m o c . 5 b u h t i g © 2022 云安全联盟大中华区版权所有 2 软件定义边界工作组的官网地址是: https://cloudsecurityalliance.org/research/working-groups/software-defined-perimeter-and-zero-trust/ m o c . 5 b u h t i g @2022 云 安 全 联 盟 大 中 华 区 - 保 留 所 有 权 利 。 本 文 档 英 文 版 本 发 布 在 云 安 全 联 盟 官 网 （https://cloudsecurityalliance.org），中文版本发布在云安全联盟大中华区官网(http://www.c-csa.cn)。 您 可在满足如下要求的情况下在您本人计算机上下载、存储、展示、查看、打印此文档：（a）本文只可作个 人信息获取，不可用作商业用途；(b) 本文内容不得篡改; (c)不得对本文进行转发散布; (d)不得删除文 中商标、版权声明或其他声明。在遵循美国版权法相关条款情况下合理使用本文内容，使用时请注明引用 于云安全联盟。 © 2022 云安全联盟大中华区版权所有 3 序言 为深入贯彻落实国家关于建设网络强国、数字中国、智慧社会的战略部署，在各行业主管部 门的监督和政策指引下，信息化水平快速提升，构筑全方位的网络安全体系也成为网络安全核心 任务。 自 2019 年工信部发布的《关于促进网络安全产业发展的指导意见(征求意见稿)》文件中零 信任安全首次被列入“网络安全需要突破的关键技术”以来，零信任 SDP 技术架构被行业广泛 探索和采用。随着各行各业应用实践的不断深入， SDP 的标准规范也应随之发展。此次发布的 SDP 2.0 标准规范充分考虑了这些年零信任 SDP 的技术发展和行业需求，更好地满足数字化安全 m o c . 5 的未来发展。 此次发布的 SDP2.0 标准规范是一次国际协作的成果，CSA 大中华区零信任工作组组长陈本 峰与其他国际上的零信任安全专家共同编写了该标准规范，我国的国密算法也作为推荐的加密算 法首次进入 SDP 标准规范。 b u SDP 为网络运营者提供动态灵活的边界功能部署能力，聚焦于保护关键的组织资产，可实现 精准授权，降低网络攻击的可能性。SDP 是零信任原则不可分割的一部分，它帮助零信任安全实 h t i g 现最小授权原则，隐蔽网络和资源。 信息安全是动态发展的，新技术不断推陈出新，SDP 就是在传统的技术生态中迭代形成的一 套技术架构，它是多种网络安全技术的整合，包括密码技术、网络技术、访问控制技术和软件开 发技术等，SDP 适用场景也非常广泛，包括云计算、物联网、大数据、工业互联网、移动互联网 等，为 SDP 体系架构的发展提供了更多的可能。 在“后疫情时代”的背景下，网络资源快速开发和利用，远程办公、线上教育、勒索病毒、网 络攻击、网络诈骗等对我们管理能力提出了严峻挑战，面对网络环境的复杂变化，SDP2.0 体系 的应用将为网络空间的健康发展起到重要的支撑作用。 本规范通过通俗易懂的语言向大家介绍了 SDP2.0 的体系架构、部署模型、访问流程等，希 望你在读完本规范后可对 SDP 有更为清晰的理解，并帮助你更快完成应用实践。 李雨航 Yale Li CSA 大中华区主席兼研究院院长 © 2022 云安全联盟大中华区版权所有 4 致谢 本文档 《软件定义边界（SDP）标准规范 2.0》 (Software-Defined Perimeter (SDP) Specification v2.0)由 CSA 软件定义边界工作组专家编写，CSA 大中华区秘书处组织翻译并审校。 中文版翻译专家（排名不分先后）： 组 长：陈本峰 翻译组：单美晨 何国锋 何伊圣 贺志生 黄 超 梁小毅 林冠烨 刘洪森 穆琙博 秦益飞 苏泰泉 汪 海 王 王贵宗 王 许木娣 姚 于新宇 余 强 余晓光 高 郭鹏程 亮 审校组：陈本峰 巍 凯 姚 彪 m o c . 5 凯 研究协调员：周建金 b u 感谢以下单位对本文档的支持与贡献： 云深互联(北京)科技有限公司 北京奇虎科技有限公司 华为技术有限公司 中国信息通信研究院 h t i g 腾讯云计算（北京）有限责任公司 启明星辰信息技术集团股份有限公司 深信服科技股份有限公司 安易科技（北京）有限公司 中国电信研究院安全技术研究所 北京山石网科信息技术有限公司 北京天融信网络安全技术有限公司 上海安几科技有限公司 北京中宇万通科技股份有限公司 北京北森云计算股份有限公司 江苏易安联网络技术有限公司 北京赛虎网络空间安全技术发展有限公司 © 2022 云安全联盟大中华区版权所有 5 英文版本编写专家 主 编： Jason Garbis Juanita Koilpillai 参编作者： Junaid Islam Bob FloresDaniel Bailey Eitan Bremler Benfeng Chen （陈本峰） Michael Roza Ahmed Refaey Hussein 特别鸣谢： Larry Hughes m o c . 5 评审人： Alistair Cockeram Takahiro Ono T Prasad Nya Murray Michael Rash CSA 分析师： Shamun Mahmud b u CSA 全球工作人员： Claire Lehnert 1.0 版参编作者： Brent Bilger h t i g Alan Boehme Bob Flores Zvi Guterman Michaela Iorga Junaid Islam Gabor Lengyel Gram Ludlow Ted Schroeder CSA 分析师 Mark Hoover Marc Kolenko Juanita Koilpillai Jeff Schweitzer 软件定义边界 (SDP) 和零信任工作组是国际云安全联盟 (CSA) 研究工作组，倡导并促进零 信任安全理念的采用。该工作组就如何将零信任理念应用于云和非云环境提供了实用且合理的指 导。该工作组将以NIST零信任研究成果和方法论为基础并加以利用，推荐 SDP 作为零信任安全 理念应用的基本架构。该工作组将不断获取和编纂基于行业经验的丰富知识，并修订和扩展 SDP 规范。最后，SDP 工作组认识到对 SDP 采取包容性方法的必要性。 因此，该工作组支持替代 架构，只要这些架构符合零信任原则。 在此感谢以上专家。如译文有不妥当之处，敬请读者联系CSA GCR秘书 处给与雅正! 联系邮箱：[email protected]；云安全联盟CSA公众号。 © 2022 云安全联盟大中华区版权所有 6 献辞 谨以本文纪念胡安妮塔-库尔皮拉（Juanita Koilpillai），她是一位安全领域的领导者、影响者、 导师和朋友。胡安妮塔是所在领域的杰出人物，在成为两家成功初创企业的创始人和首席执行官 的道路上突破了诸多无形障碍。Juanita 将她的知识分享给从事技术工作的年轻女性作为指导， 以回报社区。Juanita 在 IEEE 女性组织(IEEE WIE)中发挥了重要的指导作用，还创建了一个慈善基 金纪念她的父亲，并创立了 MERGE 这一支持当地青年项目的非营利组织。Juanita 在撰写此书以 及其他 CSA、IEEE 和 NIST 出版物方面发挥了重要作用。 m o c . 5 b u h t i g © 2022 云安全联盟大中华区版权所有 7 目录 序言 ........................................................................................................................................................... 4 致谢 ........................................................................................................................................................... 5 献辞 ........................................................................................................................................................... 7 1. 介绍 ...................................................................................................................................................... 9 1.1 意义 .............................................................................................................................................9 1.2 范围 ............................................................................................................................................9 1.3 读者 ............................................................................................................................................9 2. SDP 设计 ..............................................................................................