0371-60127539
400-6620-135
金瀚零信任身份安全解決方案

行業(yè)背景

隨著(zhù)信息技術(shù)的快速發(fā)展,云計算、大數據、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)、人工智能等新興技術(shù)為政府部門(mén)及各類(lèi)企業(yè)的信息化發(fā)展及現代化建設帶來(lái)了新的生產(chǎn)力,但同時(shí)也給信息安全帶來(lái)了新挑戰。一方面,云計算、移動(dòng)互聯(lián)導致的企業(yè)邊界瓦解,難以繼續基于邊界構筑企業(yè)的安全防線(xiàn);另一方面,外部攻擊和內部攻擊愈演愈烈,以APT攻擊為代表的高級持續攻擊仍然能找到各種漏洞突破企業(yè)的邊界,同時(shí),內部業(yè)務(wù)的非授權訪(fǎng)問(wèn)、雇員犯錯、有意的數據竊取等內部威脅層出不窮;另外,國家和行業(yè)層面對企業(yè)安全的監管力度逐步加強,也對企業(yè)安全提出了更高的要求。只有充分的認識到這些新IT時(shí)代的安全挑戰,才能更好的進(jìn)行應對。

業(yè)務(wù)挑戰

● 企業(yè)邊界瓦解

傳統的安全架構基于邊界思維,假定企業(yè)存在一個(gè)“內網(wǎng)”,存在一個(gè)邊界對內外網(wǎng)進(jìn)行隔離,假設內網(wǎng)是安全的、外網(wǎng)是不安全的,基于如上假設,企業(yè)在邊界處部署防火墻、WAF、入侵檢測等設備進(jìn)行防御,并期望借此打造企業(yè)的安全護城河。隨著(zhù)移動(dòng)辦公、云計算等技術(shù)的廣泛采用,企業(yè)的邊界已經(jīng)模糊甚至瓦解。

一方面,企業(yè)業(yè)務(wù)和數據的訪(fǎng)問(wèn)者已經(jīng)超出了企業(yè)的邊界。借助以智能手機為支撐的移動(dòng)計算技術(shù),傳統的工作方式從固定辦公轉變?yōu)橐苿?dòng)化、碎片化的辦公方式,各種設備需隨時(shí)隨地進(jìn)行數據訪(fǎng)問(wèn);隨著(zhù)企業(yè)分工與對外協(xié)作的愈漸復雜,非企業(yè)內部員工也將對企業(yè)數據進(jìn)行訪(fǎng)問(wèn)。

另一方面,企業(yè)的業(yè)務(wù)和數據也超出了企業(yè)的邊界。隨著(zhù)企業(yè)數字化轉型,企業(yè)大量采用了云計算和大數據技術(shù),甚至大量將業(yè)務(wù)和數據遷移到公有云之上,這些云和大數據中心因為其數據的集中,也導致了這些傳統的企業(yè)物理邊界之外的數據和基礎設施成為高價(jià)值的攻擊目標。

● 外部攻擊防不勝防

隨著(zhù)大數據技術(shù)的發(fā)展,數據也趨于集中,數據的集中意味著(zhù)價(jià)值的集中,自然也成為攻擊者的首要攻擊目標。

一方面,攻擊者大量利用弱口令、口令爆破等慣用伎倆,輕易突破企業(yè)邊界。來(lái)自于企業(yè)網(wǎng)絡(luò )外部的攻擊,無(wú)論是基于登錄過(guò)程的用戶(hù)弱口令或密碼爆破,還是對于傳輸過(guò)程中的憑證截獲或偽造,其攻擊的根本目標是繞過(guò)或攻破企業(yè)網(wǎng)絡(luò )的訪(fǎng)問(wèn)權限限制,其后在企業(yè)信息內部進(jìn)行橫向攻擊破壞。這種攻擊看似低級,卻是較容易得手的伎倆之一。根據美國的移動(dòng)運營(yíng)商Verizon報告分析指出,81%的黑客成功利用了偷來(lái)的口令或者弱口令,就輕而易舉地獲得了數據的訪(fǎng)問(wèn)權限,成功竊取數據。

另外,以APT為代表的高級攻擊層出不窮。大型組織甚至國家發(fā)起的大規模網(wǎng)絡(luò )攻擊事件中,攻擊者可以利用大量的漏洞“武器”,對重要目標進(jìn)行攻擊,這類(lèi)攻擊往往防不勝防,切不可掉以輕心。

● 內部威脅加劇

傳統的企業(yè)安全體系是建立在內外部網(wǎng)絡(luò )邊界的基礎之上,假定了內網(wǎng)中的用戶(hù)、設備和流量通常都是可信的。因此,在這種邊界思維的指導下在企業(yè)內部網(wǎng)絡(luò )中缺乏足夠的安全訪(fǎng)問(wèn)控制,一旦被攻擊者滲入,數據將會(huì )完全暴露,極易泄漏,并且,企業(yè)內部員工對數據的惡意竊取事件也時(shí)有耳聞。根據《2018 insider threat report》顯示,內部威脅是造成數據泄露的重要原因之一。往往因為非授權訪(fǎng)問(wèn)、雇員犯錯、外包員工犯錯等等原因,導致 “合法用戶(hù)”可以非法訪(fǎng)問(wèn)特定的業(yè)務(wù)和數據資源,造成組織內部數據泄漏。

● 監管力度加大

當前國家對數據信息安全越來(lái)越重視,已出臺《中華人民共和國網(wǎng)絡(luò )安全法》、《信息安全技術(shù) 網(wǎng)絡(luò )安全等級保護基本要求》、《國家電子政務(wù)標準化指南》等相關(guān)政策標準。為滿(mǎn)足國家對于企業(yè)信息數據安全建設要求,企業(yè)需要以業(yè)務(wù)需求為導向,規范建設企業(yè)數據信息安全保障體系,形成科學(xué)實(shí)用的規范化安全管理能力、體系化安全技術(shù)防護能力、綜合化安全監管運維能力,以滿(mǎn)足相關(guān)部門(mén)對于企業(yè)信息安全的監管要求。

解決方案

為應對新IT時(shí)代的網(wǎng)絡(luò )安全挑戰,零信任安全應運而生。零信任的早期雛形源于2004年成立的耶利哥論壇(Jericho Forum),其成立的使命正是為了定義無(wú)邊界趨勢下的網(wǎng)絡(luò )安全問(wèn)題并尋求解決方案。2010年,Forrester的分析師約翰·金德維格(John Kindervag)正式使用了零信任這個(gè)術(shù)語(yǔ),金德維格在他的研究報告中指出,所有的網(wǎng)絡(luò )流量都是不可信的,需要對訪(fǎng)問(wèn)任何資源的任何請求進(jìn)行安全控制。

傳統的基于邊界的網(wǎng)絡(luò )安全架構在某種程度上假設、或默認了內網(wǎng)是安全的,認為安全就是構筑企業(yè)的數字護城河,通過(guò)防火墻、WAF、IPS等邊界安全產(chǎn)品或方案對企業(yè)網(wǎng)絡(luò )出口進(jìn)行重重防護而忽略了企業(yè)內網(wǎng)的安全。零信任安全針對傳統邊界安全架構思想進(jìn)行了重新評估和審視,并對安全架構思路提出了新的建議,是應對新IT時(shí)代的網(wǎng)絡(luò )安全挑戰的全新戰略。零信任安全架構理念簡(jiǎn)單概括即為:應該始終假設網(wǎng)絡(luò )充滿(mǎn)威脅;外部和內部威脅每時(shí)每刻都充斥著(zhù)網(wǎng)絡(luò );不能僅僅依靠網(wǎng)絡(luò )位置來(lái)建立信任關(guān)系;所有設備、用戶(hù)和網(wǎng)絡(luò )流量都應該被認證和授權;訪(fǎng)問(wèn)控制策略應該動(dòng)態(tài)地、基于盡量多的數據源進(jìn)行計算和評估。

零信任安全架構從本質(zhì)可概括為以身份為基石的動(dòng)態(tài)訪(fǎng)問(wèn)控制,是在不可信的現代網(wǎng)絡(luò )環(huán)境下,以身份為基石,通過(guò)動(dòng)態(tài)訪(fǎng)問(wèn)控制技術(shù),以細粒度的應用、接口、數據為核心保護對象,遵循較小權限原則,構筑端到端的邏輯身份邊界。

金瀚零信任身份安全解決方案,正是基于零信任架構所實(shí)現的訪(fǎng)問(wèn)控制安全整體實(shí)踐。通過(guò)以身份為基石、業(yè)務(wù)安全訪(fǎng)問(wèn)、持續信任評估和動(dòng)態(tài)訪(fǎng)問(wèn)控制這四大關(guān)鍵能力,基于對網(wǎng)絡(luò )所有參與實(shí)體的數字身份,對默認不可信的所有訪(fǎng)問(wèn)請求進(jìn)行加密、認證和強制授權,匯聚關(guān)聯(lián)各種數據源進(jìn)行持續信任評估,并根據信任的程度動(dòng)態(tài)對權限進(jìn)行調整,之后在訪(fǎng)問(wèn)主體和訪(fǎng)問(wèn)客體之間建立一種動(dòng)態(tài)的信任關(guān)系。

● 以身份為基石

零信任的本質(zhì)是以身份為基石進(jìn)行動(dòng)態(tài)訪(fǎng)問(wèn)控制,全面身份化是實(shí)現零信任的前提和基石?;谌嫔矸莼?,為用戶(hù)、設備、應用程序、業(yè)務(wù)系統等物理實(shí)體建立統一的數字身份標識和治理流程。

● 業(yè)務(wù)安全訪(fǎng)問(wèn)

在零信任架構下,所有的業(yè)務(wù)訪(fǎng)問(wèn)請求(包括用戶(hù)對業(yè)務(wù)應用的訪(fǎng)問(wèn)、應用API之間的接口調用訪(fǎng)問(wèn)等等)都應該被認證、授權和加密。

● 持續信任評估

零信任架構認為一次性的身份認證無(wú)法確保身份的持續合法性,即便是采用了強度較高的多因子認證,也需要通過(guò)度量訪(fǎng)問(wèn)主體的風(fēng)險,持續進(jìn)行信任評估。例如,主體的信任評估可以依據采用的認證手段、設備的健康度、應用程序是否企業(yè)分發(fā)、主體的訪(fǎng)問(wèn)行為、操作習慣等等;環(huán)境的信任評估則可能包括訪(fǎng)問(wèn)時(shí)間、來(lái)源IP地址、來(lái)源地理位置、訪(fǎng)問(wèn)頻度、設備相似性等各種時(shí)空因素。

● 動(dòng)態(tài)訪(fǎng)問(wèn)控制

在零信任架構下,主體的訪(fǎng)問(wèn)權限不是靜態(tài)的,而是根據主體屬性、客體屬性、環(huán)境屬性和持續的信任評估結果進(jìn)行動(dòng)態(tài)計算和判定。傳統的訪(fǎng)問(wèn)控制機制是宏觀(guān)的二值邏輯,大多基于靜態(tài)的授權規則、黑白名單等技術(shù)手段進(jìn)行一次性的評估。零信任架構下的訪(fǎng)問(wèn)控制基于持續度量、自動(dòng)適應的思想,是一種動(dòng)態(tài)微觀(guān)判定邏輯。

基于以上四大核心特性,金瀚零信任身份安全解決方案進(jìn)一步將安全理念落地為具體的安全能力,為企業(yè)提供構建零信任安全體系的基礎產(chǎn)品組件和整體解決方案,助力企業(yè)遷移到零信任安全架構。

方案優(yōu)勢

●革新安全架構,樹(shù)立行業(yè)標桿

  √ 采用先進(jìn)的零信任安全架構解決企業(yè)數據訪(fǎng)問(wèn)的安全性問(wèn)題,樹(shù)立行業(yè)安全標桿;

  √ 具備已實(shí)踐的標準化落地方案,可實(shí)現企業(yè)快速升級部署;

  √ 重構企業(yè)信息安全邊界,從根源上解決數據訪(fǎng)問(wèn)的安全性問(wèn)題。

●提升安全能力,應對實(shí)時(shí)風(fēng)險

  √ 采用統一的數字化身份信息,實(shí)現訪(fǎng)問(wèn)用戶(hù)身份的全面認證;

  √ 通過(guò)細粒度以及動(dòng)態(tài)化的授權方式,滿(mǎn)足實(shí)時(shí)的安全性要求;

  √ 集中業(yè)務(wù)代理,提供通道加密以及攻擊防護功能,有效保護傳輸數據安全;

  √ 獲取實(shí)時(shí)的環(huán)境安全狀態(tài)、訪(fǎng)問(wèn)行為數據,智能分析風(fēng)險并調整訪(fǎng)問(wèn)控制策略。

●實(shí)現自動(dòng)管理,降低運維成本

  √ 通過(guò)自動(dòng)化的身份管理、認證及授權能力,有效減少企業(yè)IT人員工作量及人為出錯;

  √ 從安全架構層面解決安全的源頭問(wèn)題,投入低,可靠性高,避免重復建設。

●提高工作效率,提升用戶(hù)體驗

  √ 消除物理邏輯邊界,提供隨時(shí)隨地的企業(yè)數據訪(fǎng)問(wèn);

  √ 自動(dòng)獲取用戶(hù)身份安全狀態(tài)進(jìn)行訪(fǎng)問(wèn)授權,安全用戶(hù)無(wú)感接入;

  √ 一站式訪(fǎng)問(wèn)門(mén)戶(hù)和單點(diǎn)登錄,有效提升用戶(hù)使用效率。

應用場(chǎng)景

金瀚零信任身份安全解決方案覆蓋了政企行業(yè)用戶(hù)訪(fǎng)問(wèn)控制的完整生命流程以及組織內多種被訪(fǎng)問(wèn)的應用類(lèi)型,適用于政府、部委、金融、能源、運營(yíng)商、央企、其他大型組織與企業(yè)。