软体定义边界

软体定义边界（software-defined perimeter）简称SDP，也称为黑云（black cloud），是一种强化电脑安全的方法。软体定义边界框架是由云端安全联盟开发，依身份控制资源的存取。在软体定义边界中，连通是用need-to-know模型来控制，软体定义边界使用零信任模型，在允许存取应用基础措施之前，会先验证设备状态和身份^[1]。软体定义边界的应用基础措施是有效的“黑”，这是美国国防部所使用的词语，用来描述无法侦测的基础措施，没有可见的DNS资讯或是IP地址。这些系统的支持者声称软体定义边界可以减缓网路攻击，例如伺服器扫描、拒绝服务、SQL注入、作业系统或应用程式的弱点利用、中间人攻击、传递杂凑（英语：Pass the hash）、pass-the-ticket、以及未授权用户的其他攻击^[2]。

和传统边界的差异

传统网路安全是靠固定的边界，一般是受防火墙保护。这可以隔离内部服务和外部环境，但在以下情形下，仍会有弱点：

• 用户管理设备：这些设备不受传统的边界控制所管辖。
• 钓鱼攻击：此攻击可以让未授权的使用者进入边界存取。
• 导入云端：应用程式可以托管在任何地方，让边界控制更加困难。

软体定义边界的处理方式，包括让应用程式隐形，公开网际网路无法看到内部资源，另外也强化存取控制，只有授权的使用者才能连接应用程式。

SDP架构和工作流程

SDP包括两个主要元素：SDP控制器管理存取政策，以及设备之间的通讯，SDP主机可以初始应用（请求存取）或接受应用（提供存取）。

其工作流程如下：

1. 布署SDP控制器，连接到认证服务（例如Active Directory、多因素认证等）
2. 让接受SDP的主机上线，以认证控制器
3. 初始化SDP主机，认证控制器
4. 控制器确认己授权的通讯，建立主机之间的安全通讯。

SDP部署模型

模型部署的方式有许多种，可以配合不同的情境使用：

• Client-to-Gateway：将伺服器放在防火墙后，减缓在网路或是网际网路的横向移动攻击。
• Client-to-Server：类似Client-to-Gateway，但是由被保护的伺服器直接运行SDP软体。
• Server-to-Server：在伺服器提供的API之间建立安全通讯。
• Client-to-Server-to-Client：针对像视讯会议之类的应用程式，建立安全的点对点连线。

SDP应用

SDP可以在不同的情形下提供安全性

• 企业应用程式隔离：保护敏感应用程式，不受网路上未授权的存取。
• 云端安全性：建立公有云、私有云和混合云的安全性。
• 物联网（IoT）：保护管理IoT设备的后端应用程式。