《CSA GCR:2021中国零信任全景图(46页).pdf》由会员分享,可在线阅读,更多相关《CSA GCR:2021中国零信任全景图(46页).pdf(46页珍藏版)》请在三个皮匠报告上搜索。
1、2021 云安全联盟大中华区-版权所有12021 云安全联盟大中华区-版权所有3前言前言随着云计算、移动互联、物联网等新技术的发展,网络空间已经发生了巨大的变化,从传统的网络边界已经发展到了无界化。面对全球数字化和万物互联的加速,传统物理边界被彻底打破,以零信任“永不信任,始终验证“为理念安全战略被国内外政产学研各界广泛认可。零信任,是在不可信网络中构建安全系统。作为新一代信息技术安全架构,零信任创新性的安全思维契合数字基建技术特点, 能更好地提升企业信息化系统和网络的整体安全性。云安全联盟 CSA 作为零信任技术研究、标准制定的先行者及践行者,于 2020 年提出零信任十周年,成功举办零信任
2、十周年暨第一届零信任峰会。云安全联盟大中华区为了向业界完整呈现中国零信任的行业生态,让读者对零信任有一个全面的认知,同时提高零信任领域相关厂商和优秀实践者(甲方)的曝光度和知名度,为打算实施零信任的甲方提供完整的参考,在 2020 年 12 月发布了2020 中国零信任全景图(第一版)。在这一年里,零信任在落地应用方面取得长足进步与发展,这得益于网络安全厂商、用户、专家的支持与贡献,CSA 大中华区刷新推出2021 中国零信任全景图(第二版) ,供业界一览“零信任”全景概况,作学习及落地参考,共同推动零信任的落地应用,更好保障新网络新业务新场景的安全。2021 中国零信任全景图如有疏漏或不妥之
3、处,敬请各界包容与不吝指正。2021 云安全联盟大中华区-版权所有4目目 录录1.简要.52.零信任概述.63.零信任成熟度模型.74.零信任的驱动因素.94.1 合规驱动.94.2 合需驱动.105.零信任全景图分析. 115.1 公司类型.115.2 被保护对象.135.3 业务场景.165.4 业务类型.185.5 技术类型.215.6 服务模式.235.7 部署架构.256.零信任落地案例. 276.1 深信服-葛洲坝集团零信任安全办公项目.276.2 天融信-某省公安大数据智能化安全建设采购项目.306.3 数字认证零信任安全架构在医疗领域的应用.346.4 白山云-零信任远程访问实
4、践案例.406.5 美创科技-浙江省肿瘤医院基于零信任理念的数据安全建设最佳实践.437. 致谢. 482021 云安全联盟大中华区-版权所有51.1.简要简要2021 中国零信任全景图(第二版)共收录 88 家单位,比第一版零信任全景图参加的单位增加了 35%,为了更好地体现各单位擅长的领域,这次的评审归类结合各单位提供的申报材料与零信任相关项目的实际落地情况进行编制。相较第一版本,我们对第二版零信任全景图进行了优化调整,主要调整包括:1)新增 1 个模块”公司类型“,对所有被调研的单位进行了分类;2)“被保护对象”分类下增设“API”二级分类;3)“业务场景”分类下增设“数据交换”、“企业
5、多云战略”、“物联网”二级分类;4)“业务类型”分类下增设“评估服务”和“治理服务”,取消“测评服务”二级分类;5)“部署架构”分类下增设“终端”二级分类。图 1.1:2021 中国零信任全景图(关注“云安全联盟 CSA”公众号,回复“零信任全景图”,下载高清图片)以下将从零信任概述零信任概述、零信任成熟度模型零信任成熟度模型、零信任驱动因素以及零信任全景图分析零信任驱动因素以及零信任全景图分析四个方面进行分析介绍,并对相关的代表厂商进行了分类汇总,希望能为甲方实践零信任提供参考和帮助。2021 云安全联盟大中华区-版权所有62.2.零信任概述零信任概述零信任思想的起源可以追溯到 1994 年
6、由 JerichoForum 提出的 “去边界化”网络安全概念。而“零信任”这个词汇则是由 Forrester 原首席分析师 John Kindervag 于 2010年首次提出的。零信任思想摒弃了“信任但验证”的传统方法,将“从不信任、始终验证(Never trust, always verify)”作为其指导方针。零信任发展大事记见图 2.1,零信任的标准演进见图 2.2。图 2.1:零信任发展大事记图 2.2:零信任标准的推进零信任正在快速的发展中,越来越多的组织都在拥抱零信任。其中美国国防部 DoD 全面启动零信任战略并且发布了DoD 零信任参考架构。DoD 零信任参考架构分别从全景视
7、角(AV)、作战视角(OV)、能力视角(CV)和标准视角(StdV)对零信任架构进行了描述。2021 云安全联盟大中华区-版权所有7图 2.3:DoD 零信任参考架构在本次收集的样本数据中,从客户行业分布来看,目前国内零信任的目标客户主要集中在政府及事业单位、金融、制造业、运营商、互联网、能源、电力和医疗行业。图 2.4:零信任应用行业分布图3.3.零信任成熟度模型零信任成熟度模型2021 年 9 月 7 日,美国网络安全与基础设施安全局(CISA)发布零信任成熟度模型草案。成熟度模型的推出给企业、组织、机构在零信任实践上提供了参考,有助于通过零信任加固设施,通过该模型可以评价当前的零信任能力
8、和水平,同时作为零信任能力提升的参考。2021 云安全联盟大中华区-版权所有8成熟度模型包括五个支柱和三个跨领域能力,以零信任为基础。图 3.1:零信任成熟度模型五大支柱和三大能力在每个支柱中,成熟度模型都为机构提供了传统、先进和最佳零信任架构的具体示例。图 3.2:零信任成熟度模型的示例2021 云安全联盟大中华区-版权所有9而在国内,云安全联盟大中华区与中国信通院正联合编写“零信任能力成熟度模型”,相信中国特色的零信任模型将会很快诞生。4.4.零信任的驱动因素零信任的驱动因素4.14.1 合规驱动合规驱动近年来,数据安全形势日益严峻,侵犯个人隐私,攫取、破坏和滥用数据资源的行为时有发生,严
9、重危害社会公共利益乃至国家安全。特别是随着数字经济日益成为国际竞争的制高点,数据安全和个人信息保护的重要性被提升至前所未有的高度。许多国家都认识到数据安全的重要性,逐步开始颁布并实施相关法律。从全球范围看,立法成为大国竞争和争夺数字经济领先地位的重要标志。图 4.1:全球相关的法律法规和条例2021 年 6 月 10 日,中华人民共和国数据安全法正式表决通过并于 2021 年 9 月 1日正式实施,掀起整个行业对数据安全的聚焦,也凸显国家层面对保护数据安全的坚定意志。同年 8 月 20 日,中华人民共和国个人信息保护法正式表决通过并于 11 月 1日正式实施。2021 云安全联盟大中华区-版权
10、所有10因此,各行各业都迫切需要寻求新的数据安全解决之道,以零信任为代表的安全理念及架构等脱颖而出,成为推动并赋能合规建设的重要方法和指南,及赋能数字经济持续健康发展的坚实底座。4.24.2 合需驱动合需驱动数字经济时代,数据已经成为基础性、战略性生产要素,成为决定各国数字经济发展水平和竞争力的核心资源。因此,数字化伴生的新技术和应用对网络安全技术和管理方式提出了更高要求。图 4.2:零信任的合需场景例如在全球 COVID-19 影响下,远程会议、远程运维、移动办公、数字孪生、元宇宙、各类沉浸式体验等新技术、新应用和新场景的层出不穷,加速了传统物理安全边界模糊化,同时也增加数据的暴露面,从而大
11、大增加了在身份安全、链路安全、设备安全、应用安全、接入安全、大数据平台、云计算方面的安全风险。因此,需要一个更符合未来安全趋势的理念和架构来开展整体安全建设,也直接驱动了零信任在终端安全、应用安全、访问安全、设备准入、流动数据安全、勒索病毒防护等能力的应用和落地,满足金融、医疗、交通等领域全方位的零信任安全体系建设的需求。2021 云安全联盟大中华区-版权所有115.5.零信任全景图分析零信任全景图分析5.15.1 公司类型公司类型今年我们对所有被调研的厂商进行了如下分类今年我们对所有被调研的厂商进行了如下分类:甲方零信任实践者甲方零信任实践者、增加零信任业务的增加零信任业务的原有安全厂商以及
12、零信任领域的新兴创业公司。原有安全厂商以及零信任领域的新兴创业公司。由于零信任方案的落地需要与业务场景高度结合, 作为自身拥有强大研发和安全能力的甲方企业,在这方面具有得天独厚的优势。自 Google 发表 Beyond Corp 系列论文至今,已经有不少甲方公开了他们的零信任实践经验,为业内提供了良好的参考。也有一部分企业在自身成功实践的基础上,将零信任方案或者产品商业化,从甲方优秀实践者转变为零信任厂商。增加零信任业务的原有安全厂商基于之前已有的通用技术积累和丰富的产品化经验、 项目实施经验, 通过对已有产品的适当改造和一定程度的技术创新, 快速切入零信任市场。对于国内大多数既有通用安全合
13、规需求,又希望通过零信任提升现有安全能力(而不是彻底重建)的甲方来说,更倾向选择已经有过良好合作基础的此类厂商。另一类就是零信任领域的新兴创业公司,这类厂商更倾向把产品做精做专,也相对更愿意迎合客户需求进行功能创新,因此也获得不少甲方的青睐。按公司类型分类,相关代表厂商如图 5.1 所示:2021 云安全联盟大中华区-版权所有122021 云安全联盟大中华区-版权所有135.25.2 被被保护对象保护对象零信任聚焦于保护“资源”,即本文所述“被保护对象”,包括组织拥有的全部数据、应用和 IT 资产(设备、设施、工作负载等)。保护数据主要是指防止数据泄露和非授权访问;保护应用主要是应用程序的隐身
14、、应用的细粒度动态权限管控、以及业务安全等;保护设备/设施/工作负载主要是指终端设备、基础设施或工作负载的隔离与保护,比如云主机、容器等工作负载之间的隔离与安全保护。考虑到考虑到 APIAPI(应用程序接口应用程序接口)在在数字化进程中所起的作用越来越大数字化进程中所起的作用越来越大, 而而 APIAPI 安全问题导致的数据泄露事件也在不断增加,安全问题导致的数据泄露事件也在不断增加,因此我们今年在被保护对象中增加了因此我们今年在被保护对象中增加了 APIAPI 这一分类这一分类。 保护保护 APIAPI 主要包括主要包括 APIAPI 安全代理与安全代理与业务隐藏、访问者身份鉴别和权限控制等
15、。业务隐藏、访问者身份鉴别和权限控制等。组织在选择零信任策略执行点(PEP)组件时,首先应识别所需要保护的资源类型(如前所述)以及对资源的访问方式,例如用户访问业务应用、运维人员访问 IT 资产、微服务之间进行 API 接口调用、应用系统访问后台数据库,等等。然后选择适当的防护产品,以代理或网关方式部署在被保护对象本地或前端,并配合零信任策略决策点(PDP)实现对资源的动态保护。按被保护对象分类,相关代表厂商如图 5.2 所示:2021 云安全联盟大中华区-版权所有142021 云安全联盟大中华区-版权所有152021 云安全联盟大中华区-版权所有165.35.3 业务场景业务场景安全产品往往
16、具有很强的场景化特征, 在不同场景下选择合适的厂家是安全实施的第一步。跟去年相比较跟去年相比较,我们今年增加了数据交换我们今年增加了数据交换、企业多云战略企业多云战略、物联网等场景物联网等场景,这是因为数字化改革越来越深入,数据交换是数字经济的基础,数据往往掌握在不同部门、不同组织手里, 只有把这些数据联合起来才能更好的发挥数据的价值。 Gartner 调查表明:到 2022 年底,35%的大型机构将通过正式的在线数据市场成为数据的卖家或买家,而2020 年这一比例为 25%. 这也说明数据交换市场正在放大, 自然安全问题也会越来越明显。而云化和物联网的发展,大家都能切身感受到。上云还加快了
17、SASE 的发展,SASE 是一种基于实体的身份、实时上下文、企业安全/合规策略, 以及在整个会话中持续评估风险/信任的服务。 SASE 整合了软件定义网络和安全,安全即服务。根据 Gartner 的预计,到 2024 年,至少 40的企业将有明确的策略采用SASE,高于 2018 年底的不到 1。当我们的业务正在快速放大, 安全问题往往会成为一个障碍。 Gartner的研究预计到2022年底,80的云漏洞将来自客户配置错误,凭证管理不善或内部盗窃。避免这些缺陷的最佳方法是使用自动化平台运行策略来确保安全合规性。 安全厂家有责任为组织提供合适的产品或者解决方案,推进业务的创新和变革。按业务场景
18、分类,相关代表厂商如图5.3 所示:2021 云安全联盟大中华区-版权所有172021 云安全联盟大中华区-版权所有185.45.4 业务类型业务类型与与去年相比去年相比,我们删除了我们删除了测评测评服务服务,但是增加了评估服务和治理服务但是增加了评估服务和治理服务。零信任是一个安全新概念,不同的厂商在零信任市场上提供的业务类型也有所不同,主要包括产品、服务和方案, 业务类型体现了厂商的业务侧重点。 标准产品解决相对比较明确的业务场景,它的特点是投入成本相对比较少,项目实施周期短,可控性高。服务指的是安全相关的一些咨询、评估等,当然厂商可能会有自己的一些工具配合人力服务。而方案一般是产品加服务
19、的形式,形成一个整体解决方案,某些提供方案的厂商,可能也会使用其他厂商的一些产品甚至服务,一般周期会比较长。随着数字经济的高速发展,对于安全的诉求越来越高。根据 Research Dive 最新发布的报告显示,全球零信任网络安全市场规模从 2019 年的 185.0 亿美元增长到 2027 年的667.413 亿美元,从 2019 年到 2027 年的复合年增长率为 17.6,而其中零信任整体解决方案的市场份额将会越来越大。零信任从单一产品往平台、整体解决方案发展的趋势越来越明显。 对于甲方而言, 选择合适的零信任厂商可以加速零信任改造, 为业务赋能,有助于数字化改革, 同时从数字化改革中获取
20、增量业务所带来的创收。 按业务类型分类,相关代表厂商如图 5.4 所示:2021 云安全联盟大中华区-版权所有192021 云安全联盟大中华区-版权所有202021 云安全联盟大中华区-版权所有215.55.5 技术技术类型类型跟去年相比跟去年相比,技术类型并没有调整技术类型并没有调整,虽然技术不断发展虽然技术不断发展,但零信任领域使用的主要技术但零信任领域使用的主要技术还是还是 SDP,SDP, IAMIAM 和微隔离和微隔离。IAM 作为身份治理的核心技术,SDP 解决南北向安全问题,微隔离解决东西向安全问题。其中有一个有趣的事情:微隔离产品入选了 Gartner 发布的2021 年 CW
21、PP 市场指南,说明数据中心内部东西向流量的安全问题越来越受重视。这跟现在的系统越来越复杂,微服务、中间件、各种中台以及云部署有一定关系。按技术类型分类,相关代表厂商如图 5.5 所示:2021 云安全联盟大中华区-版权所有222021 云安全联盟大中华区-版权所有235.65.6 服务模式服务模式零信任服务的部署模式取决于安全要求,和去年相比,没有做调整,主要包括私有化零信任服务的部署模式取决于安全要求,和去年相比,没有做调整,主要包括私有化、云化以及混合模式云化以及混合模式。私有化的部署模式下相关的产品或服务以私有化的形式提供,相关的资源或服务由一个用户独占使用; 云化通过公有云的形式为众
22、多用户提供零信任服务,所有的用户共享公共的云资源; 还有一种模式是同时支持私有化和云化服务的混合模式。不同的组织因为业务形态、数据的敏感程度、风险承受能力或监管的要求不同,而选择不同的服务模式。很多高监管行业的客户可能更倾向于选择私有化服务模式,将产品部署在自己的私有环境。公有云模式因为可以以云服务的形式服务于多个客户,可以节省相关的 IT 基础设施成本支出,具有较高的性价比。但从调查来看,目前绝大多数的零但从调查来看,目前绝大多数的零信任部署优先采用私有模式信任部署优先采用私有模式,说明大量的客户还是希望对平台有较强的管控力说明大量的客户还是希望对平台有较强的管控力。按服务模式分类,相关代表
23、厂商如图 5.6 所示:2021 云安全联盟大中华区-版权所有242021 云安全联盟大中华区-版权所有255.75.7 部署架构部署架构零信任的经典部署架构主要包括:设备代理零信任的经典部署架构主要包括:设备代理/ /网关部署、飞地部署、资源门户、沙箱、网关部署、飞地部署、资源门户、沙箱、终端和探针等终端和探针等,相比去年,我们增加了相比去年,我们增加了“终端终端”。设备代理/网关部署架构 PEP 位于资源上或资源前,网关作为资源的代理,与资源通信。飞地部署架构下网关位于某一资源飞地边界(如数据中心的边界)。资源门户部署架构 PEP 充当用户请求网关(如公有云的资源管理门户、企业的办公门户站
24、点等)。沙箱部署则是通过沙箱让程序隔离运行。除此以外还有部署与终端、核心交换机旁路部署、微隔离等形式。部署架构的选择很大程度上由业务场景决定,企业选择的部署模式需要结合实际的业务场景。从目前的落地情况看,设备代理和终端这两种架构的部署模式占据了主流。按部署架构分类,相关代表厂商如图 5.7 所示:2021 云安全联盟大中华区-版权所有262021 云安全联盟大中华区-版权所有276.6.零信任落地案例零信任落地案例6.16.1 深信服深信服- -葛洲坝集团零信任安全办公项目葛洲坝集团零信任安全办公项目6.1.16.1.1 方案背景方案背景中国葛洲坝集团股份有限公司是一家集工程建设、工业制造、投
25、资运营、综合服务为一体的跨国经营企业集团,是大型基础设施投资建设领域的“国家队”,是水利水电建设的“全球名片”,创造了 5000 余项精品工程和 100 多项世界之最。葛洲坝集团多次荣获国家科技进步特等奖、国家科技进步一等奖、国家优质工程金质奖、中国建筑工程鲁班奖、中国土木工程詹天佑奖、全国五一劳动奖状、中国对外承包工程企业社会责任金奖等荣誉,入选美国工程新闻记录(ENR)全球国际承包商 225 强、财富中国2021 云安全联盟大中华区-版权所有28500 强企业、中国建筑业竞争力 200 强企业等排名。葛洲坝集团坚持科技创新引领发展,是国家创新型企业和国家高新技术企业,在数字化浪潮下,葛洲坝
26、集团也在积极投入数字化建设。随着数字化转型的不断深化,在业务访问上,越来越多的业务系统需要实现随时随地的移动接入,建设面临诸多挑战:1)过去考虑便利性,一些移动接入的业务系统直接暴露在互联网上,且明文传输,存在极大的安全风险,需要收缩业务系统暴露面,实现数据安全传输;2) 员工可以通过办公 APP、 企业微信、 浏览器等多种方式访问业务系统, 希望提供安全、快捷的认证方式,以及一致的访问权限;3)组织架构上存在众多分支单位,需实现安全接入策略的分级分权管理;4)日志审计合规,需要提供详尽的日志审计功能,满足 6 个月以上的日志审计的要求。葛洲坝集团希望找到一套合适的方案来解决上述问题。6.1.
27、26.1.2 方案概述和应用场景方案概述和应用场景通过前期的方案调研,葛洲坝选择了以零信任理念构建业务安全访问的防护体系,结合自身需求及实际测试,最终选择了深信服零信任安全办公方案。1)通过集群部署零信任控制中心和零信任代理网关,实现统一管理和保障办公业务安全访问的高可靠性;2)通过策略配置,将业务系统收缩进内网,避免直接暴露在互联网,并通过 SSL 加密技术实现数据传输加密;3)通过零信任控制中心与企业微信、统一认证平台、办公 APP 进行对接,实现统一身份管理和无密码认证,PC 端采用企业微信扫码登录,手机端可实现指纹快捷认证;4)通过管理员分级分权功能,将系统管理员、安全管理员、审计管理
28、员角色分开,满足等保合规要求,并通过创建二级管理员,实现下级单位自助运维管理;5)通过零信任的日志中心平台将所有的用户日志、管理员日志统一存储、查询,并提供用户访问行为、统计报表和风险分析功能;将用户访问应用的行为明文镜像给态势感知,实现安全联动。6.1.36.1.3 优势优势特点和应用价值特点和应用价值2021 云安全联盟大中华区-版权所有29葛洲坝集团通过零信任方案建设实现了安全移动办公, 员工可以随时随地安全地访问各内网业务系统,办公效率得到了大幅提升;通过办公 APP、统一认证平台、企业微信与零信任结合,实现了门户入口集约化和统一身份管理,提高办公效率与安全性;管理员分级分权、日志留存
29、等,满足合规以及日常管理要求。6.1.46.1.4 经验总结经验总结项目实施过程也经历了不少挑战,最终在厂商的配合下顺利落地:1)业务系统的快速上线:由于业务系统众多,涉及到零信任设备要与办公 APP、企业微信、统一认证平台对接,除了产品能力外,实施经验也尤为重要。在整个业务上线过程中,深信服积极提供同类场景的经验参考,保障了业务顺利上线;2)业务的延续性:在零信任上线前,原本 VPN 的访问路径要保持不能中断,涉及到现有应用、权限等策略的迁移和零信任上线前期的并存使用,既要考虑策略的平滑迁移,也要考虑并存场景下的冲突问题。深信服在实施中提供了 VPN 配置转化服务,保障了策略平滑迁移,且零信
30、任采用与 VPN 不同的技术架构,避免了客户端的兼容冲突,在不中断业务的情况下实现了零信任的上线。6.1.56.1.5 其他(反馈其他(反馈/ /荣誉)荣誉)客户评价:深信服零信任解决方案极大地提升了葛洲坝集团的办公业务访问的安全性,满足等保合规、审计合规的要求,产品兼容性好、日志审计详细,能很好地提升运维效率。2021 云安全联盟大中华区-版权所有306.26.2 天融信天融信- -某省公安大数据智能化安全建设采购项目某省公安大数据智能化安全建设采购项目6.2.16.2.1 方案背景方案背景某省公安厅大数据安全整体解决方案,以“一切资源化、资源目录化、目录全局化、全局标准化”为设计理念,以“
31、分层解耦,异构兼容”为设计思路,以“安全、合规、可信”为实现目标,提升科学实用的体系化安全防护能力,规范化安全管理能力,综合化安全运维能力,实现全网安全态势敏锐感知,安全威胁快速检测与处置确保大数据全程可知可控,可管可查,变静态为动态,变被动为主动,为某省公安厅公安大数据智能化建设保驾护航。6.2.26.2.2 方案概述和应用场景方案概述和应用场景本案以数据安全为中心, 以安全基础设施为支撑, 以安全大数据智能分析为抓手, 从 “云、数据、应用、网、边界、端”六维构建纵深,实现统一安全管理,构建“安全、可信、合规”的大数据智能化安全立体纵深防御体系,形成科学实用的规范化安全管理能力、体系化安全
32、防护能力、综合化安全运维能力,变静态为动态,变被动为主动,为公安大数据智能化建设提供坚实保障。本次重点建设跨域安全访问与数据交换平台。本案紧密结合新一代公安信息网网络架构设计和大数据、云平台、智能应用设计开展大数据智能化工程安全体系设计,确保框架先进性;运用国际通用安全架构指导大数据智能化安全体系设计,确保理念先行;深入结合可信技术、大数据技术开展大数据智能化安全系统设计。2021 云安全联盟大中华区-版权所有31总体架构图本案建设以满足“安全、可信、合规”总体建设目标为前提,提出了“统一规划、统一标准、急用先行、分步实施”的总体原则,采用如下核心组件进行建设。审计中心审计中心审计中心具有超强
33、的审计洞察和可扩展性,可支持各类信息(日志信息、威胁信息等)的处理与分析, 通过采集关键节点服务日志信息, 以大数据技术驱动过程行为数据分析,采用机器学习方法进行安全分析,能够检测高级、隐藏和内部威胁的行为分析技术,不需要使用签名或规则。且在杀伤链上能关联数据,进行有针对性的发现。审批中心审批中心审批中心负责审批工作的信息化、流程化和规范化,实现任务的上传下达、工作督办监督体系、规范数据查询和侦控手段审批流程。审批中心提供业务流程同步,实现接入系统信息管理、权限同步,可通过短信发送申请信息或审批信息,还能实现与安全代理、认证、权限、审计及应用系统的联动。安全管理中心安全管理中心安全管理中心基于
34、大数据基础架构平台开发,使用 ETL 组件进行数据预处理,根据行业数据治理标准规范和行业规范安全数据治理需求,实现数据治理功能,能够提供对各种采集数据进行数据解析、标准化、丰富化、归一化、过滤、补全、清洗等处理,保障数据的完整性、可用性,支持通过编写配置文件实现非编程方式的日志数据解析。可信接入代理可信接入代理可信接入代理支持可信接入、访问控制、NAT、应用层检测、流量监控、日志记录、告警等功能,主要用于为不可信任的外网用户提供可信接入,为内网资源提供可信任安全屏障。可信接入代理在为用户提供可信接入时,可轻松适应某些资源具有大量的 IP 地址信息,且 IP 地址不固定的应用场景。2021 云安
35、全联盟大中华区-版权所有32可信可信 API 代理代理可信 API 代理通过流量控制、攻击防御、传输加密等多种 API 相关安全防护技术,为业务提供 API 接口的统一代理、访问认证、数据加密、安全防护、应用审计等能力,对 API进行全生命周期的权限管理,全面解决企业 API 接口服务面临的安全问题。可信代理控制服务可信代理控制服务可信代理控制服务可针对业务应用及 API 服务的访问控制需求,采用了用户认证授权、身份权限管理、风险感知、UEBA 等多项技术,集中解决应用访问场景的安全问题等。同时,可信代理控制服务也是零信任体系安全解决方案中的重要组成部分,联动各个平台的控制中心。数据安全交换系
36、统数据安全交换系统数据安全交换系统具体包括前后置、单向光闸三部分。前置代理系统是双网信息交换中面向低安全级别网络的信息采集及推送系统, 前置代理系统的作用主要是以各种形式采集外网中需要传输到内网的数据,通过安全处理及分流,传输到内部网络。6.2.36.2.3 优势优势特点和应用价值:特点和应用价值:根据公安大数据“一切资源化、资源目录化、目录全局化、全局标准化”的原则,通过本案的建设,做到全网安全态势敏锐感知,安全威胁快速检测与处置,确保大数据全程可知、可控、可管、可查,为公安大数据智能化建设提供严密安全保障。6.2.46.2.4 方案价值方案价值符合新一代公安信息网标准规范要求符合新一代公安
37、信息网标准规范要求通过“新一代公安信息网项目”成功落地,项目实践证明产品完全满足公安部相关标准规范要求。以安全管理中心为中枢构建全局化安全防护服务体系以安全管理中心为中枢构建全局化安全防护服务体系通过为公安客户构建事前主动防御、事中持续检测与响应、事后迅速恢复的全局化安全防护体系。2021 云安全联盟大中华区-版权所有33建立起行业建设标准建立起行业建设标准通过本案的实施,树立起新一代公网网的建设标准,打造一个中心(即安全管理中心) 、两大体系(即零信任体系和安全防护体系)的安全支撑能力。6.2.56.2.5 方案优势方案优势高性能无瓶颈高性能无瓶颈本案重点对核心产品(可信 API 代理)和数
38、据交换通道的性能重点做了优化设计。由于可信 API 代理负责对业务应用 API 接口的访问控制,承载较多的业务并发访问压力,极容易成为整个安全访问平台的瓶颈。通过在可信 API 代理设备前部署负载均衡,通过轮询、随机等多负载均衡算法将业务访问压力均衡分摊到两台可信 API代理设备上,并可在不影响正常业务情况下灵活扩展多台可信 API 代理设备。数据交换通道性能设计最大通道带宽可达 20GBPS,单个文件可支持 30G 大小进行无丢包交换。国产化适配国产化适配本案涉及的国产硬件适配能力, 充分保护用户已有建设投资, 最大化保护 IT 投资成本。各产品互兼容性高本案的产品和方案均以构建强大的扩容能
39、力、广泛的产品技术兼容性为设计原则,不仅新产品建设完美兼容, 还与原有业务系统、 身份认证充分融合, 发挥利旧原则,建设好新一代公安网。6.2.66.2.6 经验总结:经验总结:本项目基于公安大数据相关规范对公安应用业务的流程再造与优化, 改造过程中势必会对当前业务造成一定的影响,为了尽量减少规避影响范围,建议从业务稳定性、安全性等角度综合考虑:项目实施期间,如何保证原业务的稳定运行。为了解决这个问题,需要提前做好前期准备,包括原业务系统的备份、安排在非业务办理时间进行业务部署割接;在业务割接过程前设计好应急保证措施,当遇到无法排除的故障时应该及时回退到部署前状态。2021 云安全联盟大中华区
40、-版权所有34新部署的安全访问平台增加了可信接入代理、可信 API 代理等多个验证功能执行点,如何保障部署后业务访问体验不受影响。 通过对新安全访问平台的访问流程进行梳理后发现新通道的瓶颈在可信 API 代理网关系统上本案选用了业界最高性能的专用硬件平台,将可信 API 代理的性能提高至 40G 左右, 同时在两台可信 API 代理网关之前部署了负载均衡系统来保证该平台的稳定性及连续性。本项目中设计了多类安全产品的部署联调, 如何能够保证在规定时间内完成本工作内容。本项目中设计的核心产品包括可信接入代理、可信 API 代理和可信代理控制服务,为了保证系统的快速联调部署,通过三大核心部件的快速部
41、署,确保实施周期。6.2.76.2.7 其他其他通过建设本案,实现了统一的身份认证管理的精细化、动态化的授权能力。这部分需求的目的是解决人或者接入设备的身份安全, 确保所有接入人员和设备的身份是安全可信的。由于大数据中心的数据涉及大量的国家安全、社会安全、个人隐私等敏感信息,所以对权限的要求非常严格。 必须采用能够根据数据的敏感程度和重要程度进行细粒度的授权, 并结合人员的行为分析和访问的环境状态动态授权, 在不影响业务效率的前提下,确保数据访问权限最小化原则,避免因为权限不当导致的数据泄露。该省公安厅通过建设省级大数据智能化平台建设,树立起新一代公网网的建设标准。6.36.3 数字认证数字认
42、证零信任安全架构在医疗领域的应用零信任安全架构在医疗领域的应用6.3.16.3.1 方案背景方案背景陆军军医大学第一附属医院又名西南医院,是一所现代化综合性“三级甲等”医院。近年来随着远程问诊、互联网医疗等新型服务模式的不断丰富,医院业务相关人员、设备和数据的流动性增强。网络边界逐渐模糊化,导致攻击平面不断扩大。医院信息化系统已经呈现出越来越明显的“零信任”化趋势。零信任时代下的医院信息化系统,需要为这些不同类型的人员、设备提供统一的可信身份服务,作为业务应用安全、设备接入安全、数据传输安全的信任基础。2021 云安全联盟大中华区-版权所有356.3.26.3.2 方案概述和应用场景:方案概述
43、和应用场景:1 1、方案概述方案概述本方案主要建设目标是为陆军军医大学第一附属医院内外网建立一套基于 “可信身份接入、可信身份评估、以软件定义边界”的零信任安全体系,实现医院可信内部/外部人员、可信终端设备、可信接入环境、资源权限安全。全面打破原有的内外网边界使得业务交互更加便利,医疗网络更加开放、安全、便捷,为医院全内外网业务协作提供安全网络环境保障。根据对陆军军医大学第一附属医院安全现状和需求分析, 采用基于零信任安全架构的身份安全解决方案,为医院构建零信任体系化的安全访问控制,满足医院内外部资源安全可信诉求。总体架构设计如下:陆军军医大学第一附属医院总体架构设计图面向互联网医疗的应用场景
44、, 通过与可信终端安全引擎、 零信任安全防护体系核心组件、零信任安全防护体系支撑组件结合,为医院设备、医护人员和应用提供动态访问控制、持续认证、全流程传输加密。陆军军医大学第一附属医院零信任安全架构主要构成产品:陆军军医大学第一附属医院零信任安全架构主要构成产品:1 1、终端安全引擎终端安全引擎在院内外公共主机、 笔记本电脑、 医疗移动设备等终端设备中, 安装可信终端安全引擎,2021 云安全联盟大中华区-版权所有36由统一设备管理系统与院内资产管理系统对接,签发设备身份证书。医院用户访问院内资源时,首先进行设备认证,确定设备信息和运行环境的可信,通过认证后接入院内网络环境,自动跳转到用户身份
45、认证服务。院内资源访问过程中,引擎自动进行设备环境的信息收集、安全状态上报、阻止异常访问等功能,通过收集终端信息,上报访问环境的安全状态,建立“医护人员+医疗设备+设备环境”可信访问模型。2 2、零信任安全网关零信任安全网关为避免攻击者直接发现和攻击端口,在医院 DMZ 区部署零信任安全认证网关,提供对外访问的唯一入口,采用先认证后访问的方式,把 HIS、LIS、PACS 等临床应用系统隐藏在零信任网关后面,减少应用暴露面,从而减少安全漏洞、入侵攻击、勒索病毒等传统安全威胁攻击面。零信任安全网关与可信终端建立 SSL 网络传输数据加密通道, 提供零信任全流程可信安全支撑(代码签名、国密 SSL
46、 安全通信、密码应用服务等),确保通信双方数据的机密性、完整性,防止数据被监听获取,保证数据隐私安全。3 3、安全策略决策服务、安全策略决策服务安全策略决策服务对医院用户账号、终端、资源接入进行访问策略评估和管理,并对接入医院用户和医疗设备进行角色授权与验证, 实现基于院内用户及设备的基础属性信息以及登录时间、登录位置、网络等环境属性做细粒度授权,基于风险评估和分析,提供场景和风险感知的动态授权,并持续进行身份和被访问资源的权限认证。4 4、统一身份信任管理、统一身份信任管理统一身份信任管理分为统一身份管理模块、统一设备管理模块、统一资源管理模块、统一威胁情报管理模块四个部分。 统一身份管理模
47、块实现用户面向各业务系统的统一身份访问,解决信息化系统集中管理难、用户使用不便、认证授权不安全等问题。统一设备管理模块提供面向各类终端设备的统一管理、身份核验以及终端环境检测、终端接入应用安全管理等功能。 统一资源管理模块提供对资源的可信签名和资源的统一管理等功能。统一威胁情报管理模块可实现对网络流量实时监控,用户行为收集分析,终端设备漏洞扫描及服务端设备运行环境和运行状态安全监控, 并针对重大事件进行主动告警等功能。2021 云安全联盟大中华区-版权所有375 5、密码、密码基础设施基础设施密码基础设施分为证书服务模块、密码服务模块和实名核验服务模块三个部分。证书服务模块主要是针对医院用户、
48、医疗终端设备进行证书签发,保证用户和设备的合法性。密码服务模块主要针对统一身份信任管理和零信任安全网关在传输、 存储过程中的数据进行签名操作,保证数据的完整性、可追溯以及抗抵赖性。实名核验服务模块用于证书签发时对用户身份的核验工作,保障用户身份的真实性。6.3.36.3.3 优势优势特点和应用价值:特点和应用价值:1 1、应用价值应用价值1 1)用户管理方面价值用户管理方面价值解决医院当前面对医疗访问群体多样化的问题, 建立统一的身份管理, 减轻了运维成本。2 2)设备管理方面价值设备管理方面价值将医疗设备进了统一管理,保障了设备接入的安全管控,对接入设备进行了有效的身份鉴别。3 3)权限管控
49、价值权限管控价值(1)隐藏医疗应用系统,无权限用户不可视也无法连接;对有权限的业务系统可连接但无法知悉真实应用地址,减少黑客攻击暴露面。(2)以访问者身份为基础进行最小化按需授权,避免权限滥用。4 4)访问安全价值访问安全价值(1)采用了“用户+设备+环境”多重认证方式,即保证了认证的安全,还不影响用户使用体验。(2)通过感知环境状态,进行持续认证,随时自动处理各种突发安全风险,时刻防护医院业务系统。5 5)数据安全价值数据安全价值(1)进行了全链路信道安全,消除了医疗数据传输安全风险。(2)对患者数据进行了隐私保护,解决了数据内部泄露问题。2021 云安全联盟大中华区-版权所有382 2、优
50、势特点优势特点1 1)围绕设备证书建立设备信任体系围绕设备证书建立设备信任体系在传统数字证书框架中,增加针对设备信任的评估环节,以设备证书作为零信任安全体系的基石。2 2)自动化授权体系自动化授权体系零信任访问控制区建立的一整套自动化授权体系,可根据用户属性、用户行为、终端环境、 访问流量等多维度数据, 自动对用户权限进行实时变更, 从而保障内部系统安全性。3 3)基于设备信任最小化攻击平面基于设备信任最小化攻击平面在任何网络连接建立时,首先进行设备认证,能够有效阻止非法设备的连接、嗅探、漏洞扫描等恶意行为,既能最小化系统的暴露平面,又可以灵活适应一人多设备、多人共用设备、物联网设备等不同场景