技术领域
本发明涉及网络安全防护领域，特别是涉及一种基于零信任验证的积极防御系统。
背景技术
长期以来，信息网络通过隔离确保被保护目标的局部安全。现在随着5G、物联网、人工智能、云计算和移动互联的普及，传统的杀病毒、防火墙、入侵系统检测难以应对人为攻击。
当前网络隔离无法适应云计算环境特性，尤其是云计算应用导致的边界虚拟化、动态变化。而且，在当前的云计算时代，用户能够与非授权的业务系统建立连接，同时攻击可能来自业务系统的内网，网络防护形同虚设，攻击者能够轻松获得访问客户端信息和业务系统访问权限，在不合规情况下造成信息系统的数据泄露。
发明内容
本发明的目的是提供一种基于零信任验证的积极防御系统，在允许访问客户端访问业务系统之前，对访问客户端及其请求访问的业务系统内网均进行安全性评估，以实现云计算环境下的信息安全防御。
为实现上述目的，本发明提供了如下方案：
一种基于零信任验证的积极防御系统，包括：身份验证处理模块、内网安全评估模块以及安全决策模块；所述身份验证处理模块响应于访问客户端的访问请求，将访问客户端的身份信息与数据库中的白名单进行匹配，所述身份信息包括源IP地址、源端口、目的IP地址、协议号和目的端口；所述内网安全评估模块响应于访问客户端的访问请求，对所述访问客户端请求访问的业务系统进行安全评估；所述安全决策模块在所述身份信息与白名单相匹配且评估结果为安全时，允许所述访问客户端访问所述业务系统，否则，不允许所述访问客户端访问所述业务系统。
可选的，所述基于零信任验证的积极防御系统还包括访问控制模块，所述访问控制模块响应于访问客户端的访问请求，提取所述访问客户端的身份信息并将所述身份信息发送至所述身份验证处理模块。
可选的，所述访问控制模块响应于访问客户端的访问请求，向所述内网安全评估模块发送对所述访问客户端请求访问的业务系统进行安全评估的通知。
可选的，所述内网安全评估模块在所述评估结果为不安全时，向所述业务系统发送内网不安全警报。
可选的，所述业务系统在接收到所述内网不安全警报后，暂时关闭所述业务系统的访问端口。
可选的，所述身份验证处理模块在所述身份信息与白名单相匹配时，将所述身份信息写入所述安全决策模块中的客户端白名单。
可选的，所述身份验证处理模块响应于访问客户端的访问请求，还将访问客户端的身份信息与数据库中的黑名单进行匹配，并在所述身份信息与所述黑名单相匹配时，将所述身份信息写入所述安全决策模块中的客户端黑名单。
可选的，所述身份验证处理模块在所述身份信息与所述白名单和所述黑名单均不匹配时，将所述身份信息写入所述安全决策模块中的客户端灰名单。
可选的，所述内网安全评估模块在业务系统的安全评估结果为安全时，将所述业务系统写入所述安全决策模块中的安全业务系统名单。
可选的，所述基于零信任验证的积极防御系统还包括灰名单验证模块，所述灰名单验证模块在所述客户端灰名单中的同一访问客户端多次发送访问请求时，判断所述访问客户端多次发送访问请求时的身份信息是否一致，在确定所述访问客户端多次发送访问请求时的身份信息一致时，将所述访问客户端的身份信息写入数据库中的白名单。
根据本发明提供的具体实施例，公开了以下技术效果：本发明提供的基于零信任验证的积极防御系统在收到访问客户端的业务系统访问请求后，对该访问客户端及其请求访问的业务系统内网均进行安全性评估，仅在该访问客户端及其请求访问的业务系统内网的评估结果均为安全时，方可允许该访问客户端访问其请求访问的业务系统。本发明实施例提供的防御系统通过在允许访问客户端访问业务系统之前，对访问客户端及其请求访问的业务系统进行安全性评估，保障了云计算环境下信息的安全。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的基于零信任验证的积极防御系统的结构示意图；
图2为本发明实施例中基于零信任验证的积极防御系统的防御方法流程图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明的目的是提供一种基于零信任验证的积极防御系统，以实现云计算环境下的信息安全防御。
为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。
本发明实施例提供的基于零信任验证的积极防御系统在访问客户端成功访问业务系统之前，需要对访问客户端的身份进行验证以及对访问客户端请求访问的业务系统的安全性进行评估。
上述积极防御系统包括：身份验证处理模块2、内网安全评估模块4以及安全决策模块3。身份验证处理模块2响应于访问客户端的访问请求，将访问客户端的身份信息与数据库中的白名单进行匹配。内网安全评估模块4响应于访问客户端的访问请求，对访问客户端请求访问的业务系统进行安全评估。安全决策模块3在身份信息与白名单相匹配且评估结果为安全时，允许访问客户端访问业务系统，否则，不允许访问客户端访问业务系统。
在一个示例中，基于零信任验证的积极防御系统还包括访问控制模块1，访问控制模块1响应于访问客户端的访问请求，提取访问客户端的身份信息并将身份信息发送至身份验证处理模块2。其中，身份信息包括但不限于源IP 地址、源端口、目的IP地址、协议号和目的端口。
在一个示例中，访问控制模块1响应于访问客户端的访问请求，向内网安全评估模块4发送对访问客户端请求访问的业务系统进行安全评估的通知。内网安全评估模块4在接到该通知后，对访问客户端请求访问的业务系统进行安全性评估。内网安全评估模块4在评估结果为不安全时，可以向业务系统发送内网不安全警报。业务系统在接收到不安全警报后，暂时关闭业务系统的访问端口，暂停访问客户端的访问链接，需要注意的是，不是永久关闭和永久不接收访问客户端的网络访问请求，而是暂时关闭，在所述业务系统经过运维安全措施后，再打开端口。
在一个示例中，身份验证处理模块在身份信息与白名单相匹配时，将身份信息写入安全决策模块3中的客户端白名单。身份验证处理模块2响应于访问客户端的访问请求，还将访问客户端的身份信息与数据库中的黑名单进行匹配，在身份信息与黑名单相匹配时，将身份信息写入安全决策模块3中的客户端黑名单。在身份信息与白名单和黑名单均不匹配时，将身份信息写入安全决策模块3中的客户端灰名单。
在一个示例中，基于零信任验证的积极防御系统还包括灰名单验证模块 5，灰名单验证模块5在所述客户端灰名单中的同一访问客户端多次发送访问请求时，判断所述访问客户端多次发送访问请求时的身份信息是否一致，在确定所述访问客户端多次发送访问请求时的身份信息一致时，将所述访问客户端的身份信息写入数据库中的白名单。
具体的，“客户端灰名单”中的同一访问客户端在多次向访问控制模块1发送访问请求时，灰名单验证模块5提取该访问客户端的源IP地址、源端口、目的IP地址、协议号和目的端口等身份信息ID，经比对验证所述访问客户端身份信息ID保持了一致性，即身份信息ID没有变化，确认该访问客户端为可信任的，则将所述访问客户端身份信息ID写入“客户端白名单”。
本发明的实施例提供的基于零信任验证的积极防御系统的零信任验证包括下述步骤：
S1，访问客户端向访问控制模块发起访问业务系统的请求。
S2，访问控制模块收到访问客户端的访问请求后，对访问客户端生成身份信息ID，所述身份信息ID为访问客户端的多元组特征值。
S3，访问控制模块向身份验证处理模块发送访问客户端的身份信息ID，身份验证处理模块接收到身份信息ID后进行信任验证。
S4，身份验证处理模块验证所述访问客户端的身份信息ID与信息数据中白名单、黑名单的匹配结果，根据匹配结果进行下一步操作。
S4.1，如果所述访问客户端的身份信息ID匹配数据库中白名单的信息，则将所述访问客户端的身份信息ID写入安全决策模块中的“客户端白名单”并更新。
S4.2，如果所述访问客户端的身份信息ID不匹配数据库白名单中的信息，则进一步查询是否匹配数据库黑名单中的信息，如果匹配黑名单，则将所述访问客户端的身份信息ID写入安全决策模块中的“客户端黑名单”。
S4.3，如果所述访问客户端的身份信息ID不匹配数据库白名单中的信息，也不匹配数据库黑名单中的信息，则将所述访问客户端的身份信息ID写入安全决策模块中的“客户端灰名单”并进行更新。
S5，访问控制模块收到访问客户端的访问请求后，访问控制模块向内网安全评估模块发送访问通知。
S6，内网安全评估模块接收到访问通知后，对业务系统进行安全评估并形成安全评估结果。
S7，内网安全评估模块根据业务系统的安全评估结果进行后续步骤，若业务系统的安全评估结果为“安全”时，写入安全决策模块中的“安全业务系统名单”，允许正常访问客户端的网络访问请求；若业务系统的安全评估结果为“不安全”时，内网安全评估模块向所述业务系统发送报警信息。
S7.1，所述正常访问客户端，为S4中经身份验证处理模块查询后在“客户端白名单”中更新身份信息ID的访问客户端。
S7.2，内网安全评估模块向业务系统发送的报警信息，该报警信息为所述业务系统处于“内网不安全”状态。
S7.3，当业务系统收到内网安全评估模块报警信息后，关闭业务系统的端口，暂停访问客户端的访问链接。
S7.4，业务系统关闭业务系统的端口后，进行升级、修补等运维安全措施。
S7.5，业务系统进行完运维安全措施后，打开端口。
S8，写入“客户端白名单”的访问客户端允许访问写入安全决策模块中“安全业务系统名单”的业务系统。
在上述技术方案中，所述业务系统可以是网页应用服务目标、单位内部资源数据库等。
本发明实施例提供的基于零信任验证的积极防御系统，通过对访问客户端身份验证、业务系统安全评估，实现了对信息系统的全流程持续动态零信任验证和管控，提高了访问客户端和业务系统双方网络连接的安全可靠性。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。
本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处。综上所述，本说明书内容不应理解为对本发明的限制。
机译： 用于开放交易商方法的客户信任的代理人的客户信任的代理人的电子商务信任的代理人的系统，该电子票证和电子货币方法使用客户的信任的代理人和交易者的信任的代理人基于授权方法执行付款交易提交用于服务的电子票证方法，该方法用于将电子票证从第一受信任的代理转移到第二受信任的代理以获取电子证书;用于远程重新验证电子证书的方法;基于身份的现金模块支付的方法;解决与电子商品有关的争议的方法;确保在通信网络中同时付款电子货币和交付电子商品的系统;用于实现处理设备之间的安全通信的方法和方法。
机译： 物联网物联网物联网物联网物联网物联网物联网物联网设备的信任指数提供设备，物联网设备的信任指数提供方法，物联网设备的信任信息管理设备，物联网设备的信任信息管理方法，基于物联网设备的协作系统信任指数一种基于信任指数的物联网设备协作方法
机译： 物联网物联网物联网物联网物联网物联网物联网物联网设备的信任指数提供设备，物联网设备的信任指数提供方法，物联网设备的信任信息管理设备，物联网设备的信任信息管理方法，基于物联网设备的协作系统信任指数一种基于信任指数的物联网设备协作方法
