构建基于SDP技术的网络安全体系

2019-12-16中国电信股份有限公司安徽分公司企业信息化部朱良海张义超袁震

网络安全和信息化 2019年12期

中国电信股份有限公司安徽分公司企业信息化部朱良海张义超袁震

随着IPv6、5G移动互联建设和发展和基础计算能力云化，网络边界日趋模糊，很难再有独立安全域模型进行支撑，导致传统的VPN 技术已经不再适用于新型网络的发展需要。根据企业运营发展需要，在互联网安全边界正在消失趋势下，采用SDP 软件定义的界限技术架构保证安全的基础上支撑企业的发展，实现新形势下企业信息系统架构从“无边界”向“有边界”转换。

传统企业网络架构通过建立一个固定的边界隔离内部与外部通信，但目前SaaS、PaaS、IaaS 正在改变网络边界的位置，企业网络架构中的固定的边界逐渐趋于模糊。Gartner 认为，须致力于那些能够最大幅度降低风险并能够对业务产生最大影响的项目上。而且Gartner 2018年十大新项目，其中之一就是SDP 软件定义的界限项目。这些都是独立的项目，而非项目集。它们各自都有真正的基础技术。依托SDP软件定义的界限项目技术基础，构建安全的互联网接入企业办公门户。

基于SDP 信任体系模型与构建技术

1.基于SDP 网络架构特点

SDP 软件定义的边界是一种解决云计算、5G、IPv6 互联网络边界不确定性安全协议框架，它是根据身份控制来实现对内网资源的差异化访问。

该框架基于“需要才能接入”模型，确保每个终端在连接应用服务必须经过认证，并且确认设备是被允许接入的。其核心理念是通过SDP 网络架构隐藏核心网络资产与设施，使它不直接暴露在互联网下，从而避免网络计算资源资产受外来直接安全威胁。

由于网络架构是“黑”的，SDP 也有“黑云”之称，这个“黑”代表了未接入的用户无法直接检测到内部计算资源。如果攻击者无法知道目标在何方，那么攻击将无法进行。因此，在SDP 架构中，服务器没有对外暴露的内网服务，只有通过授权的SDP客户端才能通过专有的安全协议连接访问。

2.SDP 三层网络安全架构模型

企业应用层是用户端网元的控制平面，负责客户端计算，并通过SDP 控制器连接服务器，产生转发网络流量，而转发平面只在网络设备上。体现用户意图的各种上层应用程序，此类应用程序称为协同层应用程序，典型的应用包括企业的OSS 业务运营支撑系统，通过SDN网络架构完成集中接入控制，如图1 所示。

SDP 接入控制层是设备网元通过控制器集中管理，这样就不需要对设备进行逐一网络配置操作，只需要对控制器进行配置即可。

控制层是系统的控制中心，负责网络的内部交换路径和边界业务路由的生成，并负责处理网络状态变化事件。当网络发生状态变化，比如链路故障、节点故障等时，控制层会根据这些网络状态的变化调整网络交换路径和业务路由，使网络始终能够处于一个正常的服务状态。

控制层是SDP 网络系统中的大脑，是决策部件，它的核心功能是实现网络内部转发路径分配和边界业务路由计算。

能力计算层由PaaS、SaaS、IaaS 和SDP 转发器组成，PaaS、SaaS、IaaS 等作用是提供虚拟机或者其他资源作为服务提供给用户。而SDP 转发器的作用是根据企业应用层的请求转发至对应的服务。转发层主要由转发器和连接器的线路构成基础转发网络，这一层负责执行用户数据的转发，转发过程中所需要的转发表项是由控制层生成的。

图1 SDP 安全网络架构

转发层是系统执行单元，本身通常不做决策，其核心部件是系统转发引擎，由转发引擎负责根据控制层下发的转发数据进行报文转发。该层和控制层之间通过控制接口交互，转发层一方面上报网络资源信息和状态，另一方面接收控制层下发的转发信息。

3.SDP 安全架构模型优势分析及注意事项

在传统的互联网接入模型中：

首先客户端需要建立与服务器端的连接，这一步骤使服务端暴露在公网中，存在被利用的风险。

其次，即使是用户通过登录页面输入用户名和密码，这一步骤存在弱口令、账号盗用等风险。

第三，即便个别应用为了确保安全可能采用多因素认证，但是多因素认证增加了系统验证的复杂度，系统友好性变差导致用户感知下降。

而在SDP 互联网接入模型中：

首先客户端进行透明的无感知多因素认证，包括认证设备的可靠性、接入通道的可靠性等。

其次，在可信计算基础上再进行接入认证，认证后用户才正式接入。

第三，上述2 步均在客户端与接入控制器进行交互，不涉及对于具体服务的访问，互联网暴露面仅1个接入门户。当认证通过后，客户端才能够与可访问内网资源建立连接连接。

根据上面的优势分析，SDP 通过三种方式对抗基于网络的攻击：首先，透明多因素认证建立了互联网可信计算基础；其次，服务沙箱技术可以降低应用被感染的风险；第三，SSL 双向认证实现了加密通道通信。

SDP提供对于PaaS、SaaS、IaaS 的以用户为中心、可管理的、易实现的、安全的、快捷的互联网接入服务，它解决了TCP/IP 中的一个设计漏洞，即在认证之前即建立网络连接。由于SDP 的成本低、部署简单、技术成熟等有利因素，SDP 可能取代传统的网络防火墙和VPN 技术。

但SDP 同样也面临着挑战，其中最大挑战是互联网接入认证控制器安全，也就是统一接入门户安全，当初始认证请求完成后，假设一个用户连接到企业应用程序的场景，在通过SDP 控制器进行初始认证和授权之后，客户端将根据策略和端口号通过SDP 网关建立一个带有应用程序服务的隧道，从而导致原有的应用漏洞问题可能会被挖掘出来。因为SDP只是通过隐藏内网服务减小攻击面，因此加强内网应用安全同样重要。

图2 基于SDP 技术的办公平台网络架构示意图

SDP 软件定义的边界项目连续2年入选Gartner 最应投资的10 大安全项目，并且在RSA 连续4年举办SDP黑客破解大赛中无人成功攻陷内网。预计到2021年底，60%的企业将用SDP 取代VPN。

SDP 模型在企业互联网应用中实践

各单位都在推出移动OA办公、电子邮箱等多种依托互联网、移动互联网的应用，互联网及移动互联给公司员工带来便利的同时，也给企业的数据安全带来了新挑战和新危险。

如何把企业数据和应用程序转移到移动设备上去，如何保证企业数据在传输过程中的安全，如何防止APP仿冒及移动设备成为渗透企业内部网络的跳板，如何防范移动设备易被窃或遗失，给企业带来数据泄密隐患等等，成为企业需要克服的难题。而基于SDP 技术的企业办公平台，采用SDP 软件定义的边界技术很好地解决了上述问题。

基于SDP 技术的企业办公平台可根据业务要求，设定不同的用户权限，类型包含系统管理员、安全管理员、普通业务员等角色组，不同的角色组可以分配不同的权限，系统支持对不同的业务角色分配适合的权限，可根据企业组织架构进行角色匹配。

系统主要功能应包括移动设备管理、安全策略发布、应用注册授权、应用发布、安全网关、安全门户、独立工作区域、后台及客户端相关日志的管理等。建设应用通道安全稳定，统一门户快捷高效。

如图2 所示，基于SDP 技术的企业办公平台包含移动终端安全管理服务器和应用安全隧道网关。

移动终端安全管理服务器部署在省公司内网中，用于管理移动终端认证与业务应用的发布管理。

应用安全隧道网关部署在内网云服务区域，用于提供安全稳定的加密通道，为内部移动终端提供一个安全门户办公APP，并通过安全门户进行快速发布和单点登录。而业务APP 数据流通过安全隧道网关转发至内网，从而避免了中间人攻击欺骗和网络渗透扫描，实现了“需要才能接入”网络安全通信模型。

应用安全网关APN 实现了权限鉴权和加密通道的双重安全防护，为企业内网提供了统一的对外访问入口。

移动终端访问内网应用必须经过网关，并且与网关之间通过安全隧道进行连接，每个应用独享一个安全隧道。其中安全隧道采用的是SSL 加密协议，对传输中的数据进行了加密处理，以保证应用数据在传输过程中的安全。

同时，平台对应用的网络连接做了技术优化，传输性能相比普通直接采用SSL 协议的网络请求有了极大的提升。

对于安全隧道的使用，平台设计了以设备、用户及应用三方综合维度的严格身份认证，有终端和网关两个核心控制点，这两个控制点相互关联，双向认证，高度安全，即使通过黑客类手段获取终端权限，利用伪造或中间人攻击等手段也无法突破网关的防护。