MSP精華實錄|基于零信任的移動業務安全防護體(tǐ)系建設方案

需求場景

随着企業數字化轉型的加速，遠程辦公、移動辦公和混合辦公模式越來越普遍，因此企業大(dà)部分(fēn)資(zī)源會放(fàng)在雲上，但僅依靠網絡邊界的方式，會使得效率變得低下(xià)，同時也會給企業帶來一(yī)系列互聯網安全風險。面對網絡安全威脅變化和網絡邊界泛化模糊的新形勢，以“從不信任，始終驗證”爲基本原則的零信任架構應運而生(shēng)。美國國家标準與技術研究院（NIST）将零信任安全定義爲“一(yī)組不斷發展的網絡安全範式，将防禦從靜态的、基于網絡邊界轉移到關注用戶、資(zī)産和資(zī)源的領域”。

需求分(fēn)析

· 随着企業的發展，員(yuán)工(gōng)數量也在逐年增加，組織架構和人員(yuán)結構可能存在較爲複雜(zá)的情況，員(yuán)工(gōng)信息化水平參差不齊，可能導緻訪問權限被濫用。爲保證用戶在系統安全策略下(xià)正常工(gōng)作，拒絕合法用戶越權的服務請求和非法用戶的非授權訪問請求，需要進行細粒度的授權管理，進而确保人員(yuán)和設備都是安全可信的。

· 企業移動業務不斷開(kāi)展，網絡暴露面逐漸增多，先建立連接再進行用戶認證的傳統網絡通信防護方式，存在較多的安全風險，如端口惡意掃描和拒絕服務攻擊等，需要收斂暴露面減少攻擊面，建設先認證再連接的網絡安全隧道，保障移動業務網絡通信的機密性和完整性。

· 企業員(yuán)工(gōng)使用個人自帶設備進行移動辦公時，移動應用會運行在複雜(zá)的環境中(zhōng)，風險威脅可能随時發生(shēng)，從而無法保障移動應用的安全可靠運行，也不能及時根據風險情況動态調整用戶授權和訪問控制狀态，需要按照零信任理念，構建持續監測機制和動态調整訪問權限的能力。

· 一(yī)般企業對于日益嚴峻的移動安全威脅，雖然采用了一(yī)些安全防護手段，但基本是單一(yī)的、孤立的，缺乏整體(tǐ)的、統一(yī)的全生(shēng)命周期防護，不能形成基于移動終端、移動應用和通信網絡的縱深防護體(tǐ)系，更不能對移動業務敏感數據進行全生(shēng)命周期保護，無法做到基于零信任的持續檢測與響應的長效動态機制。

解決方案

新冠疫情的影響，導緻企業遠程辦公需求激增，上訊信息結合實際的應用場景，對傳統的邊界防護體(tǐ)系進行改造升級，構建更加适應企業業務發展的零信任移動安全防護體(tǐ)系，通過提供安全可信訪問、網絡安全傳輸、持續信任評估和動态訪問控制等能力，保障企業移動業務安全高效開(kāi)展。

· 安全可信訪問：采用單包敲門技術，實現系統自身網絡和業務應用隐藏，僅允許可信設備及應用的授權用戶看到并訪問被保護的業務服務，收斂網絡暴露攻擊面，提升移動業務訪問防護強度。

· 網絡安全傳輸：針對移動應用APP訪問業務服務，采用應用級雙向認證安全隧道技術，以及基于用戶、設備、應用、微應用、服務和接口的細粒度最小(xiǎo)化授權，保障移動業務通信安全。

· 持續信任評估：基于ATT&CK威脅框架，針對多端設備、用戶、應用和網絡，實時監測風險IOC和IOA指标，持續進行多維度、智能化關聯分(fēn)析和信任評估，并動态調整權限以及聯動響應處置。

· 動态訪問控制：從終端用戶、終端設備、移動應用和網絡通信維度，進行持續性威脅風險監測，感知(zhī)移動業務整體(tǐ)安全态勢，實時評估可信程度，實現一(yī)體(tǐ)化細粒度的動态訪問控制體(tǐ)系。

· 全生(shēng)命周期防護：基于零信任安全架構，結合平台安全檢測、安全加固、安全沙箱、設備管理等移動安全防護能力，提供移動用戶、移動應用、網絡通信、業務數據等方面的全周期防護。

方案優勢

上訊信息移動安全防護方案，遵循零信任安全架構，采用檢測與響應的自适應機制，通過安全檢測加固、設備安全管控、安全沙箱隔離(lí)、風險威脅監測、安全隧道通信和數據洩露防護等功能，構建一(yī)體(tǐ)化、自動化、全周期的零信任移動安全防護體(tǐ)系，實現移動業務的全周期安全防護，保障移動業務的安全運行和高效開(kāi)展。