云安全聯(lián)盟（CSA）最近發(fā)布了軟件定義邊界（SDP）2.0規(guī)范，該規(guī)范與2014年發(fā)布的規(guī)范相比，參考結(jié)合了美國聯(lián)邦政府的零信任戰(zhàn)略、網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局（CISA）的零信任成熟度模型以及國家安全電信咨詢委員會(huì)（NSTAC）的零信任和可信身份管理報(bào)告中的許多建議與要求。

SDP2.0不僅更新了實(shí)現(xiàn)SDP的核心組件和原則，還強(qiáng)調(diào)了云原生架構(gòu)、服務(wù)網(wǎng)格實(shí)施，以及更為廣泛的零信任技術(shù)、產(chǎn)品與方案之間的協(xié)同。下面讓我們看一看SDP2.0有哪些關(guān)鍵內(nèi)容：

1、圍繞軟件和網(wǎng)絡(luò)資產(chǎn)

從更高的視角來看，SDP本質(zhì)上是一個(gè)以軟件和網(wǎng)絡(luò)資產(chǎn)為邊界的技術(shù)，而不是傳統(tǒng)的以網(wǎng)絡(luò)基礎(chǔ)設(shè)施為邊界。由于云計(jì)算的普及，硬件設(shè)備、操作系統(tǒng)、功能服務(wù)等等，所有網(wǎng)絡(luò)資產(chǎn)都可以被軟件定義和代碼化，因此SDP的出現(xiàn)是順理成章的。

對(duì)于安全而言，SDP還有助于實(shí)施零信任的基本原則，如最小權(quán)限訪問控制、假定已被入侵和基于先驗(yàn)證再信任的方法論。

網(wǎng)絡(luò)邊界已死，SDP萬歲。

——SDP概念的締造者之一Juanita Koilpillai

2、基本架構(gòu)

SDP2.0的的基本架構(gòu)包括SDP主機(jī)、SDP控制器，以及控制平面和數(shù)據(jù)平面。

SDP控制器可以看做是零信任上下文中的策略決策點(diǎn)（PDP），用于定義訪問控制策略。SDP主機(jī)的功能類似于零信任上下文中的策略實(shí)施點(diǎn)（PEP），通常位于應(yīng)用程序和服務(wù)的前面，用于實(shí)現(xiàn)SDP控制器定義的訪問策略。

SDP控制器可與內(nèi)部實(shí)體進(jìn)行通信，如身份和訪問管理（IAM）服務(wù)，如果組織正在使用基于云的身份即服務(wù)（IDaaS），則可與外部實(shí)體進(jìn)行通信。

SDP主機(jī)既是發(fā)起主機(jī)又是接受主機(jī)，與訪問請(qǐng)求的工作流保持一致。發(fā)起主機(jī)(IH)通常提供與身份相關(guān)的信息，但在更成熟的系統(tǒng)中，還可提供設(shè)備態(tài)勢(shì)或地理位置等數(shù)據(jù)。這一點(diǎn)完全符合網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局（CISA）的零信任成熟度模型中的“設(shè)備支柱”。

在"設(shè)備支柱"中被視為"高級(jí)"的組織，使用與設(shè)備相關(guān)的實(shí)時(shí)風(fēng)險(xiǎn)分析，以促進(jìn)對(duì)數(shù)據(jù)或資源的訪問控制決策。

接受主機(jī)（AH）的基本功能是作為策略實(shí)施點(diǎn)（PEP）來控制對(duì)資源或服務(wù)的訪問，AH接收SDP控制器的指令，以促進(jìn)和執(zhí)行訪問控制決策。

從以上的基本架構(gòu)組件中可以看出，SDP2.0與業(yè)界廣泛接受的零信任原則保持一致。

3、部署模型

SDP2.0支持六種部署模型，模型中的核心組件，如客戶端、服務(wù)器和網(wǎng)關(guān)是重點(diǎn)?？蛻舳耸钦?qǐng)求訪問資源的人員或非人實(shí)體（NPE）。SDP網(wǎng)關(guān)的功能類似于上面介紹的AH，運(yùn)行資源和數(shù)據(jù)的策略實(shí)施點(diǎn)（PEP）。在需要端到端保護(hù)的模型中，AH和服務(wù)器作為單個(gè)主機(jī)運(yùn)行，直接實(shí)施組織的訪問控制策略，而無需網(wǎng)關(guān)。組織應(yīng)該清楚這些部署模型的區(qū)別，以選擇最符合需求的部署模型。

4、工作流

成功實(shí)施SDP的關(guān)鍵因素之一是理順相關(guān)的工作流，包括發(fā)起和后續(xù)SDP控制器的工作流程，以及先前討論的用于實(shí)施更廣泛SDP架構(gòu)的AH和IH的工作流程。

通過上述內(nèi)容可以看出，SDP控制器對(duì)SDP體系結(jié)構(gòu)的重要性不言而喻。因此，組織會(huì)傾向于部署多個(gè)SDP控制器，以促進(jìn)負(fù)載均衡和全面的系統(tǒng)韌性能力，并得以緩解單點(diǎn)故障（SPoF）的風(fēng)險(xiǎn)。簡而言之，理解SDP工作流是關(guān)鍵。

5、減少攻擊面

通過降低資源對(duì)非授權(quán)實(shí)體的可見性來最小化攻擊面，是SDP的基礎(chǔ)特性之一。單包授權(quán)（SPA）使用加密技術(shù)，有密鑰的設(shè)備可以與SDP組件建立網(wǎng)絡(luò)連接，沒有密鑰的設(shè)備則無法建立連接。

6、相互驗(yàn)證

SDP2.0的另一個(gè)關(guān)鍵特征是SDP組件之間的相互驗(yàn)證。美國聯(lián)邦政府零信任戰(zhàn)略和CISA的零信任成熟度模型均有描述，即成熟的零信任環(huán)境會(huì)盡可能加密所有流量，不僅對(duì)外部通信加密，也加密內(nèi)部通信。所有SDP部署模型都強(qiáng)調(diào)“mTLS”（Mutual TLS），并通過身份和設(shè)備驗(yàn)證等附加步驟提供支持。