零信任安全白皮书-2023 -网宿安全.pdf

网宿安全2023版零信任安全白皮书零信任安全白皮书 01目录 CONTENTS第一章 严峻的网络威胁态势小结261.1.传统边界模型面对挑战1.2.数据安全与隐私合规1.3.网络攻击愈演愈烈020305第二章 零信任安全框架和标准2.1.零信任安全理念框架2.2.零信任安全核心价值0709第三章 零信任典型应用场景3.1.安全办公业务访问3.2.三方人员安全接入3.3.数据防泄露保护3.4.物联网安全连接3.5.一机两用安全办公1011111213第四章 网宿零信任安全实践4.1.网宿零信任平台能力4.2.零信任安全建设框架 4.2.1.远程办公访问 4.2.2.网络攻击防护 4.2.3.数据防泄露4.3.零信任典型客户案例 4.3.1.案例一：某股份银行零信任安全办公项目 4.3.2.案例二：某市政务外网零信任接入项目 4.3.3.案例三：某机械制造集团零信任远程访问项目141717182122222325零信任安全白皮书 02随着云、大数据、移动互联网、5G、IoT等技术的快速发展，日趋开放和复杂的网络边界已经成为互联网安全的重要挑战。传统的网络边界注重建设多重防护设施，难以应对有组织的、武器化的、以数据及业务为攻击目标的高级持续攻击，仅仅依靠传统边界防护难以应对从身份、权限、系统漏洞等多维度的攻击向量，现有的传统基于内网边界防御的框架已无法因应当下全方位网络异构多样化的挑战。整个新冠疫情时期宣告着远程办公时代的全面到来，无论大型还是小型企业，迅速因应变革工作环境，整个世界都转向线上活动，大量员工远程办公、外包协作、三方合作伙伴、供应链协同，这一切导致线上的网络和业务、数据交互快速增长，其迁移速度和规模十分惊人，多样化的人员、设备、分支、地域间的互联与业务数据访问带来更多的网络边界敞口和安全控制风险。工业OT领域的风险也不可忽视，工业控制系统由于设计之初没有考虑到海量异构设备以及外部网络的接入，随着物联网开放性日益增加、远程监控和远程操作加快普及，网络攻击者更容易利用系统性漏洞和运营薄弱环节发动入侵攻击，一旦成功即可造成多达数十亿台设备的集体沦陷，导致生产业务中断、数据被加密和窃取。从云化到Shadow IT(影子IT设施)到ICS（工业控制系统），均在工业4.0时代快速就位并准备好迅速扩张，这种转变背后潜在着巨大的网络风险，因为随之而来的就是网络暴露面大大增加。概括而言，传统网络安全类似物理安全的做法，通过堆叠安全设备构筑组织内网边界，数据和业务均放置在企业内部IDC，假设坏人在外部、内部只有好人，护城河式防御针对的是入向威胁。随着移动业务快速扩展，物联网、车联网、智慧城市的持续发展，资产防护的安全边界越来越不清晰，传统的边界防护架构越来越显得力不从心，传统的边界安全主要存在的问题如下：1、旧有VPN访问模式，不可避免漏洞频发，由于其服务暴露在互联网，采取偏静态化的控制机制，黑客易于渗透，通过劫持边界内的设备并横向移动攻击企业应用、关键基础设施和敏感数据；2、随着使用自带设备（BYOD）越来越普遍，设备不受企业管控，成为企业安全建设中效率成本与强安全管控的矛盾点，不安全的设备在内网接入和接入内部敏感业务系统，引入不可控风险；3、远程办公兴起和普及，2020年开始的疫情大大推动了这一进程，用户接入位置不限于企业内网，企业迫切需要随时随地快捷流畅、安全可靠的远程访问模式；4、随着数字化转型发展，外包人员、合作伙伴、供应链上下游均需要接入不同类型的业务应用，连接人员身份、设备多样化，而配套的安全控制机制十分薄弱；5、企业的业务资源除了部署在传统数据中心，也在不断向外部云资源扩展，包括PaaS、IaaS和SaaS的广泛应用。传统边界安全网络设备无法很好地保护企业的云上应用资源，对于云迁移的企业，需要统一保护处于企业内部、公有云上的私有应用和SaaS应用。传统上，大多数网络和安全架构都是由企业主导设计的，数据中心作为访问需求的目标焦点，支持相对静态的用户。但数字化转型推动了对新数字功能场景的多样化需求，现在有更多的用户、设备、应用、服务需要连接交互，并且数据同时分布在企业内部外部。原来的基于一系列企业IDC边界外围安全设备的网络安全设计，已经不再满足现代数字业务的动态、泛化地域和其混合办公、协作模式的诉求。旧边界必须转变为一组以用户第一章 严峻的网络威胁态势1.1.传统边界模型面对挑战零信任安全白皮书 03近年来，中国网络安全立法进程加快，合规监管深入行业内部。网络安全不再局限于个人和企业的自身防护，开始成为涉及各行业产业链乃至国家安全的重要问题。2022年，中国颁布多部与网络安全相关的政策法规，进一步推进国家网络、数据安全体系和能力建设，强化网络安全、数据安全和个人信息保护，从多个维度完善了安全合规要求与标准，筑牢国家数字安全屏障，为网络安全技术与产业发展提供指引。随着网络安全法、数据安全法、个人信息保护法等一系列基础性法律法规落地，中国已建立起一套基本的网络安全法律合规框架。据全国信息安全标准化技术委员会发布的2022年网络安全国家标准需求清单，清单共包含34项标准，其中制定标准20项，修订标准14项。涉及重要数据处理、关键信息基础设施安全评测、网络安全保险、网络安全服务能力等方面，针对三部关键上位法的体系化标准、规范支持实施已经全面展开。2022年2月，新修订的网络安全审查办法实施，将原来的“数据处理者”变更为“网络平台运营者”，连同关键信息基础设施运营者作为网络安全审查的规制对象，要求网络平台运营者开展数据处理活动，影响或者可能影响国家安全的应进行网络安全审查。其中，明确规定掌握超过100万用户个人信息的网络平台运营者赴国外上市必须申报网络安全审查。针对数据出境专项问题，2022年7月，国家网信办公布数据出境安全评估办法，并于2022年9月1日起施行。办法规定了数据出境安全评估的范围、条件和程序，为数据出境安全评估工作提供具体指引，明确了数据处理者向境外提供在中国境内运营中收集和产生的重要数据和个人信息的安全评估适用。办法规定，数据处理者向境外提供重要数据，关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息、自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息，以及国家网信部门规定的其他情形，均需申报数据出境安全评估。此外，数据出境安全评估办法还要求数据处理者在申报数据出境安全评估前，应当开展数据出境风险自评估，其中重点评估的事项包括出境数据的规模、范围、种类、敏感程度等。云上数据安全方面，全国信安标委发布信息技术 安全技术 公有云中个人信息保护实践指南7月15日发布，自2023年2月1日实施。同期，信息安全技术关键信息基础设施安全保护要求国家标准获批发布，保护要求规定了关键信息基础设施运营者在识别分析、安全防护、检测评估、监测预警、主动防御、事件处置等方面的安全要求，将于2023年5月1日实施。同时，各地也纷纷针对数据安全提出法规和政策指引，强化中华人民共和国数据安全法、中华人民共和个人信息保护法 等上位法的要求，强化属地监管和安全要求：（1）浙江省发布浙江省公共数据条例强调个人信息安全的保护，将于3月1日执行，条例共五十一条内容，明确提出打造公共数据平台，建立公共数据共享机制，构建公共数据有序开放制度。这是国内首部以公共数据为主题的地方性法规，也是保障浙江省数字化改革的基础性法规。1.2.数据安全与隐私合规和应用为中心的融合功能，并在企业需要的时间和地点进行实施支持，即动态创建的基于策略的边界控制。零信任安全白皮书 04（2）广东省发布广东省公共数据安全管理办法（征求意见稿），强调公共数据的安全性，征求意见稿共六章三十二条，进一步加强了数字政府公共数据安全管理，规范公共数据处理活动，促进数据资源有序开发利用，保护个人、组织的合法权益。（3）深圳发布公共数据安全要求领域标准，将数据安全与网络安全等级保护要求有效结合，为深圳经济特区数据条例的落地提供坚实指导。（4）四川省数据条例，条例共有八章七十条，包括总则、数据资源、数据流通、数据应用、数据安全、区域合作、法律责任和附则，自2023年1月1日起实施。（5）厦门经济特区数据条例发布，条例为了规范数据处理活动，保障数据安全，保护自然人、法人和非法人组织的合法权益，培育数据要素市场，促进数据有序流动和开发利用。新兴行业市场的网络安全风险，尤其互联网、云平台、数字化高度依赖和集中的各行业，也已经快速推进网络与数据安全的行业标准的体系化，以规范化的标准强化行业内的安全经营和风险控制。2022年12月，工信部发布工业和信息化领域数据安全管理办法（试行），管理办法作为工业和信息化领域数据安全管理顶层制度文件，共八章四十二条，重点解决工业和信息化领域数据安全“谁来管、管什么、怎么管”的问题。2022年2月25日，工信部印发车联网网络安全和数据安全标准体系建设指南，聚焦车联网终端与设施网络安全、网联通信安全、数据安全、应用服务安全、安全保障与支撑等重点领域。图 1 车联网网络安全和数据安全标准体系框架图101 术语和定义100 总体与基础共性200 终端与设施网络安全车联网网络安全和数据安全标准体系400 数据安全500 应用服务安全600 安全保障与支撑102 总体架构103 密码应用201 车载设备网络安全202 车端网络安全203 路侧通信设备网络安全204 网络设施与系统安全301 通信安全302 身份认证401 通用要求402 分类分级403 出境安全404 个人信息保护405 应用数据安全501 平台安全502 应用程序安全503 服务安全601 风险评估602 安全监测与应急管理603 安全能力评估300 网联通信安全零信任安全白皮书 052022年4月8日，工业和信息化部等五部门联合发布了关于进一步加强新能源汽车企业安全体系建设的指导意见，该意见强调，加强网络安全防护，企业要依法落实关键信息基础设施安全保护、网络安全等级保护、车联网卡实名登记、汽车产品安全漏洞管理等要求。对车辆网络安全状态进行监测，采取有效措施防范网络攻击、入侵等危害网络安全的行为。2022年8月29日，国家卫生健康委、国家中医药局、国家疾控局联合发布医疗卫生机构网络安全管理办法。办法共六章三十四条，涉及网络安全管理、数据安全管理、监督管理、管理保障等内容。2022年10月，民航局印发关于民航大数据建设发展的指导意见，指导意见阐明民航大数据建设的6大主要任务和14个方面具体工作任务，要求加强法规体系建设、构建数据标准体系、提升数据管理水平、加强数据质量管理、推进数据要素流通、加强民航数据网络建设、强化安全管理责任、提升安全保障能力等。随着各行业数字化的快速进展，疫情期大大促进了远程办公业务、云化服务的广泛应用，同时也使得组织的安全敞口变大，在缺少体系化防御措施的情况下，在各个行业网络攻击的态势更趋向严重。据SonicWall在2023年发布的网络威胁报告，在整个2022年度，恶意软件、网络入侵、加密劫持和物联网恶意软件出现明显增长，其中，入侵尝试高达6.3万亿次，恶意软件攻击达55亿次，而针对物联网的恶意软件攻击出现87%上升幅度，达1.12亿次。另外，位于业界No.1关注热度的勒索软件攻击，虽因为俄乌战争等因素出现下降（业界分析勒索软件攻击中一些政府支持的团体因为制裁措施被迫收缩），但是仍然高达4.93亿次攻击，且针对关键的医疗健康、金融、教育领域分别出现8%、41%和275%的上升。1.3.网络攻击愈演愈烈图 2 全球勒索软件攻击数量趋势6亿4亿2亿2017201820192020202120220183,600,000206,400,000187,909,053304,638,987623,254,877493,327,151零信任安全白皮书 06网络威胁实施者利用不断变化的局面，抓住机会采用各种手段和方法，成功渗透进世界各地的组织和企业中，攻击者瞄准政府、金融、能源、医疗等承载重要社会职能、拥有大量数据资源的行业信息系统作为实施攻击的“高价值”目标，一旦得手往往造成重大损失，勒索软件攻击是对组织形成最大威胁的攻击，窃取敏感数据且阻断运营，如下仅列举部分近年来造成恶劣影响的勒索软件网络攻击和数据窃取事件。2022年12月，蔚来汽车公司收到外部邮件，发件人表示拥有大量蔚来内部数据，并以泄露数据勒索225万美元（当前约1570.5万元人民币）等额比特币。经初步调查，被窃取数据为2021年8月之前的部分用户基本信息和车辆销售信息。2022年6月，澳大利亚交易巨头ACY证券暴露了60GB的用户数据，总部位于澳大利亚悉尼的贸易公司 ACY Securities()在网上公开了大量用户和企业的个人和财务数据供公众访问。2022年6月，富士康证实其墨西哥一家工厂在5月底遭遇了勒索攻击，黑客窃取了100GB的未加密文件，并删除了20TB至30TB的备份内容，并索取1804比特币（约合人民币2.3亿元）赎金。该事件极大程度上干扰了富士康的生产节奏，其影响波及富士康整体上下游产业链。2022年4月，哥斯达黎加多个政府机构遭到Conti组织的勒索网络攻击，政府程序、签名和邮票系统被破坏，财政部的数字服务无法使用，这影响了整个“生产部门”，总统罗德里戈查韦斯（Rodrigo Chaves）宣布全国进入紧急状态。2022年2月底，全球最大的轮胎制造商之一普利司通遭受LockBit勒索攻击，普利司通公司承认其一家子公司在2月份遭遇勒索软件攻击，导致其在北美和中美地区的计算机网络和生产中断了约一周时间，攻击者威胁从普利司通公司系统中删除信息，并将这些信息予以公布，该组织提供给被勒索的公司一个在发布数据之前付款窗口，并添加了一个倒计时器，以此产生戏剧性效果。2021年11月，丹麦风力涡轮机巨头维斯塔斯（Vestas WindSystems）于19日前后遭到网络攻击。此次事件中公司数据被挟持和加密，并且遭到勒索高额赎金，事件导致了尚未明确的数据泄露，部分受到攻击的设备正在恢复中，攻击事件发生后，维斯塔斯的股价跌至两周低点。2021年5月，美最大成品油管道运营商科洛尼尔遭DarkSide组织勒索软件攻击，导致美国东部沿海主要城市输送油气的管道系统被迫下线，成品油供应中断，美国于当地时间5月9日宣布进入国家紧急状态。科洛尼尔支付约500万美元（约合人民币3200万元）的加密货币勒索赎金，获得暗面组织提供的勒索软件解密工具，但由于该工具恢复数据速度缓慢，科洛尼尔已采用备份数据进行系统恢复。各组织在网络基础设施和业务被攻陷，多与网络暴露、身份和访问控制的漏洞及内部泄漏等相关，当下，应用、用户、业务和数据大量迁移到传统内网边界之外，传统的固化边界安全的有效性降低，企业无法依靠基于固化边界的安全工具来保护其内部敏感业务和数据，边界内部，外部引入设备数量、类型也在快速增长，移动终端、远程办公、企业业务在内网和公有云同时部署，这样的趋势已经破坏了企业使用的传统固化边界安全模型。急需要一种新型的安全模式提供高强度、一致化和兼具灵活度的访问边界安全构建。零信任安全白皮书 07 图 3 零信任访问控制策略引擎零信任网络访问ZTNA（Zero trust network access）在身份安全、设备安全、传输安全和数据安全上保障企业资源的安全接入，首先在网络边界模糊的趋势下给业务资源提供隐身衣，使网络黑客看不到目标而难以针对性发动攻击，在访问准入控制上，充分校验接入者身份合法、设备符合安全基线，并动态评估接入者行为风险来控制访问权限。从安全原则上讲，零信任首次颠覆了传统网络安全里面的重要前提：“缺省信任”。而从技术本质，零信任是在一个不可信的开放网络环境下，以身份为中心，通过动态的访问控制技术，围绕核心保护对象，遵循最小权限原则，构筑端到端的逻辑身份边界的安全体系。零信任概念自2010年由知名咨询机构Forrester提出，直到2017年，谷歌对其内部网络进行基于零信任安全的改造成功后，验证了零信任安全模型在大型复杂网络环境中的实际落地可行性，各界开始关注零信任理念和实践，出现越来越多的零信任产品、平台及标准规范，2020年Covid-19疫情爆发带来远程办公需求激增，将零信任热度推向了一个新高度。零信任安全访问模型，将传统的基于边界“城堡与护城河式”的安全管理方式，转变为按需在单个资源与客户之间构建信任的安全管理方式。在零信任模式下，用户将基于经不断重新验证的内外部因素建立可信连接，遵行零信任关键理念原则：（1）不自动信任网络的安全性(内网可信)；（2）对任何接入系统的人和设备都进行验证；（3）每次访问都要进行身份验证和行为审计；（4）细粒度访问控制策略Need-To-Know(最小权限原则)；第二章 零信任安全框架和标准2.1.零信任安全理念框架访问主体Agent终端设备访问客体零信任策略引擎PE零信任策略管理PA零信任策略执行点PEP零信任策略执行点安全网关零信任安全白皮书 08对当前愈演愈烈的网络攻击，部署零信任已然成为企业和组织IT安全架构转型中重要一环，在实施过程中，它是对网络生态系统的边界模糊的有效应对，它认为组织架构内每个组件都有弱点，每一层设施均需要保护。而得益于近期计算能力的提升，零信任架构已经在广泛的行业中得到应用。零信任不仅仅是一种技术修复，它是一套相互交织、洞悉敌对活动及相关业务风险、并致力于消减风险的方案集合。（1）零信任是IT安全架构和行为模式的转变，它假设安全风险无处不在，通过各种方法加大攻击活动渗透到组织网络的难度。（2）零信任核心理念是实践最小权限原则，在整个网络中建立强有力的验证措施，以确保只有具有权限的访问者才能以适当的方式接入相应应用和数据。（3）零信任构建软件定义的安全边界，当今云大物移网络架构演变迅速，传统边界防御机制趋于失效，零信任模型提供了一种解决方案，它要求对所有连接网络的用户、设备、应用进行认证和授权，在访问过程中进行持续验证。（4）零信任核心是了解关键数据位于何处，以及谁有权访问这些数据，它在整个网络中建立强有力的验证措施，以确保只有具有权限的个人才能以适当的方式访问这些数据。（5）零信任使用基于持续风险评估的实时访问决策替换简单的、静态的实体验证，在网络连接活动的整个周期内持续监测评估和干预处置。（6）零信任方法相关的原则（包括实施MFA以及最少特权原则）有助于降低组织面对主要攻击类型的脆弱性，如实施MFA大大增加攻击者接管帐户的难度，仅仅盗取静态凭证无法攻破网络。（7）零信任体系有效阻止黑客入侵后在内网扩散。攻击者可能控制某些脆弱的单点，当其通过已攻击的终端向网络内部更重要系统渗透时，零信任的安全机制可以及时检测到威胁，从而帮助企业将风险控制在最小限度，阻止发生进一步全局渗透攻击的严重后果。建立零信任安全防护机制，可有效地弥补传统边界防护模式网络暴露面大和解决隐式信任问题。传统网络安全架构最大的缺陷就是过于信任，而零信任架构意味着每个试图访问网络资源的人和设备都要进行验证，其访问控制不仅能应用于用户，也适用于服务器设备与各类应用，以防止不必要的特权，并且将业务资源从互联网暴露面上进行隐藏，从而降低恶意软件的渗透风险。针对办公场所环境，零信任假定网络本身是不安全的，当用户、设备和应用程序连接网络时，需要对网络进行保护，任何有漏洞的设备均要被屏蔽或分段，以降低它们被网络犯罪分子发现和利用的可能性。实现这一目标，需要掌握使用网络的所有已知实体以及设备的安全状态，当设备试图连接网络时就需要在对请求做出访问控制决策。传统的信任模式所依据的属性通常很有欺骗性，并不实时了解它们是否存在漏洞或已遭恶意利用。企业在向零信任过渡的过程中，信任决策必须根据许多因素来做出，比如身份和行为，而且需要根据设备状态、行为和任何不断变化的环境因素进行持续验证，支持通过限制原始网络访问权限或完全切断其访问路径来应对新查明的威胁和漏洞。零信任安全白皮书 09在企业的整体业务、安全需求大框架下，企业越来越多地追求零信任战略转型，零信任网络模型用持续评估取代隐式信任，以风险/信任级别的计算和判断在访问边缘上执行控制策略，零信任体系结构将原来静态授予的显式信任调整为围绕交互上下文的动态授权，同时对企业IT复杂性提供可管理统一平台，实现真正以零信任原则敏捷地支持数字业务转型工作的需要。采用零信任模型后，在动态边界处理每一次访问请求时都对用户、设备、容器、网络和应用的安全状态进行验证，从而获得更全面更深入的可见性。通过细分资源粒度、数据敏感度以及仅批准必要权限和流量的方式最小化控制访问权限，收缩企业的网络攻击面。无论用户身处何处，正在使用哪种终端设备，将应用程序部署在本地还是云，他们都可以获得完全一致且效果更好的访问体验和安全防护能力。从安全防御角度，今天各类网络攻击技术快速进化演变，新的恶意软件变种和攻击策略层出不穷，经过精心设计的攻击模式致力于避免被安全软件检测到。普通安全检测设施即使只是很小的延迟检测，也可能为潜在的网络入侵、窃取数据、勒索攻击加密文件提供足够的时间。当企业组织以事后审计方式检测到恶意的攻击行为时，往往攻击行动已经实现其全部或部分破坏目标，虽然仍有机会能够遏制住攻击进一步的扩散，但是此时想阻止全部攻击往往可能已经太迟了。对于企业组织而言，预防和检测、实时阻止显得尤为重要，零信任通过提供在网络层面的暴露面收敛、身份MFA强校验、凭证密码加固、恶意访问威胁检测和设备环境安全感知、行为异常识别等能力，能够在恶意攻击的探测、远程连接阶段就进行安全防护和及时干预。根据IBM的2022年度数据泄露成本报告，与没有部署零信任的企业相比，部署零信任的企业可将攻击的平均损失降低95万美元。对于没有实施零信任框架的企业而言，数据泄露的平均成本为510万美元，而拥有零信任框架的企业则为415万美元。随着企业的零信任计划日趋成熟，数据泄露成本可大幅降低20.5%。企业零信任框架越成熟，就越能更好地保护可被攻击者利用的潜在破坏性的威胁面，从而降低安全事件的发生可能性和平均成本。根据该报告，早期采用零信任的企业平均数据泄露成本为496万美元，而零信任实施成熟期的企业可将数据泄露成本进一步降至345万美元，平均数据泄露成本降低多达151万美元。部署零信任可为企业平均节省28.7%-42.3%的安全事故成本。零信任已经成为全球企业、政府和网络安全产业公认的应对已知和未知威胁、对抗不确定性的最有效的“下一代安全防御”。除了降低数据泄露经济成本外，零信任还将给企业带来业务敏捷性和竞争力的显著收益。成功的零信任方案可以为企业带来的巨大的战略性价值：1、提高组织敏捷性，提供面向业务需求的安全能力2、更安全的云迁移3、更好地支持数字化转型战略4、更准确地盘点基础设施资产5、改进安全运营中心的监控和警报6、安全地进行远程办公，改善终端用户体验7、统一化、简化安全策略的创建和管理8、对抗攻击和失误，防止数据丢失或泄露2.2.零信任安全核心价值零信任安全白皮书 10主要场景是内部员工远程接入企业的分散在内外部平台的各类业务应用，需要有安全可靠、流畅的访问通道和访问策略控制平台。第三章 零信任典型应用场景3.1.安全办公业务访问远程办公：人员差旅、业务外拓、居家办公等情况下访问企业OA、邮件等业务系统混合接入：企业业务系统分布在总部IDC、公有云、多地托管数据中心云服务：接入企业部署在云平台的各类业务系统和SaaS化服务BYOD设备风险，居家和移动办公需要远程接入，BYOD设备大量使用，此类非企业强管控设备为企业网络和业务引入未知风险传统VPN风险，VPN服务暴露在公网容易受到黑客的扫描和渗透攻击，传统VPN设备层出不穷的漏洞也带来极大安全风险恶意行为，内部人员、三方蓄意对信息系统进行目的性破坏、盗窃/损毁机密信息数据传统VPN网络依赖互联网线路，设备长连接，传输不稳定、易掉线、访问体验差用户体验差，多数据中心、多域接入时需要频繁切换用多套VPN，且管理复杂度高业务痛点：解决方案：通过网络隐身及分布式云防护能力抵御网络攻击隐患，先认证再连接，不对外暴露企业业务资源，规避嗅探和入侵持续验证动态授权，MFA多因子验证保护账号安全，最小化权限访问控制，异常行为识别控制，检测和抑制外部攻击和内部恶意行为统一虚拟应用，可集成内部自建应用系统和SaaS类应用系统，访问便捷并提供统一的策略管理提供安全DLP能力，针对访问关键业务和敏感数据，限定访问过程，通过多种方式进行隔离保护，防止数据泄露提供流量可见性，过滤威胁流量，保护企业的IDC业务资产安全，对云上应用访问过程进行审计管控基于全球的云加速传输网络，提供用户就近接入访问业务，保障访问速度和稳定性零信任安全接入，针对用户使用各类型PC和移动设备，提供统一的用户资源应用访问门户提供用户就近接入高速云节点，快速安全接入企业云上、本地业务资源接入方式：访问方式：安全机制：零信任安全白皮书 113.2.三方人员安全接入主要场景是各类外包团队、三方运维人员和上下游合作方的网络接入和业务访问，三方接入存在人员流动性和脆弱安全管理状态，需要通过强化访问控制来保护企业的业务平台和数据安全。3.3.数据防泄露保护保护组织数据的安全，不仅需要在企业边缘构建防护体系来阻止入侵和窃取，同时也需要提供足够的内部泄露防御手段和追溯机制，防止敏感数据从各种管道脱离企业控制范围。三方外包：驻场、远程的外包研发，工程等类人员访问内部业务系统运维访问：供应厂商或者外部的运维、维修人员访问服务资源后台上下游访问：供应链上下游访问企业的供应链、商户平台等业务系统合作伙伴：业务合作伙伴访问企业的生态合作业务平台对外开放服务业务多，各类系统暴露于公网上，易遭受外部网络攻击入侵账号混用滥用现象常见，账号安全性差，易被不法利用外方恶意人员蓄意对信息系统进行目的性破坏，盗窃/损毁机密信息数据、篡改数据流动人员广泛使用BYOD设备，安全性无法保障业务痛点：解决方案：通过网络隐身抵御互联网攻击隐患，业务收入零信任防护平台后方，不对互联网络暴露企业网络和资产安全设备保障，策略化环境基线检测，设备授信可控绑定，使用MFA强化验证身份，保障用户合规接入业务资源和后台服务持续验证设备和用户的安全基线，动态评估控制授权，识别用户异常行为并实时管控处置，多角色权限细化管理和自动化评估限制接入深度检测访问连接的网络流量，识别威胁攻击并即时防御处置提供DLP手段进行数据安全保护，针对访问关键业务和运维中访问关键系统和使用敏感数据的场景，限定在隔离环境中防止数据泄露零信任平台统一接入，通过界安全网关访问业务系统提供各类协议的应用资源访问，用户安全接入业务资源和管理后台，就近高速网络接入访问体验接入方式：访问方式：安全机制：零信任安全白皮书 123.4.物联网安全连接物联网设备在各种企业经营业务中迅速发展，各类物联平台承载连接大量终端设施，其控制连接和数据传输关系着企业运营能力与安全合规，而IoT终端设备种类繁多异构化严重，需要有端到端安全保护和平台化安全访问保护。生产制造：工业物联网设备、联网机车、AGV小车、智能仓储能源电力：充电桩、巡检无人机、风力和太阳能发电站点汽车行业：车联网平台、车机监控其他：安防、环保、物流等场景下无人机和IoT设备联网平台研发：研发人员访问内部业务系统，本地设备存留大量文档设计：设计活动产生的各类电子图纸数据，本地存放，并且常常利用协作平台数据采录：加盟营业厅、业务外拓等情况下采集客户敏感数据，上传管理平台本地设备存放大量企业关键数据，一旦设备被入侵，数据泄露损失严重采录系统暴露于公网上，易遭受外部网络攻击入侵，本地存放易泄露，同时也存在恶意盗取存储数据的可能研发设计工作访问协作平台，此类数据类管理平台敏感性高，是企业的核心知识财产，存在恶意大量盗取文档的风险隐藏业务系统，通过网络隐身抵御互联网渗透、数据勒索攻击和窃取的隐患隔离互联网威胁访问资源，防范钓鱼入侵和数据窃取识别保存、流转的数据，并在分级分类标签化后跟踪保护设备本地隔离关键数据，数据加密并控制外发持续验证接入人员和设备安全状态，动态授权访问业务，识别和阻止超量访问、下载等异常用户数据访问行为提供水印、防拷贝等数据DLP安全防护手段业务痛点：解决方案：零信任统一安全接入，安全DLP组件能力提供数据泄露防护信任安全客户端软件在本地设备上开启安全隔离的访问环境，提供用户安全接入业务资源和管理后台，安全空间数据隔离和网络访问受控，阻断外发流转通道接入方式：访问方式：安全机制：业务痛点：零信任安全白皮书 133.5.一机两用安全办公政务、金融等行业，内部政务和关键业务网络要求与互联网采用严格的隔离措施，严禁将任何设备直接连接双网，但是仍然存在大量跨网连接访问的情况，导致互联网威胁引入内部网络中，带来巨大的安全隐患。2022年正式发布了政务外网使用零信任沙箱管控机制支撑一机两用安全规范，安全沙箱限制访问连接政务外网，保护内部业务和数据的安全。双网隔离：人员办公接入内部网络，同时自动强制隔断互联网连接移动办公：业务人员从互联网远程访问内部业务系统，进行OA、邮件办公等外部业务：行业员工进行外部拓业、执法，连接内部业务平台，采录上传敏感信息设备同时连接互联网，一旦设备被入侵，跳板连入内部网络可能造成入侵黑客借由暴露在互联网的业务入口实施攻击，面临着开放环境带来的安全挑战内部系统涉及到大量公共数据、政府机密等敏感信息，发生数据泄露会造成很大的影响业务痛点：现象：物联网失陷导致生产停顿，物联设备失控导致内部业务平台被渗透入侵破坏，大量物联设备被劫持成为僵尸网络一部分原因：IoT设备系统、软硬件多经过裁剪，原始自带的安全防护功能较弱，物联设备业务体系异构化、通讯协议繁杂，接入管控困难，物联网关、平台暴露在互联网中易遭扫描和攻击网络隐身防止扫描业务平台，抵御互联网攻击隐患，不对外暴露物联网关和平台TLS隧道加密流量传输，保障互联网设备上行传输数据安全和指令传输安全提供物联设备边缘安全代理，IoT设备唯一身份绑定，设备安全状态监测提供安全可视化能力，实时监测和识别异常流量和行为，动态调整访问权限，隔离可疑被劫持设备以阻断风险扩散解决方案：物联网胖终端上可植入SDK提供零信任安全接入保护，瘦终端则在安全网关侧提供统一访问控制信任安全客户端软件在本地设备上开启安全隔离的访问环境，提供用户安全接入业务资源和管理后台，安全空间数据隔离和网络访问受控，阻断外发流转通道接入方式：访问方式：安全机制：解决方案：零信任安全平台统一接入，安全沙箱提供数据防护和双网隔离在本地设备上开启安全隔离的访问环境，提供用户安全接入内部关键业务资源，限制互联网连接，内部业务数据隔离和保护在安全沙箱，阻断外发流转通道接入方式：访问方式：零信任安全白皮书 14零信任系统中作为中控的安全访问控制引擎，是整个零信任安全控制的大脑中枢，平台通过在用户侧客户端的环境感知能力检测设备安全状态、测算健康值，结合用户认证、访问操作、时空环境状态来分析异常行为和检测攻击入侵，进行用户可信度评级评分，在控制中心的策略引擎进行运算决策，动态管制用户访问权限。平台提供五类评估策略模型，包括规则、统计、关联、基线和情报模型，从简单的规则式模型到使用智能算法的基线模型，有效支撑在信任评估运算中纳入用户账户、行为、网络、端点设备和接入环境的风险，从而在访问过程中及时识别异常行为、不合规设备或者攻击入侵的风险，动态调整访问权限，阻断或者提升认证强度，保护业务和数据安全。系统同时支持对用户、设备以评分和评级两种信任评估方式来进行控制，对于细颗粒管控提供有效支撑，平台具备500条模型内置库，开箱即用，并提供专家模式可供用户自行建设更多企业需要的模型，其开放式建模能力可对接任意三方安全设备日志信息，从而进行多维信息综合评估，进而在策略运行评估引擎决策计算，将处置动作指令下发到安全网关和安全终端，执行访问控制动作，如放行、阻断、二次认证、账号封禁等。动态访问控制引擎网宿安达SecureLink产品自2019年全面推向市场，是国内首个基于全球高速网络服务能力建设的零信任安全防护平台，以云原生平台提供统一云化服务。网宿零信任平台遵循CSA标准零信任SDP架构，系统组件包括安全客户端、安全网关和零信任控制台，采用控制面与数据面分离的架构，利用SPA隐身技术收敛网络暴露面，隐藏客户内部网络业务和资源数据，控制中心提供账户管理、认证、授权和审计能力，安全终端提供环境感知能力、接入统一门户和数据泄露防护，安全网关承载所有业务访问流量，识别处置各类威胁攻击，阻断敏感数据流出，通过安全策略引擎综合评估用户身份状态、用户异常行为、设备安全基线、环境风险因子，进而动态控制用户业务访问权限，以强大的动态评估计算引擎和细粒度访问控制策略提供访问接入安全可控的保障能力，保护内部业务和数据访问安全。第四章 网宿零信任安全实践4.1.网宿零信任平台能力隐藏业务系统，通过网络隐身抵御互联网渗透风险安全沙箱提供强隔离环境，不允许访问互联网，仅可连接内部业务网络和数据设备本地隔离保护业务数据，加密存储并限制外发安全机制：零信任安全白皮书 15网宿全球智能高速线路为用户提供随时随地的就近接入服务，其广泛分布的POP节点覆盖全球160+大中城市，打通各区域运营商线路，提供全面覆盖多地域的高质量网络连接，对于组织分布在全球各地的用户来说，可就近接入该网络从而获得优质的业务访问服务。平台具备智能选路能力，自动化探测网宿全球POP点路由，实时监测网络变化状况，通过AI算法计算最快访问路径，线路出现拥塞、故障时智能切换。通过路由优化、协议优化、路径优化、数据优化等多种广域网优化技术提高网络速度。平台网络服务可用性达99.95%，网络稳定性比传统VPN方案提升400%。基于平台底层网络加速的支持，将零信任安全接入与高速网络服务能力高度融合，无论SaaS服务和私有化部署零信任情况下，都能为客户提供加速网络接入，目前此支持能力为全球独家。强大的网络管控运营，调控保障用户的访问体验，解决时延和丢包问题，为企业提供基于业务、用户级的QOS控制，通过流量特征识别技术DPI，准确识别用户应用类型，基于流量控制策略，保障企业关键人员和关键业务高效支撑。用户级接入网络质量监测，及时发现和处置网络线路故障，保障最后一公里接入质量问题。全球高速接入网络平台为从用户终端到网关层提供全面的网络威胁防护能力，其中，网络流量安全检测、防御能力集成到边缘节点上，安全前移，向用户提供防火墙、IPS入侵防护、安全Web网关安全能力，抵御各类复杂的网络攻击。同时，在用户设备侧提供安全防护，对设备进行杀毒保护和漏洞扫描、修复。客户端可切换防御模式和采集模式两种，一方面作为独立终端安全防御设备为终端设备提供安全防护能力，可根据终端设备防护需求，采用全面防御或策略防御等多种模式；另一方面作为终端高精度采集探针，采集终端高价值设备信息、安全信息，并输入到零信任安全评估引擎中，实现企业整体零信任安全防御。网宿云平台支撑国内30%互联网流量，积累大量威胁情报，日常有效威胁库达3000万条规模，可帮助企业屏蔽各类恶意域名和IP，如钓鱼、挂马网站、僵尸网络等，并针对500余万流行病毒、5000余种漏洞利用攻击和1000余种间谍软件防护，是零信任安全网关过滤各类攻击和风险站点的坚实基础。平台内置网络应用识别库，支持互联网访问安全防护和控制，结合网宿边缘计算和网络能力优势，为互联网访问场景提供安全防护。网络威胁安全防御网宿零信任平台是业内首家集RBI、SWG和端点安全、和沙箱安全工作空间于一体的SasS化服务平台，在用户侧终端设备、安全边缘网关节点均提供DLP数据防泄露能力，保护企业数据的安全。安全工作空间在用户侧设备虚拟隔离的安全网络访问和办公环境，满足一机两用的政务、金融等行业合规要求。RBI远程浏览器隔离则提供轻量化Web资源安全访问通道，隔离威胁风险和网络渗透，支持指定URL数据防泄露保护零信任安全白皮书 16目标以RBI方式保护访问过程，提供数据不落地、复制禁止、定制水印等手段保护业务应用数据的安全。安全网关作为零信任访问的策略执行点和流量检测、转发承载点，以TLS协议加密传输数据流量，具备防篡改、抗重放安全防护能力