云安全联盟：软件定义边界架构指南（35页）.pdf

《云安全联盟：软件定义边界架构指南（35页）.pdf》由会员分享，可在线阅读，更多相关《云安全联盟：软件定义边界架构指南（35页）.pdf（35页珍藏版）》请在三个皮匠报告上搜索。

1、SDP 技术最关键的组成部分之一是要求并强制实施“先认证后连接”模型，该模型弥补了 TCP/IP 开放且不安全性质的不足。SDP 通过单包授权（SPA）实现这一点。SPA 是一种轻量级安全协议，在允许访问控制器或网关等相关系统组件所在的网络之前先检查设备或用户身份。包括请求方的 IP 地址等在内的连接请求的信息，在单一的网络消息中被加密和认证。SPA 的目的是允许服务被防火墙隐藏起来并被默认丢弃。该防火墙系统应该丢弃所有 TCP 和 UDP 数据包，不回复那些连接尝试，从而不为潜在的攻击者提供任何关于该端口是否正被监听的信息。在认证和授权后，用户被允许访问该服务。SPA 对于 SDP 不可或缺

2、，用于在客户端和控制器、网关和控制器、客户端和网关等之间的连接中通信。SPA 在 SDP 中起很大作用。SDP 的目标之一是克服TCP/IP 开放和不安全的基本特性。TCP/IP 的这个特性允许“先连接后认证”。鉴于今天的网络安全威胁形势，允许恶意行为人员扫描并连接到我们的企业系统是不可被接受的。与 SDP 组合的 SPA 通过两种方式应对这个弱点。使用 SDP 架构的应用被隐藏在 SDP 网关/AH 后面，从而只有被授权的用户才能访问。另外，SDP 组件自身，如控制器和网关也被 SPA 保护。这允许它们被安全地面向互联网部署，确保合法用户可以高效可靠地访问，而未授权用户则看不到这些服务。SP

3、A 提供的关键好处是服务隐藏。SPA 相对于其他类似技术的另一个优势是零日(Zero-day)保护。当一个漏洞被发现时，如果只有被认证的用户才能够访问受影响的服务，使该漏洞的破坏性显著减小。SPA 也可以抵御分布式拒绝服务（DDoS）攻击。如果一个 HTTPS 服务暴露在公共互联网而能被攻击，很少的流量就可能使其宕机。SPA 使服务只对认证的用户可见，因而所有 DDoS 攻击都默认由防火墙丢弃而不是由被保护的服务自己处理。SDP 并不尝试去替代已有的身份和访问管理方案，但对用户认证的访问控制进行了加强。SDP 通过将用户认证和授权与其它安全组件集成（见第 8 页的“SDP 的主要功能”）显著减小了潜在攻击面。例如，用户 Jane 可能没有登录公司生产财务管理服务器的密码，但该服务器即使只是简单地在网络上对 Jane的设备可见，就仍然存在风险。如果 Jane 的公司部署了 SDP 架构，财务管理服务器就对 Jane 的设备隐藏了。所以，即使攻击者已经在 Jane 的设备上立足，SDP 将阻止从该设备连接到财务管理服务器。即使Jane 确实有允许访问财务管理服务器的密码，在她的设备上安装 SDP 客户端也提供了额外的保护。攻击者仍然将被多因子身份认证加上强力的设备验证拒之门外。