來源：云安全聯(lián)盟大中華區(qū)
▼
軟件定義邊界（Software Defined Perimeter, SDP）是一個能夠為OSI七層協(xié)議棧提供安全防護的網(wǎng)絡(luò)安全架構(gòu)。SDP可實現(xiàn)資產(chǎn)隱藏，并在允許連接到隱藏資產(chǎn)之前使用單個數(shù)據(jù)包通過單獨的控制和數(shù)據(jù)平面建立信任連接。使用SDP實現(xiàn)的零信任網(wǎng)絡(luò)使組織能夠防御舊攻擊方法的新變種，這些新變種攻擊方法不斷出現(xiàn)在現(xiàn)有的以網(wǎng)絡(luò)和基礎(chǔ)設(shè)施邊界為中心的網(wǎng)絡(luò)模型中。企業(yè)實施SDP可以改善其所面臨的攻擊面日益復(fù)雜和擴大化的安全困境。
從本質(zhì)上講，零信任是一種網(wǎng)絡(luò)安全概念，其核心思想是組織不應(yīng)自動信任傳統(tǒng)邊界內(nèi)外的任何事物，并旨在捍衛(wèi)企業(yè)資產(chǎn)。實施零信任需要在授予訪問權(quán)限之前驗證所有嘗試連接到資產(chǎn)的事物，并在整個連接期間對會話進行持續(xù)評估。
軟件定義邊界和零信任
▼
（全文略）
零信任概念有三個要點：
向網(wǎng)絡(luò)引入信任的概念，以確保資源永遠可以被安全地訪問，無論是誰創(chuàng)建流量或流量來自何處，無論在任何位置或者使用何種托管模型，無論是在云上、私有部署、或者混合部署的資源。
采用最小授權(quán)策略（LPS）來實施訪問控制，以消除訪問禁用資源的人性誘惑。
持續(xù)記錄用戶流量并分析檢查是否存在可疑活動。
由于SDP對于底層的基于IP的基礎(chǔ)架構(gòu)是透明的，并且基于該基礎(chǔ)架構(gòu)保證所有連接的安全，而且它可以部署在OSI/TCP/IP傳輸層協(xié)議之前的網(wǎng)絡(luò)層并在會話層的應(yīng)用之前，因此它是采用零信任策略的最佳架構(gòu)。這一點很重要，因為傳輸層可以為應(yīng)用程序提供主機到主機的通信服務(wù)，而會話層是終端應(yīng)用程序進程之間打開、關(guān)閉和管理會話的機制。兩者都有已知的和未發(fā)現(xiàn)的弱點，例如TLS漏洞和建立會話時的TCP/IP SYN-ACK 攻擊。
附：軟件定義邊界和零信任.pdf
