资源描述
S D P 工 作 组 | 软 件 定 义 边 界 （ S D P ） 架 构 指 南 版权所有 2 0 1 9 云安全联盟 1 软 件 定 义 边 界 1 1 主 要 作 者 J a s o n G a r b i s J u a n i t a K o i l p i l l a i 贡 献 者 J u n a i d I s l a m N y a M u r r a y A a r o n P a l e r m o 致 谢 云 安 全 联 盟 （ C S A ） 对 所 有 为 制 定 本 指 南 做 出 贡 献 和 提 供 支 持 的 人 员 表 示 感 谢 。 云 安 全 联 盟 员 工 S h a m u n M a h m u d P r e e t a R a m a n M i c h a e l R o z a S D P 工 作 组 软 件 定 义 边 界 架 构 指 南S D P 工 作 组 | 软 件 定 义 边 界 （ S D P ） 架 构 指 南 版权所有 2 0 1 9 云安全联盟 2 致 谢 云 安 全 联 盟 （ C S A ） 对 所 有 为 制 定 本 指 南 做 出 贡 献 和 提 供 支 持 的 人 员 表 示 感 谢 。 主 要 作 者 贡 献 者 云 安 全 联 盟 员 工 J a s o n G a r b i s J u n a i d I s l a m P r e e t a R a m a n S h a m u n M a h m u d J u a n i t a K o i l p i l l a i N y a M u r r a y M i c h a e l R o z a A a r o n P a l e r m oS D P 工 作 组 | 软 件 定 义 边 界 （ S D P ） 架 构 指 南 版权所有 2 0 1 9 云安全联盟 3 中 文 翻译 版 说 明 由中国云安全联盟( C - C S A ) 秘书处组织 C S A 大中华区 S D P 工作组专家对 S D P 架构指南 ( S D P _ A r c h i t e c t u r e _ G u i d e ) 进行翻译。 参 与本 文档 翻 译的 专家 （排 名 不分 先后 ） ： 组长 ： 陈本峰（云深互联） 组员 ： 程长高（安全狗）、靳明星（易安联）、李钠（奇安信）、吴涛（华云数据）、余强（中 宇万通）、袁初成（缔安科技）、刘德林、刘洪森、孙刚、王贵宗、杨洋、姚凯 关于 C S A 大中 华区 S D P 工作 组： 随着云计算和移动互联网的发展，传统的基于边界防御的企业安全模型已经无法适应需求， 取 而代之是 S o f t w a r e D e f i n e d P e r i m e t e r （软件定义边界，即 S D P ）安全模型。目前，S D P 已经在国外 逐 渐被普遍采用，为了推动 S D P 在中国企业的应用，并根据本土市场需求制定出更适应中国市场的 S D P 实践指南，在中国云安全联盟的支持下 ，C S A 大中华区成立 S D P 工作组。工作组于 2 0 1 9 年 3 月 成 立，首批参与单位有：阿里云、腾讯云、京东云、奇安信、深信服、绿盟科技、U C l o u d 、顺丰科 技、天融信、云深互联、中宇万通、华云数据、三未信安、上元信安、安全狗、易安联、联软科技、 上海云盾、缔盟云、缔安科技等三十多家单位。 关 于 S D P 工 作 组 更 多 的 介 绍 ， 请 点 击 中 国 云 安 全 联 盟 官 网 h t t p s : / / w w w . c - c s a . c n / r u a n j i a n d i n g y i b i a n j i e S D P . h t m l 查看，联盟联系邮箱：i n f o c - c s a . c nS D P 工 作 组 | 软 件 定 义 边 界 （ S D P ） 架 构 指 南 版权所有 2 0 1 9 云安全联盟 4 序 言 软件定义边界 S o f t w a r e D e f i n e d P e r i m e t e r ( S D P ) 是一种具有创新性的网络安全解决方案，这种解 决方案又称零信任网络 Z e r o T r u s t N e t w o r k ( Z T N ) 。 S D P 或 Z T N 是基于云安全联盟 C S A 提出的理念，用安全隐身衣取代安全防弹衣保护目标，使攻 击者在网络空间中看不到攻击目标而无法攻击，从而使企业或服务商的资源受到保护。 S D P 的灵感来源于中央情报局情报社区和美国国防部高度安全网络设计，因此 C S A 聘请了 C I A 原 C T O 为联盟 S D P 研究工作组组长。Z T N 灵感的最早发明者与实践者是美国微软公司， 2 0 0 7 年由比 尔盖茨在 R S A 大会发布的微软 A n y w h e r e A c c e s s 安全战略就是 Z T N 的实现，微软通过这项技术使公 司员工甚至 W i n d o w s 使用者可以在互联网直接访问公司内网，摈弃了传统的网络边界、V P N 、 F i r e w a l l 。 本白皮书是 C S A 贡献给业界的又一篇重磅白皮书，它是 S D P 规范之后的设计指南与参考架构， 适用于企业网络环境、I a a S 云环境、I o T 车联网环境、B Y O D 移动互联网环境等，不仅对 S D P 的优势 与价值做了阐述，还给出了具体技术设计指导。 我代表 C S A 对大中华区参与此项翻译工作的专家们表示由衷的感谢，特别是工作组组长陈本峰 投入的大量精力，及 C S A 志愿工作者们的支持。 李 雨 航 Y a l e L i C S A 云 安 全 联 盟 大 中 华 区 主 席 中 国 云 安 全 与 新 兴 技 术 安 全 创 新 联 盟 执 行 理 事 长S D P 工 作 组 | 软 件 定 义 边 界 （ S D P ） 架 构 指 南 版权所有 2 0 1 9 云安全联盟 5 目 录 介 绍 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7 目 的 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 受 众 目 标 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 软 件 定 义 边 界 （ S D P ） 简 介 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9 S D P 安 全 优 势 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9 S D P 商 业 优 势 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 0 S D P 主 要 功 能 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 1 S D P 潜 在 应 用 领 域 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 3 S D P 架 构 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 5 【 客 户 端 - 网 关 】 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 6 【 客 户 端 - 服 务 器 】 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 7 【 服 务 器 - 服 务 器 】 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 8 【 客 户 端 - 服 务 器 - 客 户 端 】 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 8 【 客 户 端 - 网 关 - 客 户 端 】 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 9 【 网 关 到 网 关 】 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 9 S D P 部 署 模 式 和 相 应 的 场 景 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 0 S D P 连 接 安 全 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 2 单 包 授 权 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 2 S P A 的好处 . 2 2 S P A 的局限 . 2 3 S D P 和 访 问 控 制 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 3 补 充 架 构 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 4 F o r r e s t e r 的 零 信 任 模 型 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 4 G o o g l e 的 B e y o n d C o r p 模 型 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 4 软 件 定 义 边 界 S D P 与 您 的 企 业 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 6 企 业 信 息 安 全 的 元 素 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 7 安 全 信 息 和 事 件 管 理 （ S I E M ） . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 8 传 统 防 火 墙 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 9 入 侵 检 测 和 入 侵 防 御 系 统 （ I D S / I P S ） . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 1 虚 拟 专 用 网 （ V P N s ） . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 1 下 一 代 防 火 墙 （ N G F W ） . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 2 身 份 及 访 问 管 理 ( I A M ) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 2S D P 工 作 组 | 软 件 定 义 边 界 （ S D P ） 架 构 指 南 版权所有 2 0 1 9 云安全联盟 6 网 络 准 入 控 制 ( N A C ) 解 决 方 案 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 3 终 端 管 理 ( E M M / M D M / U E M ) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 3 W e b 应 用 防 火 墙 ( W A F ) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 3 负 载 均 衡 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 4 云 访 问 安 全 代 理 ( C A S B ) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 4 基 础 设 施 即 服 务 ( I a a S ) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 4 软 件 即 服 务 ( S a a S ) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 4 平 台 即 服 务 ( P a a S ) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 4 治 理 、 风 险 管 理 及 合 规 ( G R C ) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
展开阅读全文