什么是软件定义边界？| SDP 与 VPN

什么是软件定义边界（SDP）？

软件定义边界 (SDP) 是一种隐藏连接到互联网的基础设施（服务器和路由器等）的方法，使它无法被外部人士和攻击者不到，而且不论是托管于企业内部还是云端。SDP 方法的目标是使网络边界基于软件而非硬件。使用 SDP 的公司实质上时为其服务器和其他基础设施披上一件隐形衣，使得无人可从外部看到。但是，授权用户仍然可以访问这些基础设施。

软件定义边界围绕公司资产形成的虚拟边界是在网络层上，而不是应用程序层。这使得它有别于其他限制用户权限但允许广泛网络访问的基于访问权限的控制。另一个关键区别是，SDP 同时对设备和用户进行身份验证。云安全联盟首先提出了 SDP 概念。

SDP 如何工作？

有了 SDP 后，除非获得授权，否则从技术上讲应该无法与服务器连接。只有 1) 验证用户身份并且 2) 评估设备状态之后，SDP 才允许用户进行访问。

用户和设备通过身份验证后，SDP 会在设备与尝试访问的服务器之间建立单独的网络连接。经过身份验证的用户不登录到更大的网络，而是获得专属的网络连接，不仅其他任何人都无法访问，而且仅包括用户已获准访问的服务。

想象一下，一台连入了 Internet 但没有打开任何连接的 Web 服务器。它不接受请求，也不发送响应；即使已接通了 Internet，但没有开放端口，也无网络访问权限（有点像烤面包机或电灯已插到墙壁电源插座上，但已关闭，没有电流经过它们）。这是软件定义边界内的服务器的默认状态。

思考 SDP 的另一种方法是想象一扇始终上锁的大门。无人可以通过这扇门，也无法看到内部情况，直到门另一侧的人确认访客身份及来访目的为止。一旦允许访客进门，房屋里的人就会再次将门锁上。

用户如何通过 SDP 获得访问权限？

用户身份验证：通常通过第三方身份提供者 (IdP) 验证用户身份。SDP 也可以与 SSO 解决方案集成。用户身份验证可以使用简单的用户名和密码组合，但更加安全的方式是将多因素身份验证与某种硬件令牌结合使用。

设备验证：这涉及检查以确保用户的设备运行最新的软件，检查是否有恶意软件感染，以及执行其他安全检查。理论上，SDP 甚至可以创建不允许使用的设备的阻止列表，并检查以确保设备不在阻止列表上。

SDP 控制器批准：SDP“控制器”是 SDP 的逻辑组件，负责确定应允许哪些设备和服务器进行连接。用户和设备通过身份验证后，控制器会将用户和设备的批准信息传递到 SDP 网关。SDP 网关是实际允许或拒绝访问的地方。

建立安全网络连接：SDP 网关打开虚拟“大门”以允许用户通过。它在网关的一侧与用户设备建立安全网络连接，并在另一侧与用户有权访问的服务建立网络连接。没有其他用户或服务器会共享此连接。这些安全网络连接通常涉及使用相互 TLS，也可能会使用 VPN。

用户访问：用户能够访问先前已隐藏的网络资源，并且可以像平常一样继续使用其设备。用户在一个加密网络中操作，只有他们和他们访问的服务属于这个网络。

什么是相互 TLS？

Transport Layer Security (TLS) 是一种加密协议，可验证服务器是否合法，即服务器是否是其声称的身份。在 mutual TLS 中，验证过程在两端进行，即客户端和服务器都要经过验证。了解有关 mutual TLS 的更多信息。

什么是 VPN？

VPN（虚拟专用网络）是一种在未加密网络上运行的加密网络。它在设备和服务器之间创建加密的连接，使它们就像位于专属的专用网络上。

传统上，VPN 用于保护和管理对公司基础设施的访问。在某些情形中，SDP 可以取代 VPN。

SDP 与 VPN：有什么区别？

SDP 可以将 VPN 融入其体系结构，以在用户设备和它们需要访问的服务器之间创建安全的网络连接。但是，SDP 与 VPN 截然不同。在某些方面，它更加安全：VPN 使所有连接的用户都能访问整个网络，但 SDP 不会共享网络连接。与 VPN 相比，SDP 可能更易于管理，尤其是在内部用户需要多级访问的情况下。

使用 VPN 管理几个不同级别的网络访问涉及部署多个 VPN。假设鲍勃在 Acme Inc. 会计部门工作，卡罗尔在销售部门工作，而爱丽丝则在工程部门工作。如果在网络级别管理他们的访问权限，这需要设置三个 VPN：1) 提供访问会计数据库访问权限的会计 VPN；2) 用于客户数据库的销售 VPN；以及 3) 用于代码库的工程 VPN。这不仅让 IT 部门难以管理，而且安全性也较差：例如，任何访问会计 VPN 的人现在都能访问 Acme Inc. 的财务信息。如果鲍勃不慎将其登录凭证提供给卡罗尔，那么安全性已受损，IT 甚至可能没有意识到。

现在想象一下第四个人：Acme Inc. 的 CFO 大卫。大卫需要访问会计数据库和客户数据库。大卫是否必须登录两个单独的 VPN 才能完成工作？或者 Acme 的 IT 部门应该建立一个新的 VPN，以同时提供对会计数据库和客户数据库的访问？这两个方案都难以管理，第二方案还会带来很大的风险：如果攻击者侵入这个具有两个数据库的广泛访问权限的新 VPN，造成的损害可能是以前的两倍。

另一方面，SDP 更加精细。没有一个统包性 VPN 供访问相同资源的每个人登录；而是，为每个用户建立一个单独的网络连接。几乎就像每个人都有一个自己专用的 VPN。此外，SDP还会同时验证设备和用户，从而使攻击者更难仅凭盗取的凭证来侵入系统。

还有其他几个关键特征可以区别 SDP 和 VPN：SDP 与位置和基础设施无关。它们基于软件而非硬件，因此 SDP 可以部署到任何地方以保护本地基础设施和/或云基础设施。SDP 还能与多云和混合云部署轻松集成。最后，SDP 可以连接任何位置的用户；他们不需要在公司的物理网络边界内。这使得 SDP 对于管理不在公司办公室内工作的远程团队非常有用。

SDP 与零信任安全有何关系？

顾名思义，零信任安全不存在任何信任；默认情况下，没有用户、设备或网络被认为是可信的。零信任安全是一种安全模型，要求所有尝试访问内部资源的人和设备，不论是位于网络边界（或软件定义边界）的内部还是外部，都必须进行严格的身份验证。

SDP 是实施 Zero Trust 安全的一种方式。用户和设备都必须经过验证后才能连接，并且仅具有所需的最小网络访问权限。任何设备（甚至是 CEO 的笔记本电脑）都无法与未经授权使用的资源建立网络连接。

了解有关零信任安全的更多信息。