m o c . 5 b u h t i g 软件定义边界（SDP）工作组 SDP 标准规范 1.0 英文版 2014 年 4 月 / 中文版 2019 年 5 月 1 云安全联盟 SDP 标准规范 1.0 m o c . 5 b u h t i g ©2014 云安全联盟 – 版权所有 遵循下列要求，你可以下载、存储、显示在你的电脑上、浏览、打印并链接到云安全联盟网站 https://cloudsecurityalliance.org：(a)该草案仅为个人使用、供参考、不用于商业用途；(b)该草案不得以任何 方式修改或改变；(c)该草案不得分发；(d)不得删除商标、版权或其他通知。根据美国版权法合理使用的条 款，在承认引用的部分属于云安全联盟 SDP 标准规范 1.0 的前提下，你可以引用的该草案的部分内容。 ©2014云安全联盟 – 版权所有 2 云安全联盟 SDP 标准规范 1.0 致谢 作者： Brent Bilger Alan Boehme Bob Flores Zvi Guterman Mark Hoover Michaela Iorga Junaid Islam Marc Kolenko Juanita Koilpilla Gabor Lengyel Gram Ludlow Ted Schroeder Jeff Schweitzer ©2014云安全联盟 – 版权所有 m o c . 5 h t i g b u 3 云安全联盟 SDP 标准规范 1.0 中文翻译版说明 由中国云安全联盟(C-CSA)秘书处组织CSA大中华区SDP工作组专家对《SDP标准规范 1.0》 (SDP_Specification_1.0)进行翻译。 参与本文档翻译的专家（排名不分先后）： 组长：陈本峰（云深互联） 组员：靳明星（易安联）、李钠（奇安信）、吴涛（华云数据）、袁初成（缔安科技）、张 m o 泽洲（奇安信）、刘洪森、王贵宗、姚凯 C-CSA 工作人员： c . 5 高健凯、朱晓璐 关于CSA 大中华区SDP工作组： h t i g b u 随着云计算和移动互联网的发展，传统的基于边界防御的企业安全模型已经无法适应需求， 取而代之是Software Defined Perimeter（软件定义边界，即SDP）安全模型。目前，SDP已经在国外 逐渐被普遍采用，为了推动SDP在中国企业的应用，并根据本土市场需求制定出更适应中国市场的 SDP实践指南，在中国云安全联盟的支持下 ，CSA 大中华区成立SDP工作组。工作组于2019年3月成 立，首批参与单位有：阿里云、腾讯云、京东云、奇安信、深信服、绿盟科技、Ucloud、顺丰科 技、天融信、云深互联、中宇万通、华云数据、三未信安、上元信安、安全狗、易安联、联软科 技、上海云盾、缔盟云、缔安科技等三十多家单位。 关 于 SDP 工 作 组 更 多 的 介 绍 ， 请 点 击 中 国 云 安 全 联 盟 官 网 https://www.ccsa.cn/ruanjiandingyibianjieSDP.html 查看，联盟联系邮箱：info@c-csa.cn。 ©2014云安全联盟 – 版权所有 4 云安全联盟 SDP 标准规范 1.0 序言 在云环境下，应用系统不断迭代，快速更新，安全边界的防护已不再是一成不变。 在边界内部的移动设备的增长，以及应用程序资源向外部的迁移已经扩展了企业使用的传统 安全模型。现有的解决方案涉及将用户回传到数据中心以进行身份验证和数据包检查，无法很好 地扩展。因此需要一种新方法，使应用程序所有者能够保护公共云或私有云中的基础架构，数据 中心中的服务器，甚至保护应用程序服务器内部。SDP改变了传统的网络控制模式，原来通过网络 TCP/IP、路由做寻址，现在通过身份寻址。SDP旨在使应用程序所有者能够在需要时部署边界，以 便将服务与不安全的网络隔离开来。可以说，SDP是在网络边界模糊和消失趋势下给资源节点提供 m o 的隐身衣，它使网络黑客看不到目标而无法发动攻击。 c . 5 在中国云安全联盟支持下，CSA大中华区完成《SDP标准规范1.0》的翻译工作。规范描述了云 安全联盟（CSA）提议的软件定义边界（SDP）初始协议规格，旨在让更多终于从业者、供应商、 推广者能够更进一步了解SDP的架构规范，指导日常生产工作。 b u 在此，感谢CSA大中华区研究院与C-CSA专家委员会的专家们把白皮书翻译成中文，供大家学 习。 h t i g 李雨航 Yale Li 云安全联盟大中华区主席 中国云安全与新兴技术安全创新联盟执行理事长 ©2014云安全联盟 – 版权所有 5 云安全联盟 SDP 标准规范 1.0 目录 致谢 ........................................................................................................................................................3 中文翻译版说明.............................................................................................................................................4 序言 ........................................................................................................................................................5 文档声明 ........................................................................................................................................................9 摘要 ........................................................................................................................................................9 术语 ........................................................................................................................................................9 1 介绍 ......................................................................................................................................................10 m o 1.1 目标读者.........................................................................................................................................10 2 设计目标................................................................................................................................................... 10 c . 5 3 系统概述................................................................................................................................................... 10 3.1 变化的边界.....................................................................................................................................10 3.2 SDP 概念..........................................................................................................................................11 b u 3.3 SDP 架构..........................................................................................................................................11 3.3.1 SDP 控制器...........................................................................................................................12 h t i g 3.3.2 SDP连接发起主机（Initiating Host,即IH）........................................................................ 12 3.3.3 SDP连接接受主机（Accpeting Host，即AH）...................................................................12 3.4 SDP 工作流................................................................