一种残膜回收机防缠绕挑膜装置的制 一种秧草收获机用电力驱动行走机构

一种基于零信任的安全防护方法、网络及装置与流程

2022-11-19 09:48:38 来源:中国专利 TAG:


1.本发明涉及网络技术领域,尤其涉及一种基于零信任的安全防护方法、网络及装置。


背景技术:

2.企业的数据资源或者资产的重要性越来越凸显,而零信任机制能够增强企业资源的安全访问,其理念是“永不信任,持续验证”。验证是零信任的基础与重点,验证常采用基于多因素的身份认证,包括使用身份、凭证及访问管理和多因素认证等技术,并持续监测和验证用户可信度,以管理其访问和权限。无论使用何种认证技术,其本质均是基于终端的“真实性”。随着深度伪造技术的发展,如人的一些生物特征被完全地伪造,可能在多因素认证方面通过生物认证和其他获取权限的方法组合骗取零信任的第一道防线访问控制点。例如,攻击者窃取了终端的访问信息,再加上伪造的生物特征便可轻易骗过零信任第一道防线访问控制点。一旦通过零信任认证,企业资源将完全暴露在攻击者面前。
3.由于零信任网关在遭遇深度伪造技术时存在单点失陷的风险,故导致基于零信任的企业资源的访问网络面临安全威胁。


技术实现要素:

4.本发明所要解决的技术问题是针对现有技术的上述不足,提供一种基于零信任的安全防护方法、网络及装置,以至少解决相关技术中存在的零信任网关存在单点失陷的风险,导致基于零信任的企业资源的访问网络面临安全威胁的问题,能提高企业网络安全。
5.第一方面,本发明提供一种基于零信任的安全防护方法,包括:接收终端上报的第一同步信息,由当前轮训的蜜罐系统将其所存储的第二同步信息与接收的第一同步信息进行比对,其中,所述终端为请求访问时通过零信任网关认证的终端;根据比对结果确定安全防护措施。
6.优选地,在所述接收终端上报的第一同步信息之前,基于零信任的安全防护方法还包括:响应于所述终端的首次访问请求,向所述终端下发同步参数,同步参数包括时钟同步、密钥、蜜罐编号及轮训规则,其中,密钥内置于所述终端的可信环境。
7.优选地,第一同步信息包括当前时刻、当前时刻对应的蜜罐编号,以及第一密钥,第二同步信息包括当前时刻和第二密钥。
8.优选地,所述根据比对结果确定安全防护措施,具体包括:响应于比对结果匹配,允许所述终端访问资源,响应于比对结果不匹配,判定所述终端是否可信,并根据判定结果进一步确定安全防护措施。
9.优选地,所述比对结果不匹配包括预设时长内未接收到第一同步信息,或第一同步信息与第二同步信息不一致。
10.优选地,所述响应于比对结果不匹配,判定所述终端是否可信,并根据判定结果进一步确定安全防护措施,具体包括:响应于预设时长内未接收到第一同步信息,判定所述终
端可疑,并为所述终端动态编排蜜罐系统,以诱捕所述终端的访问信息;响应于第一同步信息与第二同步信息不一致,再次获取所述终端的第一同步信息;响应于再次获取的第一同步信息与当前轮训的蜜罐系统所存储的第二同步信息一致,判定所述终端可信,并允许所述终端访问资源,若否,判定所述终端不可信,拒绝所述终端访问资源。
11.优选地,在为所述终端动态编排蜜罐系统,以诱捕所述终端的访问信息之后,基于零信任的安全防护方法还包括:响应于所述终端的访问信息的容量达到第一阈值,对所述终端进行追踪和溯源,并将其列入黑名单。
12.优选地,在为所述终端动态编排蜜罐系统,以诱捕所述终端的访问信息之后,基于零信任的安全防护方法还包括:计算所述终端的访问信息与威胁情报库的特征信息之间的匹配度,响应于匹配度达到第二阈值,发出预警命令。
13.第二方面,本发明还提供一种基于零信任的安全防护网络,包括零信任网关、编排与响应管理平台,以及多个蜜罐系统。
14.零信任网关,分别与终端和每个蜜罐系统连接,用于对请求访问的终端进行认证,并接收终端上报的第一同步信息,将第一同步信息传输至当前轮训的蜜罐系统。当前轮训的蜜罐系统,与编排与响应管理平台连接,用于将自身所存储的第二同步信息与第一同步信息进行比对,并将比对结果传输至编排与响应管理平台。编排与响应管理平台,与每个蜜罐系统连接,用于根据比对结果确定安全防护措施。
15.优选地,编排与响应管理平台还用于响应于所述终端的首次访问请求,通过蜜罐系统和零信任网关向所述终端下发同步参数,同步参数包括时钟同步、密钥、蜜罐编号及轮训规则,其中,密钥内置于所述终端的可信环境。
16.优选地,第一同步信息包括当前时刻、当前时刻对应的蜜罐编号,以及第一密钥,第二同步信息包括当前时刻和第二密钥。
17.优选地,编排与响应管理平台包括管理单元和判定单元。管理单元,用于响应于比对结果匹配,允许所述终端访问资源。判定单元,用于响应于比对结果不匹配,判定所述终端是否可信,并根据判定结果进一步确定安全防护措施。
18.第三方面,本发明还提供一种基于零信任的安全防护装置,包括存储器和处理器,所述存储器中存储有计算机程序,所述处理器被设置为运行所述计算机程序以实现如第一方面所述的基于零信任的安全防护方法。
19.本发明提供的基于零信任的安全防护方法、网络及装置,将通过零信任网关认证的终端所上报的第一同步信息,与当前轮训的蜜罐系统所存储的第二同步信息进行比对,根据比对结果确定安全防护措施。相当于在零信任网关作为第一道防线后,再增加由多个蜜罐系统轮训而组成的蜜罐网络作为第二道防线,即使零信任网关单点失陷,蜜罐网络构成的第二道防线仍可对访问终端进行攻击识别、或拒绝不可信终端的访问等安全防护。从而增强基于零信任的企业资源的访问网络的安全性。
附图说明
20.图1为本发明实施例1的一种基于零信任的安全防护方法的流程图;
21.图2为本发明实施例2的一种基于零信任的安全防护网络的结构示意图;
22.图3为本发明实施例3的一种基于零信任的安全防护装置的结构示意图。
具体实施方式
23.为使本领域技术人员更好地理解本发明的技术方案,下面将结合附图对本发明实施方式作进一步地详细描述。
24.可以理解的是,此处描述的具体实施例和附图仅仅用于解释本发明,而非对本发明的限定。
25.可以理解的是,在不冲突的情况下,本发明中的各实施例及实施例中的各特征可相互组合。
26.可以理解的是,为便于描述,本发明的附图中仅示出了与本发明相关的部分,而与本发明无关的部分未在附图中示出。
27.可以理解的是,本发明的实施例中所涉及的每个单元、模块可仅对应一个实体结构,也可由多个实体结构组成,或者,多个单元、模块也可集成为一个实体结构。
28.可以理解的是,在不冲突的情况下,本发明的流程图和框图中所标注的功能、步骤可按照不同于附图中所标注的顺序发生。
29.可以理解的是,本发明的流程图和框图中,示出了按照本发明各实施例的系统、装置、设备、方法的可能实现的体系架构、功能和操作。其中,流程图或框图中的每个方框可代表一个单元、模块、程序段、代码,其包含用于实现规定的功能的可执行指令。而且,框图和流程图中的每个方框或方框的组合,可用实现规定的功能的基于硬件的系统实现,也可用硬件与计算机指令的组合来实现。
30.可以理解的是,本发明实施例中所涉及的单元、模块可通过软件的方式实现,也可通过硬件的方式来实现,例如单元、模块可位于处理器中。
31.实施例1:
32.本实施例提供一种基于零信任的安全防护方法,该方法可应用于采用零信任机制的网络中。由于零信任是持续认证,实时认证,故采用本实施例中的安全防护方法可应采用深度伪造技术或其他网络攻击技术对零信任网络进行恶意访问的场景。
33.如图1所示,基于零信任的安全防护方法包括:
34.步骤101,接收终端上报的第一同步信息,由当前轮训的蜜罐系统将其所存储的第二同步信息与接收的第一同步信息进行比对,其中,所述终端为请求访问时能通过零信任网关认证的终端。
35.本实施例中,由零信任网关对前端链路上请求访问的终端进行认证,而在零信任网关的后端链路上设置蜜罐网络与零信任网关通信连接,将蜜罐网络作为零信任访问认证的第二道防线。其中,蜜罐网络由多个蜜罐系统组成,且蜜罐网络中的所有蜜罐系统根据轮训规则进行轮训、轮转,或理解为所有蜜罐系统根据轮训规则轮流工作,使得任意时刻在零信任网关的后端均有一个当前轮训的蜜罐系统与之通信连接,当前轮训的蜜罐系统可理解为当前工作的蜜罐系统。在终端每次请求访问时均要求终端上报第一同步信息,且所有蜜罐系统中存储有第二同步信息,由当前轮训的蜜罐系统将自身所存储的第二同步信息与终端上报的第一同步信息进行比对,通过合理设置终端与蜜罐网络中的同步信息,并比对终端访问时刻两者的同步信息可用于识别出攻击者。
36.步骤102,根据比对结果确定安全防护措施。
37.本实施例中,安全防护措施包括允许终端访问资源,或拒绝终端访问资源,或利用
蜜罐技术诱捕可疑终端的访问信息,以对恶意访问进行预警或将攻击者列入黑名单。本实施例通过蜜罐技术识别、诱捕利用深度伪造技术或其他网络攻击技术的攻击者,以防止此类攻击者在通过零信任网关的认证后直接获取访问资源的情况。
38.可选地,在步骤101:接收终端上报的第一同步信息之前,基于零信任的安全防护方法还包括:响应于所述终端的首次访问请求,向所述终端下发同步参数,同步参数包括时钟同步、密钥、蜜罐编号及轮训规则,其中,密钥内置于所述终端的可信环境。
39.本实施例中,在终端发起首次访问请求时,或理解为终端首次接入零信任网关所在网络时,向终端下发同步参数。其中,密钥可以是对称密钥,本实施例中以对称密钥为例进行说明,将对称密钥的其中一个密钥下发给终端,并内置在终端的可信环境,以作为后续认证的根密钥,即使终端外在的信息被完全仿冒时,基于内核的可信环境中的信息(如密钥)是攻击者无法获取到的,例如终端的sim卡中的根密钥则是可信环境中的一种信息。将对称密钥的另一个密钥存储至各个蜜罐系统中,作为后续认证的接头口令。所有的蜜罐系统是根据轮训规则动态运作的,轮训规则包括以顺时针轮训或以逆时针轮训,或根据其他更为复杂的轮训算法设置的轮训规则。
40.可选地,第一同步信息包括当前时刻、当前时刻对应的蜜罐编号,以及第一密钥,第二同步信息包括当前时刻和第二密钥。
41.本实施例中,终端侧接收到同步参数后,第一同步信息的形式可表示为时刻 蜜罐编号 第一密钥,蜜罐网络侧的当前轮训的蜜罐所存储的第二同步信息可表示为时刻 第二密钥。或可表示为键值对,终端《时刻,蜜罐编号,第一密钥》,当前轮训的蜜罐系统《时刻,第二密钥》。例如,在0时刻开始同步,密钥是m1234,此时轮训的蜜罐系统是a,蜜罐网络侧的第二同步信息是a《0,m1234》,相应的终端侧记录的第一同步信息是《0,a,m1234》,表示0时刻轮训的是a蜜罐系统;下一时刻是1时刻,此时刻轮训的蜜罐系统是b,蜜罐网络侧的第二同步信息是b《1,m1234》,相应的终端侧记录的第一同步信息是《0,b,m1234》,表示1时刻轮训的是b蜜罐系统,以此类推,当所有蜜罐系统按照某一轮训规则轮转时,能够始终和终端保持一致的顺序。需要说明的是,终端以密文的形式上报第一同步信息,从而提高同步信息传输的安全性。终端在通过零信任网关认证后,会上报第一同步信息,即上报的信息是与蜜罐系统协同的信息,如《0,a,m1234》,建立连接握手,类似tls(transport layer security,安全传输层协议)连接握手阶段流程。本实施例中通过下发具体的同步参数给终端,使得蜜罐系统的运作规律和终端同步,当终端请求访问时只有按照指定的规则通过访问认证才被允许穿越蜜罐网络而访问资源。由于终端内置的密钥和指定的规则均是攻击者不可获得的,即使攻击者突破零信任网关这第一道防线也无法通过蜜罐网络这第二道防线去访问资源,从而增强基于零信任的企业资源的访问网络的安全性。
42.可选地,步骤102:根据比对结果确定安全防护措施,具体包括:响应于比对结果匹配,允许所述终端访问资源,响应于比对结果不匹配,判定所述终端是否可信,并根据判定结果进一步确定安全防护措施。
43.本实施例中,当第一同步信息为《14,a,m1234》,而当前轮训的蜜罐系统为a,且蜜罐系统a存储的第二同步信息为a《14,m1234》,则比对结果匹配。比对结果不匹配包括预设时长内未接收到第一同步信息,或第一同步信息与第二同步信息不一致(如蜜罐编号不同、和/或,第一密钥与第二密钥不同)。当比对结果不匹配,存在以下几种情况:如终端未上报
第一同步信息,说明该类型终端是可疑的。如终端上报了错误的第一同步信息,可能因为时间同步出现问题而导致,可能因为终端本身是被伪造的不可信的(如第一密钥与第二密钥不同),故需判定终端是否可信,并根据判定结果进一步确定安全防护措施。具体实施方式中,蜜罐网络还包括编排与响应管理平台,当前轮训的蜜罐系统将比对结果不匹配的终端列为异常终端,并将异常终端的信息上报至编排与响应管理平台,由编排与响应管理平台进一步判定终端是否可信,或当前轮训的蜜罐系统将比对结果上报至编排与响应管理平台,由编排与响应管理平台根据比对结果确定安全防护措施。
44.具体地,所述响应于比对结果不匹配,判定所述终端是否可信,并根据判定结果进一步确定安全防护措施,具体包括:响应于预设时长内未接收到第一同步信息,判定所述终端可疑,并为所述终端动态编排蜜罐系统,以诱捕所述终端的访问信息;响应于第一同步信息与第二同步信息不一致,再次获取所述终端的第一同步信息;响应于再次获取的第一同步信息与当前轮训的蜜罐系统所存储的第二同步信息一致,判定所述终端可信,并允许所述终端访问资源,若否(即再次获取的第一同步信息与当前轮训的蜜罐系统所存储的第二同步信息不一致),判定所述终端不可信,拒绝所述终端访问资源。
45.可选地,在为所述终端动态编排蜜罐系统,以诱捕所述终端的访问信息之后,基于零信任的安全防护方法还包括:响应于所述终端的访问信息的容量达到第一阈值,对所述终端进行追踪和溯源,并将其列入黑名单。
46.本实施例中,当终端在预设时长内未上报第一同步信息进行认证,说明该类型终端可能是基于深度伪造的访问终端,编排与响应管理平台将该类型的终端列为可疑的终端,且为该终端的访问量身定制蜜罐系统,即动态编排蜜罐系统,蜜罐系统会按照终端访问的资源部署,让终端访问以为是访问到了真正的客体资源,实则则是编排与响应管理平台会根据终端进一步的访问情况来收集访问信息,当访问信息积累量(容量)达到第一阈值时,主动发起溯源,追踪异常的被伪造的终端。访问信息包括访问频次,或所访问的资源特征,编排与响应管理平台以此不断地收集攻击者特征,当访问信息收集(容量)达到第一阈值时,足以溯源时,可主动溯源定位,找到攻击者,从而可增强零信任访问控制,并提升溯源能力建设,总之可增强网络韧性,实现网络安全高质量发展。
47.可选地,在为所述终端动态编排蜜罐系统,以诱捕所述终端的访问信息之后,基于零信任的安全防护方法还包括:计算所述终端的访问信息与威胁情报库的特征信息之间的匹配度,响应于匹配度达到第二阈值,发出预警命令。
48.本实施例中,编排与响应管理平台实现两种重要功能,一种是上述对深度伪造终端的追踪和溯源,另一种是进行监测预警。其中,编排与响应管理平台与外部的威胁情报库联动,对异常的终端访问能够及时发现,监测预警,主要是通过内部和外部情报的特征收集,实时监测蜜罐系统动态,对异常的访问终端及时监测处置,弥补零信任技术的不足,提升网络安全性能。
49.本实施例提供的基于零信任的安全防护方法,通过零信任网关认证的终端所上报的第一同步信息,与当前轮训的蜜罐系统所存储的第二同步信息进行比对,根据比对结果确定安全防护措施。相当于在零信任网关作为第一道防线后,再增加由多个蜜罐系统轮训而组成的蜜罐网络作为第二道防线,即使零信任网关单点失陷,蜜罐网络构成的第二道防线仍可对访问终端进行攻击识别、或拒绝不可信终端的访问等安全防护,从而增强基于零
信任的企业资源的访问网络的安全性。此外,通过在终端的可信环境内置密钥,且在蜜罐网络也设置对称密钥,由于终端内置的密钥是攻击者不可获得的,即使攻击者突破零信任网关这第一道防线也无法通过蜜罐网络这第二道防线去访问资源,从而增强基于零信任的企业资源的访问网络的安全性。进一步地,通过蜜罐网络对深度伪造终端进行追踪和溯源,将其列入黑名单,且对异常的访问终端及时监测预警,弥补零信任技术的不足,提升网络安全性能。最后,终端以密文的形式上报第一同步信息,可提高同步信息传输的安全性。
50.实施例2:
51.如图2所示,本实施例提供一种基于零信任的安全防护网络,包括零信任网关21、编排与响应管理平台22,以及多个蜜罐系统,多个蜜罐系统和编排与响应管理平台22组成蜜罐网络23。
52.零信任网关21,分别与终端和各蜜罐系统连接,用于对请求访问的终端进行认证,并接收终端上报的第一同步信息,将第一同步信息传输至当前轮训的蜜罐系统。在一种实施方式中,终端内存在与蜜罐系统数量相同的多个容器进行轮训同步。
53.当前轮训的蜜罐系统,与编排与响应管理平台22和访问资源连接,用于将自身所存储的第二同步信息与第一同步信息进行比对,并将比对结果传输至编排与响应管理平台22。
54.编排与响应管理平台22,与各蜜罐系统连接,用于根据比对结果确定安全防护措施,还用于编排和管理各蜜罐系统。
55.可选地,编排与响应管理平台22还用于响应于所述终端的首次访问请求,通过蜜罐系统和零信任网关21向所述终端下发同步参数,同步参数包括时钟同步、密钥、蜜罐编号及轮训规则,其中,密钥内置于所述终端的可信环境。
56.其中,第一同步信息包括当前时刻、当前时刻对应的蜜罐编号,以及第一密钥,第二同步信息包括当前时刻和第二密钥。
57.可选地,编排与响应管理平台包括管理单元和判定单元。
58.管理单元,用于响应于比对结果匹配,允许所述终端访问资源。判定单元,用于响应于比对结果不匹配,判定所述终端是否可信,并根据判定结果进一步确定安全防护措施。
59.其中,比对结果不匹配包括预设时长内未接收到第一同步信息,或第一同步信息与第二同步信息不一致(如蜜罐编号不同、和/或,第一密钥与第二密钥不同)。
60.可选地,判定单元包括第一判定组件、编排组件、第二判定组件和管理组件。
61.第一判定组件,用于响应于预设时长内未接收到第一同步信息,判定所述终端可疑。编排组件,与第一判定组件连接,用于在判定结果为终端可疑,为终端动态编排蜜罐系统,以诱捕所述终端的访问信息。第二判定组件,用于响应于第一同步信息与第二同步信息不一致,再次获取所述终端的第一同步信息,并用于响应于再次获取的第一同步信息与当前轮训的蜜罐系统所存储的第二同步信息一致,判定所述终端可信,以及用于响应于再次获取的第一同步信息与当前轮训的蜜罐系统所存储的第二同步信息不一致,判定所述终端不可信。管理组件,与第二判定组件连接,用于在判定结果为终端可信时,允许终端访问资源,以及用于在判定结果为终端不可信时,拒绝终端访问资源。
62.可选地,编排与响应管理平台还包括溯源单元。溯源单元,与编排组件连接,用于响应于所述终端的访问信息的容量达到第一阈值,对所述终端进行追踪和溯源,并将其列
入黑名单。
63.可选地,编排与响应管理平台还包括预警单元。预警单元,分别与外部威胁情报库和编排组件连接,用于计算所述终端的访问信息与威胁情报库的特征信息之间的匹配度,响应于匹配度达到第二阈值,发出预警命令。
64.实施例3:
65.如图3所示,本实施例提供一种基于零信任的安全防护装置,包括存储器31和处理器32,所述存储器31中存储有计算机程序,所述处理器32被设置为运行所述计算机程序以实现如实施例1所述的基于零信任的安全防护方法。
66.实施例2提供的安全防护网络和实施例3提供的安全防护装置,在零信任网关这第一道防线之后,用于部署由蜜罐网络构成的第二道防线,通过蜜罐技术诱捕利用深度伪造技术的攻击者,即使零信任网关单点失陷,蜜罐网络构成的第二道防线仍可对访问终端进行攻击识别、或拒绝不可信终端的访问等安全防护,从而增强基于零信任的企业资源的访问网络的安全性。此外,用于在终端的可信环境内置密钥,且在蜜罐网络中设置对称密钥,由于终端内置的密钥和指定的规则均是攻击者不可获得的,因此,可进一步增强基于零信任的企业资源的访问网络的安全性。此外,蜜罐网络用于对深度伪造终端进行追踪和溯源,将其列入黑名单,且对异常的访问终端及时监测预警,可弥补零信任技术的不足,提升网络安全性能。
67.可以理解的是,以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式,然而本发明并不局限于此。对于本领域内的普通技术人员而言,在不脱离本发明的精神和实质的情况下,可以做出各种变型和改进,这些变型和改进也视为本发明的保护范围。
再多了解一些

本文用于创业者技术爱好者查询,仅供学习研究,如用于商业用途,请联系技术所有人。

发表评论 共有条评论
用户名: 密码:
验证码: 匿名发表

相关文献