《零信任安全防护体系落地实践.docx》由会员分享，可在线阅读，更多相关《零信任安全防护体系落地实践.docx（12页珍藏版）》请在第壹文秘上搜索。
1、零信任安全防护体系落地实践新时代背景下，网络安全面临诸多新挑战。渤海银行参考国内外零信任相关标准及最佳实践，通过系统性研究和思考，以“打造基于零信任架构的生态银行体系”为目标，构建起具有渤海银行特色的零信任安全防护体系。该体系针对新时代金融行业网络安全防护的各种难点和痛点问题，既能够满足网络安全防护要求，保护企业与用户数据安全，又能平衡网络安全与业务发展之间的关系，助力银行实现业务增长与创新。一、新时代网络安全面临的挑战随着金融科技的发展，越来越多的商业银行将资源倾注到金融科技以及智能化转型升级上，新冠肺炎疫情下，转型升级提速。通过提供随处可用、无感泛在的金融服务，银行不再是一个“地点”，而是
2、一种“行为在远程办公、移动展业等业务场景，随时随地接入、自带设备使用带来网络安全风险，大量金融机构的业务数据留存在设备之上，一旦发生数据泄露会给金融机构带来重大影响。同时，随着金融行业数字化转型的深入，IT基础架构大量引入云计算、移动计算、大数据、人工智能等新兴技术，内外网络物理边界日趋模糊。传统的基于边界的防控理念已不能满足金融行业的IT安全需求。传统防控思维默认内网比外网安全，通过边界部署安全设备以达到安全保障的目标。在新技术冲击下，防御面指数级扩大，内外部网络边界交错，边界防护节点难以有效定位与防御。同时，攻击者的技术手段也在日益提升，比较典型的是高级持续性威胁（APT）组织，他们通常不
3、会正面进攻，而是以钓鱼邮件或从防御薄弱的分支机构迂回攻击等多种方式，绕过边界防护进入企业内部。在传统安全思维指导下，内网安全防御能力普遍不足，一旦边界被突破，攻击者往往能在整个企业内部自由移动，最终达到攻击目的。二、零信任安全防护体系规划为解决上述网络安全问题，零信任安全架构（ZeroTrustArChiteCtUre,ZTA）应运而生。渤海银行经过系统性研究，制定了具有自身特色的零信任安全防护体系建设规划（如图1所示），以用户持续验证、应用主动安全为主线，以零信任网络架构为抓手，从用户安全风险和应用数据安全风险两个方面开展零信任安全防护体系建设工作。终端安全可信零信任客户端安全客户揣安全浏览
4、器安全沙箱终端安全防护杀毒软件终端EDR移动安全户求同用-用清访应用访安转一用户安全风险无限趋近于O图1渤海银行零信任安全防护体系在用户安全风险方面，用户终端通过零信任客户端和终端安全防护套件实现终端设备/应用/数据安全可信；通过零信任网络的身份认证和智能用户行为分析，实现终端用户身份和行为安全可信；通过应用安全开发与应用安全验证确保用户访问的资源安全可信无漏洞，最终实现用户安全风险无限趋近于0。在应用安全风险方面，从应用上线前的安全设计、开发、测试等环节实现应用全生命周期安全可信；在应用运行中，通过基于身份的微隔离技术实现基础设施/应用之间的安全访问控制；通过应用验证与防护技术实现应用安全风
5、险的发现及异常访问阻断，最终实现应用安全风险无限趋近于0。三、零信任安全防护体系建设实践在充分评估实际业务需求和应用场景的基础上，渤海银行零信任安全防护体系建设与实践采取因地制宜、循序渐进的策略，不贪大求全，而是讲究技术应用的实效，通过选择适宜的场景一步步由浅入深实施，打造零信任技术设施，积累集成经验，由关键边界、办公网逐步向核心业务面和生产网的零信任迁移。实施路径主要分为三个阶段（如图2所示）。能力规划零信任能力微服务间认证授权 基于身份微隔离访问控制 SDP技术架构 统一身份管理IAM 终端安全沙箱 零信任客户端远程办公移动办公 持续验证，动态授权 远程办公VPN升级零信任 数据安全管控与
6、审计 移动办公零信， 安全高效开展;动业务图2零信任安全防护体系建设路径第一阶段：远程办公验证零信任概念，加强数据安全管控与审计从场景规划角度看，渤海银行优先选择安全风险较高,且因疫情使用频率很高的远程办公场景进行零信任概念验证与落地。结合疫情期间总行部门和分行机构远程办公，以及总部机构业务连续性的需求，渤海银行提出了虚拟专用网络(VPN)升级零信任安全方案，在原来VPN技术架构基础上引入零信任技术，增强远程办公在工作环境安全、人员安全、终端设备安全、数据传输安全、边界入口安全以及应用访问安全等方面的监测和防护能力。渤海银行办公零信任安全方案基于软件定义边界(SDP)技术，对接入用户采用多因素
7、强认证手段，对接入终端进行安全准入核查，并提供持续的信任评估；提供动态权限管理与访问控制能力，实现基于网络环境、操作系统、应用软件等元素的动态权限调整；采用控制面和数据面分离设计，缩小应用资源暴露面，精细化资源访问策略，提供稳定性强、可用性高、可扩展的安全管控架构。升级后的零信任安全办公方案在为业务部门提供便利、敏捷服务的同时，更好地增强了安全防护能力，已在全行大规模推广使用。零信任安全办公方案如图3所示。图3零信任安全办公方案示意由于远程办公大量业务数据会保存在办公终端上，为提升终端数据保护能力，满足行内员工在日常工作中对数据的访问和使用需求，渤海银行建设了零信任终端安全沙箱。零信任安全沙箱
8、是通过在终端上创建一个与原桌面环境完全逻辑隔离的环境，实现对沙箱中运行软件的操作管控。通过对沙箱中存储的文档与数据进行加密隔离，实现终端用户与数据安全可信。用户访问沙箱资源时，必须连接到沙箱的零信任安全系统并完成认证，充分体现了“身份即边界”的零信任理念。第二阶段：移动业务等场景接入零信任体系，安全高效开展移动化业务在第一阶段完成零信任概念验证和基础设施建设的基础上，渤海银行正在逐步分场景和业务开展接入零信任安全防护体系的实践。从场景规划角度看，渤海银行正在开发的新版掌上移动应用平台需要具备在移动办公过程中用到的多种功能，主要包括审批、即时通信、音视频、客户关系管理、财资管家等，在开发过程中依
9、赖协调开发平台、智能语音转写、移动办公引擎等底层技术来实现。其中移动安全是不可缺少的安全保障，如何在移动办公过程中保障手机上的应用和数据存储安全、使用安全、传输安全，同时又不泄露用户隐私，是银行相关部门在移动应用开发过程中必须考虑的问题。通过对移动安全技术的研究和调查，渤海银行决定采用在第一阶段经过充分验证的安全沙箱结合SDP技术的零信任安全架构，以实现零信任接入、终端安全验证与数据安全边界等安全需求。其中，移动安全沙箱能够在手机等移动终端上实现沙箱内办公应用和个人应用的安全隔离，个人应用无法访问沙箱内的办公应用和办公数据。沙箱内能够实现应用级数据安全防护，对应用进行快速安全赋能，包括移动水印
10、、截屏/录屏管控、外发分享管控、复制粘贴管控、文件透明加解密等功能，能够有效保障移动端的数据安全。在网络架构层面，同样利用基于零信任理念的SDP技术，实现控制面和数据面分离，通过先认证再连接的二次敲门机制，对未认证终端、用户隐藏应用进行隐形信任消除，全面实现多因素认证、最小化授权、智能持续检测、传输加密等机制，建立“端”“网”云”三位一体的移动零信任安全解决方案（如图4所示）。零信任控带终端终端第一次敲门控制器检g未授权应J网关检验客户端后开门，授权网络用户可见网关所有应用隐身图4移动零信任安全方案示意第三阶段：生产网络零信任实践，保障银行新核心业务安全可信目前，行业内大多在办公网采用零信任的
11、安全管理方法,但是对于内部更重要的生产网及核心业务管控，则很少有银行根据新一代的网络架构真正进行零信任的落地。渤海银行在充分验证和实践零信任安全架构体系的基础上，将零信任和云原生安全进行充分结合，在新核心系统建设过程中进行规划，构建基于身份的微隔离零信任安全架构，使用身份进行微服务网络微隔离，缩小网络攻击面，以提高生产网的安全防御水平。具体设计思路如下：首先，渤海银行新核心系统采用微服务架构，在新核心系统建设过程中会将外部客户、内部用户、应用账户的身份信息与权限进行集中梳理与管控,并通过统一身份管理平台IAM系统进行统一用户身份认证与访问管理，为微服务的认证授权与访问控制打下基础。其次，借鉴云
12、原生ServiceMesh的思想，将微服务的认证、授权与访问控制任务下沉至每个微服务的SideCar代理中，并通过微服务管理平台的策略配置对各微服务的认证、授权与访问控制策略进行管理。最后，通过云原生微服务管理平台、API网关与IAM系统的对接，实现微服务应用之间基于身份的认证授权与精细化访问控制。基于身份的微隔离零信任架构如图5所示。PodPodPod应用代码微服务A微服务B云原生基础设施17层携带用户身吩SideCar代理SidecarftS：L3/4M潸带及用胃吩图5基于身份的微隔离零信任架构基于身份的微隔离零信任方案将从架构层面给渤海银行带来如下好处。一是微服务的管理者能够精确地控制哪
13、些服务可以和哪些APl进行通信。机器、服务、员工都有自己的身份和明确的访问权限，能够有效避免核心网络中越权访问的发生。二是微服务之间的通信能够进行两层的认证、鉴权能力的建设，在L3/4网络通信层面附加应用身份，保证连接级别认证、鉴权与加密；在L7应用通信层面通过身份管理中心IAM附加用户身份，保证应用请求级别的认证、鉴权。三是微服务Sidecar代理随业务工作负载部署，其安全能力可以随着业务的弹性扩缩容自动部署，且安全能力与业务代码解耦，对业务系统无侵入性。四、结语零信任安全防护体系建设并不是一蹴而就的，需要持续改进，不断完善。渤海银行将通过以上三个阶段的实践建立起以SDP、IAM微隔离为核心技术的零信任安全基础架构和体系规范，并在后续的零信任安全防护体系运行过程中不断完善、优化零信任安全策略，增强持续安全监控的准确性,提高动态授权管理的精细化与自动化程度，真正践行“永不信任、持续验证”的零信任安全理念。
