MSP精華實錄|基于零信任的移動業務安全防護體系建設方案

需求場景

随著(zhe)企業數字化轉型的加速，遠程辦公、移動辦公和混合辦公模式越來越普遍，因此企業大部分資源會(huì)放在雲上，但僅依靠網絡邊界的方式，會(huì)使得效率變得低下，同時(shí)也會(huì)給企業帶來一系列互聯網安全風險。面(miàn)對(duì)網絡安全威脅變化和網絡邊界泛化模糊的新形勢，以“從不信任，始終驗證”爲基本原則的零信任架構應運而生。美國(guó)國(guó)家标準與技術研究院（NIST）將(jiāng)零信任安全定義爲“一組不斷發(fā)展的網絡安全範式，將(jiāng)防禦從靜态的、基于網絡邊界轉移到關注用戶、資産和資源的領域”。

需求分析

· 随著(zhe)企業的發(fā)展，員工數量也在逐年增加，組織架構和人員結構可能(néng)存在較爲複雜的情況，員工信息化水平參差不齊，可能(néng)導緻訪問權限被(bèi)濫用。爲保證用戶在系統安全策略下正常工作，拒絕合法用戶越權的服務請求和非法用戶的非授權訪問請求，需要進(jìn)行細粒度的授權管理，進(jìn)而确保人員和設備都(dōu)是安全可信的。

· 企業移動業務不斷開(kāi)展，網絡暴露面(miàn)逐漸增多，先建立連接再進(jìn)行用戶認證的傳統網絡通信防護方式，存在較多的安全風險，如端口惡意掃描和拒絕服務攻擊等，需要收斂暴露面(miàn)減少攻擊面(miàn)，建設先認證再連接的網絡安全隧道(dào)，保障移動業務網絡通信的機密性和完整性。

· 企業員工使用個人自帶設備進(jìn)行移動辦公時(shí)，移動應用會(huì)運行在複雜的環境中，風險威脅可能(néng)随時(shí)發(fā)生，從而無法保障移動應用的安全可靠運行，也不能(néng)及時(shí)根據風險情況動态調整用戶授權和訪問控制狀态，需要按照零信任理念，構建持續監測機制和動态調整訪問權限的能(néng)力。

· 一般企業對(duì)于日益嚴峻的移動安全威脅，雖然采用了一些安全防護手段，但基本是單一的、孤立的，缺乏整體的、統一的全生命周期防護，不能(néng)形成(chéng)基于移動終端、移動應用和通信網絡的縱深防護體系，更不能(néng)對(duì)移動業務敏感數據進(jìn)行全生命周期保護，無法做到基于零信任的持續檢測與響應的長(cháng)效動态機制。

解決方案

新冠疫情的影響，導緻企業遠程辦公需求激增，上訊信息結合實際的應用場景，對(duì)傳統的邊界防護體系進(jìn)行改造升級，構建更加适應企業業務發(fā)展的零信任移動安全防護體系，通過(guò)提供安全可信訪問、網絡安全傳輸、持續信任評估和動态訪問控制等能(néng)力，保障企業移動業務安全高效開(kāi)展。

· 安全可信訪問：采用單包敲門技術，實現系統自身網絡和業務應用隐藏，僅允許可信設備及應用的授權用戶看到并訪問被(bèi)保護的業務服務，收斂網絡暴露攻擊面(miàn)，提升移動業務訪問防護強度。

· 網絡安全傳輸：針對(duì)移動應用APP訪問業務服務，采用應用級雙向(xiàng)認證安全隧道(dào)技術，以及基于用戶、設備、應用、微應用、服務和接口的細粒度最小化授權，保障移動業務通信安全。

· 持續信任評估：基于ATT&CK威脅框架，針對(duì)多端設備、用戶、應用和網絡，實時(shí)監測風險IOC和IOA指标，持續進(jìn)行多維度、智能(néng)化關聯分析和信任評估，并動态調整權限以及聯動響應處置。

· 動态訪問控制：從終端用戶、終端設備、移動應用和網絡通信維度，進(jìn)行持續性威脅風險監測，感知移動業務整體安全态勢，實時(shí)評估可信程度，實現一體化細粒度的動态訪問控制體系。

· 全生命周期防護：基于零信任安全架構，結合平台安全檢測、安全加固、安全沙箱、設備管理等移動安全防護能(néng)力，提供移動用戶、移動應用、網絡通信、業務數據等方面(miàn)的全周期防護。

方案優勢

上訊信息移動安全防護方案，遵循零信任安全架構，采用檢測與響應的自适應機制，通過(guò)安全檢測加固、設備安全管控、安全沙箱隔離、風險威脅監測、安全隧道(dào)通信和數據洩露防護等功能(néng)，構建一體化、自動化、全周期的零信任移動安全防護體系，實現移動業務的全周期安全防護，保障移動業務的安全運行和高效開(kāi)展。