1、CONTENTS目 录 背景与认识光大探索思考与展望23光大探索思考与展望背景与认识1CONTENTS目 录 新技术应用开放业务移动办公粗放型传统安全老问题遇到新场景-坐商变行商 开放银行移动办公新技术面临新问题-云大物智移链全面应用老方案存在旧硬伤-传统安全理念粗放 渔网式漏洞零信任的理念：永不信任，始终验证用户用户设备设备访问访问应用应用手机扫码、token 双因子认证、生物认证可信用户合规管理、恶意软件查杀、安全加固和设备认证可信设备链路安全、流量加密、访问控制引擎可信访问应用识别、黑白名单管理、远程分发可信应用 可信 零信任本质：联合身份和上下文数据实现主动的精准化动态访问控制，达到整

2、体上可信用户在可信受控设备上使用可信应用，对受保护资源进行可信、按需的访问。0102030405受控终端发起安全访问 客户端网络访问接入、业务访问鉴权静态访问控制、动态访问控制 访问控制引擎网络隐身、网络访问控制访问代理、全流量操作记录 访问网关用户可信识别受控设备可信识别受控应用可信识别 可信识别访问解析信任评估决策算法 动态评估引擎CONTENTS目 录 13背景与认识思考与展望光大探索2基于横向纵向数据，通过信任评估模型和算法，实现身份持续信任评估，对应异常访问行为和风险访问环境，及时调整评估，为动态访问控制提供有效输入。零信任持续评估中心通过无边界的灵活的访问控制，接受评估中心动态风险

3、评估，执行差异化访问控制策略。零信任基础设施基于身份、权限、终端、行为等数据，确保目标用户基于可信终端通过固定渠道发起对认证服务的合法访问零信任身份增强防御能力，提高安全威慑1身份、网络双边界2逻辑纵深+物理纵深哪些敏感数据正在被访问？是否是机密数据？是否允许脱离权限访问？账号是谁在使用？他们是什么角色？这个用户在哪？他在什么位置登录？这个IP地址是真实的吗？该访问设备是否有风险？是否是被管理的设备？设备是否被恶意软件控制？哪个应用正在被访问？如何评估业务影响？这个账号的口令是否已经泄露？的攻击和数据泄露事件都与密码有关淘气3000全生命周期的闭环管理身份开通权限初始评估身份分析、权限巡检权限

4、降级或撤销基于属性及场景的动态权限RBAC+ABAC 综合简单与灵活 平衡安全与性能试点NGAC（下一代访问控制）自适应多因子认证根据人员、终端、环境等因素动态调整认证策略可信分数+风险事件身份属性管理凭证管理 资源属性管理设备清单设备管理资源管理权限属性属性属性属性属性属性属性零信任身份系统基于身份的信任评估基于环境的风险判定主体信任用户身份属性凭证安全属性用户行为分析设备身份属性终端安全状态系统行为分析认证强度访问时间地理位置终端风险网络风险威胁情报主体信任程度客体安全等级基于行为的异常发现l 多纬度的信任评估指标l 上下文行为的持续分析l 主体的信任评价持续检测l 信任策略的动态调整l

5、执行策略的实时下发l 风险的告警和分析用户身份属性凭证安全属性用户行为分析设备身份属性终端安全状态系统行为分析主体信任程度客体安全等级基于行为的异常发现l 多纬度的信任评估指标l 上下文行为的持续分析l 主体的信任评价持续检测l 信任策略的动态调整l 执行策略的实时下发l 风险的告警和分析先认证，再准入SDP 动态、按需、最小化授权原则 依据身份动态“隐藏”服务 微隔离 减少威胁的横向扩展 按照业务属性定义安全策略由内而外，保护应用、数据、东西向流量14授信用户授信设备绑定用户与设备基于用户属性的访问检查用户、设备、资源用户与资源之间生成动态加密网络通道建立安全访问，开展业务应用安全保护过程V

6、DI技术数据不落地相对较重沙盒技术利用客户端计算能力流畅体验虚拟浏览器数据不落地应用实现，轻投入15零信任准入控制零信任安全模型用户权限为中心按需、动态权限IAM安全认证技术资源控制终端及用户防护身份认证用户信息终端指纹数据证书应用安全动态接入可信认证权限控制数据加密服务端防护资产隐藏单向报文认证动态资源分配网络微隔离加密传输安全防护TLS加密隧道非对称加密SDK 1、与客户端进行配合验证，非管控终端不允许访问，实现重要资产隐藏；2、不开放IP及端口，减少暴露面；3、客户端SDK，实现加密隧道传输，确保用户信息安全；监与管不同场景方案结合强管控方案强审计方案用户使用无感实时审计提高安全威慑及意

7、识全流程管控数据闭环满足合规动态评估使用时间、地点异常预警使用频率预警主动评估设备是否丢失，督促网点加强管理权限限制互联网白名单应用白名单设备功能限制，如蓝牙、相机设备统一管控与使用人绑定多因素认证受控端才允许登录设备的实时控制应用隐身互联网开发测试环境开发测试人员黑客基于SDP单包认证技术对开发测试人员定向开放互联网测试应用入口，防止暴露面过大造成的安全隐患认证通过认证失败12背景与认识光大探索思考与展望3CONTENTS目 录 用户区安全访问控制区数据区安全防护API网关API智能识别业务安全访问动态访问控制以IDaaS中心持续信任评估基于风险的动态授权基于身份的动态授权用户身份认证访问会

8、话管理设备认证安全策略执行设备环境感知网络威胁感知可信身份感知安全策略控制日志数据服务身份信息管理身份认证管理权限管理外部身份源对接应用API数据APIC端用户B端用户应用访问应用访问 API调用API调用信任评估访问控制风险感知身份同步敏感数据脱敏应用系统场景规划能力规划远程办公远程运维多云访问最小授权通信安全业务隐藏特权账号管理多数据中心访问云安全访问相关问题阶段1：概念验证POC阶段2：分场景业务接入阶段3：持续能力演进能力示例优先级基于设备身份与资源访问的保护低动态授权与细粒度访问控制中统一身份与认证普通员工密码的管理问题应用管理员的授权问题安全管理员的审计问题应用开发重复建设、认证混

9、乱问题高p 企业所有人员安全思维理念和工作方式的转换p 零信任相关技术基础还有待完善p 业界工程实施总结不够，未形成体系化的落地标准p 客户端兼容性问题p 零信任评估中心与态势感知融合问题挑战应对 找准定位，把零信任作为防范银行业务风险和科技风险的重要抓手 得到管理层的支持 找准场景，小步快跑，不断迭代，积小胜为大胜，行稳致远 01020304零信任网络技术架构是否实现了取消物理DMZ，实现内外网数据平面打通的自由？零信任技术体系下的访问控制是否一定要增加新的边界？当前以身份为边界的零信任技术，是否可以完全取代以网络为边界的传统安全技术？没有新的零信任网关和零信任客户端是否就做不了零信任安全体系的落地？03 完善标准已有 零信任产业标准工作组零信任系统技术规范应形成更大的共识，形成更全面的技术标准02 合作联动数据共享与风控结合阻断联动两统一统一认证统一身份01 开放接口 三集中集中权限集中业务管控集中审计