零信任身份治理保障遠端辦公安全

隨著業務全球化趨勢擴充套件，越來越多企業的業務架構開始呈現分散的狀態，遠端辦公成為當下的主旋律。但在遠端辦公過程中，辦公裝置、網路環境等都發生了改變，因此，如何更好的保障企業內部應用資料安全，成為各個企業所關注的熱點。

遠端辦公嚴峻形勢與挑戰

根據相關資料，遠端辦公需求在2020年初迎來爆發式增長，超兩億職場人士線上協同辦公。同時，隨著企業的全球化、以及網際網路等新技術的發展，越來越多的企業在全球各地開展業務，開設分支辦事處，員工分散在全球各地、頻繁外出、出差，需要訪問企業的系統進行遠端辦公，而遠端辦公模式的常態化，也給企業的資料安全帶來了一定的挑戰。

01

接入人員和裝置的多樣性增加

員工、外包人員、合作伙伴等各類人員，使用家用PC、個人移動終端、企業管理裝置等，從任何時間、任何地點遠端訪問業務。各種接入人員的身份和許可權管理混亂，弱密碼屢禁不止；接入裝置的安全性參差不齊，接入程式漏洞無法避免等，帶來極大的風險。

02

企業資源暴露程度大幅度增加

企業資源可能位於企業內網伺服器，也可能被企業託管在公有云上的資料中心；企業服務通常需要在不同的伺服器之間互動，包括部署在內網、公有云、私有云中的伺服器。一個典型的場景，公有云上的網站伺服器與內網應用程式伺服器通訊後，應用程式伺服器檢索獲得內網資料，返回給網站伺服器。資源資訊基礎設施與應用服務之間的關係越複雜，引入的系統風險越高。

03

資料洩露和濫用風險大幅增加

在遠端辦公過程中，企業的業務資料會在不同的人員、裝置、系統之間頻繁流動，原本只能存放於企業資料中心的資料也不得不面臨在員工個人終端留存的問題。同時，資料移動增加了資料“意外”洩露的風險，安全措施相對較弱的智慧手機頻繁訪問企業資料也將對企業資料的機密性造成威脅。

零信任遠端辦公場景分析

近年來外部攻擊的規模、手段、目標等都在演化，有組織的、武器化的、以資料及業務為攻擊目標的高階持續攻擊屢見不鮮。利用遠端辦公找到漏洞，突破企業邊界後進行橫向移動訪問，成為最常見和最有效的攻擊手段之一。

常見遠端接入的方式主要有兩種，一種是透過埠對映將業務系統直接在公網上開放；另一種是使用VPN打通遠端網路通道。各組織都在對自己的安全邊界進行“加固”，儘量使用VPN遠端接入而非直接開放業務埠，增強威脅檢測的能力等等。然而，這些手段基本上可以視作是傳統的邊界安全方案上的單點增強，難以系統性緩解遠端移動辦公帶來的安全威脅。攻擊者可以輕易利用弱密碼破解或撞庫，透過VPN進入內網，甚至可以利用VPN漏洞、業務系統漏洞直接進行滲透，突破企業邊界，最終竊取有價值的資料資產。

零信任安全架構針對遠端辦公應用場景，不再採用持續強化邊界的思維，不區分內外網，針對核心業務和資料資產，梳理訪問這些資產的各種訪問路徑和場景，在人員、裝置和業務之間構建一張虛擬的、 基於身份的邏輯邊界，針對各種場景構建一體化的零信任動態訪問控制體系.

零信任遠端辦公解決方案

派拉零信任身份安全系統是基於“零信任”架構，整合賬戶管理、統一認證、訪問授權、集中審計、特權管理、應用安全等，實現遠端辦公安全管理功能和服務。

01

SDP實現遠端服務隱私與減少攻擊

SDP旨在透過軟體的方式，在移動+雲的時代背景下，為企業構建起一個虛擬邊界，利用基於身份的訪問控制機制，透過完備的許可權認證機制，為企業應用和服務提供隱身保護，使網路駭客因看不到目標而無法對企業的資源發動攻擊，有效保護企業的資料安全，核心功能包括SPA單包認證、MTLS雙向加密、網路代理、風險控制、資源隱藏等。

02

SDP取代傳統VPN方式遠端接入

階段一：對裝置、賬號、應用的信任鏈進行鑑權，透過後建立SSL雙向加密會話；

階段二：每一次對資源的請求，需要重走鑑權階段進行重新鑑權，如果過程中發現變化會禁止對資源的訪問，資源訪問方式由web閘道器進行轉發。

SDP方式實現取代傳統VPN方式遠端接入模式不再僅基於網路邊界進行信任訪問，而以使用者為中心進行賬號、裝置、應用的許可權關係進行安全考量，其SDP優勢主要體現在以下方面：

對比項	傳統模式VPN	SDP
架構	網路為中心	以使用者為   中心
可配置性	單獨配置	可統一配   置
可訪問性	一經接入，對網路有全部許可，完全基於許可權訪問資源	僅限於可訪問的應用，其它資源不可見
可擴充套件性	需採購大量裝置和許可	無需昂貴裝置
可管理性	複雜，需要處理不同的防火牆和VPN接入策略	簡單，集中統一管理接入策略
成本	高	低

03

SDP實現移動裝置及應用遠端接入

移動裝置及應用透過SPD閘道器實現認證接入，主要由API閘道器進行裝置資訊的認證、被訪問移動應用的許可權鑑別和風險分析；

被訪問移動應用主要針對統一移動門戶、獨立APP、H5頁面進行業務邏輯關係的微隔離分組，確保東西流量的安全保障機制。

04

SDP實現運維管理應用遠端接入

使用SDP，運維管理人員可以由運維閘道器安全的向經過認證和授權的選定業務使用者開放伺服器埠（如22、23、3389等埠），對於其它使用者，伺服器則保持不可見；

使用SDP，可減少維護VDI基礎架構的成本，為運維管理人員節省日常遠端登入桌面的步驟， IT基礎設施的預算也隨之減少。

05

遠端辦公使用者身份管理與訪問控制

使用者資訊的建立、刪除、禁用/恢復、資訊修改、口令設定、資訊查詢等功能；支援模糊查詢；支援使用者資訊的匯入、匯出；可與內部流程管理平臺整合。IAM平臺透過與上游人事系統的無縫對接定期同步人員變更（入職、變更、離職）的資訊，並透過IAM平臺實現集中對外部使用者的管理，達到構建權威人員身份資料來源的目的。實現以人為中心對員工入職，崗位調整，離職，外部使用者的入場、離場等對應的身份生命週期的統一管理。

透過統一訪問控制，各應用系統實現使用者統一認證與控制，要能夠提供統一的認證方式和認證等級的管理；不同認證方式下的不同種類的認證憑證管理（靜態口令、動態口令、證書等），包括認證憑證的完整的生命週期管理和使用者使用認證憑證的管理流程；提供與認證相關的統一的認證策略，以滿足不同系統認證服務的業務規則的需要。

06

遠端辦公使用者身份一體化許可權管理

提供完整的模型體系，支援RBAC、ACL、ABAC、TBAC等多種許可權模型，實現訪問控制的主體、客體、環境、行為的相關屬性作為策略依據，對系統內部實體安全進行統一建模，透過屬性關係的定義來描述授權和訪問控制約束，進而支援細粒度和大規模的訪問控制。

07

遠端辦公使用者UEBA行為分析與審計

提供風險自適應、資料儲存、風險引擎識別及資料聚合功能，實現針對遠端辦公過程中的已知和未知風險威脅、賬號失陷監測、身份欺詐、滲透攻擊、賬號異常登入、惡意行為攻擊、非可信裝置檢查等場景應用和分析。

08

遠端辦公運維使用者特權賬號管控

引入特權管理模式，透過“多人制衡”的方式對高許可權登入及高風險操作進行監督和控制,針對不同業務場景，透過策略配置建立操作人員、運維場景、協同操作人員的繫結關係。

零信任遠端辦公業務價值

01

構建更安全的遠端辦公網路

透過實施“從不信任並始終驗證”，不同型別使用者只能按照預先確定的信任級別，訪問預先申請的企業資源，未預先申請的企業資源將無法被訪問，阻止企業內部“漫遊”情況。

02

增強對企業應用和資料的保護

在實施“按需受控訪問”的基礎上，有效整合資源保護相關的資料加密、網路分段、資料防洩露等技術，保護應用資源、資料在網路中的傳輸和儲存，並優先保護高價值資源。

03

大面積減少攻擊暴露面

使用者透過訪問認證之前，資源對使用者隱身；即便在使用者透過訪問認證和授權，成功進入網路以後，零信任架構也將阻止使用者漫遊到未經授權的區域。零信任思維從根本上降低了外部（網際網路可發現）和內部（內部威脅）攻擊面。

04

減少違規行為的影響

零信任架構中，使用者只能按需獲得有限訪問許可權，有助於限制違規操作、業務中斷、安全漏洞等的危害範圍和危害後果，降低了補救成本。

05

縮減安全管理成本和潛在建設成本

零信任架構終結了安全防護手段各自為政的現狀，在零信任架構實施時，可以透過與現有工具的整合，大幅度降低零信任潛在建設成本；零信任的“無邊界信任”思想減少了VPN的使用，簡化了運營模式，縮減了安全管理成本。

傳統保護網路安全的方式是先訪問後認證，而零信任理念則是先認證後訪問，零信任的安全理念是建立在身份驗證、裝置驗證、網路隔離和訪問控制的基礎上，是保護應用資料的關鍵。並且，零信任在解決遠端辦公的同時，避免了網路攻擊對企業的應用、資料資產造成威脅，是企業解決遠端辦公的極好選擇。