零信任的SDP技术到底有多能打?

时间: 2024-03-31 12:11:31 |   作者: bob线上平台官网

      SDP是一套开放的技术架构,它的理念与零信任理念非常相似。国内国际很多安全大厂都在推出基于SDP技术的零信任产品。可以说SDP是目前最好的实现零信任理念的技术架构之一。

      SDP是国际云安全联盟(CSA)推出的一套技术架构。CSA的SDP工作组的组长是原CIA的CTO——Bob Flores。CIA就是美国中央情报局啊,电影里常常见到的那个特工组织。

      Bob Flores把CIA、美国国防部(DoD)、美国国家安全局(NSA)里面很多实用技术拿出来,放到了SDP架构里。所以如果你去翻看SDP的白皮书的话,能够正常的看到很多地方会写,SDP中这部分技术源自国防部的某某技术,那部分技术在安全局里是经过验证的……

      SDP技术推出之后,CSA曾经4次组织黑客大赛来检验SDP。大赛有来自100多个国家的黑客们参加,总共发起过几百亿次攻击。4次大赛,没有一次,没有一个人能攻破SDP的防御。

      每次黑客大赛开始之前,CSA都会向黑客们介绍SDP的架构——SDP包括三个组件:

      1、网关(Gateway):负责保护业务系统,防护各类网络攻击,只允许来自合法客户端的流量通过;

      3、管控端(Controller):负责身份认证、配置策略,管控整个过程。

      2014的RSA大会上,举办了第一次SDP黑客大赛。CSA给黑客们提供了SDP客户端。黑客们可以模拟一个来自内部的攻击者。黑客只要能登上SDP网关保护的目标服务器,获取服务器上的一个指定文件,就算成功。

      比赛持续了一周。黑客们总共发起过超过一百万次端口扫描。因为SDP网关只允许合法用户连接,其他任何探测都会被拦截。所以,黑客们的扫描估计都被网关拦截掉了。从目标服务器的监控日志看,这次比赛,没有一点一个黑客成功连接到目标系统。(这次比赛大多数攻击来自阿根廷)

      2014 IAPP-CSA大会上,CSA组织了第二次黑客大赛。因为上次黑客们都没摸到攻击目标,SDP多层防护的第一层都没有被攻破。所以,这次CSA特意提供了SDP各个组件的IP地址,作为攻击目标。另外,CSA还提供了一个与攻击目标一模一样的参照环境。黑客们可以随意研究SDP的工作原理。

      比赛持续了一个月,来自104个国家的黑客发起了1100万次攻击!大多数攻击是DDoS攻击,当然也有端口扫描和直接针对443端口的定向攻击。(攻击大多数来自美国)

      SDP网关会屏蔽来自攻击者IP的所有请求。被保护的端口只会向合法用户的IP动态开放,对非法用户来说,端口始终是关闭的(后文有实验展示效果)。SDP网关抗住了全部攻击。这次黑客们还是没人能挑战成功。

      2015年的RSA大会上,第三次SDP黑客大赛开始,难度再次降低,不但提供之前所有信息,还提供了Bob Flores老人家的账号密码。另外,CSA还公布了登录目标服务器时捕获的数据包,攻击者可通过这一些数据包进行复制。黑客只需要攻破SDP的设备验证机制就算挑战成功。

      比赛持续了1周时间,即便难度降低,依旧没有人能够入侵目标服务器。比赛期间总共探测到了超过1百万次针对SDP管控端的服务器攻击。

      其中有3551次,攻击者已经构造了正确的数据包格式,插入了正确的账号ID,但是GMAC认证没有通过。(这次的攻击者来自中国的最多)

      这次黑客们失败的问题大多是SDP的设备检验测试功能。攻击者没法伪造设备上独特的密码令牌,无法伪造出数据包中的数字签名。签名检验不过,还是无法建立tcp连接。

      经过前三次的大赛,CSA认为SDP的安全性已得到很好的证明了。虽然SDP未必能阻挡国家级的黑客组织攻击,但是足以抵抗平时生活中藏在暗处伺机而动的大部分黑客。

      2016年RSA大会的第四次SDP黑客大赛,主要是测试SDP的高可用性,以及SDP的多云架构。(多个云端环境各部署一个SDP网关进行保护。)

      如上图所示,两个SDP网关各自保护一个云上环境。用户都能够通过任意一个云端转发至最终的业务系统。所以,SDP网关只要保证有一个网关存活,就能够保证整个业务系统的高可用性。如果黑客可以瘫痪两个网关,则会导致业务系统中断。

      比赛中有来自191个攻击者的上百万次攻击。业务系统没产生一次中断。(攻击者大多来自美国)。这次比赛证明了SDP的高可用架构还是相当成功的。

      1、SPA(单包授权认证):网关只有接收到了客户端发出的SPA包,验证合法之后,才对该客户端的IP开放指定端口。这个技术能屏蔽绝大多数非法用户的网络攻击,让漏洞扫描、DDoS等攻击方式都失效。

      2、MTLS(双向认证):网关跟客户端的通信是加密的,而且是双向认证,网关认证用户,用户也要认证网关。双向的认证保证了中间人攻击无法奏效。

      3、动态防火墙:经过SPA认证后,网关会放行指定端口。但端口放行是暂时的,几秒内没有操作,端口就会自动关闭。最大限度提高防护强度。

      4、设备验证:SDP不止验证用户身份,还要验证用户设备。设备的验证包括设备健康状态的验证,如是否装了杀毒软件等等。设备验证还包括设备证书的验证,只有合法设备才会安装证书,证书参与通信数据的加密过程。保证连接都是来自合法设备的。

      5、应用绑定:用户只能访问有授权的应用。这符合“最小化授权”原则,保证了威胁无法横向蔓延。

      (1)http攻击:和服务器建立大量http连接,让服务器耗尽精力,无力服务正常用户。

      (2)Tcp syn攻击:通过向服务器发送大量syn包,让服务器始终处于等待状态。

      (3)udp反射攻击:伪造udp请求发给第三方dns或ntp服务器,把udp包中的发起者改为攻击目标的IP,让第三方服务器反射并放大自己的攻击,对攻击目标造成大量冲击。

      (2)Tcp syn攻击:SDP会把所有非法syn包直接丢掉,不会等待。

      (3)udp反射攻击:SDP可以对一些非公开的dns或ntp进行保护,避免恶意udp包触达这些服务。

      实验环境是这样的:四台虚拟机,一台是好人,一台是黑客,一台SDP网关,一台是被保护的系统。一个流量监测工具,始终监测SDP网关和被保护系统上面的流量。

      黑客和好人都能通过SDP网关的虚拟机转发到被保护系统。当黑客的大量流量发起之后,被保护系统被淹没,好人根本没办法与系统建立连接。

      可以看到黑客发起攻击之后,SDP网关上的流量猛增(下图中的Outside SDP),同时被保护系统上的流量也猛增(下图中的Inside SDP)。注意下图中两者只是单位不同(Mbps、Kbps),其实所承受的流量是完全一致的。

      此时,好人绝大多数都是无法连接到被保护系统的,大量的服务器资源都被黑客占用,服务器已经被瘫痪掉了。

      开启SDP网关之后,由于黑客没有合法的用户身份,没有SDP客户端,所以黑客发起的流量是无法通过SDP网关的。攻击完全接触不到被保护系统。

      从下图中能够准确的看出,黑客攻击开始后,只有SDP网关(图中上部的Outside SDP)的流量有一个猛增。被保护系统的流量从始至终维持稳定。

      从上面的实验能够准确的看出,SDP网关确实具有抗DDoS的效果,可以让合法用户在黑客攻击时,不受影响,继续正常业务工作。

      通常黑客的攻击都是从探测端口,收集情报开始的。黑客后续怎么进攻完全依赖于前期收集到的目标的弱点。所以能否扫描到目标的端口,对接下来的进攻是至关重要的。

      如果用Nmap扫描工具对SDP网关做一次扫描的话,结果一定是下图这样。图中第三行显示,Nmap对SDP网关的IP地址进行了所有端口的扫描,结果发现,没有一个端口是开放的。

      没有端口开放,对黑客来说,就代表了这里根本就没有运行任何服务。也就是说,SDP网关在黑客眼里是“隐形”的。没有人能攻击他看不到的东西。

      当然,在合法用户的眼里,SDP网关肯定不是隐形的。不然合法用户也无法正常工作了。合法用户来的时候,SDP网关会在防火墙上创建一个特定的规则,如下图所示。他会只针对这个合法用户的IP创建一条放行规则——允许来自合法用户IP的数据包通过。这条规则是针对合法用户的IP的,来自其他IP的非法请求还是无法通过SDP网关。

      通过这个功能,SDP网关相当于给被保护系统加了一层隐身防护罩。黑客看不到被保护系统,像SQL注入、漏洞攻击、 XSS, CSRF等等攻击根本无从发起。

      这是一个相当简洁有效的防护手段。在SDP网关面前,绝大多数网络攻击都是失效的。

      SDP架构需要用户安装客户端,所以SDP对终端的安全控制更强,客户端和网关联动能产生更严密的防护效果。但客户端也限制了SDP的应用场景。一些公开的网站没法用SDP保护。

      SDP非常适合于合作伙伴、供应商、第三方人员、分支机构等等特定人群访问业务系统的场景。这些系统要在网络上开放,以便第三方人员访问。但是又不需要向全世界所有人开放,引来黑客攻击。这种场景下,SDP能保证合法用户正常连接,对未知用户“隐形”。SDP在这类场景下是相当能打的。返回搜狐,查看更加多