零信任身份治理保障遠程辦公安全

員工、外包人員、合作伙伴等各類人員，使用家用PC、個人移動終端、企業(yè)管理設備等，從任何時間、任何地點遠程訪問業(yè)務。各種接入人員的身份和權限管理混亂，弱密碼屢禁不止；接入設備的安全性參差不齊，接入程序漏洞無法避免等，帶來極大的風險。

企業(yè)資源可能位于企業(yè)內(nèi)網(wǎng)服務器，也可能被企業(yè)托管在公有云上的數(shù)據(jù)中心；企業(yè)服務通常需要在不同的服務器之間交互，包括部署在內(nèi)網(wǎng)、公有云、私有云中的服務器。一個典型的場景，公有云上的網(wǎng)站服務器與內(nèi)網(wǎng)應用程序服務器通信后，應用程序服務器檢索獲得內(nèi)網(wǎng)數(shù)據(jù)，返回給網(wǎng)站服務器。資源信息基礎設施與應用服務之間的關系越復雜，引入的系統(tǒng)風險越高。

在遠程辦公過程中，企業(yè)的業(yè)務數(shù)據(jù)會在不同的人員、設備、系統(tǒng)之間頻繁流動，原本只能存放于企業(yè)數(shù)據(jù)中心的數(shù)據(jù)也不得不面臨在員工個人終端留存的問題。同時，數(shù)據(jù)移動增加了數(shù)據(jù)“意外”泄露的風險，安全措施相對較弱的智能手機頻繁訪問企業(yè)數(shù)據(jù)也將對企業(yè)數(shù)據(jù)的機密性造成威脅。

SDP旨在通過軟件的方式，在移動+云的時代背景下，為企業(yè)構建起一個虛擬邊界，利用基于身份的訪問控制機制，通過完備的權限認證機制，為企業(yè)應用和服務提供隱身保護，使網(wǎng)絡黑客因看不到目標而無法對企業(yè)的資源發(fā)動攻擊，有效保護企業(yè)的數(shù)據(jù)安全，核心功能包括SPA單包認證、MTLS雙向加密、網(wǎng)絡代理、風險控制、資源隱藏等。

階段一：對設備、賬號、應用的信任鏈進行鑒權，通過后建立SSL雙向加密會話；

階段二：每一次對資源的請求，需要重走鑒權階段進行重新鑒權，如果過程中發(fā)現(xiàn)變化會禁止對資源的訪問，資源訪問方式由web網(wǎng)關進行轉發(fā)。

SDP方式實現(xiàn)取代傳統(tǒng)VPN方式遠程接入模式不再僅基于網(wǎng)絡邊界進行信任訪問，而以用戶為中心進行賬號、設備、應用的權限關系進行安全考量，其SDP優(yōu)勢主要體現(xiàn)在以下方面：

移動設備及應用通過SPD網(wǎng)關實現(xiàn)認證接入，主要由API網(wǎng)關進行設備信息的認證、被訪問移動應用的權限鑒別和風險分析；

被訪問移動應用主要針對統(tǒng)一移動門戶、獨立APP、H5頁面進行業(yè)務邏輯關系的微隔離分組，確保東西流量的安全保障機制。

使用SDP，運維管理人員可以由運維網(wǎng)關安全的向經(jīng)過認證和授權的選定業(yè)務用戶開放服務器端口（如22、23、3389等端口），對于其它用戶，服務器則保持不可見；

使用SDP，可減少維護VDI基礎架構的成本，為運維管理人員節(jié)省日常遠程登錄桌面的步驟， IT基礎設施的預算也隨之減少。

用戶信息的創(chuàng)建、刪除、禁用/恢復、信息修改、口令設置、信息查詢等功能；支持模糊查詢；支持用戶信息的導入、導出；可與內(nèi)部流程管理平臺集成。IAM平臺通過與上游人事系統(tǒng)的無縫對接定期同步人員變更（入職、變更、離職）的信息，并通過IAM平臺實現(xiàn)集中對外部用戶的管理，達到構建權威人員身份數(shù)據(jù)源的目的。實現(xiàn)以人為中心對員工入職，崗位調(diào)整，離職，外部用戶的入場、離場等對應的身份生命周期的統(tǒng)一管理。

通過統(tǒng)一訪問控制，各應用系統(tǒng)實現(xiàn)用戶統(tǒng)一認證與控制，要能夠提供統(tǒng)一的認證方式和認證等級的管理；不同認證方式下的不同種類的認證憑證管理（靜態(tài)口令、動態(tài)口令、證書等），包括認證憑證的完整的生命周期管理和用戶使用認證憑證的管理流程；提供與認證相關的統(tǒng)一的認證策略，以滿足不同系統(tǒng)認證服務的業(yè)務規(guī)則的需要。

提供完整的模型體系，支持RBAC、ACL、ABAC、TBAC等多種權限模型，實現(xiàn)訪問控制的主體、客體、環(huán)境、行為的相關屬性作為策略依據(jù)，對系統(tǒng)內(nèi)部實體安全進行統(tǒng)一建模，通過屬性關系的定義來描述授權和訪問控制約束，進而支持細粒度和大規(guī)模的訪問控制。

提供風險自適應、數(shù)據(jù)存儲、風險引擎識別及數(shù)據(jù)聚合功能，實現(xiàn)針對遠程辦公過程中的已知和未知風險威脅、賬號失陷監(jiān)測、身份欺詐、滲透攻擊、賬號異常登錄、惡意行為攻擊、非可信設備檢查等場景應用和分析。

引入特權管理模式，通過“多人制衡”的方式對高權限登錄及高風險操作進行監(jiān)督和控制,針對不同業(yè)務場景，通過策略配置建立操作人員、運維場景、協(xié)同操作人員的綁定關系。

通過實施“從不信任并始終驗證”，不同類型用戶只能按照預先確定的信任級別，訪問預先申請的企業(yè)資源，未預先申請的企業(yè)資源將無法被訪問，阻止企業(yè)內(nèi)部“漫游”情況。

在實施“按需受控訪問”的基礎上，有效整合資源保護相關的數(shù)據(jù)加密、網(wǎng)絡分段、數(shù)據(jù)防泄露等技術，保護應用資源、數(shù)據(jù)在網(wǎng)絡中的傳輸和存儲，并優(yōu)先保護高價值資源。

用戶通過訪問認證之前，資源對用戶隱身；即便在用戶通過訪問認證和授權，成功進入網(wǎng)絡以后，零信任架構也將阻止用戶漫游到未經(jīng)授權的區(qū)域。零信任思維從根本上降低了外部（互聯(lián)網(wǎng)可發(fā)現(xiàn)）和內(nèi)部（內(nèi)部威脅）攻擊面。

零信任架構中，用戶只能按需獲得有限訪問權限，有助于限制違規(guī)操作、業(yè)務中斷、安全漏洞等的危害范圍和危害后果，降低了補救成本。

零信任架構終結了安全防護手段各自為政的現(xiàn)狀，在零信任架構實施時，可以通過與現(xiàn)有工具的集成，大幅度降低零信任潛在建設成本；零信任的“無邊界信任”思想減少了VPN的使用，簡化了運營模式，縮減了安全管理成本。