零信任实战案例|“无边界可信访问”为某央企构建数字化业务系统安全

在过去，企业的网络服务器和办公设备都在内网，一切的安全都是围绕着内网的“墙”来建设。

而随着云计算、大数据、物联网等新兴技术的不断兴起，企业IT架构正在从“有边界”向“无边界”转变，不再区分内外网。无论应用服务器在哪里，无论用户在什么时间、什么地点、使用什么设备，都能安全访问其权限内的数据。

基于以上背景，零信任安全逐渐进入人们的视野，成为解决新时代网络安全问题的新理念、新架构。零信任是一种新的安全架构，它基于网络安全的一个基本原则：网络边界不再是安全边界，不信任任何一个主机或者用户。简单来说，零信任的基本思想就是不相信任何人或任何设备，要求所有的用户、设备和网络都必须进行验证和授权后才能够获得访问权限。

一TA是谁

该公司是某国有重要骨干企业全资企业，为国内管理规模较大的影响力投资机构。伴随数字化时代发展，传统混合办公方式已经无法满足新IT架构的变化，在加快业务转型升级的同时，如何确保数字化业务系统的安全性是该企业实现快速发展的当务之急。

 

二艰难险阻，内外交困

该公司应用系统建设在阿里云，网络边界模糊，部分应收敛至内网的应用因需要满足移动端随时办公的需求，将应用端口暴露在互联网侧。其中OA系统除了日常办公外，还是一个统一SSO认证中心，关联其他应用系统多达十几个。在某次大型攻防演练活动中，因OA系统爆发0day漏洞，出现较严重安全事件。

用户急需一个能满足以下几点需求的方案：

1. 收敛暴露面，能够在应用系统存在0day、Nday等漏洞时保障业务的安全和稳定运行。
2. 不改变现有的架构，实现所有系统的统一权限管理，企业员工的快速接入。
3. 需要随时随地能够远程办公。
4. 尽量做到在身份认证环节简单，对用户使用习惯改变小。

该企业第一时间寻求通过接入VPN方式进行破局，但内部评估VPN存在以下缺陷最终放弃方案：

#VPN产品无一例外，都需要开放网络端口进行监听，这无疑是门户洞开。因为攻击者可以全天候地对VPN进行密码爆破、注入攻击尝试等，并往往能够轻易得逞。

#VPN产品提供网络隧道接入能力，用户拨通VPN后，事实上就和内网在网络层面打通了。用户终端上的恶意软件，意图不轨的用户都可以肆无忌惮的对内网资源进行访问和窃取。

#VPN产品漏洞层出不穷。攻击者利用VPN漏洞能够轻易绕过VPN用户验证，直接进入VPN后台。VPN变成渗透内网的跳板，攻击者可以进行肆意横向移动。

# VPN产品采用静态认证方式，安全性弱。缺乏终端认证、自适应多因子认证等能力；VPN一次认证始终访问的工作模式无法在用户访问过程中持续验证用户身份和终端是否可信。

三安全狗零信任方案冲破迷阵

安全狗零信任方案可为用户提供零信架构中“无边界可信访问”的核心能力。基于“从不信任、始终校验”的架构，重构企业安全能力建设，将过去的基于网络边界的模型，转变为以身份为核心的新的安全边界，帮助企业桥接新旧服务、再统一管控，最终将服务开放，供企业员工、合作伙伴、供应商等人员远程访问。

 

四多种功能为用户提供价值

1应用系统接入零信任，收敛暴露面

进行资产收集，将所有的应用系统接入零信任，并关闭互联网映射端口。

2IDP身份认证源

该公司使用钉钉软件作为内部通讯工具，延用钉钉账号体系作为IDP身份认证源。

3单一认证源免认证

在移动设备上直接实现单一认证源免认证，和用户原有的认证体系无缝对接，实现移动办公无感知接入零信任完成可信访问，满足企业员工移动端随时办公的需求。

4按需授权，实现统一授权管理

对访问行为进行精细化访问控制，实现人员对数据“可用可见、不可用不可见”等状态的统一授权管理，防止恶意用户的横向攻击，在实现数据要素流通的同时保护企业核心数据和个人隐私数据。

 

五方案成功落地，行之有效

通过安全狗零信任安全解决方案，实现了企业“零安装、零等待、零更新” ，随时随地开展远程办公。对应用程序存在的漏洞影响进行了有效的规避，最大限度地减少因为安全漏洞的频发引起的业务中断、数据泄露等问题，保障了企业的业务安全稳定运行。

目前，安全狗零信任方案为包括国家部委、地方政府、央企、国企、世界500强、独角兽企业等在内的多个行业用户在大型攻防演练实战以及敏感时期的网络重保、日常的远程办公等多个场景中发挥了重要作用。未来，安全狗将持续护航千行百业用户的网络安全。