什麼是「城堡加護城河」網路安全模型?

「城堡加護城河」是一種網路安全性模型,在這種模型中,網路上的每個人預設都受到信任。

學習目標

閱讀本文後,您將能夠:

  • 在網路安全性環境中定義「城堡加護城河」
  • 描述城堡加護城河網路如何管理存取並保護網路邊界
  • 城堡加護城河模型和 Zero Trust 安全性的對比

相關內容


想要繼續瞭解嗎?

訂閱 TheNET,這是 Cloudflare 每月對網際網路上最流行見解的總結!

請參閱 Cloudflare 的隱私權政策,了解我們如何收集和處理您的個人資料。

複製文章連結

什麼是「城堡加護城河」網路模型?

「城堡加護城河」是一種網路安全性模型,其中網路外的任何人都無法存取內部資料,但網路內的每個人都可以。將組織的網路想像成城堡,將網路邊界想像成護城河。一旦吊橋被降低且有人穿過它,他們就可以在城堡場地內自由行動。同樣,一旦使用者連接到此模型中的網路,他們就能夠存取該網路中的所有應用程式和資料。

使用這種模式的組織會投入大量資源來保衛他們的網路邊界,就像一座城堡可能會在吊橋附近放置最多的警衛一樣。他們部署了防火牆、入侵偵測系統 (IDS)、入侵預防系統 (IPS) 和其他可封鎖大多數外部攻擊的安全性產品——但在阻止內部攻擊、內部人員威脅資料外洩方面並不那麼有效。

「城堡加護城河」不一定是故意選擇的策略。該詞彙用於將傳統網路架構與 Zero Trust 架構進行對比。

「城堡加護城河」方法有什麼問題?

如今,「城堡加護城河」的方法已經過時了。對於大多數的公司,資料都分佈在多個雲端廠商之間,而不是留在內部部署網路邊界後方。更進一步的類比:如果女王和她的宮廷分散在鄉村周圍,那麼將所有資源用於保衛城堡是沒有意義的。

如今,一些組織繼續將其資料儲存在內部部署網路中,而另一些組織則透過中央企業網路路由所有網際網路繫結流量,以控制對雲端廠商的存取。但是「城堡加護城河」模型的這些使用仍然存在固有的安全缺陷。

最大的安全漏洞是,如果攻擊者獲得了網路存取權限(即當如果他們穿過了「護城河」),他們也可以存取其中的任何資料和系統。他們可以透過竊取使用者認證、利用安全漏洞、引入惡意軟體感染或進行社交工程攻擊等方法來入侵網路。防火牆和其他入侵預防工具可能會阻止其中一些攻擊,但如果有攻擊者進入,則會產生高昂成本。

「城堡加護城河」模型與 Zero Trust 安全性有何不同?

Zero Trust 安全性是允許使用者如何以及何時存取系統和資料的一種理念。與「城堡加護城河」模型不同,Zero Trust 安全性假設網路內外都存在安全風險。預設情況下,網路內部的任何內容都不受信任——因此得名「Zero Trust」。

Zero Trust 安全性要求在授予網路上每個使用者和每台裝置存取資料和應用程式的權限之前對其進行嚴格驗證。

如何在「城堡加護城河」模型中管理存取控制?

使用「城堡加護城河」模型時,組織控制存取的一種方式是虛擬私人網路 (VPN)。VPN 在已連接的使用者(通常是遠端工作使用者)和 VPN 伺服器之間建立加密連線。對於某些層級的存取,使用者必須連接到至少一個 VPN。連接后,他們可以存取所需的資源。

由於同一公司內的不同使用者通常需要不同的存取權限,因此 IT 團隊設定了多個 VPN。每個 VPN 都可以被認為是自己的「城堡」,提供不同層級的存取權限。

這種方法有一些缺點:

  • 易受攻擊:VPN 充當其保護的應用程式和資料的單一失敗點。攻擊者只需要一個遭入侵的帳戶或裝置即可越過眾所周知的護城河並存取受 VPN 保護的資料。
  • 效能較慢:VPN 會加密所有流量,這可能會給網路增加輕微延遲,具體取決於所使用的加密類型(比較 IPsec 與 SSL)。對於遠端員工,VPN 透過 VPN 伺服器路由所有流量,該伺服器可能遠離員工,從而進一步減慢網路流量。
  • 可擴展性: 如果 VPN 使用量超過 VPN 伺服器處理流量的能力,則必須升級伺服器——這是一個耗費勞工的過程。
  • 維護:VPN 需要大量的時間和資源來維護。IT 團隊必須在每個遠端員工的電腦上安裝正確的 VPN 用戶端,確保員工使該軟體保持最新狀態,並定期升級或更換 VPN 硬體。

Zero Trust 架構中的存取控制如何運作?

Zero Trust 架構有幾個基本原則:

這些原則在什麼是 Zero Trust 網路?中進行了詳細介紹。

從「城堡加護城河」到 Zero Trust:「SASE」

意識到「城堡加護城河」模型的缺點後,許多組織開始採用 Zero Trust 架構。雖然最初這樣的舉措相當複雜,但如今許多廠商提供了可以快速啟用的簡化版 Zero Trust 解決方案。Cloudflare Zero Trust 是這樣一個安全平台。

但是,相比採用單獨的存取管理解決方案,許多組織更希望將 Zero Trust 安全性內建到網路中,而不是在其之上增加一層。全球研究和諮詢公司Gartner將這一趨勢稱為「安全存取服務邊緣」(SASE)。Cloudflare One 是一個內建 Zero Trust 安全性的網路範例。