解決商網環境下的“信任危機”
責編：gltian ｜2022-01-21 13:36:282019年，航空工業深入貫徹落實習總書記關于網絡安全和信息化工作的系列重要講話精神，推動集團內部各成員單位之間的辦公協同和數字化轉型，建設了覆蓋全集團所有成員單位的商密網移動辦公平臺。平臺使用阿里專有云架構建設，企業OA、郵件、即時通、招采平臺等內部應用業務系統相繼上云，促進了跨地區、跨部門、跨層級的數據資源共享和業務協同。
但隨著移動辦公和業務系統的逐漸云化，商網（商網bizws：Business Website的縮寫，是由“中國商網”開發并運營的網絡交易平臺。）的業務架構和網絡環境隨之發生了重大的變化，訪問主體和接入場景的多樣化、網絡邊界的模糊化、訪問策略的精準化等都對傳統基于邊界防護的網絡安全架構提出了新的挑戰。為了幫助更多企業用戶了解商網所面臨的網絡安全風險，發布本期牛品推薦——格爾軟件：零信任解決方案。該方案以格爾軟件在航空工業商網上的成功實踐為切入點，詳述了零信任理念所解決的網絡安全難題，分享了零信任理念的實際落地經驗，希望能夠為行業用戶提供更多啟發。
標簽
零信任，身份認證，數據安全，網關安全，持續信任
用戶痛點
目前在商網移動辦公安全架構中存在的問題主要包括：
1、個人移動辦公終端從注冊、使用到刪除的設備全生命周期難掌控，移動辦公終端中的運行環境監控、惡意應用安裝和數據保護難管理；
2、使用移動辦公終端的人員身份冒用和越權訪問難預防；
3、現有的移動終端一次性認證通過后即取得了安全系統的默認信任，而移動終端的運行環境是隨時可能發生變化的，第三方惡意應用系統的安裝和病毒感染隨時可能造成正在訪問的敏感數據被竊取；
4、業務系統采用云化部署，以容器化和API 化提供服務，但對API接口和服務的訪問防護仍停留在訪問認證層面，尚無對API和服務調用進行權限控制；
5、業務系統中存儲的敏感數據訪問尚未有明確的分級分類訪問機制，對于訪問敏感數據的應用和用戶無從控制和審計。
解決方案
格爾軟件的零信任解決方案以“持續信任評估”、“動態訪問控制”和“軟件定義邊界”為理念，幫助航空工業構建了一套零信任與傳統安全防御互相協同的安全技術新體系。
零信任服務體系架構分為主體區域、安全接入區、安全管理區、及客體。整個邏輯結構展示了主體訪問到客體的動作，通過安全接入區對主體的訪問進行安全接入控制與策略管理。最終實現動態、持續的訪問控制與最小化授權。
圖1：零信任邏輯架構
該項目解決方案整體由密碼基礎設施、可信身份管控平臺、零信任網關管理平臺、環境感知中心、策略控制中心等部分組成。以下為整體結構詳解：
密碼基礎設施：依托商網現有的密碼基礎設施對其網絡平臺提供密碼密鑰管理服務；電子認證基礎設施（PKI/CA）對不同對象，如人員、設備、應用、服務等提供基于國產商用密碼算法的數字證書管理服務。
可信身份管控平臺（身份管理基礎設施）：依托密碼支撐體系，以身份為中心，提供不同對象的規范化統一管理服務、多類型實體身份鑒別服務、細粒度的授權管理與鑒權控制服務、安全審計服務。
零信任網關管理平臺：支持多因子認證機制，結合動態上下文環境監測，實現不同接入通道下為用戶提供細粒度的統一訪問控制機制，支持多臺分布式部署網關的集中管理和統一調度。自動編排策略并下發至各網關執行點，實現動態訪問控制和內部網絡隱藏，支持前端（客戶端到網關）流量加密、后端（網關到應用）流量加密。
環境感知中心：負責對終端身份進行標識，對終端環境進行感知和度量，并傳遞給策略控制中心，協助策略控制中心完成終端的環境核查。通過用戶行為分析中心和環境感知中心，建立信任評估模型和算法，實現基于身份的信任評估能力。
策略控制中心：負責風險匯聚、信任評估和指令傳遞下發；根據從環境感知中心、權限管理中心、審計中心和認證中心等獲取的風險來源，進行綜合信任評估和指令下發；指令接收及執行的中心是認證中心，以及安全防護平臺和安全訪問平臺。
圖2：系統架構
該架構在項目中應用有以下幾個典型場景：
1)? 基于數字證書的移動辦公場景
項目中超20萬用戶使用移動終端訪問商網移動辦公系統，如何保證移動終端用戶身份認證安全和重要數據完整性安全是移動辦公安全的基礎和重點。該實踐中通過在企業云端建設部署PKI/CA體系，為移動終端提供移動發證服務。用戶通過PKI/CA體系提供的密鑰分離、協同簽名等防護技術，可自助申請個人證書和設備證書，實現基于密碼技術的數字證書認證和數據完整性保護。移動終端中不會存儲完整的密鑰信息，可以防止個人移動終端丟失造成的身份冒用、數據泄密等風險。
2)? 基于終端環境感知的持續信任評估場景
為了實現對終端的持續信任評估，在可信終端設備安裝的環境感知模塊，使零信任平臺可持續感知終端設備的物理位置、基礎環境、系統環境、應用環境等多維度的安全環境，并根據終端環境變化和安全策略配置，評估終端設備的可信任程度，根據信任程度對終端執行二次認證、升級認證及阻斷連接等訪問控制行為。
3)? 縱深防御場景
在多層防御的場景中，每個執行點都要通過動態鑒權授予用戶訪問權限。該項目實踐中綜合考慮了終端環境、用戶行為、身份強度等多種因素進行動態計算，為訪問控制引擎提供動態的授權因子。權限系統根據動態的授權因子，對外部授權請求進行實時授權處理，基于授權庫的多維屬性和授權信息引擎提供的實時信息反饋進行授權判斷。
用戶反饋
采用領先的零信任安全架構解決集團數據訪問的安全性問題，為集團樹立行業安全標桿，重構信息安全邊界，從根源上解決數據訪問的安全性問題。在建設完成之后，可以實現如下的安全能力：
1)?? 具備終端環境風險感知能力
辦公終端安裝終端環境感知Agent（Windows版本、VMware云桌面版本），通過終端環境感知Agent對員工的辦公終端提供覆蓋基礎安全、系統安全、應用合規、健康狀況的四大類感知，一旦檢測到安全風險，立即上報至智能身份分析系統。
2)?? 具備多維度身份安全分析能力
通過構建智能身份分析引擎，結合各類系統的登錄日志、訪問日志、態勢感知平臺的異常事件、終端環境感知中心報送的環境風險等信息，提供信任評估能力。依據建立的行為基線，對所有用戶的訪問請求進行綜合分析、持續評估。
3)?? 具備動態訪問控制能力
通過構建安全認證網關作為數據層面業務訪問的統一入口、動態訪問控制策略的執行點；構建零信任網關控制臺作為控制層面的訪問控制策略決策點；通過環境感知Agent對用戶的終端進行全方位多維度感知，確保用戶的終端環境安全及安全風險感知上報；構建智能身份分析系統的用戶行為進行多維度分析，進行信任評估并上報至零信任網關控制臺進行決策,實現動態訪問控制的整體邏輯，具備動態訪問控制能力。
4)?? 具備全鏈路的訪問安全加密授權能力
所有的訪問請求都會被加密，采用TLS傳輸加密技術，可通過傳輸數據的雙向認證防止中間人攻擊。所有的訪問請求都需要認證，每個訪問請求都需要攜帶token進行身份的認證，認證通過后在下一次訪問仍然會重新認證，避免了原有的一次認證就可以訪問所有資源帶來的安全風險，達到持續認證持續授權，實現訪問的最小化原則。