔離\t119
4．6．5 微隔離價(jià)值總結(jié)\t125
4．7 統(tǒng)一身份管理\t125
4．7．1 身份大數(shù)據(jù)\t125
4．7．2 身份分析與治理\t129
4．7．3 統(tǒng)一身份認(rèn)證\t132
4．8 SASE與ZTE\t138
4．8．1 什么是SASE\t138
4．8．2 ZTE與SASE的關(guān)系\t141
4．8．3 SASE的主要應(yīng)用場(chǎng)景\t142
4．8．4 SASE的價(jià)值\t143
4．8．5 SASE可能存在的“坑”\t144
4．8．6 SASE如何落地\t144
5 零信任攻防案例\t146
5．1 從一個(gè)模擬案例看零信任的作用\t146
5．1．1 黑客攻擊過(guò)程\t146
5．1．2 最大的漏洞是人的漏洞\t149
5．1．3 通過(guò)安全框架彌補(bǔ)人的不可靠性\t150
5．1．4 零信任防御效果\t153
5．1．5 零信任的防御措施總結(jié)\t154
5．2 從4次黑客大賽看SDP的戰(zhàn)斗力\t155
5．2．1 第一次大賽：模擬內(nèi)部攻擊\t156
5．2．2 第二次大賽：抗DDoS攻擊\t156
5．2．3 抗DDoS攻擊的小實(shí)驗(yàn)\t157
5．2．4 第三次大賽：防偽造防篡改\t159
5．2．5 第四次大賽：高可用性測(cè)試\t160
5．2．6 SDP的五重防御體系\t161
5．3 零信任VS勒索病毒\t162
5．3．1 勒索病毒介紹\t162
5．3．2 勒索病毒為什么能肆虐\t163
5．3．3 勒索病毒傳播原理\t163
5．3．4 零信任怎么防御勒索病毒\t167
5．3．5 勒索病毒的其他補(bǔ)救方式\t169
5．3．6 中毒后如何解除\t169
5．4 零信任VS黑客攻擊鏈\t170
5．4．1 偵察\t170
5．4．2 準(zhǔn)備武器\t172
5．4．3 投放武器\t173
5．4．4 滲透攻擊\t174
5．4．5 植入后門(mén)\t174
5．4．6 指揮控制\t175
5．4．7 目標(biāo)行動(dòng)\t176
5．4．8 總結(jié)\t178
5．5 攻防能力總結(jié)表\t178
6 零信任的應(yīng)用場(chǎng)景\t180
6．1 員工安全遠(yuǎn)程辦公\t181
6．1．1 常見(jiàn)的遠(yuǎn)程辦公方式\t181
6．1．2 VPN的替代與共存\t182
6．1．3 遠(yuǎn)程訪問(wèn)敏感業(yè)務(wù)數(shù)據(jù)\t188
6．1．4 零信任與云桌面結(jié)合\t189
6．1．5 移動(dòng)零信任\t191
6．1．6 內(nèi)外網(wǎng)統(tǒng)一訪問(wèn)控制\t195
6．2 多租戶(hù)統(tǒng)一接入平臺(tái)\t196
6．2．1 分支機(jī)構(gòu)組網(wǎng)的安全挑戰(zhàn)\t197
6．2．2 多分支機(jī)構(gòu)的互聯(lián)網(wǎng)統(tǒng)一收口\t198
6．2．3 二級(jí)單位的多租戶(hù)統(tǒng)一管理\t201
6．2．4 加速并購(gòu)企業(yè)的整合\t204
6．2．5 B2B2C模式\t205
6．3 第三方人員的輕量級(jí)接入門(mén)戶(hù)\t206
6．3．1 第三方接入場(chǎng)景分析\t206
6．3．2 第三方接入的安全挑戰(zhàn)\t207
6．3．3 零信任的第三方接入門(mén)戶(hù)\t208
6．4 零信任的旁路模式\t211
6．4．1 旁路部署的安全訪問(wèn)控制\t211
6．4．2 面向大眾的2C場(chǎng)景\t213
6．5 零信任數(shù)據(jù)安全\t217
6．5．1 企業(yè)面臨的數(shù)據(jù)安全挑戰(zhàn)\t217
6．5．2 數(shù)據(jù)生命周期安全\t219
6．5．3 零信任的數(shù)據(jù)權(quán)限管控\t222
6．6 云上應(yīng)用的防護(hù)\t228
6．6．1 業(yè)務(wù)遷移到云端\t228
6．6．2 SaaS服務(wù)的安全防護(hù)\t231
6．7 API數(shù)據(jù)交換的安全防護(hù)\t233
6．7．1 API安全風(fēng)險(xiǎn)\t233
6．7．2 零信任API網(wǎng)關(guān)的安全架構(gòu)\t234
6．7．3 API旁路監(jiān)控模式\t237
6．7．4 Open API調(diào)用場(chǎng)景\t238
6．7．5 內(nèi)部API服務(wù)調(diào)用場(chǎng)景\t239
6．7．6 API調(diào)用與應(yīng)用訪問(wèn)聯(lián)動(dòng)\t239
6．8 物聯(lián)網(wǎng)的安全防護(hù)\t240
6．8．1 什么是物聯(lián)網(wǎng)\t240
6．8．2 物聯(lián)網(wǎng)的安全威脅\t243
6．8．3 物聯(lián)網(wǎng)網(wǎng)關(guān)的安全防護(hù)\t244
6．8．4 智能終端的安全訪問(wèn)\t247
6．8．5 物聯(lián)網(wǎng)中旁路部署的零信任\t248
6．8．6 零信任保護(hù)MQTT服務(wù)器\t248
6．9 零信任與等保合規(guī)\t249
6．9．1 什么是等保\t249
6．9．2 零信任與等保\t250
6．9．3 其他安全能力\t250
6．10 安全開(kāi)發(fā)和運(yùn)維\t251
6．10．1 安全運(yùn)維訪問(wèn)\t251
6．10．2 DevOps與零信任\t254
7 零信任落地案例精選\t256
7．1 某零售企業(yè)的典型SDP案例\t256
7．1．1 企業(yè)現(xiàn)狀\t256
7．1．2 項(xiàng)目起源\t257
7．1．3 零信任架構(gòu)\t257
7．1．4 實(shí)踐經(jīng)驗(yàn)\t258
7．2 某金融企業(yè)的分級(jí)訪問(wèn)控制體系\t260
7．2．1 企業(yè)現(xiàn)狀\t260
7．2．2 項(xiàng)目起源\t260
7．2．3 零信任架構(gòu)\t261
7．2．4 實(shí)踐經(jīng)驗(yàn)\t263
7．3 某互聯(lián)網(wǎng)企業(yè)的全球接入平臺(tái)\t265
7．3．1 企業(yè)現(xiàn)狀\t265
7．3．2 項(xiàng)目起源\t265
7．3．3 零信任架構(gòu)\t266
7．3．4 實(shí)踐經(jīng)驗(yàn)\t267
7．4 谷歌的零信任網(wǎng)絡(luò)安全體系\t269
7．4．1 項(xiàng)目起源\t269
7．4．2 零信任架構(gòu)\t270
7．4．3 BeyondCorp的實(shí)施經(jīng)驗(yàn)\t272
8 零信任建設(shè)最佳實(shí)踐\t277
8．1 成熟度自測(cè)\t277
8．1．1 成熟度自測(cè)表\t277
8．1．2 身份\t278
8．1．3 設(shè)備\t278
8．1．4 網(wǎng)絡(luò)\t279
8．1．5 應(yīng)用\t279
8．1．6 數(shù)據(jù)\t280
8．1．7 管理\t280
8．1．8 總結(jié)\t280
8．2 建設(shè)路線(xiàn)規(guī)劃\t281
8．2．1 路線(xiàn)圖的規(guī)劃原則\t281
8．2．2 不同企業(yè)的關(guān)注重點(diǎn)\t283
8．3 如何獲取各方支持\t284
8．3．1 可能遇到的阻礙及應(yīng)對(duì)策略\t284
8．3．2 明確零信任建設(shè)的驅(qū)動(dòng)力\t285
8．3．3 量化安全的投資回報(bào)\t287
8．4 零信任如何融入現(xiàn)有架構(gòu)\t288
8．4．1 相關(guān)組件的分類(lèi)\t288
8．4．2 零信任與網(wǎng)絡(luò)基礎(chǔ)設(shè)施的結(jié)合\t289
8．4．3 零信任與邊界安全產(chǎn)品的結(jié)合\t294
8．4．4 零信任與終端安全的聯(lián)動(dòng)\t296
8．4．5 零信任與安全運(yùn)營(yíng)平臺(tái)的聯(lián)動(dòng)\t298
8．4．6 零信任與身份管理平臺(tái)的對(duì)接\t300
8．4．7 零信任與業(yè)務(wù)系統(tǒng)的兼容\t302
8．4．8 融合關(guān)系總結(jié)表\t304
8．5 無(wú)感知的用戶(hù)體驗(yàn)\t305
8．5．1 客戶(hù)端是件麻煩事\t305
8．5．2 無(wú)端模式\t306
8．5．3 隱藏模式\t306
8．6 資源有上千個(gè)，權(quán)限怎么配置\t308
8．6．1 自動(dòng)發(fā)現(xiàn)資源清單\t308
8．6．2 權(quán)限自動(dòng)采集和配置\t309
8．6．3 自動(dòng)發(fā)現(xiàn)進(jìn)程通信白名單\t310
8．6．4 自助申請(qǐng)?jiān)L問(wèn)權(quán)限\t310
8．7 漸進(jìn)式的灰度上線(xiàn)\t311
8．7．1 灰度上線(xiàn)的技術(shù)手段\t311
8．7．2 策略的生命周期管理\t314
8．8 保障業(yè)務(wù)可用性\t315
8．8．1 高可用架構(gòu)\t315
8．8．2 健康狀態(tài)監(jiān)控\t315
8．8．3 零信任的逃生機(jī)制\t316
8．9 零信任自身被攻陷了怎么辦\t317
8．9．1 收縮暴露面\t317
8．9．2 主機(jī)配置加固\t318
8．9．3 指令、文件、進(jìn)程、通信白名單\t318
8．9．4 Web攻擊的防護(hù)\t318
8．9．5 RASP防護(hù)\t318
8．9．6 檢測(cè)入侵跡象\t319
8．9．7 客戶(hù)端自我保護(hù)\t319
9 零信任安全運(yùn)營(yíng)指南\t320
9．1 制定安全制度\t320
9．2 如何處理安全事件\t321
9．2．1 事件分級(jí)處理\t321
9．2．2 典型安全事件處理流程\t323
9．3 常見(jiàn)風(fēng)險(xiǎn)的自動(dòng)響應(yīng)\t325
9．3．1 設(shè)備防入侵\t325
9．3．2 防盜號(hào)\t326
9．3．3 阻斷惡意攻擊\t327
9．3．4 數(shù)據(jù)防泄密\t328
9．4 如何優(yōu)化異常檢測(cè)模型\t328
9．4．1 攻擊檢出率的提升\t328
9．4．2 如何解決過(guò)多的誤報(bào)\t329
9．5 攻防演練\t329
9．6 總結(jié)匯報(bào)\t330
參考文獻(xiàn)\t332