所有层并非平等创建

342 people reacted 3 1 min. read
John Kindervag

By

Category: 未分类

Tags:

This post is also available in: English (英语) 繁體中文 (繁体中文) 日本語 (日语) 한국어 (韩语) Português (葡萄牙语(巴西))

新闻界的原则如何帮助定义零信任策略

众所周知,不论是新闻文章、博客帖子还是白皮书,要具有可信度,作者需要叙述主题的“何人、何事、何地、何时、为何与如何”。如果没有涵盖这些内容,读者就只能看到一部分的故事。拉迪亚德·吉卜林清楚地定义了这些新闻要素:

 

我有六名忠实的仆人

(我所知道的都是他们教的);

他们的名字是:何事、为何、何时

如何、何地与何人。

 

——拉迪亚德·吉卜林,《原来如此的故事》,1902 年

 

而这种“吉卜林方法”的用途已经延伸到了新闻的最佳实践之外。多年以来,我使用吉卜林方法帮助企业定义策略,并构建零信任网络。这能够确保安全团队获得明确的定义,并且所有人(包括非技术的业务主管)能够通过这种简单的方法理解网络安全策略。

3 层策略与第 7 层策略

为了实际地应用吉卜林方法,并构建真正的零信任架构,您需要了解为何不能通过第 3 层技术实现这一点。

首先,第 3 层与第 7 层之间存在什么区别?第 3 层仅根据 IP 地址、端口或协议评估信息。由于缺乏能够查看的信息,因此严重受限。IP 地址可以伪装。简单的端口扫描就能发现所有的开放端口,这样攻击者能够封装窃取的数据,并通过这些开放的端口泄露。协议只是一种元数据标记,用于帮助管理员了解本应遍历特定端口的流量类型。最重要的是,所有的攻击者都知道如何规避第 3 层控制。您需要使用更高的精准度进行定义,从而保证企业的安全。

相比之下,第 7 层更加具体。在这里,根据实际使用的应用评估信息(例如,将 Facebook 定义为唯一的应用,而不是通过端口 80 和 443 的流量)。在 Forrester 时,我创造了构建零信任网络的五步法。在第四步提出,需要根据数据、与数据交互的用户或应用的预期行为编写分段网关的策略规则。作为零信任环境中的分段网关,Palo Alto Networks 新一代防火墙能够帮助您实现这些,鉴于策略的细粒度要求,只能在第 7 层实现这一点。

利用 Palo Alto Networks 新一代防火墙实现吉卜林方法

以下展示了如何应用吉卜林方法部署 Palo Alto Networks 新一代防火墙,同时使用我们创新性的 User-ID、App-ID 和 Content-ID 技术:

  • User-ID 代表何人声明:“何人正在访问资源?”

User-ID 是源 IP 地址给出的近似值的第 7 层实例化。例如,我们能够从 Active Directory 中获取 OU,从而将域用户拉取到自定义 User-ID 中。然后,我们可以从 GlobalProtect 客户端添加诸如多重身份验证 (MFA) 或主机信息配置文件 (HIP) 之类的内容,以增强“何人”声明的准确性。我们还可以将 MFA 添加到 User-ID 和附加属性中,从而提供更加精细的控制。

  • App-ID 代表何事声明:“使用什么应用访问资源?”

Palo Alto Networks 目前有 2800 多个已发布的 App-ID(请访问 Applipedia 查看不断丰富的列表),用于构建这些规则。这意味着攻击者无法再使用像 Web 服务 (HTTP/HTTPS) 一样的常规应用规避安全控制。

  • Content-ID 代表如何声明:“应如何允许 User-ID 和 App-ID 流量访问资源?”

Content-ID 中包含 Threat Prevention 规则,这是我们的高级入侵防护功能;通过 SSL 解密使恶意流量和被窃取的数据无法藏匿于加密隧道中;通过 URL Filtering 避免用户访问恶意域或网络钓鱼域;WildFire 是我们最先进的沙盒技术,该技术重新定义了阻止恶意软件的方法;我们全新的 DNS Security 服务为自动保护应用了预测分析,从而阻止使用 DNS 的攻击。

通过这三种定义了何人何事以及如何声明的技术,可以轻松地定义基本的吉卜林方法第 7 层规则,并使用我们的 Panorama 管理系统实施。此外,PAN-OS 能够添加何时声明(描述时间的规则);何地声明(与资源位置有关,通常由 Panorama 通过 API 自动获取);或为何声明(方法是从数据分类工具中读取元数据并用于规则中)。

吉卜林方法通过拉迪亚德·吉卜林提供的“何人”、“何事”、“何时”、“何地”、“为何”以及“如何”这种简单的方法,帮助业务领导者和安全管理员定义精细的第 7 层策略。从未考虑过编写防火墙策略的人也很容易理解这种方法,并通过定义必要的条件来为分段网关创建规则集。

 

Got something to say?