网络安全原理与实践 课件 第04章 访问控制-2防火墙

第4章防火墙南京航空航天大学引子2企业上网面临的安全问题之一:

内部网与互联网的有效隔离解答:

防火墙防火墙的提出3防火墙示意图1.企业B内联网(Intranet)2.部门子网3.企业A内联网互联网4本章目标掌握防火墙基本知识；熟练掌握防火墙体系结构：包过滤型、双宿主主机型、屏蔽子网型、分布式防火墙等；熟练掌握防火墙的关键技术，如包过滤、堡垒主机、NAT技术等；能够运用防火墙知识解决安全防护的实际需求；未来技术的发展：零信任网络技术。5主要内容1防火墙基本知识2防火墙体系结构3防火墙关键技术4分布式防火墙5零信任网络技术一、防火墙基本知识1、防火墙是什么2、防火墙定义3、防火墙实现层次4、防火墙的作用5、防火墙的缺点71、防火墙是什么防火墙保护内部安全网络免受外部不安全网络的侵害。典型情况1：安全网络为企业内部网络，不安全网络为互联网。典型情况2：用于Intranet各部门网络之间（内部防火墙）。如财务部与研发部之间。82、防火墙定义WilliamCheswick和SteveBeilovin（1994）：防火墙是放置在两个网络之间的一组组件，具有下列性质：只允许本地安全策略授权的通信信息通过双向通信信息必须通过防火墙防火墙本身不会影响信息的流通William

R.CheswickandSteven

M.Bellovin.

FirewallsandInternetSecurity:RepellingtheWilyHacker.Addison-Wesley,Reading,MA,1stedition,1994Steven

M.BellovinandWilliam

R.Cheswick.Networkfirewalls.

IEEECommunicationsMagazine,32(9):50--57,Sept1994./~smb/papers//WilliamCheswick910防火墙是否一种访问控制？是否AB提交单选题10分2、防火墙定义防火墙是一种访问控制技术，是网络安全的第一道防线，控制进、出两个方向的通信。防火墙是位于两个信任程度不同的网络之间（如企业内部网络和Internet之间）的软件或硬件设备的组合，对两个网络之间的通信进行控制，通过强制实施统一的安全策略，防止对重要信息资源的非法存取和访问以达到保护系统安全的目的。11应用层？表示层会话层传输层？网络层？数据链路层？物理层？外部网络内部网络内部网络3、防火墙实现层次12互联设备防火墙的功能过滤进出网络的数据管理进出网络的访问行为封堵某些禁止的业务记录进出网络的信息和活动对网络攻击进行检测和告警4、防火墙功能13互联网非法获取内部数据4、防火墙的作用144、防火墙的作用允许定义一个中心“扼制点”防止非法用户进入内部网络：禁止存在安全脆弱性的服务进出网络，并抗击来自各种路线的攻击。防火墙能够简化安全管理，网络安全性是在防火墙系统上得到加固，而不是分布在内部网络的所有主机上保护网络中脆弱的服务（哪些是脆弱的服务）：防火墙通过过滤存在安全缺陷的网络服务来降低内部网遭受攻击的威胁，因为只有经过选择的网络服务才能通过防火墙通过防火墙用户可以很方便地监视网络的安全性，并产生报警信息154、防火墙的作用集中安全性：如果一个内部网络的大部分需要安全保护的系统能集中地放在防火墙中，而不是分散到每个主机中，使得防火墙的保护范围就相对集中，安全成本相对便宜。口令系统或身份认证软件等，放在防火墙中优于放在每个外部能访问的主机上增强保密性、强化私有权：某些看似不甚重要的信息往往会成为攻击者攻击的开始。如利用finger列出当前使用者名单，以及一些用户信息。DNS服务能提供一些主机信息。防火墙能封锁这类服务，从而使得外部网络主机无法获取这些有利于攻击的信息防火墙是审计和记录网络流量的一个最佳地方：网络管理员可以在此向管理部门提供Internet连接的费用情况，查出潜在的带宽瓶颈的位置，并能够提供部门级的计费16防火墙的缺点？不能防止内部的攻击会限制或者关闭有用而又存在安全隐患的服务不能防止数据驱动型攻击不能防止绕过防火墙的攻击ABCD提交不能防止带毒文件E不能防止新出现的网络安全问题F可为此题添加文本、图片、公式等解析，且需将内容全部放在本区域内。正常使用需3.0以上版本此处添加答案解析答案解析17多选题10分Review身份认证的主要方法Whatyouknow:口令Whatyouhave:IC卡,U盾等Whatyouare:生物信息身份认证，指纹、人脸、签名、虹膜、掌纹、语音、步态......身份认证协议Kerberos：对称密钥认证PKI：非对称密钥认证访问控制主体、客体、授权策略（自主访问控制、强制访问控制、RBAC、UNON）18进不来拿不走改不了跑不了看不懂19防火墙的功能？过滤进出网络的数据管理进出网络的访问行为封堵某些禁止的业务记录进出网络的信息和活动ABCD提交对网络攻击进行检测和告警E多选题10分5、防火墙的缺点限制有用的网络服务：限制或关闭存在安全缺陷的网络服务（如telnet、ftp等）。不能有效防护内部网络用户的攻击防火墙无法禁止内部用户对网络主机的各种攻击，堡垒往往从内部攻破。必须要求内部人员了解网络攻击的各种类型，并懂得保护自己的用户口令和周期性变换口令的必要性205、防火墙的缺点Internet防火墙无法防范通过防火墙以外的其它途径的攻击215、防火墙的缺点防火墙不能完全防止传送已感染病毒的软件或文件：病毒类型太多，操作系统有多种，编码与压缩二进制文件的方法也各不相同。不能期望防火墙对每一个文件扫描，查出潜在的病毒。应该在每个客户机和服务器都安装专用的防病毒系统，从源头堵住，防止病毒从软盘或其它来源进入网络系统。防火墙无法防范数据驱动型的攻击：数据驱动型的攻击从表面上看无害，数据被邮寄或拷贝到主机上。数据型攻击可能导致主机修改与安全相关的文件，使得入侵者很容易获得对系统的访问权。不能防备新的网络安全问题：防火墙是被动式的防护手段，只能对已知的网络威胁起作用。不可能靠一次性的防火墙设置来解决永远的网络安全问题。22三大关键缺陷过分依赖拓扑结构不能防止内部攻击流量集中23二、防火墙体系结构1、包过滤防火墙2、双重宿主主机防火墙3、屏蔽主机防火墙4、屏蔽子网防火墙5、其它结构的防火墙241、包过滤防火墙（1）25对进出的数据包进行过滤，丢弃或者允许通过ACL应用于接口上，每个接口的出入双向分别过滤仅当数据包经过一个接口时，才能被此接口的此方向的ACL过滤基于ACL的包过滤技术ACL：AccessControlListRouterRoutingAgentReservationSetupAgentManagementAgentRoutingDatabaseAdmissionControlTrafficControlDatabaseInputDriverInternetForwarderPacketSchedulerOutputDriverOutputQueueBackgroudCodeForwardingPathPacketClassifier转发表PacketClassifierInboundOutbound26271、包过滤防火墙（2）PacketFilter/IPFilter包过滤防火墙用路由器实现对所接收的每个数据包做允许或拒绝的决定。路由器审查每个数据包，以便确定其是否与某一条包过滤规则匹配。包的进入接口和出接口如果有匹配并且规则允许该数据包，那么该数据包就会按照路由表中的信息被转发。如果匹配并且规则拒绝该数据包，那么该数据包就会被丢弃。如果没有匹配规则，用户配置的缺省参数会决定是转发还是丢弃数据包。281、包过滤防火墙（3）数据包过滤检查网络层的IP头和传输层的头：IP源地址IP目标地址传输层协议类型（TCP包、UDP包和ICMP包）TCP或UDP包的目的端口TCP或UDP包的源端口ICMP消息类型TCP包头的确认位(ACK位)TCP包的序号、确认序号等X元组表示291、包过滤防火墙（4）如：为了阻塞所有进入的Telnet连接，路由器只需丢弃所有TCP端口号等于23的数据包。如：为了将进来的Telnet连接限制到内部的数台机器上，路由器必须拒绝所有TCP端口号等于23并且目标IP地址不等于允许主机的IP地址的数据包。301、包过滤防火墙（5）优点：速度快，性能高对用户透明互连的物理介质应用层表示层会话层传输层应用层表示层会话层传输层网络层数据链路层物理层网络层数据链路层物理层网络层数据链路层物理层缺点：维护比较困难（定义数据包过滤器比较复杂，需要管理员对TCP/IP深入了解）安全性低（IP欺骗：外部主机伪装其他可信任外部主机的IP）不提供有用的日志，或根本就不提供不防范数据驱动型攻击无法对网络上流动的信息提供全面的控制31包过滤的策略两种基本策略，或缺省策略没有被拒绝的流量都可以通过管理员必须针对每一种新出现的攻击，制定新的规则没有被允许的流量都要拒绝比较保守根据需要，逐渐开放哪种策略要求更严？32包过滤防火墙的设置(1)从内往外的telnet服务Pc:Server:外网内网往外包的特性(用户操作信息)IP源是内部地址目标地址为serverTCP协议，目标端口23源端口>1023连接的第一个包ACK=0，其他包ACK=1往内包的特性(显示信息)IP源是server目标地址为内部地址TCP协议，源端口23目标端口>1023所有往内的包都是ACK=1f0/0S0/033包过滤防火墙的设置(2)从外往内的telnet服务clientserver内部外部往内包的特性(用户操作信息)IP源是外部地址目标地址为本地serverTCP协议，目标端口23源端口>1023连接的第一个包ACK=0，其他包ACK=1往外包的特性(显示信息)IP源是本地server目标地址为外部地址TCP协议，源端口23目标端口>1023所有往内的包都是ACK=134针对telnet服务的防火墙规则*:第一个ACK=0，其他=1服务方向包方向源地址目标地址包类型源端口目标端口ACK往外外内部外部TCP>102323*往外内外部内部TCP23>10231往内内外部内部TCP>102323*往内外内部外部TCP23>1023135Howtodo?CISCOconfiguretermipaccess-listextended101denytcpanyeq23permiticmpints0/0ipaccessgroup101in

36RouterA

S0

E0/

针对包过滤防火墙的攻击IP地址欺骗，如假冒内部的IP地址对策：在外部接口上禁止内部地址源路由攻击，即由发送方指定路由对策：禁止源路由选项小碎片攻击，利用IP分片功能把TCP头部切分到不同的分片中对策：丢弃分片太小的分片利用复杂协议和管理员的配置失误进入防火墙对策：利用ftp协议对内部进行探查37请问能否在三层交换机上实施包过滤防火墙？能否AB提交38单选题10分2、双重宿主主机防火墙（1）双重宿主主机至少有两个网络接口，位于内部网络和外部网络之间。双宿主机防火墙体系禁止网络层的转发功能，完全阻止了内外网络之间的IP层通信。网络间的通信可通过应用层数据共享或应用层代理服务实现。双宿主机的服务方式：方式1：用户直接登录到双重宿主主机上要在双宿主机上开许多帐号，不安全。方式2：在双宿主机上运行各种代理服务器要访问外部站点时，必须先经过代理服务器认证，才可以通过代理访问因特网。如HTTP，SMTP这些存储转发型服务很适合于进行代理。39双宿主主机：原理40Telnet：仿真终端FTP：文件传送SMTP：电子邮件NNTP：新闻HTTP：超文本传输协议DNS：域名解析服务双宿主主机：优缺点优点节约IP地址缓存，加快速度安全可靠过滤日志缺点灵活性差对主机的依赖性高41日志02/14/9911:52:06 20 Guest 0000071424 Requested:.hk/a/be/beyond_the_basics/chinese_big5/ban5_big5.gif02/14/9911:52:06 20 Guest 0000071425 Requested:.hk/Business_and_Economy/Companies/Online_Picture_Galleries/02/14/9911:52:07 20 Guest 0000071426 Requested:.hk/a/be/beyond_the_basics/chinese_big5/banner17.gif02/14/9911:52:07 20 Guest 0000071427 Requested:.hk/i/hkc/hkch_sm4.gif02/14/9911:52:07 20 Guest 0000071425 Traffic 9636 401 0 1s02/14/9911:52:08 20 Guest 0000071424 Traffic 0 448 395 0 2s02/14/9911:52:09 20 Guest 0000071426 Traffic 0 411 358 0 2s02/14/9911:54:13 8 Guest 0000071455 Requested:http://kernel.eunet.fi:80/pub/linux/kernel/v2.2/linux-2.2.1.tar.bz202/14/9911:52:09 20 Guest 0000071427 Traffic 0 412 359 0 2s02/14/9911:52:11 20 Guest 0000071428 Traffic 0 411 358 0 2s02/14/9911:52:11 20 Guest 0000071429 Requested:.hk/a/be/beyond_the_basics/chinese_big5/banner17.gif02/14/9912:06:48 8 Guest 0000071455 Traffic 3578278 266 216 3578297 755s42双宿主机：Telnet实例TelnetRFC845和RFC855

定义了一个到远程主机系统的“网络虚拟终端”包含了允许客户方和服务器协商的参数通信双方建立了一条TCP连接（面向连接方式），服务器接收来自客户方的击键字符，并在用户终端回显允许客户方与Internet上任何服务器的每个协议端口建立TCP连接，并进行TCP会话INTERNETUNIXSERVERTELNET43RFC是什么？作答正常使用主观题需2.0以上版本雨课堂44主观题10分双宿主机：Telnet实现服务方功能接收用户请求回送处理结果客户方功能向目的方发出请求建立与目的主机的连接收到来自服务方的处理结果代理监听客户端请求telnet代理服务启动连接过滤客户端有请求到来请求合法?NY代理接受请求并连接远程服务器连接成功?NY代理转发客户端与服务器的数据,写入日志中代理关闭双方连接客户端或服务器关闭连接请求终止请求终止45双宿主机的特性安全：双宿主机是隔开内外网络的唯一屏障，一旦它被入侵，内部网络便向入侵者敞开大门。所以应具有强大的身份认证系统。性能：双宿主机是外部用户访问内部网络的中转站，可支持很多用户访问。463、屏蔽主机防火墙（1）组成：包过滤路由器和堡垒主机包过滤路由器配置在内部网和外部网之间，堡垒主机配置在内部网络上。在路由器上进行规则配置，使得外部系统只能访问堡垒主机，到内部系统其他主机的信息全部被阻塞。内部系统是否允许直接访问Internet，或者是要求使用堡垒主机上的代理服务来访问Internet由机构的安全策略来决定。47因特网3、屏蔽主机防火墙（2）优点：安全性更高，双重保护：实现了网络层安全（包过滤）和应用层安全（代理服务）。缺点：过滤路由器能否正确配置是安全与否的关键。过滤路由器的路由表应严格保护，如果遭到破坏，则数据包就不会被路由到堡垒主机上，堡垒主机将被绕过，整个内部网络对入侵者就是开放的。484、屏蔽子网防火墙4949问题：企业对外提供服务的WEB服务器、FTP服务器、MAIL服务器等，如果都放在企业内网中是否存在问题？Internet周边网络(DMZ网络)内部网络……外部路由器/F堡垒主机内部路由器/F屏蔽子网防火墙50对于进来的信息外部路由器用于防范通常的外部攻击（如IP欺骗），并管理外部网到DMZ网络的访问，它只允许外部系统访问堡垒主机。内部路由器提供第二层防御，管理DMZ网络到内部网的访问，只接受来自堡垒主机的数据包。对于出去的信息内部路由器管理内部网到DMZ网络的访问，它允许内部系统只访问堡垒主机。外部路由器管理DMZ网络到外部网的访问，只接受来自堡垒主机的数据包。4、屏蔽子网防火墙安全性更高支持网络层和应用层安全功能。DMZ网络作用：即使堡垒主机被入侵者控制，也只能侦听周边网络的数据，而不能侦听到内部网的数据，内部路由器会阻止内部网络上的数据包流入DMZ网络。515、其它结构的防火墙（1）一个堡垒主机和一个非军事区示意图……DMZ堡垒主机内部网外部路由器Internet525、其它结构的防火墙（2）两个堡垒主机和两个非军事区外部DMZ外部堡垒主机内部网外部路由器Internet…内部堡垒主机内部DMZ53三、防火墙关键技术1、数据包过滤2、应用级网关3、网络地址转换技术（NAT）541、数据包过滤在网络层拦截所有的信息流（见包过滤防火墙）商业版防火墙产品个人防火墙路由器OpenSourceSoftwareIpfilter(FreeBSD、OpenBSD、Solaris，…)Ipfw(FreeBSD)Ipchains(Linux2.0.x/2.2.x)Iptables(Linux2.4.x)552、应用级网关（1）应用级网关是代理服务器，每个应用都有一个代理程序。在应用层实现防火墙，适用于特定Internet服务，如HTTP、FTP等等。代理服务器运行在两个网络之间，对客户像真的服务器，对于外界的服务器又是一台客户机。当代理服务器接收到用户对某站点的访问请求后首先进行身份认证，检查该请求是否符合规定，如果规则允许用户访问该站点，代理服务器去那个站点取回所需信息再转发给客户。代理服务器通常都拥有一个高速缓存，存储用户经常访问的站点内容，在下一个用户要访问同一站点时，服务器直接将缓存内容发出。56客

户网

关服务器发送请求转发请求请求响应转发响应2、应用级网关（2）优点：应用级网关比单一的包过滤更可靠，可详细记录所有的访问状态信息。缺点：访问速度慢，不允许用户直接访问网络。需要对每个特定的服务安装相应的代理服务软件，每一类服务要使用特殊的客户端软件；并非所有Internet应用软件都可以用代理服务器，比如不能为RPC、talk等提供代理。

572、应用级网关（3）商业版防火墙产品商业版代理(cache)服务器OpenSourceTISFWTK(Firewalltoolkit)ApacheSquid583、网络地址翻译技术（NAT）地址翻译是将一个IP地址用另一个IP地址代替网络地址转换器：在防火墙上装合法IP地址集当内部某一用户要访问Internet时，防火墙动态地从地址集中选一个未分配的地址分配给该用户；内部的某些服务器如Web服务器，可为其分配一个固定的合法地址。优点：对外隐藏内部主机的IP地址，提高了安全性；缓解IP地址不够用的问题。59源IP目的IP10.0.0.1080源IP目的IP0源IP目的IP0源IP目的IP008防火墙网关将不合法IP翻译为合法IP将目的地址翻译为真正的目的地址（隐藏了内部的IP）3、网络地址翻译技术（NAT）60InternetIntranet防火墙路由器将内部网地址都翻译成网关地址发送出去3、网络地址翻译技术（NAT）61问题：所有返回数据包目的IP都是，防火墙如何识别并送回真正主机？作答正常使用主观题需2.0以上版本雨课堂62主观题10分四、分布式防火墙保护内部网络防护到桌面防护到桌面硬件实现保护内部网络保护各子网网络边界网络及子网边界网络边界+各节点网络边界+各节点集中式防火墙分布的集中式防火墙分布式防火墙嵌入式防火墙63集中式防火墙64分布的集中式防火墙65分布式防火墙安全悖论？66嵌入式防火墙67EFW环境PC工作站策略服务器策略数据库嵌入式网卡边界防火墙Internet移动用户拒绝接入LANPolicy！68EFW相关关键技术包分类器实现机制包分类算法策略分发算法策略生成算法策略库69TextHeaderIPPacketEFW架构70应用层主机端的应用程序

主机端操作系统协议栈网卡驱动程序网卡驱动程序网卡驱动程序包过滤引擎网卡协议栈策略规则管理审计模块是策略/审计数据？否EFW主机操作系统层嵌入式OS传输介质主机应用层面主机操作系统层面嵌入式防火墙层面EFW硬件架构ARM处理器SDRAM存储模块FLASH存储模块网络接口1网络接口2调试接口外围接口主机传输介质71EFW软件架构包分类器、策略更新、IDS等嵌入式操作系统网卡驱动、串口等Bootloader嵌入式防火墙硬件应用层OS层驱动层硬件层软件层72新的挑战？保护内部网络防护到桌面防护到桌面硬件实现保护内部网络保护各子网网络边界网络及子网边界网络边界+各节点网络边界+各节点集中式防火墙分布的集中式防火墙分布式防火墙嵌入式防火墙节点中的各类资源访问如何控制？本质上依赖于物理边界！五、零信任网络技术物理边界用户/终端多样化、业务多样化、平台多样化边界模糊，数据在用户、设备、业务、平台之间持续流动人员、业务场景、接入位置、接入终端多样化、安全风险持续上升。外部威胁内部威胁边界安全思维为内网预设过度信任紧靠边界防火墙难以满足，边界安全易被突破边界的打开与延伸物理

边界云合作伙伴IoT/OT远程办公物理边界数字时代业务访问新挑战五、零信任网络技术物理边界内部威胁外部威胁安全事件层出不穷

数据泄露触目惊心内外部威胁愈来愈多，数据泄露层出不穷边界安全思维前提是过度信任内网！安全思维和安全架构需要进化！信任是安全

最大的漏洞五、零信任网络技术仅仅依靠边界防护难以应对应用访问安全风险！安全机制需升级！终端授信风险（不可信设备登录和访问）基础安全风险（未安装杀毒软件、漏洞补丁、安全配置等）应用合规风险（远控软件、恶意软件等）认证风险（单因子认证、暴力破解等）账号风险（账号滥用、盗取凭证等）认证体验（高认证强度带来的用户体验问题）权限漏洞（授权粒度过大、权限未及时回收、越权访问等）应用仿冒（失陷设备仿冒业务应用进行访问获取数据）业务暴露面过大，明文传输、中间人攻击VPN端口开放，自身漏洞，被扫描渗透成为跳板业务数据明文落地物理终端，未有效隔离敏感数据截屏、外发等业务访问安全风险问题终端安全身份安全访问权限网络风险数据泄露远程办公远程运维远程开发第三方/服务外包互联网OA邮件GIT数据VPN云桌面办公用户运维用户开发测试……内网区DMZ五、零信任网络技术77

①

应该假设网络始终存在外部威胁和内部威胁，仅仅通过网络位置来评估信任是不够的。②

默认情况下不应该信任网络内部或外部的任何人/设备/系统，而是基于认证和授权重构业务访问控制的信任基础。③

每个设备、用户的业务访问都应该被认证、授权和加密。④

访问控制策略和信任应该是动态的，基于设备、用户和环境的多源环境数据计算出来。本质是构建以身份为基石的业务动态可信访问控制机制！

NOW

Microsofton业界众多厂商大力跟进完善BeyondCorp项目完成，在超

大型网络中率先实现零信任约翰.金德维格率先提出零信任零信任架构定义：在不可信的网络环境下重建信任2009~20102011~2017m

z永不信任，始终验证五、零信任网络技术78美国国防创新委员会DIBIn2019

and

into2020,

Zero

Trust

will

become

the

ad

hoc

standard

in

the

US,

adopted

bythe

USgovernmentas

both

its

preferred

strategyandas

inferredguidance

to

industries.

USgovernmentadoptionwilltrickledowntoindustries

byfollowing

a

similar

path

to

theCybersecurity

Framework.“…如果实施了零信任架构，或许斯诺登事件就不会发生

…”五、零信任网络技术《美国国防部数字现代化战略》

2019年7月12日零信任安全的概念：零信任是一种网络安全策略，它将安全嵌入到整个体系结构中，以阻止数据泄露。零信任网络访问ZTNA也称为软件定义边界(SDP)，它在一个或一组企业应用程序周围创建基于身份和环境的逻辑访问边界。企业应用程序被隐藏，访问这些企业应用程序的实体必须经过信任代理。在允许访问之前，代理网关先验证指定访问者的身份，环境和是否遵守访问策略。这将企业应用程序从公众的视线中移除，并大大减少了攻击面。零信任安全的优势：•这种以数据为中心的安全模型，消除了受信任或不受信任的网络、设备、角色或进程的概念，并转变为基于多属性的信任级别，使身份验证和授权策略在最小特权访问概念下得以实现。•实现零信任，需要重新思考我们如何利用现有的基础设施，以更简单、更高效的方式设计安全性，同时实现不受阻碍的操作。五、零信任网络技术零信任架构是一种端到端的网络安全体系，

包含身份、凭据、访问管理、操作、终端、托管环境与关联基础设施。零信任架构提供了相关概念、思路和组件关系

的集合，旨在消除在信息系统和服务中实施精准访问策略的不确定性。2020年2月14日NIST《零信任架构》草案五、零信任网络技术控制平面数据平面信任评估引擎

动态访问控制引擎

可信代理身份安全基础设施访问主体

人员设备网络应用访问客体

应用接口功能数据其他安全分析平台不可信可信零信任通用参考架构82具体实现：安全能力内嵌入业务体系，构建自适应内生安全机制。①

以身份为基石②

业务安全访问

为人和设备赋予数字身份

全场景业务隐藏

为数字身份构建访问主体

全流量加密代理

为访问主体设定最小权限

全业务强制授权④

动态访问控制

基于属性的访问控制基线

基于信任等级的分级访问

基于风险感知的动态权限③

持续信任评估

基于身份的信任评估

基于环境的风险判定

基于行为的异常发现五、零信任网络技术五、零信任网络技术以身份为基石为访问主体

设定最小权限为数字身份

构建访问主体为人和设备

赋予数字身份人应用程序主体环境业务访问主体完整不可分割访问

主体设备五、零信任网络技术业务安全访问全场景业务隐藏全流量加密代理全业务强制授权可信代理外部平台

数据交换物联设备

边缘接入用户终端

业务访问业务资产TLSTLSTLS五、零信任网络技术持续信任评估认证强度访问时间地理位置主体信任客体安全等级数字信任身份的数字信任