零信任安全理念在公安大数据领域中的探索

 

点击蓝字 关注我们
目前,各级公安机关正在全国开展公安大数据建设,除了需要满足关键信息基础设施安全保护条例数据安全法等法规要求外,也正在积极实践零信任的安全防护理念,进一步增强公安机关的数据安全能力

公安业务在数据层面,从数据接入开始,根据分级分类的标准,对数据进行各类标注,包括数据集数据表行列进行一系列的标记,为上层应用和安全访问控制提供底层支撑

在应用层面,通过统一访问主体的身份认证,动态的权限控制以及通过工作流的审批和审计管理,能够实现对数据可用可见可用不可见不可用不可见等的安全措施本文基于锐安科技近年来在公安行业的服务经验,对零信任思想的实践及应用进行探讨

一公安行业零信任设计理念

我们认为,公安行业零信任设计理念主要有以下方面:

第一 系统以身份为中心零信任的思想从一开始就是设计每一个应用设备用户等实体达到唯一的身份,通过研发的认证服务把这些管起来,统一身份化都有唯一的标识

第二 环境感知结合主流安全产品的能力,在用户登录系统之后,能对用户终端的环境,网络的环境以及用户自身访问的行为进行持续的监测,从而实现身份的认证

第三 动态的权限控制用户登录系统之后,权限不是一成不变的,可以通过权限服务进行细粒度的权限管理,另外通过环境感知的变化来实现动态权限的管控

第四 严格的业务安全访问控制用户在安全访问数据的过程中,有很多安全的执行检查点目前有可信接入检控可信API/数据检控来实现相关的功能

二公安行业零信任设计组成

整个零信任部署的物理逻辑架构:用户在访问数据的过程中,有很多安全组件,例如环境感知认证服务权限服务可信接入检控可信API/数据检控本文重点介绍认证服务权限服务配合环境服务是如何实现持续身份认证,和动态权限管控这两方面的实践经验

(一)认证服务

认证服务分以下几个模块:
图1:零信任体系服务架构-以身份为中心


集中身份管理目前零信任的思想是将系统的人员设备的利用等统一分配唯一的标识码进行管理只有注册的用户合法的用户才能使用系统,合法的设备才能接入网络,合法的应用才能部署

统一门户为了方便使用,认证服务也提供了统一的门户当用户登录系统之后,统一门户可根据用户的身份,将权限范围内应用系统的APP图标展现在统一门户上面例如用户A,他具有右边ABC三个业务系统的访问权限,那么用户在登录系统之后,统一门户会查询这个用户A的权限,然后将ABC三个APP图标展现在统一门户上面,提供给用户A访问用户B,具有ABCD四个业务系统的访问权限,那么B用户在登录系统之后,在统一门户内可看到ABCD四个APP图标

认证因子管理为了确保用户登录的安全,系统提供统一认证因子的管理,目前系统已经对接PKI人脸声纹指纹等认证因子,用户可以很方便的组合这些认证因子,来实现用户登录到门户的安全系统可以很方便的调用人脸或者声纹对用户进行二次安全校验

(二)权限服务

权限服务主要指能够实现细粒度的权限管控
图2:零信任体系服务架构-细粒度授权


集中权限管理是系统授权的一个核心通过该模块,可以很方便实现用户的授权管理该模块有两个属性,一个是身份的属性,一个是角色的属性身份的属性可以是人,也可以是组织机构(相当于给组织机构所有的人授权,实现批量授权);角色在我们系统里面相当于一个权限的集合,权限的粒度可以管理到应用服务功能菜单操作数据等尤其是在数据的权限管理,粒度可以细化到数据的类别来源数据集表的行或列,把这些组合的权限赋予到某个角色,这个角色给予某个身份,就可以实现授权的效果这些身份具体的指向某个人,那么这个人就有访问某个应用的权限,能够使用这个应用的哪几个功能项,这个功能项下面能够使用哪几个功能子菜单,这些菜单能够使用那些服务接口,这些服务接口能够调用查询哪些数据,这样就构成了一个完整的业务流程

另外,大数据平台提供数据资源目录业务系统目录以及服务资源目录,方便授权服务进行管理,可以很方便的对这几大类的资源进行排列组合

(三)持续的身份认证
图3:零信任体系服务架构-持续身份认证


如前面所述,公安行业零信任一般是与众多安全厂商合作,用户在访问业务系统的过程中,安全厂家提供的环境感知模块对终端网络环境是持续监测的,根据风险会输出分值提供给认证服务如果用户使用的设备中了病毒或木马,那么环境感知服务传递给系统的分值就会比较低认证服务触发两个动作:当用户访问的是低敏应用,触发二次认证,调用人脸,确认是否是本人在访问应用系统;当用户访问的是高敏应用,认证服务会将当前用户令牌撤销,该用户的访问被拦截并暂时取消应用的访问权限待用户的风险消除后,才能够正常访问系统

(四)动态授权的实现
图4:零信任体系服务架构-动态授权


目前权限服务提供两种授权,第一类是静态的授权,人员根据所属组织机构职级等可以预置一些权限第二类是动态授权,其实现方式如下:

假如用户A,他目前拥有1234四个业务系统的访问权限,其中业务系统4是一个高敏的应用,环境感知系统在用户访问系统过程中持续检测环境,把风险分值提供给认证服务,如果当前用户风险分值很低,也就是风险等级很高,那么认证服务通知权限服务,需要做权限变更,调整该用户的应用访问权限,实现动态的变更当这个用户再次登录,因为权限已经做了变更,在登录后,门户只展示123业务系统,4业务系统的图标就看不到了当用户的环境恢复到安全状态的时候,权限服务才会把业务系统4的访问权限重新赋予给用户,用户重新登后,门户就会再次展现4个APP图标通过以上认证服务权限服务再结合环境感知服务,可以实现一次完整的用户动态权限的变更

相关阅读

零信任下的动态可视化准入控制

调查:零信任或将成为主流安全方案

基于智慧安全的零信任落地实践



合作电话:18311333376

合作微信:aqniu001

投稿邮箱:editor@aqniu.com


    关注 安全牛


微信扫一扫关注公众号

0 个评论

要回复文章请先登录注册