[[347760]]

IDaaS身份基礎(chǔ)設(shè)施作為零信任架構(gòu)的關(guān)鍵支撐基礎(chǔ)，提供身份管理服務(wù)和權(quán)限管理服務(wù)，可提供數(shù)字證書，生物特征、電子憑證等多種身份鑒別模式，對訪問主體和資源進(jìn)行身份有效性驗(yàn)證。

1. 風(fēng)險(xiǎn)控制生命周期

然而通過身份認(rèn)證后的訪問行為，還需要進(jìn)行持續(xù)的風(fēng)險(xiǎn)檢測和評估，對于訪問行為進(jìn)行放行、阻斷或有限訪問；在持續(xù)的風(fēng)險(xiǎn)控制中需要對整個(gè)訪問生命周期進(jìn)行如下幾個(gè)階段的設(shè)計(jì)。

1.1 風(fēng)險(xiǎn)識(shí)別

判斷網(wǎng)絡(luò)中存在的風(fēng)險(xiǎn)，如攻擊、漏洞、違規(guī)、越權(quán)、威脅、異常；需要結(jié)合終端可信環(huán)境感知、持續(xù)威脅檢測、態(tài)勢感知等安全分析等技術(shù)全面分析訪問行為風(fēng)險(xiǎn)程度；

1.2 身份信任

通過授權(quán)、認(rèn)證進(jìn)行判斷識(shí)別身份，可結(jié)合多因素認(rèn)證來提高身份識(shí)別的可信程度；并且根據(jù)身份的級別和資源的級別對訪問進(jìn)行進(jìn)一步訪問控制；

1.3 持續(xù)評估

風(fēng)險(xiǎn)識(shí)別和身份信任的研判過程是持續(xù)不斷的，通過AI機(jī)器學(xué)習(xí)進(jìn)行算法模型迭代更新，能快速準(zhǔn)確的進(jìn)行判斷和分析；

1.4 自適應(yīng)

風(fēng)險(xiǎn)判斷通過算法模型動(dòng)態(tài)調(diào)整其信任級別，并且在信任級別低于資源級別是通過智能的多因素平臺(tái)進(jìn)行強(qiáng)認(rèn)證校驗(yàn)來提高信任級別；并且能在訪問控制中進(jìn)行綜合研判、動(dòng)態(tài)賦權(quán)、自動(dòng)變更權(quán)限；

2. 風(fēng)險(xiǎn)控制引擎架構(gòu)

2.1 風(fēng)險(xiǎn)分析行為和情景數(shù)據(jù)

登錄憑據(jù)，身份信息，身份權(quán)限

需要訪問的應(yīng)用、接口、數(shù)據(jù)

訪問行為的上下文信息，時(shí)間、地點(diǎn)、終端設(shè)備信息

獲取的數(shù)據(jù)是否包括高權(quán)限數(shù)據(jù)

API的分級、權(quán)限、敏感度

網(wǎng)絡(luò)狀態(tài)信息，內(nèi)外網(wǎng)、是否翻墻、路由信息、異常網(wǎng)絡(luò)數(shù)據(jù)

被訪問應(yīng)用狀態(tài)，資源提供者本身的安全性，重要性，可用性

訪問者的設(shè)備狀態(tài)，終端的系統(tǒng)狀態(tài)、補(bǔ)丁和安全軟件是否完善、發(fā)起者程序本身安全性

2.2 風(fēng)險(xiǎn)引擎

實(shí)時(shí)的模型計(jì)算，能快速準(zhǔn)確的進(jìn)行計(jì)算

算法學(xué)習(xí)，通過智能的AI算法根據(jù)實(shí)時(shí)的行為和情景數(shù)據(jù)能自我學(xué)習(xí)，并可以動(dòng)態(tài)調(diào)整算法模型

2.3 執(zhí)行策略

根據(jù)風(fēng)險(xiǎn)引擎計(jì)算的信任風(fēng)險(xiǎn)級別結(jié)合訪問客體數(shù)據(jù)的權(quán)限級別，

對訪問行為進(jìn)行控制，阻止、允許訪問但是只讀，

允許訪問并修改但是部分?jǐn)?shù)據(jù)只讀，需要進(jìn)行二次認(rèn)證后才能訪問，

允許訪問但是要審計(jì)其行為，允許訪問但是對其訪問進(jìn)行告警、完全允許訪問。

3. 動(dòng)態(tài)風(fēng)險(xiǎn)評估過程

3.1 初始給所有資源提供者設(shè)置資源等級，可以按應(yīng)用、API、數(shù)據(jù)的敏感程度設(shè)計(jì)不同的等級

3.2 訪問者初始訪問通過身份認(rèn)證

根據(jù)認(rèn)證方式，出示的憑證，可以確定初始信任等級為5級，那么訪問者可以訪問5級及以下的資源和數(shù)據(jù)； 

3.3 出現(xiàn)風(fēng)險(xiǎn)訪問者信任等級下降

根據(jù)風(fēng)險(xiǎn)引擎持續(xù)的評估，發(fā)現(xiàn)訪問風(fēng)險(xiǎn)并且實(shí)時(shí)動(dòng)態(tài)的降低了訪問者的信任定級未3級，那么訪問者只能訪問3級及以下的資源和數(shù)據(jù)，無法再次訪問5級的資源和數(shù)據(jù)； 

3.4 訪問者需要訪問高等級數(shù)據(jù)和資源

當(dāng)前用戶等級不夠訪問高等級數(shù)據(jù)，需要提供一個(gè)能提供用戶來提示信任等級的強(qiáng)認(rèn)證方式，如通過一次人臉識(shí)別來提升訪問者信任等級到7級，可以訪問更高級別的資源和數(shù)據(jù)； 

3.5 訪問者臨時(shí)訪問高等級數(shù)據(jù)和資源

由于當(dāng)前用戶本身等級無法升級到超高等級權(quán)限，可以通過其他高等級用戶或管理員進(jìn)行臨時(shí)授權(quán)，來臨時(shí)提升當(dāng)前用戶本身等級，可以臨時(shí)訪問超高級數(shù)據(jù)和資源，后續(xù)自動(dòng)降級可以更好的保護(hù)超高級數(shù)據(jù)和資源；

3.6 持續(xù)的動(dòng)態(tài)評估調(diào)整信任等級

4. 風(fēng)險(xiǎn)評估模型

4.1 準(zhǔn)備階段

通過敏感信息評估系統(tǒng)對隱私進(jìn)行分級

通過博弈論模型對攻擊者建模

4.2 風(fēng)險(xiǎn)識(shí)別

分析攻擊者可能存在的攻擊方式

對敏感信息做預(yù)先風(fēng)險(xiǎn)性分析，威脅和脆弱點(diǎn) 

4.3 風(fēng)險(xiǎn)分析

因素分析法、邏輯分析法、歷史比較法進(jìn)行定性分析 

在風(fēng)險(xiǎn)評估各環(huán)節(jié)的不確定映射和無法定量進(jìn)行定量分析

4.4 評估結(jié)果

根據(jù)算法模型和不同分析方法，對每次的網(wǎng)絡(luò)訪問行為進(jìn)行分析后，給出一個(gè)針對本次訪問的風(fēng)險(xiǎn)等級

4.4 風(fēng)險(xiǎn)處置

策略執(zhí)行點(diǎn)，根據(jù)評估結(jié)果的風(fēng)險(xiǎn)等級，結(jié)合訪問資源的敏感程度，根據(jù)策略來執(zhí)行具體處置操作

5. 怎么落地

持續(xù)風(fēng)險(xiǎn)控制是零信任架構(gòu)中一個(gè)非常關(guān)鍵的組件，也是比較前沿的技術(shù)，企業(yè)在實(shí)施前需要先確認(rèn)自身的基礎(chǔ)安全是否做的到位，其中如下工作是否已經(jīng)落地：

已經(jīng)有先進(jìn)的端點(diǎn)保護(hù)平臺(tái)，如防毒，dlp，惡意代碼檢測，內(nèi)存注入保護(hù) 

已經(jīng)做好了基本的 Windows 賬戶管理工作

已經(jīng)有了 IAM；（Identity and AccessManagement），即“身份識(shí)別與訪問管理”，具有單點(diǎn)登錄、強(qiáng)大的認(rèn)證管理、基于策略的集中式授權(quán)和審計(jì)、動(dòng)態(tài)授權(quán)、企業(yè)可管理性等功能。）

已經(jīng)有多因素系統(tǒng)，多種認(rèn)證方式。

有了常規(guī)化的補(bǔ)丁管理 

建立了備份/恢復(fù)機(jī)制 

標(biāo)準(zhǔn)化的服務(wù)器/云工作負(fù)載安全代理平臺(tái)

有基本的安全意識(shí)培訓(xùn)； 

統(tǒng)一的日志系統(tǒng)，能收集各種系統(tǒng)，應(yīng)用的日志，并有能力進(jìn)行日志分析 

具備基本的互聯(lián)網(wǎng)出口邊界安全防護(hù)能力，包括 URL 過濾能力。