典型场景在一个典型的 BYOD 场景中, 如公司总部大楼, 任意楼层的公司员工需将自己的手机或 PAD 接入无线网络, 并实时收发邮件或访问公司内部各类资源 ; 同时, 在大厅和若干公共区域内, 访客可以自由接入网络, 但只能访问公司对外的 Web 服务和 Internet 服务在很多细化的场景中

Size: px

Start display at page:

Download "典型场景在一个典型的 BYOD 场景中, 如公司总部大楼, 任意楼层的公司员工需将自己的手机或 PAD 接入无线网络, 并实时收发邮件或访问公司内部各类资源 ; 同时, 在大厅和若干公共区域内, 访客可以自由接入网络, 但只能访问公司对外的 Web 服务和 Internet 服务在很多细化的场景中"

奉离公叔
5 years ago
Views:

1 软件定义的 BYOD 安全防护体系战略研究部刘文懋关键词 : 软件定义访问控制 BYOD 摘要 :BYOD 的兴起为企业内部安全管理带来了诸多安全挑战, 特别是访客和员工的移动终端接入企业内外网中各类信息服务的管理控制和安全监管, 本文通过构建软件定义的安全防护体系, 可有效地对各类移动终端进行认证授权, 并按需地编排安全设备进行安全防护引言着员工智能终端日益增多和企业减少办公开支的需求,BYOD 随 (Bring Your Own Device) 已经成为企业移动办公的重要形式然而, 移动设备接入位置多变属主身份复杂, 以及企业网络的传统安全控制限于静态网络环境等因素, 都给访客接入和移动办公的安全管理带来了诸多限制在传统的企业网络访问控制机制中, 最普遍的解决方案是在网络边界部署访问控制设备, 如防火墙, 对未知的网络访问进行限制, 但当存在移动设备可接入任意网络位置时, 以往的网络边界被打破, 所以在 BYOD 场景中, 不能将访问控制机制部署在某个关键位置, 而是需要将安全策略统一推送到全网络的所有相关控制点 NAC(Network Admission Control) 通过一个 NAC Appliance, 将安全策略统一地下发到所有的网络设施中, 进而通过这些网络设施识别用户评估设备与安全策略的兼容性, 进而对为满足安全要求的设备进行阻断隔离或修复, 最终提供安全的移动访问接入然而在非软件定义的环境中,NAC 只能对流经网络设备上的某 IP 的流量进行处理, 无法提供更细粒度的流量牵引和隔离, 此外这种方案依附于特定网络厂商的整体解决方案, 容易形成厂商锁定, 也不容易与其他安全防护手段结合所以, 在企业网络中部署全局的访问控制系统, 按需向网络边界下发安全策略, 根据策略可对需确认或恶意的访问做细粒度的接入检查, 并根据上下文环境自适应地提供安全防护 3

2 典型场景在一个典型的 BYOD 场景中, 如公司总部大楼, 任意楼层的公司员工需将自己的手机或 PAD 接入无线网络, 并实时收发邮件或访问公司内部各类资源 ; 同时, 在大厅和若干公共区域内, 访客可以自由接入网络, 但只能访问公司对外的 Web 服务和 Internet 服务在很多细化的场景中, 安全策略还可能基于用户的属性, 如不同部门的员工也有规定的访问资源区域 ; 实习员工限于访问某服务器上的特定服务, 而不能访问该服务器上的其他服务, 在一些高安全级别的场景中, 还需要将这些端口级别的服务访问数据动态有序地牵引到多个安全防护设备中, 诸如此类基于 SDN 的 BYOD 访问控制在典型案例中的环境中, 只需一个集中的安全控制平台一个 SDN 控制器和一个有足够多端口的 SDN 交换机即可实现基本的 BYOD 访问控制机制在部署阶段, 可在任意物理位置部署一台实体 SDN 交换机, 然后在所有需要提供 WIFI 接入的位置放置普通的无线路由器, 并将这些无线路由器通过桥接的方式直接连接到 SDN 交换机根据所需网络服务部署相关应用, 如 DHCP 服务认证服务网关服务, 以及相关的安全服务在初始化阶段, 安全控制平台通过 SDN 控制器向 SDN 交换机下发以下指令 : 1) 允许所有的 DHCP 请求 ; 2) 将所有 HTTP 请求重定向到认证服务器 ; 3) 抛弃其他所有数据包此外, 配置 DHCP 服务和网关服务的相关参数, 使得移动终端能获得网络接入信息, 并能经过网关接入内部或外部网络运行时, 移动终端连接上无线路由器, 发送 DHCP 发现请求, 数据包经过 SDN 交换机到达 DHCP 服务器, 最终终端获得分配的 IP 网关和 DNS 地址但此时终端因为规则 3) 还无法访问其他网络, 用户可以通过浏览器访问任意网址,SDN 交换机则会将该 HTTP 连接重定向到认证服务器 a.com 上认证服务器运行 Web 服务, 收到 HTTP 请求后将 URL( 如进行重写, 变为那么用户的浏览器出现了 A 的登陆页面,Web 服务可直接对用户的登陆信息进行验证验证方式可以有多种形式, 如 LDAP 服务数据库验证以及手机号验证等, 当然很多企业有专门的集中目录服务存放员工信息, 那么通过扩展响应的认证驱动可以直接使用这些服务进行验证, 一旦验证通过后可以获得员工更详细的信息, 为下一步的自适应访问控制做基础当用户的终端 X 通过验证后, 认证服务器上的安全应用通知安全控制平台, 通过 SDN 控制器向 SDN 交换机下发以下规则 : 4) 允许源为 X 的数据包通过, 动作为查询 SDN 控制器最终,X 发出的数据包经过 SDN 交换机时, 通过 PACKET_IN 发往 SDN 控制器, 后者根据访问规则和目的地址的路由, 下发相应的 PACKET_OUT 和改变路由的 FLOW_MOD 数据包, 以决定该数据包是正常路由经过特定安全设备还是直接丢弃这种基于 SDN 的 BYOD 接入优点在于 : 4

1) 这种认证机制是全局实时和一致的可以做到全局范围内软件定义边界 [3] 是云安全联盟 Cloud Security Alliance 的访问实时控制而且这种控制是基于标准的 SDN/OpenFlow 协议 CSA 提出的一种通过软件实现的访问控制模型当主体访问客体

Web 服务认证 Controller 上只有当控制器允许并下发策略后两者才可通信后端也是支持标准的认证方式所以任意主客体的访问权限都在全局的控制器中决定值得注意的 3) 这种架构是可扩展的可根据所需接入的区域按需增加无是 SDP 虽然存在节点和控制器的角色但并不是 SDN 使用的协

接入访问控制 Gartner 在自适应访问控制是一种基于上下文意识的访问控制软件定义的访问控制机制它使用信任提升和其他动态风险防护技术达到信任等级和访问时实现 SDN 环境的无线接入后更进一步可以根据接入用户的身的风险等级的平衡即利用用户终端交易资产等上下文信息形份等属性

3 1) 这种认证机制是全局实时和一致的可以做到全局范围内软件定义边界 [3] 是云安全联盟 Cloud Security Alliance 的访问实时控制而且这种控制是基于标准的 SDN/OpenFlow 协议 CSA 提出的一种通过软件实现的访问控制模型当主体访问客体所有网络设备上的访问控制规则是一致的之前需要通过一个初始化代理 Initiating SDP Host 访问客体的 2) 这种架构是标准的它没有给无线路由器和 SDN 交换机增代理 Accepting SDP Host 这两个代理均连接到一个控制器 SDP 加额外的认证模块认证服务器也是采用了标准的 Web 服务认证 Controller 上只有当控制器允许并下发策略后两者才可通信后端也是支持标准的认证方式所以任意主客体的访问权限都在全局的控制器中决定值得注意的 3) 这种架构是可扩展的可根据所需接入的区域按需增加无是 SDP 虽然存在节点和控制器的角色但并不是 SDN 使用的协线路由器也可根据接入规模增加 SDN 交换机只需保证 SDN 交议也非 OpenFlow 而是 CSA 定义的加密 TCP 协议换机可连到 SDN 控制器即可图 2 SDP 访问控制模型 2) 自适应访问控制 Adaptive Access Control 图 1 SDN 环境下的 WIFI 接入访问控制 Gartner 在自适应访问控制是一种基于上下文意识的访问控制软件定义的访问控制机制它使用信任提升和其他动态风险防护技术达到信任等级和访问时实现 SDN 环境的无线接入后更进一步可以根据接入用户的身的风险等级的平衡即利用用户终端交易资产等上下文信息形份等属性做更细粒度的安全检查当前有一些组织和企业提出了成动态的基于风险的访问决策确保访问时的信任等级与当前所适用于 SDN 环境的访问控制机制如分析的风险情况相匹配 Gartner 预计到 2016 年年底将有 50% 1) 软件定义边界 Software Deﬁned Perimeter 的大型企业目前不到 5% 会使用自适应访问控制主要用于员工 5

和合作伙伴远程访问用例中分片 Segment 中然后将分片分组 Group 以允许模块化的保护最后分片间使用各种安全防护手段巩固安全边界在 SDN

安全的控制和数据分离实现安全设备的动态编排以及安全防护的自动运维南北向安全控制平台根据各类安全应用的策略按需动态部署各类安全设备对安全能力有横向扩展

Deﬁned Protection 软件定义防护是 Checkpoint 提出的在 IaaS 和 SDN 环境下一种定义安全边界的方法以及在

都需要经过安全控制平台上的访问控制 APP 做身份认证这符合软件定义边界的思想只是 Initiating SDP Host 和 Accepting SDP

4 和合作伙伴远程访问用例中分片 Segment 中然后将分片分组 Group 以允许模块化的保护最后分片间使用各种安全防护手段巩固安全边界在 SDN 环境中实现软件定义的访问控制和安全防护可借鉴以上安全防护模型在软件定义安全的平台上实施相应的安全机制软件定义安全架构 [4] 如图 5 通过安全的控制和数据分离实现安全设备的动态编排以及安全防护的自动运维南北向安全控制平台根据各类安全应用的策略按需动态部署各类安全设备对安全能力有横向扩展东西向安全控制平台可与 SDN 环境和虚拟化环境通过开放接口很好的协同工作快速牵引网络流量图 3 自适应访问控制模型 3) 软件定义防护 Software Deﬁned Protection 软件定义防护是 Checkpoint 提出的在 IaaS 和 SDN 环境下一种定义安全边界的方法以及在此边界之上的防护模型和解决方案根据防护策略和特性鉴别相同身份的主体并将这些主体放置于图 5 软件定义的安全架构所有的用户在访问任何资源之前都需要经过安全控制平台上的访问控制 APP 做身份认证这符合软件定义边界的思想只是 Initiating SDP Host 和 Accepting SDP Host 均为 SDN 交换机而 SDP Controller 则是 SDN 控制器安全控制平台图 4 软件定义防护模型和访问控制 APP 所结合的控制器平台部署在认证服务器上的访问控制 APP 根据访 6

问用户的角色历史信誉和其他因素综合考虑决定该用户的终端参考文献的连接是否可建立或经过何种安全防护设备根据上下文环境自 [1] Gartner Technology Overview for Adaptive Access 适应地在多个网络和安全设备上建立访问控制规则

件安全控制平台上的恶意行为检测 APP 根据报告的置信度和主体 com/sdp/check_point_spd_white_paper.pdf 的信誉判断该事件是否是正常异常可疑或恶意的进而将相关 [3] CSA SDP https://cloudsecurityalliance.

5 问用户的角色历史信誉和其他因素综合考虑决定该用户的终端参考文献的连接是否可建立或经过何种安全防护设备根据上下文环境自 [1] Gartner Technology Overview for Adaptive Access 适应地在多个网络和安全设备上建立访问控制规则 Control 2014 在运行时当恶意攻击检测应用收到安全设备所报告的可疑事 [2] Checkpoint SDP white paper 件安全控制平台上的恶意行为检测 APP 根据报告的置信度和主体 com/sdp/check_point_spd_white_paper.pdf 的信誉判断该事件是否是正常异常可疑或恶意的进而将相关 [3] CSA SDP 流量牵引到不同的安全设备做进一步的检测和防护 sdp/ [4] 刘文懋 SDN 网络的新型安全架构和实践第七届移动互联网国际研讨会 2014 图 6 软件定义的安全防护结论实现软件定义的访问控制是企业网中解决移动终端访问异构网络资源的一种有效的方法其要点在于将访问策略与具体控制分离动态根据访问主体和被访问客体决定访问策略以及按需编排访问控制设备 7

MASQUERADE # iptables -t nat -A POSTROUTING -s / o eth0 -j # sysctl net.ipv4.ip_forward=1 # iptables -P FORWARD DROP #

MASQUERADE # iptables -t nat -A POSTROUTING -s / o eth0 -j # sysctl net.ipv4.ip_forward=1 # iptables -P FORWARD DROP # iptables 默认安全规则脚本一 #nat 路由器 ( 一 ) 允许路由 # iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT ( 二 ) DNAT 与端口转发 1 启用 DNAT 转发 # iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 dprot 422 -j DNAT to-destination