现代企业在用户、设备和应用程序高度分散的环境中运作，访问决策必须持续适应变化的风险条件。 静态、时点认证不足以防御如凭证泄露、设备配置错误和用户驱动风险等不断演变的威胁。
自适应访问是一个架构方法，能基于持续评估的上下文信号动态地做出访问决定，其中包括：
- 用户风险评分
- 设备姿态
- 认证置信度
- 网络和位置
- 应用程序和资源上下文
- 会话完整性
- 威胁上下文
在Cato SASE平台内，自适应访问能力在多个控制平面中实现，并在PoP处实施。 自适应访问应用于一系列访问方式，确保上下文的控制通过相关的Cato访问权限策略始终执行。 这允许一致的、身份感知和上下文感知的执行，不依赖于静态信任假设，适用于连接性、应用程序访问和网络流量。
通过将持续的信号评估与策略执行相结合，组织可以减少暴露于被侵害的用户和设备，实施最小权限访问，并在需要更高保证时触发升级认证。 同时，管理员可以获得用户风险、设备合规性和会话状态的可见性，从而做出知情的操作和安全决策。
组织需要自适应访问，以持续、上下文敏感的决策替代静态信任跨用户、设备和会话。 信任条件可以在登录后更改，访问控制必须对这些变化作出反应。
初始认证和网络位置在对抗凭据盗窃、未管理端点和快速变化的威胁条件方面是不足的。
Cato通过四个支柱实施自适应访问：
- 通过强有力的信号构建信任： 自适应访问依赖于当前、可靠并持续更新的信号。 这些信号构成了会话建立和整个会话生命周期内策略决策的基础。
- 通过信号聚合实现统一信任： 信号在PoP处进行关联，以反映当前会话状态。 对于每个请求，身份属性、姿态结果和行为指标一起被评估。
- 通过跨控制平面的信任执行： 策略在PoP内联应用于连接性、应用程序访问和网络流量。 相同的上下文一致应用于客户端连接性、ZTNA和防火墙决策。
- 用于分析和响应的信任可视性： Cato管理应用程序（CMA）提供中心化的政策决策可见性及背后信号。 单一的管理控制台帮助管理员调查会话，验证结果，并在控制平面上应用一致的策略变更。
这种方法可以实现与零信任一致的、考虑风险的持续执法，而无需依赖静态信任假设。
Cato平台中的自适应访问能力支持在用户、设备或会话条件变化时，访问决策需要改变的场景。
-
基于风险的对私有应用程序的访问： 基于用户会话和设备的当前状态对内部应用程序进行控制访问。
- 示例：在设备通过姿态检查，且用户风险评分保持在可接受范围内时，允许用户访问内部HR应用程序。 如果风险评分增加，该用户在会话中途可能会被阻止访问该应用程序。 例如，他们下载恶意软件或连接到已知的命令与控制域。
-
设备识别的连接控制： 确保只有合规和安全的设备才能建立与Cato云的连接。
- 示例：配备所需终端保护代理的管理公司笔记本电脑被允许连接到Cato云。 如果终端保护未运行最新版本，则同一设备可能会被阻止。
-
对敏感访问的升级认证： 当用户访问敏感资源或会话保证不足时，需要重新认证。
- 示例：用户在现有会话中被允许浏览标准内部资源。 当用户尝试打开敏感的金融应用程序时，策略可以要求重新认证才能允许访问。
-
用户的受控远程访问： 定义允许远程连接的用户，并将其他用户限制在基于办公地点的访问。
- 示例：被批准的用户组内的员工被允许通过Cato客户端远程访问私有应用程序。 当尝试远程连接时，被限制在仅限办公室访问的用户会被阻止。
-
管理员的操作可视性： 为用户会话和访问决策提供可见性，以支持故障排除和策略验证。
- 示例：管理员可以通过检查用户活动和CMA中的事件，查看某个用户为何被允许、阻止或挑战。 例如，用户目录页面让您可以按风险等级（如高或关键）筛选用户，并快速识别需要调查的用户。
自适应访问决策基于描述当前用户、设备和会话状态的上下文信号。 这些信号会被CMA策略持续评估，并用于确定是否应该允许、限制或挑战访问。
-
用户风险评分： 代表用户会话的当前安全风险。 评分基于行为活动和安全检测持续更新，包括：
- 已经被攻击破坏的系统的指示器
- 可能导致感染的阻止尝试指示器
- 可能导致妥协的策略违反或风险活动
-
设备姿态： 代表终端的安全状态。 在CMA中，使用设备姿态配置文件和设备检查定义姿态。 Cato客户端在访问前和访问期间对设备实施这些检查，结果姿态状态可以在多个需要设备合规性的策略中引用。
- 设备检查评估终端上的特定条件（例如，终端保护状态、操作系统版本、证书或配置）。
- 设备姿态配置文件将一个或多个检查分组成可重复使用的配置文件，代表所需的安全基线。
- 外部MDM合规性： 使用来自外部系统（如Microsoft Intune）的信号扩展设备姿态。 这些信号指示设备是否符合组织政策，如加密或补丁级别。
- 认证置信度： 表示用户的认证令牌的新鲜度和有效性。 它来源于Cato令牌，指示会话是否仍符合所需的认证保证级别。
这些信号在PoP处被评估并提供给政策引擎，使得在整个会话生命周期内的访问决策得以持续、考虑风险的执行。
自适应访问执法在Cato PoP处进行，身份、设备和会话信号在会话建立和持续活动中被评估。
- 用户认证和会话建立： 用户连接到最近的Cato PoP，后者将认证请求转发给配置的身份提供者（IdP）。 成功认证后，PoP建立会话并检索用户身份和组属性。
- 初始策略评估： 会话建立时，PoP对有关的上下文信号与配置的策略进行评估。 这确定了用户会话的初始访问决策，并决定用户是否被允许连接。
- 访问应用程序： 当用户尝试访问应用程序时，PoP评估该请求的相关策略条件。
- 升级认证： 如果策略需要更强的认证，PoP将用户重定向到配置的IdP。 重新认证成功后，会话继续符合所需的保证级别。
- 持续执行： 访问被授予后，PoP继续评估会话条件。 如果风险增加、姿态失败或认证保证不再充足，策略可以阻止访问或要求用户再次认证。
Cato平台中的自适应访问通过多个CMA策略实现，这些策略在连接性、应用程序访问和网络流量中执行访问决策。 每个策略评估上下文信号，并在用户会话的不同阶段应用控制。
客户端连接策略控制是否允许用户设备与Cato云建立连接。 通过验证设备和会话在连接点之前，政策在连接时实施零信任原则。
管理员使用此策略来避免未管理的或不合规设备连接，并在建立会话之前加强身份验证要求。
Cato私有访问允许您在不将网络延伸到用户的情况下，为私有应用程序提供基于身份的安全访问。 与直接授予网络级别的连接（如传统VPN）不同，您根据用户身份和上下文执行最小权限、应用程序特定的访问。
私有访问策略控制对私有应用程序的访问，并执行最小权限访问，只允许用户连接到他们使用的特定私用应用程序。
始终在线策略允许管理员定义哪些用户和设备必须始终连接到Cato云，以便其流量始终由安全策略检查和控制。 这是一个精细化的策略，支持不同的用户群体的不同连接需求。 例如，员工或管理设备可能要求保持连接，而承包商或未管理设备可以允许按需连接或直接互联网访问。
始终在线使组织能够将连接性执行与风险和信任相一致。 高信任或高风险场景可能需要持续检查，而低风险场景则可允许更灵活的连接性，而不影响整体安全态势。
0 条评论
请登录写评论。