避免MITRE攻击，零信任才是安全盾 MITRE ATT&CK（MITRE Adversarial Tactics, Techniques, and Common Knowledge）于2015年发布，是网络攻击者战术和技术的综合框架或知识库。该框架由MITRE组织开发，可供CISO、安全团队、红队人员和威胁猎手用来评估他们的攻击面并构建更好的安全模型，以便他们采取相关的安全措施。 而且，在近年的攻防演练中，该攻击模型也逐渐被应用。今天，我们为大家简析如何使用零信任安全模型保护自己免受MITRE攻击和攻击，完成“以攻促防、以防止攻”的整个过程。 MITRE攻击战术和技术 我们先了解一下MITRE ATT&CK框架，才能更针对性的明晰零信任模型如何解决攻击问题。MITRE ATT&CK框架目前涵盖了14种后续战术: 图 MITRE ATT&CK框架图 侦察-为网络攻击收集信息 资源开发-获取和建立资产以准备攻击 初始访问-在网络中获得初步立足点 执行-尝试运行恶意代码 持久性-保持访问不受中断和重启的影响，例如通过劫持代码 权限提升-获得更高级别的权限 防御规避-避免检测，例如通过禁用安全软件 凭证获取-窃取帐户名和密码 探索发现-获得有关系统的知识以规划后续步骤 横向运动-探索网络、进入和控制系统 收集信息-收集有价值的数据，通常用于窃取 命令和控制-与受感染的系统通信以控制它们 渗透-从网络中窃取数据 影响-操纵、中断和破坏系统和数据的技术 这些战术中的每一种目前都包括6-37种攻击技术，其中一些技术还包括子技术。例如，网络钓鱼是“初始访问”策略中的一种技术。它包括三个子技术：鱼叉式网络钓鱼附件、鱼叉式网络钓鱼链接和通过服务进行的鱼叉式网络钓鱼。 MITRE攻击和零信任 零信任是一种专注于用户、资产和设备而不是边界的安全模型。ZT原则假定没有隐含的信任。因此，零信任架构将基于用户和设备的身份验证和授权，而不是基于其物理或网络位置来授予对资产和网络的访问权限。 零信任是MITRE推荐的安全方法，因为它创建了阻止攻击的访问限制。通过将安全资源尽可能靠近最终用户，零信任可以在侦察阶段阻止大多数对手。这意味着在零信任的情况下，攻击者永远不会进入网络。 侦察是MITRE ATT&CK框架的第一阶段。零信任通过隐藏网络和阻止攻击者的可见性来防止主动扫描和收集主机信息。防止网络攻击者进入下一阶段可显着减少任何实施零信任的组织的攻击面。 此外，对于已经在网络内部的黑客，零信任可以帮助防止其余13种策略中的许多攻击技术。 初始访问-许多攻击者通过VPN进入企业网络。通过替换VPN，零信任最大限度地减少了攻击面。此外。零信任通过添加MFA和实时监控来阻止使用被盗凭据的能力。 执行、持久性和权限提升-零信任过滤和限制API访问和主机命令，以防止恶意代码运行。 防御规避-零信任通过会话记录、转录和请求日志提供完全可见性。通过添加日志，存在能够检测用户操作的信息。 凭证获取-零信任使用MFA保护用户帐户并提供端到端加密以防止MITM。 横向移动-零信任通过阻止网络访问和提供服务分段来减轻横向移动，因此用户只能获得对特定应用程序的代理访问。 收集信息-零信任提供了缓解控制，例如禁止文件下载或文件传输。 MITRE ATT&CK框架制定了恶意攻击者用来发起攻击的对抗性策略、技术和程序 (TTP)，而零信任针对攻击进程可以解决相应的问题，也可以更好的作用于攻防演练中。 参考链接： https://cyolo.io/blog/zero-trust/preventing-mitre-attcks-with-zero-trust/ -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 零信任落地案例 | 云深互联成功签约某运营商客户 零信任落地案例 | 云深互联成功签约某新能源集团客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 教育行业 | 信息化时代，零信任如何帮教育行业化“危”为“机”？ 能源行业 | 数字化时代，零信任是如何为能源行业保驾护航的？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 【云深漫说】“零信任”到底有何魔力，竟能让老板从哭到笑？？？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 戏说零信任和0day之间的“爱恨纠缠” 对于不是“命中即跑”的APT，零信任是如何反击的？ 对于数据安全，应该“防范于未然” 还是事后“救火” 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2021-09-06 20:43

YYDS！零信任“守护”容器安全 Gartner预测，到2022年，全球超过75%的组织将在生产中运行容器化的应用程序，相对于以往的30%呈现大幅增加。尽管采用容器可以更快的开发、部署和扩展应用程序，但是也面临着安全挑战，比如在数据保护、容器镜像漏洞、网络攻击、未经授权的访问和其它一系列的安全风险问题。根据Forrester的一项调查显示，43%的受访者表示容器安全是面临的一个主要挑战。 对于开发人员来说，容器可能是一个强大的工具，但随着网络攻击者越来越多地将其作为目标，它们正成为一个安全噩梦。通过获得对容器的未授权访问权，黑客可以潜在地跨越大型虚拟环境，造成各种各样的危害。 在远程访问从偶尔转变为新常态的时代，用户需要从企业网络的传统边界之外访问企业应用程序和服务。微服务和容器化应用程序的日益普及使事情变得更加复杂。容器及其底层基础设施在传统网络安全实践的边界内不能很好地发挥作用，传统网络安全实践通常强调边界的安全性。随着组织寻求解决这些挑战的方法，零信任模型等策略在保护容器化工作负载方面获得了更多关注。 传统安全策略的“短板” 攻击者经常对容器进行访问控制或利用应用程序代码进行攻击渗透，这可能会导致内核崩溃、执行权限提升或其他对系统的威胁。 传统上，内部网络的应用程序、服务器、网络软件或硬件默认是被信任的，不需要对客户端连接进行身份验证，仅仅依赖于静态的共享凭证便可以进行访问或执行。通常，内部网络连接，即使是敏感服务的连接，也不使用任何加密。 然而，恶意攻击者使用特洛伊木马、安全访问漏洞或者通过利用这种隐含的信任网络都可以造成严重破坏。从嗅探明文网络数据包到发现数据库或其他关键系统的应用程序密码，一直到获得对网络设备的控制，这种情况为不可接受的风险打开了大门，包括数据外流或丢失。 零信任安全是解决容器安全的“一把利器” 刚刚我们讲到了传统安全模型的失效性，特别是由于网络、动态IP的复杂性，以及传统防火墙的局限性，容器的动态性会给传统安全环境带来更多安全问题。 零信任基于设备的网络位置或用户在受信任网络上进行身份验证，以验证任何服务、设备、应用程序或数据存储库，将“信任，但要验证”的旧原则改写为“从不信任，始终验证”。它用身份验证访问和集中网络控制取代了隐式的相互信任，这有助于解决去中心化IT环境的安全挑战，并使零信任成为云中容器安全的理想模型。 零信任安全模型在解决容器安全时，遵循如下几个原则： 容器之间不存在隐式的相互信任，而是通过身份验证访问服务。这种强制身份验证阻碍了黑客从一个被攻击的容器或系统轻松迁移到同一集群中的另一个容器或系统的能力，从而限制了被攻击范围。 容器中的所有服务器通过安装在服务器的硬件受信任平台模块(TPM)中的本地证书建立信任根。这些证书验证和验证管理员访问以及任何代码或配置更改。任何不是由授权管理员发起的系统更新或应用程序，并且不是来自授权和可信的代码存储库，都将被拒绝。 所有基础设施和代码更改都使用服务器的本地证书进行加密散列，并记录日志，以提供一个不可变的记录，用于故障排除和遵从性审计。 共享操作系统上的容器在虚拟机和虚拟网络中被沙箱化。 容器间或服务到服务的通信通过本地证书和TPM进行身份验证和加密。容器之间不存在基于本地IP地址的隐式信任。 IAM (identity and access management)、PKI (public key infrastructure)等服务集中管理安全策略和安全对象，包括用户、用户证书、双因素认证集成、RBAC (role-based access control)、机器和代码证书等。 总的来说，这些原则和相关控制使组织能够加强云中的容器安全性。它们确保容器和微服务只能与显式授权的其他服务通信。 此外，这些保护措施使容器能够在多个云环境中运行，包括跨云区域或在混合云上运行，具有与单云部署相同的保护。容器可以依赖底层基础设施来实施安全控制。 为什么零信任是解决容器安全的“最优解” 零信任自兴起以来，已经十余年时间，尤其是近两年在国内备受关注，这代表着技术未来的趋势和方向，也代表着零信任技术带来的更好的解决方案。 零信任架构一般遵循以下原则： 安全控制应平等地适用于所有实体，无论是软件还是硬件，无论其网络位置如何。 网络连接应由服务器和客户端在两端进行身份验证。现在通常需要服务器进行客户端身份验证，但客户端还应验证它们是否已连接到有效服务器。当连接跨越多个事务时，应重新验证连接，并根据需要重新授权请求。 授权授予应遵循最小特权原则，仅允许客户端工作负载所需的最低限度的权限。 所有网络连接和交易都应受到持续监控以进行分析。 正是由于零信任具体如上的几个特性，才能更好的基于“无边界”的安全模型解决云原生技术下容器化带来的诸多安全问题，帮助企业解决威胁问题。 深云SDP实现无边界全局视角的安全 云深互联基于零信任的理念架构，采用SDP技术为企业提供无边界、一站式安全接入服务，覆盖云管端实现全流程的安全体验。自主研发设计的深云SDP客户端基于终端环境检测&应用可信检查，保证业务入口的合规、安全。 1、基于SDP技术，实现网络隐身，避免探测、监听，极大缩小网络攻击面； 2、SDP安全云、SDP连接器缺省拒绝一切访问流量（deny all），仅允许合法、合规终端访问（only you）。 3、深云SDP允许只能访问授权应用，其他资源都“隐身”,避免内部横向攻击。 随着云迁移、容器化应用程序的不断增多，面临的安全问题也会越来越明显。零信任的理念特性可以很好的解决此类安全问题，也希望更多的企业采用零信任技术，解决自身遇到的安全问题，保证业务的正常运行。 2021-08-12 10:46

企业该如何发挥零信任的好处？ 无论是大规模泄露客户信息，不安全的电子邮件共享，还是配置错误或暴露的云服务暴露了公司的知识产权，对包含数据保护的零信任策略的需求都在不断增长。随着注入物联网之类的云计算和集成变得越来越普遍，这一趋势将不断继续。 越来越明确的是，网络安全虽然很有价值，但除了不考虑内部威胁之外，再也不能为敏感数据提供足够的保护。零信任正可以解决这一难题。 什么是零信任？ 零信任的指导原则是“永不信任，永远验证”。所有用户，平台提供商和网络流量都被视为潜在威胁，因此需要采取其他措施来降低风险。简而言之，零信任意味着只有内容创建者和授权接受者才能访问敏感内容。 传统的网络安全依赖于安全边界，外围内部的任何内容都是可信的，外围区域之外的任何内容都不可信。零信任网络将所有流量都视为不受信任的流量，从而尽可能限制对安全业务数据和敏感资源的访问，以降低风险并减轻破坏的危害。 在将计算机联网之前，公司已经使用一种外围安全保护了计算机。拥有大型机的公司可以通过控制谁有权进入安装房间的方式来保护它们。一旦他们对用户进行了身份验证，他们就可以信任他们访问数据，程序等。 随着组织开始连接网络，他们开始使用越来越复杂的技术来控制访问。登录名和密码可以使用户对他们在早期计算机网络上的行为负责，该网络将政府和学术研究人员联系在一起。但是，很明显，计算机容易受到攻击。工程师开发了防火墙，以过滤进入和退出网络的流量，多因素身份验证以及其他公司安全策略，以防止未经授权的用户进入。 但是在云时代，外围安全性已不再足够，因为网络是流动的。例如，如果您在手机上登录公司网络，则流量将通过蜂窝塔或WiFi以及多台服务器，然后再到达网络。如果其中一台服务器损坏，您的手机上有病毒或恶意应用程序，或者黑客可以访问您的WiFi，则外围安全性可能无法阻挡黑客入侵。零信任网络通过将所有网络流量视为不可信来减轻这种风险。 零信任的好处 绝大多数公司都意识到需要提高安全性，零信任为安全更新和现代化工作提供了一个框架，可帮助您确定哪些步骤最重要，并建立以数据为中心的保护。零信任需要精细的可见性。因此，实施“零信任”框架可以提高安全性。通过提供组织所缺少的连接的端点和网络的可见性，有助于企业的数据管理和可访问性。 零信任可帮助企业降低风险，无需支付大量的技术成本。对于那些在网络内部没有太多安全性和细粒度访问控制的情况下与传统IT系统斗争的企业而言尤为重要。 企业通常部署电子邮件保护解决方案来满足三个重要要求：合规性，公司隐私和监视预防。任何现代企业都将拥有关键数据，无论是个人身份信息，受保护的健康信息还是知识产权，都需要与值得信赖的合作好伙伴共享，同时还要防止未经授权的第三方访问。零信任安全性通过将电子邮件内容与保护它的秘钥分开，同时从端到端加密数据来实现此目的，从而只有最初的创建者和目标消费者可以访问。 一旦零信任模型在企业的系统中根深蒂固，就可以开始使用身份和设备技术来增强安全性，从而更好的进行访问决策。包含细粒度访问控制的数据级加密服务是“零信任”安全性的巅峰之作，因为它们将安全性范围缩小到了微级，将每个数据对象包装在其自身的安全性中。 通过专注于零信任安全性，企业可以克服基于边界方法的缺点，并通过端到端加密来发展其安全状态。随着以数据为中心的安全性的好处逐渐显现，企业将准备好最终过渡到默认安全的未来。 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 零信任落地案例 | 云深互联成功签约某运营商客户 零信任落地案例 | 云深互联成功签约某新能源集团客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 教育行业 | 信息化时代，零信任如何帮教育行业化“危”为“机”？ 能源行业 | 数字化时代，零信任是如何为能源行业保驾护航的？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 【云深漫说】“零信任”到底有何魔力，竟能让老板从哭到笑？？？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 戏说零信任和0day之间的“爱恨纠缠” 对于不是“命中即跑”的APT，零信任是如何反击的？ 对于数据安全，应该“防范于未然” 还是事后“救火”？ 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2021-05-12 09:23

零信任网络安全架构满足企业的安全需求 零信任是一种战略概念，它鼓励安全团队减少对网络外围设备安全性的依赖，更多的是不管身在何处的用户通过不断进行身份验证，可直接应用于公司资源的安全过程和技术作为响应，各企业组织开始朝着一种新的以身份为中心的方法发展，而不是一种依靠公司网络来实现生产性、安全性和敏捷性的企业安全策略。 零信任模式取代了以边界为中心的安全架构，它可确保根据身份、设备和用户化解动态实施安全和访问决策。零信任安全框架还规定，只有经过身份验证和授权的用户和设备才能访问应用程序和数据。同时，它可以保护这些应用程序和用户免遭互联网上高级威胁的侵害。 该模式由Forrester Research 的分析师首次提出，尽管不完全是一种新理论，但它对于现代数字化转型以及企业网络安全架构的影响已经越来越重要。 企业常见安全难题 1、企业需要确保用户和设备可以安全连接到互联网，并且无需面对与传统方面相关的复杂性。此外，企业需要做到主动识别、组织和缓解目标威胁，例如恶意软件、勒索软件、网络钓鱼、DNS数据泄露以及针对用户的高级0 day攻击。零信任安全可以改善企业的安全状况，同时降低恶意软件的风险； 2、传统的访问技术（如VPN）依赖于过时的信任原则，导致用户凭据被盗，进而导致漏洞。企业需要重新考虑其访问模式和技术以确保业务安全，同时仍然为所有用户（包括第三方用户）提供快速、简单的访问。零信任安全可以降低风险和复杂性，同时提供一致的用户体验； 3、企业访问和安全性是复杂且不断变化的，传统企业技术十分复杂，使用宝贵的资源进行更改通常需要数天时间。但零信任安全模式可以减少时长和架构的复杂性。 为什么企业需要零信任理念 随着现代员工开始逐步开启远程办公模式（他们会从企业防御层之外的多个设备访问应用程序），起亚已采用“先验证后信息”的模式，这意味着，如果有人拥有正确的用户凭据，则他们将被允许进入他们请求的任何站点、应用程序或设备。这导致暴露的风险增加，从而瓦解了曾经值得信任的企业控制区域，并使许多公司面临数据泄露、恶意软件和勒索软件攻击的风险。现在需要在应用程序，数据以及用户和设备的位置提供保护。 用户、设备、应用程序和数据正在移到企业边界和控制区域之外； 数字化转型推动的新业务流程增加了风险； “信任，但也要验证”的理念不再适用，因为高级定向威胁正在移至企业边界之内； 传统的边界防御不仅非常复杂，而且会增加风险，并且不再切合当今的业务模式。 为了保障在行业内的竞争力，企业需要一种零信任安全网络架构，该架构必须能够保护企业数据（无论用户身处何地），同时还要确保应用程序快速无缝的运行。 通过采用零信任策略代替VPN，企业组织可以获得的不仅仅是更完善的安全性。企业可以提高员工的生产力，同时标准化了对所有公司资源的访问控制，从而实现了零信任。通过考察员工所访问设备和资源的风险状况，而不是仅通过员工是否在公司网络中，组织机构可以更加放心的开放对远程员工的访问权限，让他们能够获得所需的资源。 采用零信任方法可以实现业务的敏捷性，以确保企业可以快速适应和利用新技术来成功满足数字化转型。借助零信任，企业可以根据最适合特定资源的条件，从本地数据中心，私有云，公关云以及两者之间的所有内容中进行选择。在选择最适合每种资源的部署时，组织可以通过优化托管和管理费用以及减少VPN和其他基于外围工具的许可费用来节省成本。 除此之外，零信任还有以下几个优势： 身份验证：多重身份验证提供了额外的验证和安全级别；它可以确保仅经过验证的用户才能访问业务关键的应用程序； 安全访问：虚拟专用网络等传统远程访问技术无法满足当今无边界数字化企业日益增长的需求。传统的VPN对企业安全构成为威胁，因为它本身就会在防火墙上形成漏洞，从而提供不受限制的网络访问。一旦攻击者来自于内部，其就可以自由的横向移动以访问和利用网络中的任何系统或应用程序。同时，传统的VPN在本地部署时，都要求IT实体存在以进行实时设置，维护和硬件故障排除。站点越多，硬件要求越高，必须创建的精细规则和策略的数量就越多，大多数组织没有IT资源来满足分支机构不断增长的需求。 安全性：零信任遵循永不信任且验证的原则，在认证之前，所以有资源均不可见。此外，零信任通过细粒度的访问控制手段、可视化的策略管理能力和不落地的数据防泄漏技术，提供按需、动态的可信访问，同时基于身份实行严格的访问权限控制和对所有入网设备的安全可控。零信任，仅允许用户访问其角色所需的应用程序。基于授权、用户身份、设备状态、身份验证和授权的访问可以减少横向攻击，进而减少网络风险的发生。 通过零信任网络的安全解决方案，企业不仅可以获得保护其资源所需的安全性，还可以实现可观的业务效益。除了改进在整个企业范围内的可视性和缩短发现漏洞的时间，企业还可以降低自身的安全堆栈，最大限度地减少安全技能人才短缺的影响，并保护客户数据以避免声誉受损损失和重大经济损失等。同时，企业也可以改善用户的体验并促进通过采用零信任安全架构将企业快速迁移到云端。 2021-05-06 16:50

SDP是“采用零信任策略最有效的架构” 越来越多的网络攻击，新型技术（例如人工智能）和采用云技术的共同点都是在促进零信任理念的兴起。 VPN已经逐步减轻在企业中的地位，这主要是因为公司的网络发现了变化。现在，许多企业正在使用混合云模型，在该模型中，员工可以访问储存在数公里外的公司的系统和数据。 传统VPN作为提供远程服务的虚拟专用网络访问功能未跟上安全性要求和当今不断变化的威胁格局。远程访问通过创建加密的点对点连接IP流量流经的“隧道”。但是，VPN使企业更容易受到攻击和数据的泄漏，因为组织内的用户都可以访问整个内部网络以进行访问公司资源。用户不限于特定网络资源，使VPN成为最弱的一种有关身份访问的故障点和凭证管理，在使用中没有细分、审核和控制。 如今，许多员工正在家里使用VPN远程访问公司的资产。在安全的情况下，其他人在公共场所工作，包括图书馆或咖啡店。但攻击者可能已经破坏了它们所连接的那些设备或Wi-Fi网络，他们甚至可能通过窃取其工作账户的访问权来危害用户自己。零信任网络访问可以解决此问题，而传统VPN无法解决。 这是因为传统的VPN解决访问无法解决这些问题，他们只需要在所有外围防御措施之后提供直接，可信任的链接。攻击者深深了解这一点，这就是为什么他们可以利用VPN账户来入侵公司资产的原因。 为了应对上述风险，许多组织都将零信任网络访问作为一种持续保护用户，设备和应用程序安全的手段。 最近有很多关于零信任将如何改变许多安全工具运行方式的讨论。例如，尽管存在担忧，但零信任模型并不能预示着防火墙的灭亡。零信任使您能够在批准的用户，设备，应用和其他资产之间实施信任。 零信任可能不是防火墙的致命伤，但它正在淘汰着VPN。它们已被软件定义的边界(SDP)所取代。 SDP的解决方案是，不再像传统VPN那样将外围设备与数据中心等同起来。取而代之的是，企业希望通过不同的外围设备给予不同的权限的解决方案。这种类型的安全省去了传统VPN授予用户的授权方式。 它给出了零信任网络访问。经过验证的用户及其设备只能访问他们工作所需的权限。默认情况下，这将强制执行最低特权原则，这是零信任的另一个核心原则。因此，对于潜在的攻击者而言，在公司系统之间横向移动的概念变得更加困难。 这不是SDP与传统VPN不同并支持零信任的唯一方式。例如，许多SDP产品都使用遍布全球的接入点网络来减少延迟并优化数据路由。这有助于为可能需要访问公司网络的所有用户创建一个更高效的网关。企业可以通过使用SDP来随着业务的增长和发展扩展零信任网络访问权限。 在更多的分布式网络中，传统的VPN可能已无法发挥其作用。但这对于像SDP这样的下一代VPN并非如此。实际上，云安全联盟发布的报告表示，SDP是“采用零信任策略最有效的架构”。这毫无疑问，随着零信任网络访问采用的持续增长，将会有更多的组织转向零信任解决方案。 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 零信任落地案例 | 云深互联成功签约某运营商客户 零信任落地案例 | 云深互联成功签约某新能源集团客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 教育行业 | 信息化时代，零信任如何帮教育行业化“危”为“机”？ 能源行业 | 数字化时代，零信任是如何为能源行业保驾护航的？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 【云深漫说】“零信任”到底有何魔力，竟能让老板从哭到笑？？？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 戏说零信任和0day之间的“爱恨纠缠” 对于不是“命中即跑”的APT，零信任是如何反击的？ 对于数据安全，应该“防范于未然” 还是事后“救火”？ 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2021-04-29 09:53

企业如何实现零信任模型？ 为员工提供对部署在防火墙后的企业应用程序的安全访问是所有企业的核心要求。企业还必须应对可以产生更大的风险，即提供访问承包商，供应商，合作伙伴，客户和开发人员的各种清单的机会。 无论这些应用程序在何处托管（无论是在公共云还是在私有数据中心中），这都是一项复杂而繁琐的任务，需要内部部署的硬件和软件，例如应用程序交付控制器（ADC），虚拟专用网络（VPN），身份和访问管理（IAM）系统等。 但是，使用所有这些技术，企业仍然面临各种安全风险，这些风险来自对内部应用程序的访问而导致整个网络可能被攻击。为了应对这些挑战，企业已开始依赖零信任理念。在本文中，我们将讨论零信任安全性如何实现。 什么是零信任安全？ 零信任安全性是一种IT安全模型，要求所有试图访问专用网络上的资源的人和设备（无论它们位于网络外围之内还是之外）都必须进行严格的身份验证。没有单一的特定技术与零信任相关。它是一种结合多种不同原理和技术的整体网络安全方法。 零信任模型没有假设公司防火墙后面的所有信息都是安全的，而是假设违规并验证每个请求，就像它是来自开放网络一样。无论请求来自何处或访问何种资源，零信任都会教我们“永远不要信任，永远要验证”。 在授予访问权限之前，每个访问请求都经过完整的身份验证，授权和加密。微分段和特权最小的访问原理被应用以最小化横向移动。丰富的情报和分析功能可用于实时检测和响应异常。 零信任网络建立在五个基本要素上： 网络始终被认为是敌对的； 网络上始终存在外部和内部威胁； 网络位置不足以决定对网络的信任； 每个设备，用户和网络流都经过身份验证和授权； 策略必须是动态的，并应从尽可能多的数据源中计算得出。 零信任利用安全信息管理，高级安全分析平台，安全用户行为分析和其他分析系统之类的工具来帮助安全专家实时观察其网络中发生的情况，以便他们可以更智能地确定防御的方向。对与网络相关的事件数据进行分析的重点可以帮助在实际事件发生之前制定主动的安全措施。 最重要的是，数据身份验证是零信任的基础。用户，端点，电子邮件和云应用程序已成为充当攻击媒介的通信渠道。在无法信任任何人或任何设备的零信任模型中，将边界集中在智能身份验证的数据保护上是最好的安全性方法。因此，在开始实施“零信任”之前，代理商必须对用户及其角色，数据和技术资产有清楚的了解。 零信任不依赖于位置。用户，设备和应用程序工作负载现在无处不在，因此您不能在一个位置实施零信任，必须在整个环境中扩散零信任。合适的用户需要有权访问合适的应用程序和数据。 零信任实施 以下是实现零信任访问体系结构的步骤： 利用微分段 零信任网络也利用微分段，微分段是一种将安全边界划分为小区域的做法，以维护对网络各个部分的单独访问。例如，使用微分段的文件驻留在单个数据中心中的网络可能包含数十个单独的安全区域。 未经单独授权，有权访问这些区域之一的个人或程序将无法访问任何其他区域。 使用多重身份验证（MFA） MFA是网络安全智能方法的基本构建块。正确使用它可以反映零信任的指导原则：“永远不要信任，永远要再次验证。” MFA需要提供两个或多个身份验证因素：知识因素（只有用户知道的东西，例如密码，PIN或模式），占有因素（只有用户才知道的东西，例如ATM卡，智能卡，或移动电话）和固有因子（包含生物特征（例如指纹，视网膜扫描或面部扫描）的东西）。在展示时，必须验证每个因素以进行身份验证。 实施最小特权原则 最小特权原则是将用户的访问权限限制为执行工作所需的最低限度的权限。在最小授权原则下，授予用户读取，写入或执行其工作所需的文件或资源的权限：换句话说，就是让用户所需的特权最小。 另外，最小特权原则可以应用于将应用程序，系统，进程和设备的访问权限限制为仅执行授权活动所需的那些权限。 验证所有端点设备 就像用户一样，未经验证就无法信任设备。为了实现零信任安全，必须将以身份为中心的控件扩展到端点。这意味着必须首先注册用于访问公司资源的每台设备，以便可以对其进行识别和验证。 设备验证应使组织能够确定寻求访问内部资源的端点是否满足其安全要求。 结论 通过实施零信任安全性，企业可以增强对谁有权访问哪些资源的控制。这也减少了组织的受攻击面，并通过使未经授权的资源不可访问甚至不可见来防止横向攻击。此外，零信任安全性还可以通过活动监视实现更大的可见性。 2021-04-08 14:45

零信任未来仍将高速发展的原因 事实证明，依赖于安全网络边界以及基于虚拟专用网络的员工和第三方远程访问的常规“城堡式”网络安全模型无法与不断发展的网络威胁相提并论，尤其是随着业务模型和劳动力动态的发展。例如：向云和混合IT环境的迁移（以及越来越多的基于云的系统，远程工作者和连接的设备）正在不断扩展和消除网络边界。智能设备，5G，边缘计算和人工智能的预期增长有望创建更多的数据，连接的节点并扩展新的攻击面。 随着云技术已成为主流，云提供商管理服务的企业有责任确保这些技术的安全，随着企业越来越频繁的依赖第三方供应商来托管和管理数据，基础架构以及其他服务，攻击面将进一步扩大。在一项研究中，有59%接受调查的公司由于供应商或其他第三方遭受数据泄露。 实际上，虽然基于边界的安全性假定连接到组织网络的用户和设备是可信赖的，但是凭借被盗的数据会导致超过四分之一的安全漏洞。 考虑一个普通员工的例子，该员工在工作日里定期登录，偶尔在周末的时候从咖啡厅登录。如果在周末的晚上国内某处使用他的用户名和密码，则传统方法可能会允许他连接。但是，由于零信任体系结构更具风险驱动力和上下文感知能力，因此它可以识别不一致之处，自动拒绝访问请求并发出警报。考虑到其凭证已被泄露的可能性，可以触发自动响应功能以暂时禁用该用户账户。 精心设计嵌入了自动化和编排功能的零信任架构可以方法并与其他自动化IT实践协同工作。通过提供一致的控制层，在整个技术生态系统中使用API可以以零信任的方式促进系统管理。基于云的服务使组织能够利用云供应商正在进行大量的安全投资。 零信任方法的最后一个关键要素是将网络，数据，应用程序，工作负载和其他资源进行微分段，将其细分为各个可管理的单元，以包含违规行为，并将安全控制措施尽可能的降低。通过基于最小特权原则限制访问，最少数量的用户，应用程序和设备可以访问数据和应用程序。 通过从安全体系结构中删除新人假设并验证每个操作，用户和设备，零信任有助于实现更强大和更具弹性的安全态势。最终用户的利益充实了组织的利益：无缝访问有效工作所需的工具和数据。 随着零信任优势不断的体现，企业正在逐步开始实施零信任。据Gartner预测，2022年将有80%面向生态合作伙伴的相信数字业务应用将采用零信任网络访问；2023年将有60%的企业从远程访问VPN向零信任网络架构转型。到2024年，全球零信任市场预计将增长到386亿美元，比2019年增长20%。可见，零信任已经成为国家乃至世界高度重视的一项具有高度前沿性、创新性的重大网络安全技术。 云深互联作为中国领先的零信任安全平台，基于云原生架构，为用户提供云、管、端的全流程安全体验。深云SDP客户端基于终端环境检测及应用可信检查，保证业务入口的合规、安全。自成立以来，云深互联已成功为运营商、政企、医疗和金融等行业提供专业的零信任解决方案。 未来云深互联将继续在零信任领域深耕，提供更安全的零信任解决方案，为国家网络安全贡献一份自己的力量。 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 零信任落地案例 | 云深互联成功签约某运营商客户 零信任落地案例 | 云深互联成功签约某新能源集团客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 教育行业 | 信息化时代，零信任如何帮教育行业化“危”为“机”？ 能源行业 | 数字化时代，零信任是如何为能源行业保驾护航的？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 【云深漫说】“零信任”到底有何魔力，竟能让老板从哭到笑？？？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 戏说零信任和0day之间的“爱恨纠缠” 对于不是“命中即跑”的APT，零信任是如何反击的？ 对于数据安全，应该“防范于未然” 还是事后“救火”？ 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2021-03-25 11:54

什么是零信任体系架构？ 零信任是一项战略计划，它通过消除组织网络体系结构中的信任概念来帮助防止成功破坏数据。零信任的“永远不信任，永远验证”的原则，旨在通过利用网络分段，防止横向移动，提供威胁防护以及简化精细的用户访问控制来保护现代数字环境。 零信任是由约翰·金德瓦格（John Kindervag）担任Forrester Research副总裁兼首席分析师期间创建的，其基础是传统安全模型在过时的假设下运作，即组织网络内的所有事物均应受到信任，这一事实得到了证实。在这种信任模型下，假定用户的身份没有受到损害，并且所有用户都以负责任的方式行动并且可以信任。零信任模型认为信任是一个漏洞。进入网络后，用户（包括威胁行为者和恶意内部人员）可以自由地横向移动并访问或泄露其任何数据。通常，攻击的渗透点通常不是目标位置。 零信任架构 在“零信任”中，需要确定保护面，保护面由网络的最关键和最有价值的数据，资产，应用程序和服务组成。识别出保护面之后，组织需要确定流量在整个组织中相对于保护面的流动方式，了解用户是谁，他们正在使用那些应用程序以及如何连接它们是确定和执行确保安全访问数据的策略的唯一方法。一旦了解了基础架构，服务和用户之间的相互依赖的关系，就应该讲控件放置在尽可能靠近保护面的位置，并在其周围创建一个微边界。组织可以通过部署细分网关来创建微周边，通常称为下一代防火墙，以确保只有已知的，允许的流量或合法的应用程序才能访问保护表面。 零信任不依赖任何网络位置，用户，设备和应用程序工作负载现在无处不在，因此组织必须在整个网络环境中实施零信任，有权限的用户才可以访问到所属的应用程序和数据。 用户还可以从任何地方访问关键的应用程序和工作负载：家庭，咖啡店，办公室和小型分支机构。零信任要求一致的可见性，执行力和控制力，可以直接在设备上或通过云交付。软件定义的边界可提供安全的用户访问权限，并防止数据丢失，无论用户身在何处，正在使用哪些设备，或在何处托管工作负载和数据（即数据中心，公共云或SaaS应用程序）。 工作负载是高度动态的，并且在多个数据中心以及公共，私有和混合云之间移动。借助零信任，您必须深入了解用户，设备，网络，应用程序和数据之间的活动和相互依赖性。分段网关可以监控流量，阻止威胁并在本地数据中心和多云环境中跨南北向和东西向流量实施精细访问。 如何实现零信任架构 使用“零信任”来获得跨用户，设备，位置和应用程序的所有流量的可见性和上下文，以及用于查看内部流量的分区功能。为了获得流量的可见性和上下文，它需要经过具有解密功能的下一代防火墙。 下一代防火墙可对外围进行微分段，并充当组织内的边界控制。尽管有必要保护外围边界，但当流量在网络中不同功能之间穿越时，获得可见性以验证流量甚至更为关键。添加两个因素验证和其他验证方法将提高组织正确验证用户的能力。利用“零信任”方法来识别组织的业务流程，用户，数据，数据流以及相关的风险。 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 零信任落地案例 | 云深互联成功签约某运营商客户 零信任落地案例 | 云深互联成功签约某新能源集团客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 教育行业 | 信息化时代，零信任如何帮教育行业化“危”为“机”？ 能源行业 | 数字化时代，零信任是如何为能源行业保驾护航的？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 【云深漫说】“零信任”到底有何魔力，竟能让老板从哭到笑？？？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 戏说零信任和0day之间的“爱恨纠缠” 对于不是“命中即跑”的APT，零信任是如何反击的？ 对于数据安全，应该“防范于未然” 还是事后“救火”？ 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2021-02-26 16:39

更有效的安全模型--零信任 什么是零信任 零信任是一个安全概念，其核心思想是组织不应该自动信任其边界之内或之外的任何事物，而必须在授予访问权限之前验证试图链接到其系统的所有事物。 为什么越来越多的组织考虑使用零信任？可以参考以下数据： Cybersecurity Ventures的2017年度网络犯罪报告预测，到2021年，网络犯罪每年将花费全世界6万亿美元，高于2015年的3万亿美元。 同时，由Ponemon Institute进行并由IBM赞助的2017年Data Breach研究发现，全球数据泄露的平均成本为362万美元。尽管该数字比上一年的数字有所下降，但研究发现，数据泄露的平均规模增长了1.8％，达到24,000多个记录。 尽管组织在网络安全方面投入了越来越多的钱，但这些数字还是来了。技术研究和咨询公司Gartner Inc.预计，2017年全球在信息安全产品和服务上的支出为864亿美元，比2016年增长7％。Gartner预测，2021年的支出将大幅度提升。 现有的网络安全模型已经难以在提供更有效的保护，因此企业开始寻求更有效的零信任。 新世界的安全 信息安全的零信任模型从根本上遏制了城堡和护城河的旧思想，这些思想使组织专注于保卫自己的边界，同时假设已经存在的所有内容都没有构成威胁，因此可以访问。 安全和技术专家说，城堡式护城河方法行不通。他们指出了这样一个事实，即发生了一些最严重的数据泄露事件，因为黑客一旦获得了公司防火墙内部的访问权，便能够在内部系统中移动而没有太大的阻力。 企业在IT方面固有的问题之一是，通过太多的默认连接让太多的数据公开的运行。从本质上讲，这就是互联网蓬勃发展的原因--每个人都可以随时共享所有内容。但这也是一个关键的失败点：如果企业信任一切，那就没有办法改变任何安全策略。不良行为者和恶意威胁并不是推动这种新模式的唯一因素。 当今的企业IT部门，需要一种新的思维方式，因为城堡式的保护方式在很大程度上不能在像以前那样孤立的存在。公司没有提供服务于系统网络的公司数据中心，而是如今通常在内部部署了一些应用程序，并在云中将某些应用程序与用户一起从多个位置访问一系列来自于世界各地的设备。 零信任背后的技术 零信任方法依靠各种现有技术和治理流程来完成其保护企业IT环境的任务。 它要求企业根据用户，用户的位置和其他数据利用微分段和精细的便捷实施来确定是否信任寻求访问企业特定部分的用户，机器或应用程序。为了确定用户的身份和原来，零信任利用了诸如多重身份验证，IAM，业务流程，分析，加密，评分和文件系统权限之类的技术。零信任还要求制定治理策略，例如为用户提供完成特定任务所需的最小访问权限。 实施零信任 多数专家说，许多企业的IT部门已经在做很多零信任的工作，他们通常具有多因素身份验证，IAM，他们还在部分环境中实施微细分。然而，实施零信任环境不仅仅是实现这些单独的技术。相反，是通过实施这样的技术来实现零信任。 企业会发现，实施零信任并不是一朝一夕的成就。许多公司正在迁移到云，这是实施零信任道路上很重要的一步。企业需要将零信任模型作为整体数字化转型策略的一部分，实施能够帮助他们在更多的迁移到云中并因此淘汰旧有遗留系统时实现零信任的技术。 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 零信任落地案例 | 云深互联成功签约某运营商客户 零信任落地案例 | 云深互联成功签约某新能源集团客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 教育行业 | 信息化时代，零信任如何帮教育行业化“危”为“机”？ 能源行业 | 数字化时代，零信任是如何为能源行业保驾护航的？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 【云深漫说】“零信任”到底有何魔力，竟能让老板从哭到笑？？？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 戏说零信任和0day之间的“爱恨纠缠” 对于不是“命中即跑”的APT，零信任是如何反击的？ 对于数据安全，应该“防范于未然” 还是事后“救火”？ 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2021-02-23 10:16

企业为何要大力发展零信任？ 零信任模型是一种安全框架，它通过消除隐式信任并在整个网络中实施严格的用户和设备身份验证来加强企业实力。 什么是零信任？ 零信任安全性的主要原则是，当公司过于信任个人或设备时，漏洞经常出现。零信任模型建议，即使允许用户进行网络，默认情况下也不应该信任任何用户，因为他们可能受到威胁。整个网络而不是仅在外围需要身份和设备身份验证。 通过限制哪些用户有权访问网络的每个部分或安全组织中的每个计算机，可以大大减少黑客获得安全内容的机会。 为什么零信任很重要？ 传统的IT安全策略（VPN和防火墙）会在网络周围形成一个边界，使经过身份验证的用户和设备能够轻松穿越网络并轻松访问资源。不幸的是，由于公司中很多员工会进行远程办公，并且公司大部分的资源会放在云上，仅依靠在网络周围形成一个边界的方法使得效率变得很低下，同时企业也会变得更加危险。 相反，零信任模型可以为当今困扰企业的各种攻击（包括盗窃公司资产和身份）提供强有力的保护，采用零信任模型组织可以帮助企业： 保护公司数据； 增强进行合规性审核的能力； 降低违规风险和发现事件； 提高对网络流量的可见性； 增强在云环境中的控制力。 零信任中微隔离技术可以使IT部门隔离网络资源，因此可以轻松地控制潜在威胁，并且不会将其扩散到整个企业中。组织可以将基于角色的访问强制实施的精细策略应用于安全敏感的系统和数据。 零信任该如何运作？ 零信任是基于身份验证来建立信任并为用户提供访问，同时保持隐藏网络位置（即IP地址）。零信任可以在给定的时间，位置或设备适应对特定应用程序或数据的访问，并为IT和安全团队提供集中控制和更高的灵活性，以保护高度分散的IT环境。 当组织扩展其远程用户和loT环境时，零信任可以保护环境，识别异常行为，例如尝试访问受限数据或在异常事件下载异常数量的数据。 企业该如何规划零信任？ 零信任不是一个单一的产品，也不是一个单一的方法或技术。零信任对于政府机构，关键基础设施和金融机构等备受关注的企业有特殊意义，零信任可能会成为未来企业采用的绝佳模式，因为它并不会受到传统基础架构的束缚。 零信任可能会比传统的基于边界的方法需要更多的资源，并且如果不仔细监控，可能会导致生产力延迟的情况出现。例如，如果员工更换的内部的工作岗位，但访问权限未及时更新，则他们可能无法访问其新角色所需要的资源。 无论是在内部还是在云中，采用零信任模式都需要强大的身份验证机制，实施和调整用户访问策略的系统，以及用户创建和调整软件定义的安全范围的工具。 以下五项原设定了零信任模型的范围： 了解保护面（用户、设备、数据、服务和网络）； 了解已经存在的网络安全控制； 纳入新工具和现代架构； 部署监视和警报工具。 为了开始实施计划零信任，组织将需要一个由不同组织组成的专门的跨职能团队，例如应用程序和数据安全性，网络和基础结构安全性以及用户和设备身份。 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 零信任落地案例 | 云深互联成功签约某运营商客户 零信任落地案例 | 云深互联成功签约某新能源集团客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 教育行业 | 信息化时代，零信任如何帮教育行业化“危”为“机”？ 能源行业 | 数字化时代，零信任是如何为能源行业保驾护航的？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 【云深漫说】“零信任”到底有何魔力，竟能让老板从哭到笑？？？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 戏说零信任和0day之间的“爱恨纠缠” 对于不是“命中即跑”的APT，零信任是如何反击的？ 对于数据安全，应该“防范于未然” 还是事后“救火”？ 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2021-02-20 18:05

零信任如何防御勒索病毒？ 新冠疫情流行导致远程办公盛行，使2020年成为勒索软件攻击的繁荣之年。2021年经济下滑促使各大攻击组织更青睐可以带来丰厚利润的攻击方式，因此勒索软件攻击活动将会继续盛行。 勒索攻击的黑产模式将走向成熟 ，同时带动勒索攻击手段的进一步演化，构成所有机构最大的安全威胁。2020年德国杜塞尔多夫的医院出现首起勒索攻击致死事件，未来包括关键基础设施在内的设备和传感器日益成为网络犯罪的目标，人类生命将会面临风险。 增加压力迫使受害者交付赎金，并不断针对最脆弱的受害者进行攻击，以及加密数据更难恢复，攻击者的这些策略将使勒索攻击成为2021年网络犯罪人员最赚钱的“业务”，也是所有机构面临的最大威胁。 勒索病毒肆虐的原因 病毒变种多，难以查杀 传染性极强 病毒开发者难以追踪 如何预防勒索病毒 防御勒索病毒是不能单纯依靠杀毒软件的，因为病毒刚被开发出来的时候，杀毒软件的病毒库还没有收录，这是杀毒软件是无法识别勒索病毒的。既然无法识别也无法彻底杀死，那么面对勒索病毒，最好的办法是做好防控。而“零信任”理念，则是目前可以做到防控级别最高的安全架构。 零信任的作用 网络隐身，减少攻击面 切断病毒的远程通信 微隔离，避免横向扩散 用户设备的持续验证 多因子身份认证 异常行为识别 勒索病毒的变种越来越多，勒索病毒已经成为网络上一种常见的威胁。零信任理念可以帮助企业缩小攻击面，降低勒索软件带来的威胁和风险。 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 零信任落地案例 | 云深互联成功签约某运营商客户 零信任落地案例 | 云深互联成功签约某新能源集团客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 教育行业 | 信息化时代，零信任如何帮教育行业化“危”为“机”？ 能源行业 | 数字化时代，零信任是如何为能源行业保驾护航的？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 【云深漫说】“零信任”到底有何魔力，竟能让老板从哭到笑？？？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 戏说零信任和0day之间的“爱恨纠缠” 对于不是“命中即跑”的APT，零信任是如何反击的？ 对于数据安全，应该“防范于未然” 还是事后“救火”？ 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2021-01-29 09:58

企业数字化转型催生“零信任”理念 受新冠疫情影响，全球远程办公需求激增，用户和市场规模呈爆发式增长。其中，国内疫情高峰期间的远程办公需求环比上涨663%。IDC的调查显示，2020年企业云端数据首次超过本地数据。很多互联网企业的远程办公成为常态。远程办公突破了传统网络边界，带来了巨大安全风险。 2021-01-26 14:12

【云深漫说】零信任可以帮助企业解决分支机构的哪些难题？ 分支机构虽然可以加快企业的发展 但也有许多“潜在”的危机 零信任是如何帮助企业解决分支机构的安全问题？ 快来看看Jack是如何通过一个故事讲解的吧~ 识别二维码免费领取 零信任相关解决方案 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 零信任落地案例 | 云深互联成功签约某运营商客户 零信任落地案例 | 云深互联成功签约某新能源集团客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 教育行业 | 信息化时代，零信任如何帮教育行业化“危”为“机”？ 能源行业 | 数字化时代，零信任是如何为能源行业保驾护航的？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 【云深漫说】“零信任”到底有何魔力，竟能让老板从哭到笑？？？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 戏说零信任和0day之间的“爱恨纠缠” 对于不是“命中即跑”的APT，零信任是如何反击的？ 对于数据安全，应该“防范于未然” 还是事后“救火”？ 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-11-19 16:12

对于数据安全，应该“防范于未然” 还是事后“救火”？ 数据安全 这个在安全圈不断被提起的词语 相信大家都不陌生 那么 到底什么才是数据安全呢？ 下面就跟着小编 一起了解一下吧~ 数据安全发展到现在 一共经历了三个时代 1.0时代~ 以数据库管理系统为安全目标 可以理解为给装有重要物品的房子 加上各种防护手段 2.0时代~ 以数据为安全管理中心 可以理解为 “人”就是重要的数据 在不同的场合需要不同的 防护手段和方式 3.0时代~ 进入体系化数据安全治理时代 体系化的数据安全 需要各种专业的 防护手段来保护 数据安全发展到3.0时代 也在提示着我们 保护数据安全刻不容缓 从个人的隐私到企业的商业秘密 甚至是政府国家的核心机密 都出现了不同程度的数据信息安全问题 个人信息数字化的趋势 已不可避免 随之而来的便是 个人隐私数据的泄露 愈发严重 个人数据的过度采集和使用 造成重大社会的安全风险 不仅如此 有部分人会因为各种原因 将自己在各大网站上的密码 设置的十分简易且相同 这样会导致黑客极易撞库成功 总之 在隐私保护这件事上 建议做到以“小人”之心度“君子”之腹 当企业的业务系统提供服务时 其安全风险也随之暴漏在系统中 攻击者可利用数据库的脆弱性 发起攻击 达到破坏系统或获取数据信息的目的 由于数据库承载着 大量的核心数据 经历前几年的“完善” 现如今勒索软件已经从“乱枪打鸟” 转向为“精准攻击” 越来越多的勒索软件开始 加入针对数据库的攻击模块 数据库文件现在已经成为 勒索软件优先加密的对象 同时 企业对数据的处理 缺乏防护的措施和手段 存在严重的技术安全隐患 导致企业数据泄露的原因中 黑客攻击占据绝大多数 但因内部而导致数据泄露的次数 远超黑客窃取 这些进一步证明了 数据泄露途径的多样性 我们可以相信 一个企业的底线 但是难以估计企业 每一个员工的素质 当然 企业也可以通过实施零信任 进行严格的身份认证 并按需授权 这样就算是“内鬼” 也很难对企业造成严重的威胁~ 不管是个人还是企业 “防患于未然” 远比 事后“救火”更有效 对数据安全来说 既要见微知著 也要举重若轻 这样 才真的有可能 保护重要的隐私数据 免受安全威胁 识别二维码免费领取 零信任相关解决方案 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 零信任落地案例 | 云深互联成功签约某运营商客户 零信任落地案例 | 云深互联成功签约某新能源集团客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 教育行业 | 信息化时代，零信任如何帮教育行业化“危”为“机”？ 能源行业 | 数字化时代，零信任是如何为能源行业保驾护航的？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 【云深漫说】“零信任”到底有何魔力，竟能让老板从哭到笑？？？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 戏说零信任和0day之间的“爱恨纠缠” 对于不是“命中即跑”的APT，零信任是如何反击的？ 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-11-10 17:07

对于不是“命中即跑”的APT，零信任是如何反击的？ 之前，小编写过一篇文章，简单的描述了零信任与0day的“爱恨纠缠”。接下来，小编将为大家阐述一下APT攻击与零信任的那些事儿！ 2020-09-25 15:00

戏说零信任和0day之间的“爱恨纠缠” 自2016年开展以来,每年的红蓝对抗行动都会定期举行,这是一个让你自由发挥 不限方法拿到目标flag的行动 2020-09-11 16:23

高速发展的互联网行业为何需要零信任的保护？ 互联网信息传输凭借其独有的速度高、成本低、范围广的优势，已渗透到当代社会经济生活的各个领域，为人们日常生活、学习和生活提供了极大的便利，对全球信息化和经济社会的繁荣发展起到了积极的推动作用。随着我国互联网的发展，互联网已经成为各类企业和事业单位运营不可或缺的工具。 在当今社会的各种新技术、新应用的不断刺激下，互联网网络安全问题面临的考验越来越严峻。现如今的企业目标更大、信息更公开，因此，各种针对企业的网络攻击也更容易得手，收益更多，企业需要时刻警惕，不能懈怠。从某种意义上讲，互联网时代的确促进人们彼此之间的信息交互，我们不论是提交或获取信息和数据都变得更加快捷。但由于现在网络安全方面的漏洞，也导致现如今我们的生活中经常会出现信息和数据泄露的事件。 互联网行业所面临的数据安全危机 随着网络信息技术的飞速发展，企业经营管理中对数据的依赖性越来越强，但在互联网环境日益复杂的今天，企业在大量传输数据的同时，也出现了一个相伴而生的“隐忧”---数据安全。企业越来越多的数据将集中在数据中心或数据库，未来数据隐私是需要严肃对待的大问题，每家公司都需要共同合作来应对这个挑战。 对于互联网企业来说迫切需要一些符合自身特点的手段，来进行数据安全保障。当下互联网行业的企业在进行安全建设时主要面临的八大问题是： 01、企业信息系统互联互通、面临来自外部的威胁； 02、各企业具有大量客户，各类型信息渐渐得到灰色产业链的觊觎； 03、安全事件造成的损失以及信息系统恢复的成本激增； 04、缺乏专业的安全技术人员以及有效的安全管理制度； 05、面对外部网络威胁的恐慌，导致了某些企业信息化发展的停滞不前； 06、企业对信息共享、互联网化、云服务、AI等高新技术的追求延伸出新的信息安全风险点； 07、企业安全意识的淡薄以及管理制度的不完善，面临着来自内部的人为失误或蓄意破坏、信息窃取的问题； 08、僵木蠕等问题严峻，勒索病毒威胁严重。 互联网行业的用户信息安全风险 随着互联网用户的数量不断增多，互联网企业也开始不断重视对于企业用户信息安全的管理，从一定程度来讲，互联网用户信息指的就是互联网企业在为用户提供服务的过程中所产生的同时保存在网络服务器上的数字化信息，通常包括三个方面的内容：第一个方面是所提供服务的用户的账户、帐号、密码等相关的信息；第二个方面是用户以及企业自身的基本信息；第三个方面是互联网企业在为客户提供服务的过程中所产生的信息记录，除此之外，互联网用户信息都是以数字化的方式存在的。但是，在互联网用户信息安全的管理过程中还存在着许多不完善的地方。 01、互联网企业用户信息安全技术不完善； 互联网企业用户信息安全技术不完善很有可能会造成用户信息安全问题，从第一个方面来讲，由于用户信息安全技术的不完善，其用户信息管理系统就会在一定程度上遭到黑客的攻击，一旦遭到破坏，那么大量的用户信息就会被泄露出去，对企业来说造成非常大的经济损失，从第二个方面来讲，用户信息传输的过程当中，会由于传输的方式、传输的介质、以及网络的节点的不同，从而造成互联网企业用户信息被窃取，产生不同程度上的危害；从第三个方面来讲，互联网企业用户信息大多数都会保存在其运行的系统当中，但是，我们在进行数据传输的时候所使用不同的移动设备，很容易携带病毒，从而在连接的过程当中信息就被窃取的可能性。 02、互联网企业用户信息安全管理不健全； 互联网企业在对用户信息的管理上也会引发不同程度的信息安全问题，首先，有的互联网企业在进行用户信息安全管理的过程中可能会为了降低成本，并不会投入太多的人力和物力，其次，互联网企业当中的工作人员对用户信息安全意识的缺乏也是一大问题，比如工作人员基本操作不规范，甚至是利用自身职权进行信息的买卖等行为，也有可能会造成严重的后果；最后，有的互联网企业在进行用户信息安全管理的过程中可能并没有建立完善的管理监督制度，比如说责任划分不明确，缺少预防措施等。 03、互联网企业用户自身信息安全素养有待提高； 除了互联网企业对于用户信息管理存在一定的问题之外，用户自身对于个人信息的维护也存在相应的问题。从一方面来讲，有很大一部分的用户在进行个人信息保护的时候由于缺乏信息安全意识，比如随意填写有关自身私密信息的调查问卷，为了方便记忆会在多个平台的不同帐号上使用同样的密码等，从另一方面来讲，用户进行个人信息管理的时候并不具备完善的信息安全技能，这往往会让部分用户虽然想要去维护自身的信息却无能为力。 零信任对互联网行业的帮助 在企业里，线上的系统每天都会受到不同程度的攻击，一旦存储用户关键信息的系统被攻击者获取到权限，就可以获取到大量用户的敏感信息，甚至内网渗透持续性的窃取商业机密。 从外部环境来看，目前互联网整体安全态势不容乐观。企业每天都面临来自各方面的安全威胁、网络攻击、勒索、安全漏洞等事件，企业敏感信息泄露逐渐成为一种常态。一旦发生此类安全事件，都会对企业正常运营、业务发展造成不良影响。加上近年来一些重大安全事件不断被媒体曝光以及整个互联网行业的高速发展，越来越多的互联网企业已经意识到网络安全的重要性，开始寻找更加有保障的安全防护方式和手段来支撑企业业务的正常运行，传统的基于边界的防护已经无法在为互联网行业提供安全可靠的保护，此时零信任理念的价值开始体现，凭借着“永不信任且验证”的理念，被越来越多的互联网企业所选择。 信息安全是互联网企业数字化转型过程中不可避免或忽视的问题，决定企业数字化成败的关键。在这个过程中，数据成为企业非常重要的资产，信息安全对于企业发展有不可估量的影响，企业的安全体系的构建是一个动态、长期的过程，难以一蹴而就。如何从战略层面、治理层面、执行层面上，全面、积极、有效地应对安全风险的同时，将风险转化为机遇，推进数字化转型的持续性发展，可谓任重而道远。通过零信任可以帮助互联网企业进行数据的安全保护，提高网络安全态势感知、预警以及应急处置能力。通过零信任理念，互联网企业可以加强自己的纵深防御，提高安全自动化水平，减少未来可能会面临的安全威胁。 零信任是一种理念，它是建立在身份验证、设备验证、网络隔离和访问控制的基础上，是保护企业管理应用和隐私数据的关键。传统保护网络安全的方式是允许访问者先访问企业内的资源再进行身份验证，而零信任理念则打破了这一传统，在默认情况下，企业内外部的人均不可信，在访问前先通过验证用户的身份信息，再授权用户进行访问数据。 若想保护企业的数据安全，最好的办法就是让黑客完全看不到找不到企业重要的数据。而零信任架构的网关一般都具备网络隐身的能力，可以限制企业端口的暴漏面，把攻击面降低到最小，甚至完全不暴漏端口，实现“零”攻击面。网关上的防火墙跟用户的身份进行绑定，端口指对合法的用户开放，对其他没有权限的人关闭。零信任的网关会检查流量中的身份信息，只有合法的流量才会被允许通过。 零信任有三大支柱：1）验证每个用户的身份；2）验证每个设备的身份；3）限制特权和对数据的访问。它通过缩小安全范围并防止网络中的攻击者进行不受约束的活动来帮助保护网络。制定专门的策略需要在进行通信的同时对网络进行微分段，从而使攻击者不可能进行横向移动。 零信任理念所特有的多因子身份验证可以保护互联网企业用户的信息安全，通过多因子身份验证可以确保仅让经过验证的用户才能访问业务关键的应用程序。通过MAF对用户进行身份验证和授权之后，单点登录允许用户使用一组凭据的登陆所有权限的应用程序。除了多因子身份认证，零信任还会对不同的用户授予不同的权限，只给予用户能满足工作的最小权限来减少重要信息被泄露的风险。 身份是零信任的基础，需要成为企业的新边界。所有的访问请求都必须受到严格的监控和限制，无论这个访问请求是来自企业内部还是外部。 最后 建立完善安全的管理制度、审核监控制度，并采取有效技术措施和网络安全防护设备保障网络安全、稳定运行，能有效应对网络安全事件是一个平台稳定运作的先决条件。 没有一劳永逸的安全防护手段，安全是个持续对抗的过程。从一定程度上来讲，在这个信息呈现出多样化的大数据时代，互联网企业用户信息安全问题变得越来越复杂，这个时候就需要社会上各方面共同的努力才能够在很大程度上使得互联网用户信息安全得到保障，从而互联网企业才能够有效的为互联网用户们提供良好的服务。 识别二维码免费领取 零信任相关解决方案 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 零信任落地案例 | 云深互联成功签约某运营商客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 教育行业 | 信息化时代，零信任如何帮教育行业化“危”为“机”？ 能源行业 | 数字化时代，零信任是如何为能源行业保驾护航的？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-09-09 15:46

数字化时代，零信任是如何为能源行业保驾护航的？ 随着全球能源行业数字化的进程加速推进，能源数据的安全需求日益递增。作为保障民生的重要行业，能源数据安全将会是数字化建设的重中之重。能源行业是涉及民生的关键行业，尽管能源商品的属性为它提供了非常好的数字化基础，但是网络安全始终是困扰能源互联网发展的瓶颈问题。 能源行业是经济发展的命脉，是国民经济发展和人民美好生活的重要保障，在社会经济体系中占据着重要的地位。随着风电、太阳能等新能源发电量的快速增长，能源系统正向碎片化能源时代转型，碎片化能源将以万物互联、高度智能的形态存在并使其价值最大化。当今能源行业的快速数字化发展，为攻击者提供了可利用的新攻击面。智能电网和智能设备的出现更是使该行业成为有吸引力的目标。 能源行业数字化转型的好处 能源行业历经创新浪潮，电子和数字设备以及信息技术的应用使能源部门将系统的各个部分整合到一起。随着数据向能源行业不同业务领域的渗透，对海量数据的挖掘和运用已经成为推动行业发展的重要因素。 随着新兴技术的蓬勃发展，限制能源互联网的瓶颈正在被逐一打破。在智能家居、大数据算法和智能电网等领域的规范标准，也促进着前沿技术走向应用。伴随着数字化的浪潮，能源和资源得以智能化分配，效率得到空前的提升，能耗成本也大幅度下降。 能源行业数字化转型打破了价值创造的界限，数据没有物理的局限，可以全面的收集、处理和分析，以产生出产品和服务。同时，产业链的界限在数字化的过程中，也慢慢变得模糊。能源行业可以跨越界限获得更多的资源，形成新的模式。 对能源企业而言，数字化被视为实现能源转型的重要途径。企业数字化转型也对企业文化的发展提出了相应的要求，敏捷协作的工作方法和数字通信技术发挥着核心作用。一方面，帮助企业员工更好的融入数字化的工作环境；另一方面，帮助企业高效分配人力资源。 能源企业通过数字化转型利用最新的信息化技术、大数据、云计算等整合能源与数字技术，构筑全新的能源生态系统，优化管理流程、降低生产成本、提高安全运营、创新合作模式、优化能源结构。 全球能源转型的趋势是推动能源结构向低碳化、清洁化、终端能源电气化发展，而数字化技术在此过程中发挥无可替代的作用。随着数字化技术与能源行业的高度融合，智能化将成为能源数字化发展的高阶阶段。 智能化发展可以基于海量大数据分析和人工智能为能源行业提供技术、经验和有价值的信息，大幅提高能源各领域的效率、降低成本，提高能源行业的竞争力。 数字化时代下，能源行业的危机 IT技术的融合创新，以及数字化转型的不断深入，无不体现着全球网络安全生态正迎来深刻变革，在能源领域亦是如此。随着新能源并网量的激增，新能源工控安全也面临着新挑战。 能源和公用事业服务提供商是一个国家关键的国家基础设施的核心组成部门。这使得他们成为网络犯罪分子和恐怖分子的主要目标。 能源和公用事业服务提供商面临着数据安全性的两个主要风险。首先，主要基础设施和公用事业资产的安全风险主要来自于流氓数据注入，数据篡改和终端。第二，保护有价值的汇总业务数据以及智能电网和智能计量数据。 网络攻击者可以使用僵尸网络来操纵电网中的电力需求，并导致本地广泛的停电，甚至是大规模的停电。它攻击的目标是电网的需求侧而不是供应方，包括一些受到严格保护的对象。僵尸网络具有很强的传播性且高度可控，同时还有窃密功能，这些特征使其危害级别高于病毒，木马，蠕虫和普通间谍软件。令人担忧的是，现在一些个人、公司和政府机构正在使用物联网应用程序来控制这些设备，且其中很多设备的安全性较差。 通过攻击获取电力大数据价值信息，可以分析出攻击目标所在地的用电分布、关键信息基础设施的位置，篡改关键节点监测预警信息、操作指令等关键数据，造成电力系统故障或重大安全事故，若用户的敏感信息被泄露，可能会对社会公众安全产生负面影响。 零信任是如何为能源行业保驾护航的？ 能源部门支撑世界的正常运转，若不法分子成功攻击了能源行业，不仅会影响企业内的财务状况或声誉，而且还会影响人们的生活。因此，能源企业必须不断地改善网络安全，以应对不断发展的威胁。尽管数据泄露非常普遍，但能源部门的网络安全问题也许应该引起更大的关注。在过去的几年中，不法分子对关键基础架构的攻击激增，其潜在的影响是巨大的。 在能源互联网的背景下，多能互补，能源流、信息流、业务流高度融合，智能化、自动化、网络化是其主要特征。在物联网技术发展的趋势下，终端类型和结构日趋复杂，网络越来越开放，业务越来越融合，越需要实现端、边、云的安全免疫。 若想实现端、边、云的安全免疫，只通过以往基于物理边界的防护是难以达到目的的，必须要通过寻找新的安全防护机制来实现，新的安全防护机制必须适应虚拟化、云化的需求。这时，零信任理念的价值开始逐步体现出来。凭着“永不信任且验证”的理念，零信任逐步成为各大企业青睐的安全防护机制。 数字化转型对能源行业来说，既有着前所未有的机遇也有着难以攻克的挑战。随着潜在攻击面的增加和网络攻击手段变得越来越复杂，拥有全面的安全计划变得越来越重要。能源企业应该遵循安全框增强自身的网络安全能力，并更好的保护企业及客户免受安全事件的影响。零信任可以帮助能源企业加强企业数据的安全保护，提高网络安全态势感知、预警及应急处置能力。通过零信任理念，能源企业可以加强自己的纵深防御，提高安全自动化水平，减少未来可能会面临的安全威胁。 零信任理念不再区分内外网，对内外网都不再信任，在访问前都需要不断地验证访问者的身份，加强上下文策略的合理性，减少网络攻击面。对于能源企业来说，通过零信任网络，可以降低整体安全风险，提升办公效率，通过数据可视化提升网络访问安全级别，还可以消除企业内网和外网的区别，让企业用户有一致的访问体验，实现端到端的全程加密。 采用零信任安全标志着从被动安全性到主动安全性的范式转变，其中目标是防止违规行为的发生，而不是在事故发生后进行“反应”。 最后 人类的各种生活都离不开能源的支持，我们需要能源来保持照明，实现全球的交通运输，救死扶伤的医院需要能源保持正常的运转等。能源行业被多数国家视为至关重要的基础设施部门，能源若不能正常供应，将会对人类的生活质量造成不利的影响。 能源是无可替代的，现在的生活完全是架构于能源之上。能源行业肩负着整个社会正常运转的使命，我们需要解决能源行业数字化转型的网络安全问题，迎来能源行业的智能化时代，创造更高的价值。 识别二维码免费领取 零信任相关解决方案 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 零信任落地案例 | 云深互联成功签约某运营商客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 教育行业 | 信息化时代，零信任如何帮教育行业化“危”为“机”？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-09-04 15:49

信息化时代，零信任如何帮教育行业化“危”为“机”？ 随着信息技术在教育行业的广泛应用和深度融合，教育行业网络与信息安全关系着教育信息化的稳步推进和教育事业的改革发展，教育行业信息系统及网站遭到页面篡改、数据被窃取等恶意攻击事件时有发生，网络与信息安全面临巨大威胁。 虽然教育行业的信息安全体系建设初具成型，大部分业务系统实施了信息安全等级保护建设，采购了各类网络安全防护产品。但纵观近几年的数据泄露事件，不难发现，教育行业最核心的敏感数据资产缺乏更有效的安全防护措施。 疫情之下，危机重重的教育行业 2020年，突如其来的疫情打破了传统教育行业的模式，在疫情期间，教育部提出“停课不停学”的理念，远程教育行业又迎来一波大发展，但面临的网络安全风险也在不断上升。 国内相关平台分析，在2020年1月1月-3月22日，全国50000个教育行业的远程在线网站总体访问数据在48.95亿次，主要的访问流量集中在2月10日-3月22日期间，约占总体数据的71.06%。 因为教育部下发通知要求2020年春季学期延期开学，实现“停课不停教、停课不停学”的远程教育模式。而2020年1月1日-3月22日，全国教育行业在线网站累计遭受9600多万次网络攻击。 教育行业如同医疗等行业一样，是个包含巨大数据流的行业，存在着各类核心业务系统。这类核心业务系统都存储着海量数据，比如学生个人信息、教职工个人信息、财务信息等敏感数据。如若业务系统内的敏感数据遭遇泄露，被不法分子利用，盗卖数据，进一步导致电信诈骗的发生，后果不堪设想。 真正导致大规模个人信息泄露的源头有两个：一个是黑客攻击，一个是握有大量个人信息的企业的“内鬼”。黑客利用自己掌握的技术，入侵相关网站或系统的后台，偷盗数据库，窃取公民个人信息进行贩卖；“内鬼”则利用自己的内网权限，非法获取公民个人信息进行黑色交易。 教育行业存在的危机 疫情也让教育快速走向云端，当下看来在线教育是权宜之计，但着眼未来，在线教育已成为发展的必然趋势。在线教育培训是近年来逐渐兴起的一种将知识教育信息化的机构或在线学习系统。随着教育培训行业的不断发展壮大，行业内的竞争压力也在逐步的增大，而每一个机构内部都存储了大量的教学管理以及教学支持领域的海量知识以及用户信息，这些数据支撑着机构的运营，其中越是高级、研究深入的教育机构所产生的数据越是有高价值。正因如此，信息的安全性成为机构管理者所关注的重点。 对于多数教育培训机构来说，信息数据的泄露绝大多数来自于内部监控疏漏、老员工离职和外聘招生推广人员有意或无意为之，面对着一系列的问题，教育机构需要防止学员隐私信息以及机构内部重要的资料遭到有意或无意的误用、泄露，不仅是为了保护学员信息和学术资料的数据安全，还是为了防止机构之间的恶意竞争的发生。教育培训机构数据安全面临许多严重的问题： 针对机构老员工所面对的问题： 1、随着互联网和移动互联网的快速发展，教育机构的老师开始使用移动互联网来和学员的家长进行交流沟通，而这种情况则无法避免的是，若某个老师在离职后带走相应的部分学员的信息，则很有可能造成机密信息的泄露； 2、教育机构各类业务、招生渠道的增加，导致相应的业务和招生渠道缺乏统一的管理措施，一旦招生老师离职，其管理的招生渠道很有可能会被带到其他教育机构，与原机构产生竞争关系； 3、很多机构对内部员工没有进行良好的职能划分，所有人都可以调取相关的学员信息，越权使用情况严重失控。 针对机构外聘人员所面对的问题： 1、机构的外聘人员主要指来自于地推兼职、渠道合作、或其他合作关系等。外聘人员自行存储数据，一定时间进行统一汇总给合作的教育机构，机构课程顾问无法进行及时的跟进，导致数据会产生部分失效； 2、外聘人员接触客户信息，像渠道合作等方式，机构无法对合作方内部的员工进行管理，其内部员工有意或无意泄露学员信息，地推外聘人员无法监管，其获客信息可能会出现被二次贩卖的可能性。 针对勒索病毒等黑客的恶意攻击： 1、此前，黑客入侵某国家级教育网站，大肆篡改了计算机及英语等级考试成绩数据，并伪造等级证书，再卖给其他人；泸州某教育机构遭遇黑客攻击，致使客户信息被大量盗取。黑客盗取信息后，对家长进行电信诈骗，导致教育机构的客户损失惨重。 2、大量案例表明，黑客擅于利用恶意篡改、代码植入、DDoS攻击、爬虫等方式，对高考查分网站、志愿填报网站、大学官网、在线教育网站等进行攻击，教育行业面临严峻的安全挑战。 这一切的源头，直指教育行业数据安全防护问题，当数据安全威胁步步紧逼，谁来守护教育行业的“一方净土”? 零信任如何帮教育行业化“危”为“机”？ 教育行业是我国最大的民生行业之一，是网络安全法定义的关键基础设施行业，诸多的攻击案例早就预示着教育行业必须对网络安全提起重视，《网络安全法》规定，教育类网站应当按照网络安全等级保护制度的要求，履行相关安全保护义务。在国家大力发展支持提高教育行业的安全保障能力时，也在提醒着我们，以往基于边界的安全防护已经无法满足现如今教育行业的需求，需要寻找更有效的安全防护措施。此时，越来越多的教育机构开始选择通过零信任理念保护具有高价值的隐私数据。 零信任是一种理念，它是建立在身份验证、设备验证、网络隔离和访问控制的基础上，是保护企业管理应用和隐私数据的关键。传统保护网络安全的方式是允许访问者先访问企业内的资源再进行身份验证，而零信任理念则打破了这一传统，在默认情况下，企业内外部的人均不可信，在访问前先通过验证用户的身份信息，再授权用户进行访问数据。 零信任理念的特征是永不信任且验证，通过零信任可以不再区分内外网，对内外网都不再信任，任何访问者再访问之前都需要通过多种验证方式不断地验证访问者的身份，减少网络攻击面。对于教育行业来说，最急需的是对企业员工或合作伙伴进行按需授权，针对不同的人给予不同的访问权限，可以查看不同的数据，对于没有权限查看的一律无法查看。这样可以大大减少高价值的数据和信息外流的风险。 通过零信任理念，可以降低整体安全风险，提升办公效率，通过数据可视化提升网络访问安全级别，让企业员工不管身在何处都可以有一致的访问体验，实现端到端的全程加密。 最后 教育科研机构是国家诸多行业中的基础，不少机构和单位更是属于关键信息基础设施，是社会运转的神经系统的一部分。保障这些关键信息系统的安全，不仅仅是保护教育科研机构自身的网络安全，更是保护社会安全，公共安全乃至国家安全。 建立完善安全管理制度、审核监控制度，并采取有效技术措施和网络安全防护设备保障网络安全、稳定运行，能有效应对网络安全事件是一个平台稳定运作的先决条件。通过零信任解决方案，可以帮助教育行业迅速的在信息化时代化“危”为“机”。 识别二维码免费领取 零信任相关解决方案 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-08-26 15:36

契合数字基建新技术特点的零信任理念，到底是什么？ 近年来，中央地方高度重视新型基础设施建设，作为新基建三大领域之一的信息基础设施，成为数字经济的关键乃至整个经济社会的神经枢纽，其安全性、敏捷性、稳定性等将对新基建安全发展产生至关重要的影响。 随着新一代信息技术地快速发展，新技术态势下的网络安全威胁和风险不断涌现、扩散，移动互联网、物联网、工业互联网、车联网等新型应用场景使物理网络安全边界逐步瓦解，用户、设备、业务、平台等多样化趋势不可阻挡，新场景叠加的安全风险不容忽视。为了应对逐渐复杂的网络环境，一种新的网络安全技术架构--零信任逐步走入公众视野，其创新性的安全思维契合数字基建新技术的特点，着力提升信息化系统和网络的整体安全性，受到了广泛关注，并被寄予厚望。 零信任模型 2010年Forrester的分析师约翰·金德维格正式提出了“零信任”一词，在此后的多年内，随着业界对零信任理念和实践的不断完善，零信任从原型概念向主流网络安全技术架构逐步演进，从最初网络层微分段的范畴开始，逐步演变成位覆盖云环境、大数据中心、微服务等众多场景的新一代安全架构。 零信任的核心原则： 零信任的核心思想是：默认情况下，企业内外部的任何人、事、物均不可信，应在授权前对任何视图接入网络和访问网络资源的人、事、物进行验证。 基于对零信任安全框架的理解，零信任架构的原则归纳如下： 1. 将身份作为访问控制的基础 2. 最小权限原则 3. 实时计算访问控制策略 4. 资源受控安全访问 5. 基于多源数据进行信任等级持续评估 零信任关键技术： 1. 现代身份与访问管理技术 现代身份与访问管理技术主要包括身份鉴别、授权、管理、分析和审计等，是支撑企业业务和数据安全的重要基础设施。 采用现代身份与访问管理技术构建的智能身份管理平台，具有敏捷和灵活的特点，适配各种新技术应用场景。零信任具备高级分析能力，能够应对外部攻击、内部威胁、身份欺诈等各种安全威胁，并通过采用动态策略，实现持续自我完善，不断调整以满足新的业务，技术和安全性要求 2. 软件定义边界技术（SDP） SDP技术旨在通过软件的方式，在“移动+云”的时代背景下，为企业构建起虚拟边界，利用基于身份的访问控制以及完备的权限认证机制，为企业应用和服务提供隐身保护，使网络黑客因看不到目标而无法对企业的资源发动攻击，从而有效保护企业的数据安全。 SDP的五大特点： 01、网络隐身： SDP应用服务器没有对外暴露的地址或端口，必须通过授权的SDP客户端使用专用的协议才能进行连接，攻击者无法获取目标。 02、预验证： 用户和终端在连接服务器前必须提前进行验证，确保用户和设备的合法性。 03、预授权： 根据用户不同的职能以及工作需求，依据最小权限原则，SDP在设备接入前对该用户授予完成工作任务所需的应用和最小访问行为权限。 04、应用级的访问准入： 用户只有应用层的访问权限，理论上无法获取服务器的配置、网络拓扑等其他信息，无法进行网络级访问。 05、扩展性： 除采用特殊协议对接SDP服务器以外，其他访问依然基于标准的网络协议，可以方便的与其它安全系统集成。 3. 微隔离技术 传统防护模式通常采用防火墙作为南北向流量的安全防护手段，一旦攻击者突破防护边界，缺少有效的安全控制手段用来阻止东西向流量之间的随意访问。随着东西向流量占比越来越大，微隔离技术应运而生，其作为一种网络安全技术，重点用户阻止攻击者在进入企业数据中心网络内部后的东西向移动访问。 从广义上讲，微隔离就是一种更细粒度的网络隔离技术，使用策略驱动的防火墙技术或者网络加密技术来隔离数据中心、公共云IaaS和容器，在逻辑上将数据中心划分为不同的安全段，每个段包含混合场景中的不同工作负载、应用和进程，可以为每个段定义安全控制和所提供的服务。此外，数据中心往往包括海量的节点，频繁变化带来的工作量不可预估，传统的人工配置模式已无法满足管理的需求，自动适应业务变化的策略计算引擎是微隔离成功的关键。 零信任应用场景 面对不同的应用环境、业务场景，零信任架构有多种灵活的实现方式和部署模式。零信任具体的应用场景有： 1、远程办公： 远程办公已经逐步成为一种常态化办公的模式，这也是移动办公延展后的必然结果。远程办公已经成为走出固定地点，随时随地的办公形态，在我国，远程办公也将逐步作为未来工作模式之一，而不仅仅是特殊时期的一种办公形式。 现有企业的信息化建设环境中，远程办公必须涵盖的应用场景越来越复杂： 1. 接入人员和设备的多样性增加 2. 企业资源暴露程度大幅度增加 3. 数据泄露和滥用风险大幅增加 零信任安全架构针对远程办公应用场景，不再采用持续强化边界的思维，不区分内外网，针对核心业务和数据资产，梳理访问这些资产的各种访问路径和场景，在人员、设备和业务之间构建一张虚拟的、基于身份的逻辑边界，针对各种场景构建一体化的零信任动态访问控制体系。主要包括以下创新点和先进性： 01、构建更安全的远程办公网络 02、增强对企业应用和数据的保护 03、大面积减少攻击暴漏面 04、减少违规行为的影响 05、缩减安全管理成本和潜在建设成本 2、大数据中心： 数字经济时代，数据是推动经济社会发展的必要生产要素，作为数据集中承载的中心，其重要性日益凸显。未来，随着社会对于数据数理能力的需求急剧增长，经济社会与人们日常生活将越来越依赖于大数据中心安全、稳定的运行。 大数据中心在实现数据的集中存储于融合的同时，也将集中更多的风险，从而使其更容易成为攻击的目标。大数据中心面临以下几点安全挑战： 01、针对高价值数据边界的猛烈攻击 02、内部员工对数据的恶意窃取 零信任架构通过微隔离技术，实现环境隔离、域间隔离、端到端的隔离，根据环境变化自动调整策略，具有以下先进性和创新性： 01、精细化隔离的网络安全策略 02、以身份为基石的逻辑边界 03、安全策略自适应调整 3、云计算平台： 云计算技术在快速发展带来了云平台的大量部署、应用和数据的大量迁移，在庞大复杂的云环境下，如何保证云系统资源安全，保证云服务提供商为云消费者提供安全诚信的服务，同时阻止非法用户对云资源的访问，成为云安全急需解决的问题。云平台面临以下安全问题的挑战： 01、云管理服务的安全性要求 02、共享技术漏洞带来的威胁 03、云平台开源代码自身风险 随着越来越多的公有云上服务组件被使用，SaaS安全也变得越来越重要，其中，用户最关注服务的身份认证，访问控制以及数据保护。在云计算中实施零信任访问控制，采用适配云计算平台、工作负载的技术，确保只有经过动态授权的工作负载才能运行、交互或进行数据访问。具有以下的先进性和创新性： 01、实施细粒度的访问控制 02、面向微服务的隔离机制 03、“先认证后连接”的微服务 4、物联网： 连接物联网的终端普遍存在自我保护能力弱，极易遭受攻击者恶意破坏的特点，在物联网发展如火如荼的同时，网络安全问题也逐步暴露出来。研究显示，利用木马、僵尸等手段针对物联网发动攻击的技术已经非常成熟，数以万亿感染的物联网终端，将会给智能家居、智能制造、智慧城市、工业互联网等物联网应用场景带来极大的风险。物联网面临以下安全问题的挑战： 01、泛终端自身的安全短板 02、多样化终端接入管理困难 03、物联终端攻击易于成功 5、5G应用： 在Gartner行业报告《市场报告：通信服务提供商应对5G安全挑战的策略》中，把纵深防御、持续性和自适应以及零信任安全列为5G安全战略的三大支柱。可以预见，零信任作为解决5G安全的战略思维，未来将开展实践探索。 结合5G应用架构和零信任体系架构方法，可以很有针对性地采取5G风险消减的办法： 01、建立5G统一的身份管理机制； 02、实现细粒度用户访问控制； 03、访问控制策略自动化配置。 零信任思考和展望 零信任作为新型网络安全理念，将资源保护作为核心，融合身份认证、权限认证、实时评估等多种技术，实现细粒度、精准化、自适应的访问控制，有效防止远程接入、大数据中心、云计算平台、物联网、5G等场景下的内外部安全威胁，引起了产业内外高度关注。 虽然零信任近年来被大力推崇，但零信任理念仍然在技术实现、大众认知、应用推广等方面存在诸多挑战。因此，要实现零信任架构，仍需要从各方面付出诸多的努力： 1. 国家层面，加强政策技术指引 2. 技术层面，着力解决技术瓶颈 3. 产业层面，深入开展协作实践 4. 企业层面，有序推动升级部署 虽然零信任发展的路上仍旧困难重重，但是国内安全厂商，一直以来都关注着零信任在国际上的发展并结合国内实际场景进行落地实践。奇安信、腾讯、阿里、华为、深信服、启明等安全和互联网厂商都利用各自在安全领域的技术优势，推出了零信任整体解决方案，并积极寻找机会，开展全面应用实践；竹云、九州云腾等身份管理厂商积极推动身份管理技术在零信任架构上的应用；云深互联、蔷薇灵动、山石科技等厂商则积极推动SDP、微隔离等零信任技术方案的应用实践。2019年以来，我国相关部位、本部分央企、大型集团企业开始将零信任架构作为新建IT基础设施安全架构；银行、能源、通信等众多领域和行业针对新型业务场景，开展采用零信任架构的关键技术研究和试点示范。 2020年恰逢“十三五”收官，“十四五”降至，5G、数据中心、物联网、工业互联网、人工智能等新型基础设施的建设大潮火热开启，硬核的新基建要求有相配套的网络安全基础设施以及网络安全保障体系，零信任等新兴网络安全技术面临广阔前景，期待其成为欸网络安全保障体系升级的中流砥柱。 来源：中国信息通信研究院、 奇安信科技集团股份有限公司 识别二维码免费领取 零信任相关解决方案 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? 分支结构远程办公 | 为什么分支机构远程办公需要零信任？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-08-21 14:54

为什么分支机构远程办公需要零信任？ 随着业务的进一步扩展，企业的业务架构开始呈现分散的状态，越来越多的企业选择延伸出众多的分支机构，分支机构的存在可以加快企业的成长，不过企业在进行安全防御工作的时候经常会将这些分支机构给忽略，只注重总部的安全防御，于是分支机构就变身成黑客入侵企业的重要跳板。 对企业而言，如何管理子公司和分支机构的运营风险是内部控制的核心，也是企业管理的关键。随着企业规模的扩大和业务范围的扩张，企业对于子公司和分支机构的管理也越来越困难，如果各地的风险信息传达不及时，不仅会对整体的管理工作带来极大的困扰，甚至对企业上市和融资等资本扩张行为形成阻碍。 数字化转型正推动企业业务的发展，因此，越来越多的企业正在寻找更合适的安全防护手段，希望更快的实现企业上云来促进数字化转型，从而降低企业成本。分支机构的架构复杂性也给安全防护带来了一系列的挑战。例如：物联网设备加速和连接终端用户设备的不断增长，让本地分支网络不堪重负。此外，这种转变扩大了潜在的攻击面，使安全成为一个关键问题，导致分支机构的网络安全成为整个企业的薄弱环节。在这种情况下，传统基于边界的安全防护体系已经无法在为企业及分支机构提供更为安全的保护，此时零信任理念可以帮助企业快速制定数字化转型的计划，以适应不断变化的业务和分支机构远程办公的需求。 分支机构远程办公的风险 对于企业来说，分支机构众多且分散于各地，无法对分支机构进行统一管理。加上，现如今远程办公已经进入常态化发展，企业员工可以随时随地的访问公司数据，完成工作的需求变得轻而易举。分支机构为了更好的完成工作，需要大量的访问公司内部数据，这对企业来说无疑是加大了潜在的危机。远程办公的工作模式更是给企业带来了更多的危机。 远程办公可能会为企业带来三大基本风险，其中包括被盗或欺骗的用户身份，被拦截的连接以及受感染的应用程序。随着越来越多的分支机构开始启用远程办公的模式，网络犯罪分子有数十种新的攻击端点，包括电话，打印机等。分支机构员工异地访问的身份识别、多地分散的终端安全防护、网络信息加密的不确定性，使接入环境变得异常复杂，不利于运维人员的管理和追溯；同时一些企业所使用的传统网络架构，也让大量高风险业务端口暴露在外，使企业的核心业务和数据容易遭到黑客的攻击而泄露。 “远程办公”也意味着企业的数据及其载体已经不仅仅在内部可控的范围内流转，其安全管理的边界发生了无限延伸，因此所面临的网络安全风险比传统办公所有不同，更加复杂。企业的分支机构具体面临的网络安全风险有： 1、安全便捷的延伸与变化使得各类系统均暴露在风险之中； 2、不安全的网络环境增加了企业内部资源受攻击的风险； 3、内部人员安全意识薄弱导致企业数据增加被暴露的风险。 分支机构远程办公安全风险的应对策略 随着网络上设备和应用程序的兴起，增加了黑客和发现漏洞的风险。黑客知道网络边缘通常是企业中最薄弱的环节，因此会利用它来获取对内部网络访问的权限。对于企业来说，分支机构远程办公难免会面临许多安全风险，为了防止悲剧的发生，我们需要做好相应的应对策略： 1、加强远程网络访问控制： 企业需要对远程访问的网络流量进行监控、拦截和分析，保证机密性和安全性，一方面解决身份验证的问题以保证接入用户的合法性，另一方面也对传输通道进行加密，保证传输中的数据无法遭到窃听。 2、细化内部资源授权管理： 分支机构员工所获取的内部资源访问权限越多，存在恶意的员工或粗心的员工导致的数据泄露风险越大，因此有效的访问控制是十分必要的。很多企业会考虑内部资源的敏感程度而决定是否可供远程访问，是否需要增强身份认证。 3、增强办公设备安全策略： 设备作为公司数据的载体，其安全性至关重要。为了防止数据的丢失和泄露，加密是比较常见的解决方案。同时，企业也需要增强设备的身份认证措施。 4、强化员工网络安全意识： 由于“人”是远程办公环境中最不受控的因素，因此安全意识宣导尤为重要，让员工具备保护公司数据资产的意识和识别安全威胁、判断高风险行为的能力。无论在什么情况下，只有提高使用者和运维人员的安全防范意识，时刻绷紧安全保密的弦，才能从“终端”减少攻击的发生。 5、形成“未攻先防”的意识： 远程办公是企业网络便捷的模糊时期，企业需要提早预知对外暴漏的脆弱点，全面布控网络便捷认证入口，阻断网络异常行为。并且在网络安全防护上转被动为主动，打造“未攻先防”的先机策略，降低被攻击的风险，为企业的业务布下安全坚固的网络“防火墙”。 零信任对于分支机构远程办公的优势 零信任是一种理念，它是建立在身份验证、设备验证、网络隔离和访问控制的基础上，是保护管理应用和数据的关键。传统保护网络安全的方式是先访问资源再验证身份，而零信任理念则打破了这一传统，通过先验证用户的身份信息，再授权用户进行访问数据。 企业通过采用零信任策略，不仅可以改善网络的安全性 ，还可以提高总部和分支机构员工的生产力，标准化对企业所有资源的访问控制，从而真正的实现零信任。通过考察总部和分支机构员工所访问的设备和资源的风险状况，而不是仅通过员工是否在企业的内网中，企业可以更加放心的开放分支机构的员工远程访问的权限，以保证他们可以获得满足正常工作所需的资源。 采用零信任理念，企业可以在短时间内提高业务的敏捷性，以确保企业可以快速适应和利用新技术来成功满足数字化转型计划。借助零信任理念，企业可以根据最适合特定资源的条件，从本地数据中心，私有云，公共云以及两者之间的所有内容中进行选择。 不仅如此，零信任还可以为企业对分支机构的管理提供以下几点优势： 1、身份验证：多重身份验证提供了额外的验证和安全级别；它可以确保仅经过验证的用户才能访问业务关键的应用程序。 2、安全访问：虚拟专用网络等传统远程访问技术无法满足当今无边界数字化企业日益增长的需求。传统的VPN对企业安全构成为威胁，因为它本身就会在防火墙上形成漏洞，从而提供不受限制的网络访问。一旦攻击者来自于内部，其就可以自由的横向移动以访问和利用网络中的任何系统或应用程序。同时，传统的VPN在本地部署时，都要求IT实体存在以进行实时设置，维护和硬件故障排除。站点越多，硬件要求越高，必须创建的精细规则和策略的数量就越多，大多数组织没有IT资源来满足分支机构不断增长的需求。 3、安全性：零信任遵循永不信任且验证的原则，在认证之前，所以有资源均不可见。此外，零信任通过细粒度的访问控制手段、可视化的策略管理能力和不落地的数据防泄漏技术，提共按需、动态的可信访问，同时基于身份实行严格的访问权限控制和对所有入网设备的安全可控。零信任，仅允许用户访问其角色所需的应用程序。基于授权、用户身份、设备状态、身份验证和授权的访问可以减少横向攻击，进而减少网络风险的发生。 最后 分支机构可以帮助企业扩大业务范围，更好的发展企业的规模。但存在的风险也在不断加大，为了更好的让企业迎接数字化时代的到来，基于零信任理念的新的防护模式正不断发挥着作用，全面推动企业的数字化发展，让分支机构可以安全的开启远程办公模式。 识别二维码免费领取 分支结构远程办公解决方案 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 零信任落地案例 | 云深互联成功签约某集团控股药房客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ 数字化转型 | 为什么企业数字化转型需要零信任? ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 云深漫说 【云深漫说】零信任解决了远程办公的哪些“坑”？ 【云深漫说】兵临城下之攻防演练的防御之道 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-08-20 16:11

【云深漫说】兵临城下之攻防演练的防御之道 上一期讲到零信任是如何解决远程办公的那些“坑”。那么，零信任又是如何在HW中发挥作用的呢？快来看看Jack是如何为大家讲解的吧！ 2020-08-18 17:21

【云深漫说】零信任解决了远程办公的哪些“坑”？ 疫情当下，远程办公已经进入常态化发展，为了解决远程办公的新趋势背后的网络安全危机，零信任成为各大企业远程办公的不二之选。 过去，在安全和便捷之间，我们总是很难达到一个理想的平衡，但是现在基于零信任理念，我们能以更高的安全性进行远程办公。 对于零信任如何解决远程办公的那些“坑”，Jack和Andy展开了激烈的讨论。 创意 | 夏营 编辑 | 刘一赫 插画 | 赵青青 2020-08-05 18:06

为什么医疗行业需要零信任解决方案？ 中国的医疗行业正在面临新一轮变革，国内的政策环境和病患需求都在发生快速的变化。突如其来的新冠疫情更是加速了整个医疗行业的数字化进程，为医疗行业的技术发展和创新带来前所未有的发展前景和机遇。在医疗行业数字化转型的过程中，医疗行业安全风险也在不断的加剧。近年来，由于忽视网络安全及数据隐私导致的安全事件及合规问题层出不穷。 在今年突发的新冠疫情期间，也发生多起令人印象深刻的网络安全事件。其中某公司成功捕获了一例利用肺炎疫情相关题材投递的APT攻击案例，网络攻击者利用肺炎疫情相关题材作为诱饵文档，通过邮件投递进行攻击，获取有价值的私密信息。 疫情当前，国家危难时刻，在一线抗击疫情、丝毫不敢停歇的医疗工作领域也会遭到黑客无情的袭击，它无时无刻在提醒着我们，扛起生死的医疗机构，在面对网络安全时，更加脆弱，更需要我们花时间和精力去保护！因此，医疗行业在拥抱数字化转型、开启新的模式时，必须及时将网络安全纳入整体风险管理重点。 数字化时代下，医疗行业的现状 由于医疗行业相对薄弱的安全防护体系，和医疗机构数据的高价值“诱惑”，让网络攻击者不断进行更加周密的筹划，他们正在选择更精进、更隐秘的攻击方式，渗透到医疗系统中，在数据横跨的多个系统、多个环节中寻找攻击点，伺机窃取高价值的医疗数据。在数字化时代下，我国医疗行业的现状愈发严峻，需要投入更多的精力去建设医疗行业的网络安全。 01、业务系统暴漏： 医疗行业的网络安全防护参差不齐，少数医院采用物理隔断的方法，用户无法通过互联网直接访问内网应用，但是并没有对内网进行有效的防护手段，一旦有非法分子侵入内网就等于应用完全暴露，将会造成大量私密数据外泄； 多数医院会根据不同的应用提供访问内内外网的权限，某些包含重要信息的应用用户只能通过内网进行访问。通过外网用户可以进行在线挂号、自助缴费、访问用户APP等，虽然通过不同的应用可以控制访问权限问题，但还是有很多应用数据共享，会造成严重的安全隐患； 虽然大型私立医院安全防护意识较强，大多采用内网+VPN的方式，但是VPN的不稳定性和经常断线会导致用户体验较差。而其他中小型私立医院的安全防护意识则较差，缺少有效的防护手段和工具。 02、风险集中问题： 《2019健康医疗行业网络安全观测报告》指出： 以勒索病毒为代表的僵木蠕等恶意程序风险在15339家相关企业观测时被发现，存在僵木蠕等恶意程序的单位共1029家，其中受勒索病毒影响的企业共有136家。这些恶意程序可导致大范围的网络欺诈、信息泄露和医疗信息系统瘫痪等破坏性后果。 安全隐患带来的大数据泄露风险：本次观测发现，有6446家企业的应用服务端口暴露在公共互联网上，其中375家企业的应用服务使用了极简易的密码，攻击者可通过公共互联网轻易获取到这些服务的控制权，可能会导致批量应用服务被恶意控制、大量健康医疗数据泄露的安全事件。 03、观测结果评估情况： 《2019健康医疗行业网络安全观测报告》将风险分为四个级别，分别为重大风险（0-500）、较大风险（500-800）、一般风险（800-900）和低风险（900-1000）。分数越高，网络安全风险越低；分数越低，网络安全风险越高。健康医疗行业整体评分为788分，总体行业处于“较大风险”的风险级别，存在多种网络安全风险以及大量可以被利用的安全隐患，防御公共互联网攻击的能力较弱。 医疗行业关乎民生，医疗行业相关企业应提升自身网络数据安全综合防护能力，加强在网络数据安全领域的投入，建立系统化的安全保障体系，构建安全长效机制。传统基于边界的防护已经无法满足医疗行业数字化的需求，零信任针对企业数字化转型提供了新的防护理念和思路。零信任是如何解决医疗行业的难题的？下面我们将一一为大家进行解读。 数字化医疗的灾难，我们该如何避免？ 在医疗机构加速数字化的今天，网络安全能力匮乏，已经严重影响了全球公民健康数据的个人隐私，威胁着医疗机构庞大的数字资产。我国医疗行业现有的安全保障体系尚处于初步建设阶段，尚不足以应对当前网络安全威胁，医疗行业整体网络安全保障水平还需要提升。医疗行业网络安全建设落后主要有两个方面的原因： 01、医院信息化建设本身投入就相对来说不足，资金更多投入在应用和硬件上，安全方面投入很少； 02、医院信息部门缺乏安全建设经验，安全专业能力不足。 医疗行业覆盖面广，产值巨大，成为网络攻击者目标的可能性几乎是其他行业的2倍，每年都有数不清的数据泄露事件发生，数百万患者的隐私信息被盗窃，目前黑市上个人医疗信息的价值比信用卡信息高出50倍。那么针对医疗机构这样涉及人群广、隐私信息多的信息系统，医疗机构可以从以下几个方面着手进行防护： 采用数据加密、内网管控、虚拟桌面等安全防护技术，防止信息外泄，最大限度地保障数据的安全。 完善网络安全组织机构和管理的信息，加强信息安全人才队伍建设和从业人员医德意识； 纵深防御信息系统，合理规划网络结构，应用安全防护设备，建立监控报警机制； 细分层级管理进行，制定各层用户的权限，让用户对私密信息的接触，处于有效的监控之下； 零信任的适用场景及优势 传统基于边界的安全防护体系已然不能满足于数字化医疗体系的需求，为了保障整个医疗行业可以正常的运转，我们迫切的需要寻找一个更适合的安全防护方式。零信任理念的一大特征是就是默认不信任，总是验证和最小授权，通过这些特征可以在很大的程度上，减少被攻击的风险。零信任在医疗行业中具体的使用场景有： 01、安全防护过弱： 2018年1月，某警方侦破了一起新生婴儿信息倒卖链条。某社区中心工作人员徐某，掌握了某市“妇幼信息某管理系统”市级权限账号密码，累计非法下载新生婴儿数据50余万条，贩卖新生婴儿信息数万余条。 不法分子通过非法手段获取医院员工账号信息，远程登录医院系统下载用户的详细数据。医院系统中存在严重的安全漏洞，导致不法分子可以轻易的盗取患者的隐私信息，除了人为的因素之外医院安全防护不到位也是很重要的一个原因。 但是通过零信任默认不信任持续验证的行为，可以加强医疗机构的身份安全管理。默认不信任任何人和设备，通过不断的身份验证来获取登录访问的权限，使业务系统的身份验证更加安全。 02、纯内网物理隔断： 正规医科大学毕业的陈某，经常装模做样地走进医院，但是却从来不看病。找到医院的公用查询电话之后，他悄悄拔下网络插头，通过无线路由器等设备，让自己携带的笔记本电脑，连上医院的“内网”。 之后，他利用黑客程序，侵入医院的计算机信息系统。这一切，都是为了窃取医院的医药信息，转手高价卖给他人。5月9日，温州鹿城区检察院透露，陈某因涉嫌非法获取计机信息系统数据罪，已被依法批准逮捕。 如果信任为零，则企业设备或网络对于不受信任的公共网络或个人设备都是不信任的。在用户和设备上执行相同的安全检查，每个人都同样受到怀疑，但每个人也同样可以获得他们所需要的访问权限。这种零信任的访问策略适用于保存数据的任何位置，并且在访问数据时将其应用于所有系统的接口。 陈某通过医院内部网线，接入医院内网，从而实施了偷窃数据的违法行为。虽然医院采用了物理隔离的网络结构，但是内网却没有有效的安全防护手段，并且可以说是存在很大的漏洞，随便找到的一个网线接口就可以连接到内网，甚至只要连上医院内部的wifi就可以扫描内网服务器端口并进行恶意访问，由此可见物理隔离也并非安全可靠。 零信任打破了传统的防护理念，不再区分内外网，建立基于安全状态的动态可信访问控制机制，细粒度的按需授权，只给员工能完成工作的最小权限，而不是暴漏整个内网资源。 03、远程访问： 某著名品牌体检机构，全国有超过600家分店，统一使用总部提供的医疗体检平台，直接暴漏在互联网上登陆访问，频繁遭到黑客的恶意攻击，经常出现服务器被攻破紧急停机的情况。而且分店员工的安全意识薄弱，工作电脑中木马、蠕虫病毒等情况十分常见，更加重了总部运维的压力。 对于拥有大量分支机构的医疗企业来说，信息安全显得尤为重要，员工安全意识薄弱，使用行为不够规范，都有可能会造成信息主动或被动泄露，若大量的个人隐私信息遭到暴漏并在暗网交易，这种情况会降低企业的品牌影响力和用户认知度，从而影响收益。 零信任可以实现所有用户接入前统一认证，进一步减少攻击面。进行多层级细粒度的授权，实现全面最小授权，降低数据泄露的风险。实时评估终端环境，用户行为等，发现异常立刻出发响应，行为闭环，减少系统被攻击的风险。而且 通过零信任可以让员工拥有内外网一致的办公体验，终端用户可以直接在公网进行认证之后，访问授权的企业应用，不会因为网络的连通性问题而影响办公效率。 04、代替VPN： 某高端私立医院，患者多为各行业佼佼者，其中不乏演艺明星，跨国企业驻华高管这样的精英人士，个人隐私就显得尤为重要。患者住院之后，护士换药、医生巡房的时候都会将患者当前信息录入系统，医生下班后也可以通过APP查看患者的情况，如果有紧急情况还需要医生通过APP确定授权护士临时采取一些紧急救治措施。 大部分的医院都采取内网+VPN的网络防护方式，所有业务应用在内网，外部访问只能通过VPN，但是VPN的卡、慢、掉线等情况影响医生对患者情况的掌握，可能会产生严重的后果。VPN的不稳定性影响医生远程掌握患者信息，影响解决紧急情况的响应速度，还影响日常医护人员的远程访问体验。 零信任的安全理念是建立在身份验证、设备验证、网络隔离和访问控制的基础上，是保护管理应用和数据的关键。传统保护网络安全的方式是先访问资源再验证身份，而零信任的理念则是先验证身份，再授权进行访问。基于零信任网络，无论攻击者是否已经获得用户的授权凭证，他们的行动都将受到限制，遵循最小授权原则，所有其他资源对用户不可见。零信任网络可以划定一个清晰的边界，在网络种使用微分段创建安全区域以此加强网络的安全性。 2020年，数据安全建设仍将是医疗行业的重要工作内容，医疗机构需要做的是：深入了解数据全生命周期面临的安全风险，并对这些环节的关键风险点进行分析，借助和利用最新的技术、方法，提高自身的安全防护能力，从而赢得患者的信任、实现医疗数字化转型的数据之安。 为了更好的完成医疗数字化转型，医疗机构需要采用更加适合的零信任安全防护理念和方法，不仅可以提高医疗机构的安全性，也可以让医疗行业的工作更加便捷，让患者看病的过程更加安全可靠！ 扫描二维码免费领取： SDP实现等保2.0合规技术指南（白皮书） 识别二维码免费领取 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 医疗行业 | 数字化时代，零信任如何解决医疗行业的网络安全隐患？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 为什么企业数字化转型需要零信任? 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-08-03 17:03

分享|实施零信任战略能给企业带来哪些收益？ 李雨航，云安全联盟大中华区主席兼研究院院长，联合国工业发展组织安全专家，中国科学院云计算中心安全首席科学家/Fellow研究员，原华为首席网络安全专家，微软全球首席安全架构师，IBM全球服务首席技术架构师。 零信任已受到业界的高度关注，目前从乙方视角介绍零信任技术的内容比较多，然而零信任究竟能给甲方企业带来哪些价值与效益呢？本文依据多年零信任的实践经验，总结概括为以下几个方面： 随着互联网医疗的不断推进，医疗行业面临着更为严峻的网络安全态势。医疗行业数字化过程中引入新技术新业务应用的同时，也加速了医疗行业数字化风险的暴露，近些年，由于忽视网络安全及数据隐私导致的安全事件及合规问题层出不穷。目前医疗健康行业所面临的风险集中表现为： 01、管控风险 企业面临诸多风险，如政治、法律、品牌、财务、运营等，零信任战略与实施可以帮助企业降低运营风险。运营风险来源于企业所拥有的数字资产的潜在损失，零信任模式恰恰强化数字资产的发现，要求对企业的任何应用与服务等数字资产都进行识别并给予身份。零信任战略规划与架构设计会对敏感信息的攻击途径进行分析，输出数据流图使得网络的透明度大大增加，从而使得运营风险能够得到识别，企业可以采取风险管理手段进行有效的管控。零信任的永不信任始终验证思路和机制大大增加了攻击者的难度，不论是较难防的APT高级持续威胁还是内鬼管理员，因此有效地降低了总体安全风险。 02、降低成本： 零信任模式将保护资源的目标聚焦到负载与数据，通过策略与控制排除不需要访问资源的用户、设备与应用，使得恶意行为受到限制，缩小被攻击面，大大降低了安全事件的数量，使得企业能够节约时间与人力资源来迅速恢复少数的安全事件。另外零信任使得目标对攻击者不可见或很难被发现，这样目标所在的系统或应用存在一些漏洞也不会被利用，企业消耗在漏洞与补丁管理的成本也大大降低。总体来讲，实施零信任的企业所降低的成本可能会足以弥补其对零信任的投入。 03、业务敏捷： 零信任摈弃了静态边界防御的慢速与不方便的检查，安全不再是业务的绊脚石，业务能更快上线或更快地让用户使用到，给用户带来更好的安全体验。在以往实施了零信任解决方案的企业中，员工与合作伙伴可以在互联网上随时随地、无缝直连各种企业应用，不需要通过企业网络关卡（如VPN）的静态检测，提升了用户处理业务的速度与敏捷性。不少部署了零信任解决方案的先行企业首先是为了让员工们有更方便的在线工作方式，安全却成了附属奖励品。 04、安全合规： 零信任的动态防御思路与新出台的重要安全法律、法规、标准的动态防御思路不谋而合，例如等保2.0、数据安全与个人信息保护法、GDPR、FedRAMP等。零信任IAM与SDP解决方案与这些条款高度吻合，架构本身已经具有多项安全控制措施满足合规条款，能够充分减少审计师的违规发现（Findings），同时，零信任网络架构使安全审计师们更容易看清网络，让合规审计工作更加容易进行，可以说零信任是满足安全合规的有效措施与手段。 05、有效控制： 在实施零信任的企业中，IT部门可以获得对企业资源更有效的控制，不论资源是分布在企业内部各部门，还是在公有云、混合云，多云环境中。零信任架构本身支持企业网、云计算、物联网等多种应用场景，把网络通信限制在有身份被验证的负载中，不论零信任IAM体系是私有部署还是云中部署，它都在企业IT的掌控之下，并可以与MSG微隔离一起用来防御包括云服务商管理员在内的恶意行为。 06、改善管理 对于那些在数字化转型过程中依赖软件与应用的组织机构，零信任不仅通过可视可控使各部门的负载与应用便于被管理，而且还由于零信任能很好地支持DevOps模式，使应用部署能更好地适配业务的优先级，并减少各组织部门之间的工作摩擦。可以说，零信任是安全保障企业数字化转型、打造可持续数字化竞争力的一次最关键范式迁移，也是“安全优先”倒逼IT改革和业务创新的根本性行动。 零信任，不是没有信任，而是基于数字身份更安全地访问需要被防护的数字资源。实施零信任的目标也从来不是把企业的安全事件降为零，而是为了让企业能更好地平衡安全与业务，在数字化转型中，安全与发展双轮驱动不致掉队。 来源：零信任安全社区 扫描二维码免费领取： SDP实现等保2.0合规技术指南（白皮书） 识别二维码免费领取 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 零信任落地案例 | 云深互联成功签约某新能源开发企业客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-07-23 14:23

为什么企业应用上云需要零信任解决方案？ 伴随着云计算、移动互联网、物联网、5G等新计算等崛起，万物互联的数字经济时代已经到来，各行各业开始数字化智能化转型。业务上云、数据互联互通，给企业带来深刻革命的同时，也让企业IT架构发生了翻天覆地的变化，一场关于网络安全架构的技术革命正在进行。 零信任软件定义边界（SDP）正在迅速普及，其有效性在许多企业和案例中得到了广泛的验证。如今，随着越来越多的企业战略性地拥抱云计算IaaS平台，并且迫切需要云上资源的安全访问，传统的安全防御措施显然力不从心，此时我们相信，致力于保护云上资源的安全架构---SDP的时机已经到来。 企业上云的安全要求 IaaS的网络访问存在一个重大的安全挑战，作为云安全责任共享模型的一部分，网络安全直接依赖于企业。仅依赖于身份验证就将私有云资源公开到公共互联网，显然不符合安全和合规要求。因此，企业需要在网络层弥补这一差距。在企业上云的过程中存在两个需要解决的根本问题： 01、安全地远程访问： 所有的云用户都是远程的，这意味着无论网络连接是公共互联网还是专用的直接连接，与云的通信都是在网络连接上发生。 企业通常通过使用VPN解决这一问题，通过建立点到点的VPN，或者从用户的设备通过VPN集中器直接连到云。或者，结合上述两个方案，将用户从其设备通过VPN连接到企业网络，再通过点到点的VPN进入云端。 使用VPN在技术上解决了安全的远程访问难题，它为用户设备到云网络的网络通信提供了安全、加密的隧道。但这同样存在一些缺点，特别是如果所有的用户流量都需要先到公司网络，然后再去访问云，这将带来额外的延迟，造成单点故障，并可能会增加带宽成本和VPN授权的购买成本。通过VPN直接从每一个用户的设备连接到云有助于解决一些难题，但可能会与用VPN同时进入企业网络的需求发生冲突。 02、用户访问的可见性和可控性： 不管用户如何进入IaaS环境，安全团队仍然需要控制在IaaS环境中哪些用户可以访问哪些资源。 IaaS平台提供了内置的工具来管理这一点，例如AWS中的安全组和Azure中的网络安全组，基于IP地址控制对服务器的访问。 企业需要解决用户访问问题是安全访问面临的最基础的挑战，但只被赋予了基于IP地址的访问控制工具，这对迎接这一挑战来说是远远不够的。 在IaaS环境下，安全远程访问控制已经不再是一个特殊场景。所有用户都是“远程的”，因此，网络安全团队需要关心所有用户是如何访问资源的，而不仅仅是用户的一个子集。也就是说，安全的远程访问控制必须成为一个核心关注点，并且是采用IaaS的任何企业的整体策略的一部分。 企业上云的安全威胁和SDP对应的解决方案 云安全联盟公布了网络安全威胁报告，来帮助企业对云计算的采用做出明智的风险管理决策。该报告反映了安全专家在CSA社区中最重要的云上安全问题所达成了一致的意见：SDP可有效减少受攻击面，缓解或者彻底消除安全报告中提到的威胁、风险和漏洞，从而帮助企业能够集中资源于其他领域。 下面将针对企业上云的网络威胁和SDP相对应的解决方案一一进行介绍： 1、安全威胁：数据泄露 SDP作用：通过添加预验证和预授权来减少公开暴露主机的攻击面，实现服务器和网络的安全性的“最小访问权限”模型，从而有助于减少数据泄漏的许多攻击方式。 2、安全威胁：弱身份、密码与访问管理。 SDP作用：企业VPN访问密码被盗往往会导致企业数据丢失，这是因为VPN通常允许用户对整个网络进行广泛的访问，从而成为弱身份、密码与访问管理中的薄弱环节。相比之下，SDP不允许广泛的网络访问，并限制对这些主机的访问权限。这使得安全体系结构对弱身份、证书和访问管理有更大的弹性。SDP还可以在用户访问资源之前执行强认证来确认用户的身份。 3、安全威胁：不安全的界面和API。 SDP作用：使用SDP，未经授权的用户无法访问UI，因此无法利用任何漏洞，SDP还可以通过在用户设备上运行的进程来保护API。 4、安全威胁：系统和应用程序漏洞。 SDP作用：SDP显著减少攻击面，通过将系统和应用程序的漏洞隐藏起来，对未授权的用户不可见。 5、安全威胁：账号劫持。 SDP作用：基于会话cookie的账户劫持被SDP完全消除，如果没有预先认证和预先授权，并且携带适当的SPA数据包，应用服务器会默认拒绝来自恶意终端的网络连接请求。因此，即使网络请求中携带被劫持的会话cookie，也不会被SDP网关准入。 6、安全威胁：内部恶意人员威胁。 SDP作用：SDP将限制内部人员造成安全威胁的能力，适当配置的SDP系统将具有限制用户仅能访问执行业务功能所需的资源，而所有其他资源都将被隐藏。 7、安全威胁：高级持续威胁攻击。 SDP作用：SDP通过限制受感染终端寻找网络目标的能力，并且在整个企业中实施多因子认证，有效减少攻击面，从而降低APT存在的可能性和传播。 8、安全风险：数据丢失。 SDP作用：SDP通过执行最小权限原则，并将网络资源对未授权用户隐藏起来，来减少数据丢失的可能性。 9、安全风险：DDOS攻击。 SDP作用：SDP架构中的单包授权技术使得SDP控制器和网关对组织DDOS攻击更有弹性。SPA与典型的TCP握手连接相比可花费更少的资源，使服务器能够大规模处理、丢弃恶意的网络请求数据包。 10、安全风险：共享技术问题。 SDP作用：SDP可以由云服务提供商使用，以确保管理员对硬件和虚拟化基础设施的访问管理。 为什么是SDP而不是VPN？ VPN是一种广泛用于安全远程用户访问控制的普遍技术，但是为什么企业不继续使用这种被验证过的技术呢？ VPN可以很好的为远程用户提供对虚拟局域网或网段的安全访问，这种技术在与多因子身份认证结合时，对于具有传统半边街的企业以及静态用户和服务器资源来说效果很好，但正如Gartner的调研报告所说：“DMZ和传统的VPN是为上世纪90年代的网络设计的，由于缺乏保护数字业务所需的敏捷性，它们已经过时。” VPN有两个缺点，使它不再满足当今的需求。首先，它对所分配的网络提供非常粗粒度的访问控制。它的目标是让远程用户的行为就像在本地网络上一样，这意味着所有用户都可以对整个虚拟局域网VLAN进行完全的网络访问。尝试配置VPN为不同的用户提供不同级别的访问是不现实的。VPN不能很容易的适应网络或服务器集群的变化，简单来说VPN根本无法跟上当今动态发展的企业的要求。 其次，VPN只是一种控制远程用户的解决方案，它不能有效的保护本地内网中的用户，这意味着组织需要一组完全不同的技术和策略来控制本地用户的访问。这将使协调和匹配这两个解决方案所需要的工作量成倍增加。而且，随着企业采用混合和基于云计算的计算模型，VPN就更难被有效的使用。 SDP如何解决企业上云安全问题？ SDP可以为企业提供对IaaS环境的安全远程访问，并对用户访问做到细粒度的可见性和控制。 通过使用SDP，企业的云资源对于未经授权的用户完全不可见。这样完全消除了许多攻击方式，包括暴力攻击；网络流量攻击，以及TLS漏洞攻击。SDP通过在企业的服务器周围建立一张“暗网”，帮助企业并为云计算安全负责。 SDP以预验证和预授权作为它的两个基本支柱，通过在单数据包到达目标服务器之前对用户和设备进行身份验证和授权，SDP可以在网络层上执行最小权限原则，可以显著地缩小攻击面。 SDP的优势 IaaS与传统的内网相比，有着不同的用户访问需求和安全需求，然而，这些需求并不能安全由传统安全工具或者IaaS供应商提供的安全架构来满足。使用软件定义边界架构，企业用户可以安全地访问他们的IaaS资源，且不妨碍业务用户或IT生产力。SDP可以为企业提供一个集中管控并且策略驱动的网络安全平台，覆盖他们的整个基础设施和他们的整个用户群体。在企业上云的过程中SDP具体的优势是： 1、运维效率： 与达到特定级别的安全性所需的手工工作相比，SDP的自动化策略执行在运维上体现了显著的好处。从另一个角度来看，一个企业可以通过SDP轻松获得的安全性级别实际上是不可能通过传统的安全工具实现的。 2、简化的合规性工作： SDP的实施产品通常提供每个用户访问权限和活动的详细记录，这是由于网关对所有客户端网络流量进行日志记录和控制。因此，SDP可以根据这些细节提供自动化的合规性报告。 而且，由于SDP支持对用户访问的细粒度控制，企业通过将其网络分割成更小的、隔离的部分来获得合规性需要的范围。 3、降低成本： SDP可以帮助企业以多种方式降低成本。首先，对访问策略的自动执行减少了为响应用户或服务器更改而手工更新和测试防火墙规则的需求。在较大的企业中，这通常是其IT人员日常工作的一部分，因此这提供了一个减少工作量和人工成本的机会。它还将提高业务和技术人员的生产效率，同时也可以有效降低金钱成本。其次，简化的合规性工作将减少准备和执行审计所需要的时间和精力。最后SDP可以给企业带来一种替代其他技术的方案，从而降低成本。 安全是云计算的基石，针对云安全的防御之战，将是一场持续、持久的战争。企业上云是企业数字化转型的重要途径，切实从企业角度思考打消决策者对于上云的安全顾虑，帮助企业梳理业务系统重构问题，以及降低可能会面临的云服务系统风险，才能跨越企业上云的重重难关。 扫描二维码免费领取： 软件定义边界SDP帮助企业安全迁移上云（白皮书） 识别二维码免费领取 -The End- 签约喜讯 零信任落地案例 | 云深互联成功签约某银行客户 零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户 解决方案 ① 场景解决方案 远程办公 | 为什么零信任是远程办公的未来趋势？ ② 行业解决方案 金融行业 | 为什么金融行业需要零信任安全的解决方案? 运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？ 技术分析 一文了解零信任架构的3大核心技术 浅谈零信任的6大商业和安全益处 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-07-15 17:33

零信任安全在攻防演练中的“防御”之道 近年来国家不断加快5G、人工智能和云计算等新型基础设施的建设，企业的数据不再局限于内网，互联网迎来了高速的发展和更为广阔的发展空间；但与此同时，网络安全也成为国家发展中面临的新的威胁和挑战，正所谓是“没有网络安全就没有国家安全”，为了进一步保障网络安全，小到企业大到整个国家都开始重视网络安全并不断加强网络安全建设。 自从2016年国家颁布了《网络安全法》，“网络攻防演练专项行动”已成为一年一度的惯例。从最开始只有公安部、民航局和国家电网三个事业单位参加到现如今参加队伍在不断扩大，由此可以看出从国家到企业都在不断地重视网络安全问题。随着网络安全问题不断严峻，我们也不得不重新审视网络安全问题，将视角从传统的“合规防御”转移到更高级别的“攻防对抗”上来。 云深互联陈本峰认为，“纸上谈来终觉浅，红蓝对抗得真知”，没有实际行动光有理论基础也难以提高自身实力。国家通过一年一度的“网络攻防演练”来检阅各单位的安全防护和应急处理能力，便于提高各组织机构的综合防控能力。面对安全威胁，守护好安全的最后一公里，做好安全防御，是各政企事业单位及组织应修炼的防御之道。 01 攻防演练的历史 提及攻防演练，首先要追溯一下它的由来，如下为大家简单介绍一下美国、北约联盟和国内攻防演练的大致情况。 1、“网络风暴”攻防演习：美国国土安全局主导，于2006年开始，60支队伍，模拟为期一周的攻击，主要攻击范围为国家、政府等关键网络基础设施。 2、“Locked Shields”攻防演习：由北约联盟在2010年启动，模拟为期5天的攻防演练，主要攻击范围为模拟的海军基地、电站等关键信息建设设备。 3、“红蓝对抗”攻防演习：于2016年在国内启动，模拟为期3周的攻防演练。发展也从最初的参演目标的民航系统、国家电网到2019的30个行业，118家防守单位，110支攻坚队。 02 防御流程及手段 从往年的网络攻防演练专项行动中我们可以了解到，对于防守方来说保证分数和得分一样重要。为了在活动中防守方可以保证得分，防守方需要制定相关的防御流程及手段，具体如下： 1、全网隐患自查修复，做到减少互联网暴露面、无弱口令、无高危漏洞、主机安全加固等一系列修补措施； 2、对企业内部员工进行安全意识培训，预备成立防御方团队，对成员进行职能、防护能力评估； 3、防御团队建立，可根据自身人员情况进行配置，主要可分为指挥、应急处置、检测组，白天黑夜轮班值守； 4、防御团队检查组，分析所检测的设备及平台产生的安全日志，挖掘入侵时间，填写《入侵、攻击时间分析报告》提交团队指挥； 5、防御团队应急处置组确认事件是否由正常业务引起，对真实攻击根据事件定级按次序进行应急，完成后编写提交《应急处置报告》，并修复业务系统； 6、团队指挥协调监测报告组和应急处置组之间的工作，准备好随时对攻击方提交的报告进行上报处理。 03 零信任在攻防演练中的防御思路 现如今传统基于防火墙的物理边界的防御已经不在能满足企业的需求，在此情况下新一代安全以人为中心基于“零信任”的理念的软件定义边界（SDP）于2014年由国际云安全联盟CSA提出，目前已经在国外广泛成功应用，有效地帮助企业解决上云的安全问题。不仅如此，在攻防演练中基于SDP的防御手段也为防守方提供了一份安全保障。 云深互联的CEO陈本峰认为：“网络安全得本质在对抗，对抗得本质在于攻防两端得能力较量。只有做到知己知彼才能百战不殆，在攻防演练中除了要明确自己本身的优势和劣势之外，还需要对敌方了解透彻，这样才能通过有针对性地防御手段和措施进行防御。” 做好安全防御，首先要清楚安全威胁的漏洞及威胁在哪里？渗透是黑客发起攻击，评估企业网络资产状况的重要手段。而企业也会进行一些渗透测试，通过于此，了解自身的全部网络资产状态，发现潜在的隐性安全漏洞和网络风险。而渗透测试作为一种全新的安全防护手段，让安全防护从被动转换成主动，正被越来越多企业及机构认可。如上为攻击方进行渗透攻击的四个步骤，也是常见的攻击手段。如下图所示： 对于攻击方来说，在攻防演练中攻击方并不会遵守时间规则，活动期间可能会随时发起进攻。这对防守方来说无异于增加了防守的难度，在此情况下，防守方更要及时的看清攻击方攻击的趋势，有针对性地建立起自己地防御体系，这样才有可能做到在整个活动地过程中运筹帷幄从容地面对出现的各种棘手问题。 在红方进行防守之前要明确攻击方的主要渗透思路和攻击途径，这样才可以真正的做到有计划的进行防守，进一步确保在整个过程中己方不会失利。 蓝方的主要攻击途径有以下几点： 1、CVE-2019-11510、CVE-2019-11539、CVE-2018-113379、CVE-2018-13383、0-day等漏洞途径攻击扫描； 2、企业领导人、企业管理者、企业运维管理员、IT技术人员等高权限人员进行优先攻击； 3、DNS、DHCP、OA、邮件系统、域控、IAM等重要基础设施系统攻击； 4、门户网站、企业对外系统、Github、云上系统、移动IOT设备等资产包露面进行扫描攻击。 针对蓝方的攻击思路和途径，云深互联有针对性地提供了相关的SDP防御手段。具体包括以下5个方面： 1、网络隐身技术：深云隐盾网关是服务器地隐身保护罩，隐盾默认关闭所有端口，拒绝一切链接，让服务器“隐身”，任何人都扫描不到。基于SPA协议已经动态防火墙的多层安全防护，只有合法的用户才可以连接到服务器。通过“网络隐身”技术，减少业务系统和深云SDP防御系统在互联网暴露面，防止蓝军进行对暴露面地业务系统资产收集和对深云SDP防御系统进行攻击。 2、多因子身份认证，通过多角度多方位保护用户的合法性，对员工地安全防御意识进行补充防御，防止社工、弱口令爆破等攻击手段。 3、“按需授权”确定员工最小权限，组织蓝方依托员工账户进行渗透攻击。深云SDP企业浏览器在使用前需要进行用户身份和设备的验证，在合法用户成功登录浏览器之后只能看到自己权限内被授权的应用。 4、行为管控，禁止管理员代码调试、打印、复制、水印等措施，防止员工通过公网浏览中被钓鱼、泄密风险。 5、通过浏览器数据地采集和分析，全局安全大数据态势感知，及时发现内部威胁，提升防御监测能力。 04 实践出真知，安全从来都不是泛泛之谈 网络攻防演练专项行动自推出以来，令各大企业更加重视网络安全问题，不断增加在网络安全建设方面的投入成本。以期望保护数据资产的安全，做好各类网络威胁的应对措施。 云深互联作为零信任安全SDP领域的代表性安全厂商，通过深云SDP为多家企业提供有效的防御体系，致力于让每一家企业数据安全上云并高效地互联互通，助力企业在攻防演练中做好安全防护工作，为建设网络安全贡献自己的一份力量！ -The End- 2020.06.12HW专题直播活动，欢迎大家参与！！！ 白皮书下载 零信任安全SDP功能及应用详解 一文带你读懂NIST《零信任安全架构标准》 更多精彩阅读 一文了解零信任架构的3大核心技术 零信任安全十周年峰会|陈本峰受邀出席并解读《NIST零信任架构》 云深互联再次入选Gartner的SDP行业报告 NIST建议的零信任安全8大应用场景 免费：三步实现千人远程内网办公 云深互联陈本峰：软件定义边界（SDP）是零信任安全的落地技术 Cybersecurity Insiders 发布《2019零信任安全市场普及行业报告》 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-06-11 17:08

一文了解零信任架构的3大核心技术 “零信任”自从2010年被Forrester分析师约翰·金德维格正式提出到现在已有十年的历史，在这十年中“零信任”一直都是安全圈内众人不断争议和讨论的对象，有人说它将是网络安全发展的必然产物，也有人说这种理念难以实现。无论“零信任”如何饱受争议，但事实证明随着相关技术的发展它都已然成为当下企业最好的选择。 2019年，在工信部公开征求对《关于促进网络安全产业发展的指导意见(征求意见稿)》的意见中，“零信任安全”首次被列入网络安全需要突破的关键技术。同年，国家首次将零信任安全技术和5G、云安全等并列列为我国网络安全重点细分领域技术。由此可见，零信任安全同样引起了国家相关部门和业界的高度重视。 陈本峰认为：“想要实现零信任，就需要重新思考我们应该如何利用现有的基础设施，以更简单、更高效的方式设计具体实施方案，同时保证整个过程中不受任何阻碍。”针对零信任架构的3种具体实现方案，陈本峰为我们带来了详细的解读。 01 零信任架构 零信任架构就是在不可信的网络环境下重建信任，利用零信任概念和包含组件关系，制定工作流程规划和访问策略。零信任架构是基于零信任的企业网络安全策略原则，其目的是防止数据泄漏并限制内部横向移动。零信任架构的技术的本质是构建以身份为基石的业务动态可信访问控制机制。企业决定采用零信任作为网络安全基础，并基于零信任原则制定开发计划，然后部署此计划形成一个零信任环境供企业使用。 企业可以通过多种方式为工作流程制定ZTA。这些方法在使用组件和组织的策略规则的主要来源方面有所不同。每个方法都实现了零信任的7大原则（零信任安全十周年峰会|陈本峰受邀出席并解读《NIST零信任架构》），但可以使用一个或两个作为策略的主要驱动力。这些方法包括通过下一代防火墙增强身份治理驱动的逻辑微分段，以及基于网络的细分。 针对不同的用例可以选择不同的方法，很多组织为企业开发零信任产品时可能会发现其选择的用例和现有策略指向，某种方法会优胜于其他方法。这并不意味着其他方法无效，而是在具体的过程中其他方法难以实施，可能需要更基本的方法来更改企业当前业务流程的方式。 02 零信任架构（ZTA）三大技术：“SIM” 2019年，美国国家标准委员会NIST对外正式发布了《零信任架构ZTA》白皮书，强调了零信任的安全理念，并介绍了实现零信任架构的三大技术“SIM”： 1)SDP，软件定义边界; 2)IAM，身份权限管理; 3)MSG，微隔离。 图：零信任架构的三大技术 SDP 软件定义边界： SDP即“软件定义边界”，是国际云安全联盟CSA于2014年提出的基于零信任(Zero Trust)理念的新一代网络安全模型。SDP 旨在使应用程序所有者能够在需要时部署安全边界，以便将服务与不安全的网络隔离开来。SDP 将物理设备替换为在应用程序所有者控制下运行的逻辑组件。SDP 仅在设备验证和身份验证后才允许访问企业应用基础架构。 SDP 的体系结构由两部分组成：SDP 主机和 SDP 控制器。SDP 主机可以发起连接或接受连接。这些操作通过安全控制通道与 SDP 控制器交互来管理(请参见下图)。因此，在 SDP 中，控制平面与数据平面分离以实现完全可扩展的系统。此外，为便于扩展与保证正常使用，所有组件都可以是多个实例的。 图：SDP架构及特性 在使用中，每个服务器都隐藏在远程访问网关设备后面，在授权服务可见且允许访问之前用户必须对其进行身份验证。SDP 采用分类网络中使用的逻辑模型，并将该模型整合到标准工作流程中。SDP的安全优势： 1、SDP最小化攻击面降低安全风险; 2、SDP通过分离访问控制和数据信道，保护关键资产和基础架构，从而阻止潜在的基于网络的攻击; 3、SDP提供了整个集成的安全体系结构，这一体系结构是现有的安全设备难以实现的; 4、SDP提供了基于连接的安全架构，而不是基于IP的替代方案。因为整个IT环境爆炸式的增长，云环境中的边界缺失使得基于IP的安全性变得脆弱。 5、SDP允许预先审查控制所有连接，从哪些设备、哪些服务、哪些设施可以进行连接，所以它整个的安全性方面是比传统的架构是更有优势的。 IAM(增强的身份管理) 身份管理是大多数组织实现安全和IT运营策略的核心。它使企业可以自动访问越来越多的技术资产，同时管理潜在的安全和合规风险。身份管理为所有用户，应用程序和数据启用并保护数字身份。 开发ZTA的增强的身份管理方法将参与者的身份用作策略创建的关键组成部分。企业资源访问的主要要求基于授予给定主体的访问特权。通常使用开放式网络模型或具有访问者访问权限或网络上频繁使用非企业设备的企业网络找到针对企业的基于身份治理的增强方法。最初，所有具有资源访问权限的资产都将获得网络访问权限，这些权限仅限于具有适当访问权限的身份。自发布NIST SP 800-207（第二草稿）零信任架构以来，身份驱动的方法与资源门户网站模型配合的很好。身份和状态提供辅助支持数据以访问决策。其他模型也可以使用，具体取决于现有的策略。 身份管理可以帮助组织有效地解决复杂业务带来的挑战，并平衡四个关键目标： 1. 加强安全性并降低风险。 2. 改善合规性和审计绩效。 3. 提供快速，有效的业务访问。 4. 降低运营成本。 图：零信任身份与访问管理 MSG(微隔离) 微隔离是一种网络安全技术，它可以将数据中心在逻辑上划分为各个工作负载级别的不同安全段，然后定义安全控制并为每个唯一段提供服务。微隔离使IT人员可以使用网络虚拟化技术在数据中心内部部署灵活的安全策略，而不必安装多个物理防火墙。此外，微隔离可用于保护每个虚拟机(VM)在具有策略驱动的应用程序级安全控制的企业网络中。微隔离技术可以大大增强企业的抵御能力。 图：微隔离 微隔离是一种在数据中心和云部署中创建安全区域的方法，该方法使企业组织可以分离工作负载并分别保护它们，使网络安全性更加精细，从而更加有效。如下为微隔离的几个好处： 1、减少攻击面 2、改善横向运动的安全性 3、安全关键应用 4、改善法规遵从性状况 03 写在最后 网络安全多年来已经成为人们口中经久不衰的话题，从单一防护到零信任的发展，安全防御方式正在进一步提升。随着技术的不断发展，零信任理念也正在逐步将公共和私人网络的边界消除。不过，并非每个企业都拥有实施零信任网络的IT基础架构的知识、资源和时间。企业必须拥有大量的预算和人力来开发，构建和维护因地适宜的零信任架构。对于资源不足的小型企业来说，这也将成为一项重大的挑战。 -The End- 2020.06.12HW专题直播活动，欢迎大家参与！！！ 白皮书下载 零信任安全SDP功能及应用详解 一文带你读懂NIST《零信任安全架构标准》 更多精彩阅读 云深互联再次入选Gartner的SDP行业报告 NIST建议的零信任安全8大应用场景 免费：三步实现千人远程内网办公 后边界时代的信任是“零信任” 云深互联陈本峰：软件定义边界（SDP）是零信任安全的落地技术 Cybersecurity Insiders 发布《2019零信任安全市场普及行业报告》 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），取名自“云深不知处，只在互联中”，寓意着公司的使命：通过零信任SDP（软件定义边界）网络隐身技术，保障企业数据的安全可信访问并且高效互联互通。公司致力于为企业提供零信任架构的网络安全产品与服务，技术具备国际领先水平，连续入选全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》、《软件定义边界SDP市场增长研究报告》行业报告，也是工信部信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-06-10 19:32

零信任远程访问平台：网络隐身按需授权，安全互联高效体验！ 如今，越来越多的员工逐渐习惯使用手机、平板电脑等个人设备，通过4G和5G网络进行收发邮件、处理工作流程，访问企业资源；使用笔记本电脑，通过公共WiFi连接到公司网络进行远程办公。 根据“全球职场分析”和FlexJobs公司报告，远程办公人员的数量在过去十年中增长了115%。然而随之而来的是，员工对企业内部网络资源的远程访问也增加了企业网络的脆弱性，产生众多安全隐患。 VPN远程办公风险思考 2020年远程办公的大潮下，中大型企业的VPN远程办公暴露了诸多问题：家庭网络难连上公司VPN、频频掉线、VPN存在暴露内网风险等。例如某上市公司运维人员通过VPN登入内网跳板机，恶意破坏客户数据导致公司市值缩水近20亿元！让人不寒而栗…… 除了远程访问、移动办公风险高，在业务系统迁移上云、攻防演练的企业环境中，易遭受黑客攻击、资产暴露等缺陷也值得警惕！ 越来越多的企业需要思考，远程办公的核心诉求是什么？企业该如何应对云时代面临的安全挑战？ 零信任网络SDP兴起 随着企业拥抱云计算、移动互联网、IoT等新兴技术，企业的数据和应用都不再局限在内网，因此传统的基于防火墙的物理边界防御已经无法适应需求，取而代之是Software Defined Perimeter（软件定义边界，即SDP）。 零信任SDP是由国际云安全联盟（CSA）于2014年提出的新一代网络安全模型，主张网络隐身、零信任、最小授权，是更适用于云和移动时代的企业安全架构。 知名的零信任方案BeyondCorp是Google2010年发起的SDP项目，用零信任理念打造安全便捷的远程办公系统，发展至今谷歌员工已经可以从世界各地访问大部分公司应用，只有少部分场景仍依赖VPN。 ▲ Google BeyondCorp SDP项目概念图 经过多年发展，SDP越来越广泛地被采用。全球权威IT咨询机构Gartner甚至预言，到2023年将有60%以上的企业使用SDP替代现有VPN，2022年将有80%的企业上下游合作伙伴接入采用零信任网络。 基于此，讯飞开放平台联合中国领先的零信任SDP安全产商云深互联，重磅上线零信任远程访问平台——云时代的企业安全体系，构建安全可信的网络空间。 深云SDP平台上线 深云SDP平台致力于为企业提供零信任架构的网络安全产品与服务，保障企业数据的安全可信访问，并且高效互联互通。支持网络隐身、零信任、最小授权，是更适用于云和移动时代的安全企业架构。 应用场景 分支机构远程访问 痛点：业务系统在内网，无法直接访问。专线成本高，VPN存在暴露内网的风险 解决方案：将隐盾网关部署在数据中心入口，保证业务系统隐身隔离，让分支机构安全访问 上下游供应商远程访问 痛点：暴露在公网上的供应商，业务系统安全的检查、漏洞修补等，成本和风险高 解决方案：通过部署隐盾网关在供应商系统前面，实现系统网络隐身，防止被黑客攻击，安全访问 企业迁移上云 痛点：业务系统由内网私有变成公网暴露，易遭受黑客攻击，WAF等防护工具只能抵挡已知的攻击手段 解决方案：通过在公有云虚拟网络里面部署DeepLinker连接器，可以保证云上资源不对外暴露的情况下让员工安全访问 员工移动办公 痛点：业务系统在内网，无法直接访问。VPN容易被打穿导致内网被渗透 解决方案：通过在DMZ区域部署深云安全一体机或者在内网部署DeepLinker连接器，可以让外网安全接入内网，同时保证不对外暴露任何IP和端口 企业攻防演练 痛点：Web资产暴露、VPN缺陷存在风险。现有方案无法做到将Web资产暴露面减少，仅进行防御或者关闭该资产信息 解决方案：通过深云SDP的整体防护，做到Web资产隐身化，从而减少资产的暴露面，其次可以替代VPN，在安全性上，深云SDP远程安全防护系统本身也会进行隐身化。提高企业安全，拒绝隐患 方案优势 传统的VPN连接模式，早已不能满足云和移动时代所需的安全、高效的访问体验。基于零信任理念的深云SDP，具有网速更快、连接更稳定、即连即用更省心的优质体验；同时能消除更多攻击风险，具有支持内网保护、多因子身份验证等多重优势。 1 网络隐身 通过在数据通信的各层授权、防御，设置私有DNS，提供SPA和动态端口，端口授权控制，实现网络隐身，只有合法员工能“连接”企业应用，让网络攻击无从发起。 2 态势感知 通过时刻监控、审计操作者的访问行为以及内网应用，形成可视化数据，帮助快速定位异常，及时发现企业安全风险，自动生成报警信息，降低运维压力。 3 按需授权 通过更细粒度的授权，只允许应用级访问，不暴露内网，只授予员工完成工作所需的最小权限。避免过度授权，减少网络攻击面。 4 数据防泄漏 通过统一设置SDP客户端数字水印功能，做到泄密可溯源。并支持国密SSL协议双向认证，对数据传输进行加密。有效阻止攻击者获取业务应用账户和敏感信息。 产品组成 深云SDP包含三个组件：深云SDP客户端/深云企业浏览器、深云SDP安全大脑、深云隐盾网关。 工作流程 深云SDP用SPA技术向安全大脑发送访问请求。 深云SDP安全大脑验证用户信息，返回授权、网关、策略信息；同时，深云SDP安全大脑将用户信息、策略信息发给深云隐盾网关。 深云SDP用SPA技术带着授权向深云隐盾网关发送访问请求。 深云隐盾网关检查从深云SDP安全大脑获取的安全策略，验证客户端授权，建立双向加密链接。 深云SDP安全大脑会随时监控链接是否符合安全策略，即时调整。 产品类型 2020-05-27 18:42

一文浅析零信任安全模型 自2010年约翰·金德维格(John Kindervag)首次提出了零信任安全的概念之后，已经有十年时间。零信任安全理念已经在国外已经被广泛应用，在国内零信任安全也引起了国家相关部门和业界的高度重视。而今年备受关注，是被关注的热点之一。 众所周知，零信任是一种基于严格身份验证过程的网络安全模型。该框架规定，只有经过身份验证和授权的用户和设备才能访问应用程序和数据。同时，它可以保护这些应用程序和用户免受互联网上高级威胁的侵害。该模型可以更有效地适应现代环境的复杂性，无论人在何处，都可以有效的保护设备、应用程序和数据安全，对于数字化转型及企业网络安全架构来说，都越来越重要。 零信任安全的核心目标是数据安全。传统的防火墙或者密码策略并不能有效的阻止外部攻击，而零信任框架可以针对数据泄露和网络威胁提供可靠的防御。熟悉了解零信任的工作原理及模型原则，可以对安全防御有更多的了解，今天跟大家分享一下对零信任安全模型的认知。那么，到底什么是零信任安全模型呢? 零信任安全的工作原理 零信任安全是涉及多种技术和流程的网络安全方法，而且前面讲到，它的核心是数据安全性。所以，数据安全是零信任架构的重点领域。包括Forrester也建议针对重点领域需建立最佳的零信任安全策略。 图 零信任安全模型 零信任数据：零信任首先要保护数据，然后再构建其他安全层。由于数据是攻击者和内部威胁的最终目标，因此，零信任框架的第一关注点就是数据。需要对数据进行实时监测和响应。 零信任网络：零信任技术可以对网络进行分段、隔离和限制，阻止攻击者进入网络窃取数据。 零信任人员：网络安全其实是人的安全，人是安全策略中最薄弱的环节。零信任模型没有假设公司防火墙后面的所有信息都是安全的，而是假设违规并验证每个请求，就像它是来自开放网络一样。无论请求来自何处或访问什么资源，零信任都会教我们“永远不要信任，永远要验证”。在授予访问权限之前，每个访问请求都经过完全身份验证，授权和加密。微隔离和特权最小的访问原理被应用以最小化横向移动。丰富的情报和分析功能可用于实时检测和响应异常。 零信任工作负载：工作负载是基础架构和运营团队所使用的术语，意指使您的客户与您的业务交互的整个应用程序和后端软件堆栈，从存储到操作系统到Web前端，将整个堆栈视为威胁，并使用符合“零信任”标准的控件对其进行保护。 零信任设备：由于网络上设备的数量在过去几年中呈爆炸式增长，而这些连接的设备中的每一个都可以作为攻击者渗入网络的入口点。所以，零信任安全团队应该能够隔离，保护和控制网络上的每台设备。 可见性分析：高级威胁检测和用户行为分析是掌握网络中任何潜在威胁的关键，便于实时识别异常行为。执行“零信任”原则，可以让安全事件响应团队及时了解网络中发生的事情，并进行分析。 自动化和编排：自动化有助于零信任安全系统的正常运行，并执行零信任策略。 零信任安全模型的3条原则 零信任是一种基于严格身份验证过程的网络安全模型。其有3个基本原则： 图 零信任原则 1. 对资源访问进行身份验证 零信任的第一基本原理是对资源访问进行身份验证。我们必须假定在访问网络时都是具有威胁的，所以每次用户在访问共享文件、应用程序、云存储设备时，都需要重新进行验证。 2.采用最小特权模型并执行访问控制 最低权限的访问模式是一种安全模式，因为通过限制每个用户的访问权限，可以防止攻击者使用一个受感染的帐户来访问大量数据。 3.检查并记录所有内容 零信任原则要求检查和验证所有内容。记录每个网络呼叫，文件访问和电子邮件中是否存在恶意行为，这样可以分辨出正常登录或异常登录之间的区别。 零信任安全模型的实施 文章开头，我们提到了零信任的核心是数据。对于如何利用零信任架构保护数据，有以下几点： 识别敏感数据：在保护数据之前，需要找出敏感数据所在的位置，并明确数据的访问权限。 限制访问：确定了敏感数据后，请检查以确保只有需要访问权限的人员才能访问。这将限制敏感数据的暴露，并使黑客更难获得访问权限。 检测威胁：了解敏感数据的位置并限制对其的访问是建立“零信任”的关键的一步。接下来，需要能够检测数据是否有异常行为。并将当前行为与先前行为的基准进行比较，然后应用安全分析和规则以检测来自内部或外部的网络安全威胁。 写在最后： 零信任作为一种信息安全架构，要求对网络内部或外部的访问采用“永不信任，始终验证，强制执行最小特权”的方法。通过实施最少特权访问，组织可以最大程度地减少攻击面，提高审计和合规性可见性，并降低现代混合型企业的风险，复杂性和成本。 2019年，Gartner发布的《零信任网络访问市场指南》中对零信任安全的市场进行了详细的描述。随着零信任逐步被众多企业熟知和应用，而且，零信任相对传统安全具有更好的优越性，未来零信任的市场占有率将会越来越大，未来，可期。 -The End- 2020-05-26 18:04

一文解读教育行业在红蓝对抗中的解决方案 众所周知，教育行业一直是国家关注的重点之一。而随着高校信息化建设的不断进行，对应的网络安全建设措施也非常多，比如网站WAF部署、容灾备份、防病毒、网络行为审计等一系列的安全措施。但校园网络和企业网络的差距甚大，如何保证科研服务器及办公网络的安全和通信链路的安全?如何在红蓝对抗中做好安全防护?是我们一直关注的问题，本活动也会针对这个问题进行深度解析探讨。 针对于此，由网新安服、云深互联、优企酷、极客时间联合主办的《防御|教育行业如何在红蓝对抗中稳操胜券(深度解读专场)》直播活动将于4月23日下午16：00准时开始，共同从红蓝对抗的角度分析教育行业面临的业务系统暴露、黑客入侵等问题并提出“防御”理念的安全解决方案。 活动时间 2020.04.23 下午16:00-17:30 演讲嘉宾 浙江网新安服 信息安全技术专家 刘传兴 云深互联 高级解决方案专家 魏敬伟 直播议程 16:00-16:40 从疫情防御看企业网络安全建设 16:40-16:45 Q&A时间 16:45-17:25 零信任在红蓝对抗中的防御实践 17:25-17:30 Q&A时间 报名链接 直播链接：https://m.qlchat.com/topic/details-live?topicId=2000009277676574 扫码参与直播 更多参与方式 扫码加入微信群 备注：群满请添加小助手CloudDeepSDP加入群聊，参与直播。 免费福利 📕 云深互联提供的《软件定义边界（SDP）安全架构技术指南》一书； 🎁 网新安服提供的运动防水双肩包； 🎁 网新安服提供的万事利丝巾、timebox笔记本、晴雨伞； 🎁 4月23日之前进群参与直播，将会获得由极客时间提供的199元课程大礼包； 🎁 创业邦提供的限量茶叶； 在网络安全领域，红蓝对抗是指蓝方(进攻方，如商业攻击队)通过漏洞扫描、弱口令、旁路渗透等方式对红方(防御方，国家级公安部拟定名单企业等)进行各种类型的模拟攻击，防御方通过病毒查杀、加强监控预警等方式进行对抗，形成红蓝相互促进，循环提升的效果，从而挖掘深层次安全隐患、提升企业应对外界高位攻击的能力。 蓝方主要渗透思路 图：渗透思路四步骤 蓝方渗透的目的维度是获取权限、获取数据、权限维持、持续威胁，以攻破红方的防御。那针对这些潜在威胁，如何进行防御，是我们研究的重点。 教育行业现状及问题 中小学院校等管理系统均采用“两级部署，五级应用”或“一级部署，四级应用”部署模式，数据暴露在公网上。 高校网站面临的主要安全威胁有：网页被挂马被篡改、网站被 DDoS攻击无法访问、网站成为黑客侵入校园内网的跳板。 校园业务信息系统面临着的安全威胁：缺乏必要的入侵防护手段、系统漏洞缺乏必要的控制措施、业务系统权限控制不合理等。 大量用户访问、移动用户接入等问题。 业务系统上云（公用云、私有云）后的防护问题。 终端用户使用浏览器不统一，时常出现无法打开视频、或者无法登陆的现象 以上是教育行业常面临的安全问题，面对诸多问题，如何在红蓝对抗中针对性的进行安全防御？如何确保数据资产安全？ 本次活动将针对红蓝对抗中蓝队的渗透策略、教育行业的安全漏洞及现状，如何进行安全防御进行详细解读。快来参与直播吧~ 点击阅读原文，免费领取解决方案！ -The End- 更多精彩阅读： NIST建议的零信任安全8大应用场景 免费：三步实现千人远程内网办公 后边界时代的信任是“零信任” 云深互联陈本峰：软件定义边界（SDP）是零信任安全的落地技术 Cybersecurity Insiders 发布《2019零信任安全市场普及行业报告》 云深互联 云深互联（北京）科技有限公司（Clouddeep Technology），成立于2012年，致力于为企业提供零信任架构的网络安全产品、技术与服务。云深互联创新实践的深云SDP（软件定义边界）网络隐身技术，具备国际领先水平，成为全球IT权威咨询机构Gartner的《零信任网络访问ZTNA市场指南》报告中唯一入选的中国品牌，也是中国信通院《中国网络安全产业白皮书》的零信任安全典型代表厂商。 2020-04-20 19:31

NIST建议的零信任安全8大应用场景 本文的内容来源于NIST.SP.800-207《零信任架构》(草案)、NIST NCCoE发布《实现零信任架构》(草案)，着重为大家介绍零信任安全应用场景。 零信任是一个安全概念，其核心思想是组织不应自动信任其边界之内或之外的任何事物，而必须在授予访问权限之前验证试图连接到其系统的所有事物。也就意味着每个试图访问专用网络上的资源的人和设备(无论它们位于网络外围之内还是之外)都必须进行严格的身份验证。没有单一的特定技术与零信任相关。这是一种结合了几种不同原理和技术的整体网络安全方法。 之前，我们已经发布的《零信任安全架构标准》，主要为大家精讲了零信任架构和零信任体系架构的逻辑组件。为配合NIST SP 800-207《零信任架构》(草案)的推进工作，本月(2020年3月)NIST下属单位NCCoE发布了《实现零信任架构》(草案)项目说明书并征求公开评论。该项目说明书瞄准的是零信任架构的落地实践，希望实现安全性与用户体验的兼得。本文着重为大家介绍零信任安全应用场景： 1. 分支机构访问总部业务系统 最常见的情况是，企业只有一个总部和一个或多个地理上分散的位置，这些位置没有企业拥有的物理网络连接(见图1)。 远程位置的员工可能没有完全由企业拥有的本地网络，但仍需要访问企业资源才能执行其任务。同样，员工也可以使用企业拥有或个人拥有的设备，进行远程工作或在远程位置工作。在这种情况下，企业可能希望授予对某些资源(如员工日历、电子邮件)的访问权限，但拒绝访问更敏感的资源(如人力资源数据库)。 在这个用例中，PE/PA最好作为一个云服务托管，终端系统有一个连接代理或访问一个资源门户。由于远程办公室和工作人员必须将所有流量发送回企业网络才能访问云服务，因此将PE/PA托管在企业本地网络上可能不是响应最迅速的。 图1：有远程办公员工的企业 2. 企业多云战略 部署ZTA策略的一个越来越常见的用例是使用多个云提供商的企业(见图2)。在这个用例中，企业有一个本地网络，但使用两个(或更多)云服务提供商来承载应用程序和数据。有时，应用程序，而非数据源，托管在一个独立的云服务上。为了提高性能和便于管理， 托管在云提供商A中的应用程序，应该能够直接连接到托管在云提供商B中的数据源，而不是强制应用程序通过隧道返回企业网络。 这个多云用例是ZTA采用的主要驱动因素之一。它是CSA的SDP规范的服务器到服务器实现。随着企业转向更多的云托管应用程序和服务，依赖企业边界进行安全保护显然成为一种负担。ZTA认为，企业拥有和运营的网络基础设施与任何其他服务提供商拥有的基础设施之间应该没有区别。多云使用的零信任方法，是在每个应用程序和数据源的访问点放置PEP。PE和PA可以是位于云或甚至第三个云提供商上的服务。然后，客户端(通过门户或本地安装的代理)直接访问PEPs。这样， 即使托管在企业外部，企业仍然可以管理对资源的访问。 图2：多云用例 3 .临时工、外包员工访问业务系统 另一个常见的场景是，一个企业包含需要有限访问企业资源才能完成工作的现场访问者和/或外包服务提供商(见图3)。例如，企业有自己的内部应用程序、数据库和员工工作系统。这些包括外包给偶尔在现场提供维护任务的供应商的服务(例如，由外部供应商拥有和管理的智能暖通空调(HVAC)系统和照明系统)。这些访客和服务提供商将需要网络连接来执行他们的任务。ZTA网络可以通过允许这些设备(以及任何来访的服务技术人员)访问Internet来实现这一点，同时还可以屏蔽企业资源。 在本例中，该组织还有一个会议中心，访客可以在其中与员工进行交互。同样，通过ZTA的SDP策略，员工设备和用户是有区别的，可以分别访问恰当的企业资源。进入校园的访客可以访问Internet，但不能访问企业资源。它们甚至不能进行网络扫描，以查找可能可见的企业服务(即阻止主动网络侦察)。 图3：具有非员工访问的企业 4. 跨企业协同 第四个用例是跨企业协作。例如，有一个项目涉及企业A和企业B的员工(见图4)。这两个企业可以是独立的联邦机构(G2G)，甚至是联邦机构和私营企业(G2B)。企业A运行用于项目的数据库，但必须允许企业B的某些成员访问数据。企业A可以为企业B的员工设置专用账户，以访问所需的数据并拒绝访问所有其他资源。 图4：跨企业协作 5. 提供面向公众或面向客户的服务的企业 许多企业的共同特征是面向公众的服务，其中可能包含或不包含用户注册(即用户必须创建或已获得一组登录凭据)。这样服务可能是针对普通大众，具有现有业务关系的一组客户，或一组特殊的非企业用户，例如员工家属。在所有情况下，要求资产不是企业所有，企业在内部网络安全政策可以得到执行。对于不需要登录凭据即可访问的通用公共资源(例如，公共网页)，则ZTA的原则并不直接适用。企业不能严格控制请求资产的状态，公共资源不需要凭据即可访问。企业可以为注册的公众用户，(例如客户，即拥有业务关系)和特殊用户(例如雇员的家属)。如果要求用户产生或获得证书，企业可以制定有关密码长度的政策，生命周期以及其他详细信息，并且可以提供MFA作为选项或要求。然而，企业在可以针对此类用户实施的策略方面受到限制。相关信息传入请求可能有助于确定公共服务的状态并检测冒充合法用户的可能攻击。例如，一个已知的注册用户门户由注册客户使用一组常见的Web浏览器之一访问。突然来自未知浏览器类型或已知过时版本的访问请求可能会增加表示某种形式的自动攻击，企业可以采取措施限制请求来自这些确定的客户。企业还应了解任何法规或规定关于可以收集和记录有关请求用户和资产的信息。 6.员工访问互联网资源 员工正在尝试访问公共Internet以完成某些任务。此场景将演示一种特定的用户体验，其中员工尝试使用企业管理的设备在Internet上访问基于web的服务。虽然基于Web的服务不是由企业拥有和管理的，但是该项目中实现的ZTA解决方案仍然会动态和实时地提供对该资源的相关访问请求。该解决方案将允许员工在任何位置访问，也就是说，员工可以使用企业管理设备在企业内部网、分支办公室或公共互联网内连接时访问互联网。 图5：访问互联网 7.企业内的服务器间通信 企业服务通常有不同的服务器相互通信。例如，web服务器与应用服务器通信。应用服务器与数据库通信以将数据检索回web服务器。此场景将演示企业内服务器间交互的示例，其中包括场内、云中或在本地和云中服务器之间的服务器。本项目中实施的ZTA解决方案，将动态和实时地提供相互交互的指定服务器之间的关联网络通信。 图6：企业内的服务器间通信 8.建立企业资源的信任级别 企业有监控系统、安全信息和事件管理(SIEM)系统以及其他资源，这些资源可以向策略引擎提供数据，从而为访问企业资源创建更细粒度的信任级别，并促进基于信任级别的严格访问。在这种情况下，ZTA解决方案将这些监控和SIEM系统与策略引擎集成，以生成更精确的置信水平计算。 写在最后 信息安全的零信任模型从根本上遏制了城堡和护城河的旧思想，是更适合云时代的企业安全模型。本文也更好的为大家揭示了零信任安全的应用场景，帮助大家更好的了解零信任的应用。 2020-03-26 19:03

新冠终结VPN？打造零信任网络的五个步骤 两个多月前，安全牛曾发表一篇题为《“零信任”时代，VPN必将被SDP取代》的文章，引发了较大争议，有人认为SDP（零信任的一种实现框架）无法取代VPN，也有人认为零信任才是最终答案。但是，新冠疫情已经将VPN与SDP/零信任的对决大大提前，因为VPN在全球性的大规模远程办公巨变中，资源消耗和“卡顿”问题被成倍放大。 如果新冠疫情发展成持久战，VPN与零信任架构的“决胜局”势必将提前上演。 在国内疫情较为严重的时期，不少科技公司远程办公的工程师就曾吐槽VPN服务器因负载过高频频崩溃。如今，随着国外疫情后浪推前浪，谷歌、Twitter等科技巨头也纷纷开启远程办公模式，远程办公的工作负载呈几何级数飙升。下面是Zoom最近的全球用户数增长统计表，可以直观感受下： 除了对Zoom和Slack高峰期卡顿（类似企业微信和钉钉在国内疫情高峰期的遭遇）的各种吐槽外，国外工程师对VPN的糟糕表现更是直接爆了粗口：所有VPN都是垃圾。 前不久技术专家Matthew Sullivan写了一篇博客专门吐槽企业VPN的安全性问题和可用性，他的观点是： 尽量别用VPN。 为什么？因为： 所有的VPN都是垃圾。 Sullivan认为，VPN需要精心配置，否则就是给黑客留门。但要命的是，这种精心配置只存在于理论层面，现实中绝大多数用户压根做不到或者不屑做！ 2020-03-18 16:56

一文看懂如何3步快速实现千人远程办公 近日，为隔离疫情，众企业开启了远程办公模式。然而，开工首日，出现了内网瘫痪被“团灭”的不利开局。对于众多的远程接入方式来说，哪种更适合自己？哪种更能稳定的实现远程办公？ 针对此现象，近两日云深互联分别联合合作伙伴微软、江苏省工业互联网研习社开展了“如何快速搭建安全远程访问内网”的线上直播活动，以期助力各企业实现安全远程办公，实现内网接入；为隔离防疫，共守健康贡献自己的一份力量。疫情期间，云深互联为广大企业免费提供安全接入内网服务。让众企业只需3步，便可实现千人远程办公。安全高效，安心办公。在微软群做了直播之后，几分钟便有15条有兴趣的小伙伴联系，期待开通远程接入内网服务。 远程办公优势 云深互联的「深云SDP」产品作为中国市场的标准化零信任安全软件产品，可以改变传统的远程连接方式： 1.不需要采购任何硬件设备； 2.不需要任何安装服务器端软件； 3.部署快捷，通过三步设置即可完成； 4.运维工作极简，快速按需设置用户应用访问权限； 5.多层零信任架构及加密算法实现内网应用对非授权用户完全不可见，避免黑客攻击。 深云SDP使用指南 企业开启安全远程办公只需三步： 1.申请注册深云SDP企业账号，并在深云SDP云服务安全大脑创建远程办公应用。 2. 在企业内网中配置远程应用内外网地址映射与防火墙规则，并对接深云SDP云服务网关，即可将远程应用隐身于互联网中，只有合法用户通过深云SDP企业浏览器才能访问。 3. 客户下载安装深云SDP企业浏览器，接入深云SDP云服务，开启安全远程办公模式。 如上，大家知道了如何三步实现千人远程办公，接下来就为大家详细介绍SDP。 深云SDP平台 SDP的全称是Software Defined Perimeter，即软件定义边界，是由国际云安全联盟CSA于2014年提出来的新一代企业安全技术架构，目标是让企业的数字的资源不受物理空间限制，无论服务器在哪里、无论员工在哪里，都可以安全高效地互联互通。SDP是基于零信任安全理念的实践技术架构，因此SDP也称为ZTNA（零信任网络访问），其产品和解决方案在国外已经比较成熟并且得到广泛的应用。知名的互联网公司Google（BeyondCorp项目）和Microsoft（AccessAnywhere项目）也已经使用ZTNA架构来实现员工的内网以及远程办公。全球权威IT咨询机构Gartner于2019年的研究报告《Market Guide for Zero Trust Network Access》（零信任网络访问市场指南）中指出，到2023年会有60%的企业使用ZTNA替代VPN。深云SDP是由云深互联开发的SDP产品，也是中国区唯一入选Gartner ZTNA报告的产商。 深云SDP架构概述 深云SDP按照CSA标准SDP安全模型实现，包含三大组件：深云SDP客户端（Client）、深云隐盾网关（Gateway）、深云SDP安全大脑（Controller）。 四大核心优势： 1）网络隐身：黑客无法扫描到应用服务器，让网络攻击无从发起，大幅度降低风险！ 2）按需授权：结合“零信任”安全理念，只授予员工所需的最小权限，细粒度访问控制！ 3）极致体验：将SDP与企业浏览器无缝深度整合，让办公不仅更安全，而且体验更佳！ 4）态势感知：实施监控、审计用户访问行为，对用户行为进行大数据建模，识别异常！ 如希望采用更安全方式解决员工远程办公需求的企业，可联系云深互联7x24小时技术支持团队。热线：18500634052 长按二维码免费注册使用 福利 1.一经入选SDP优秀实践案例，便有机会获赠《SDP安全架构指南》书籍！（共20本）先到先得！ 2.如想获取本次课程的ppt，可以添加QQ群：1040961645下载。 本次活动海报 -The End- 更多精彩阅读 一篇读懂：为什么软件定义边界（SDP）更适合远程访问应用场景？ 后边界时代的信任是“零信任” 云深互联陈本峰：软件定义边界（SDP）是零信任安全的落地技术 Cybersecurity Insiders 发布《2019零信任安全市场普及行业报告》 2020-02-05 18:56

免费：三步实现千人远程内网办公 当前，正值全国对抗疫情关键期，远程办公成为企业和员工保生产，做贡献的最合理措施。但多数企业核心应用需要内网办公，而企业目前并没有或没有大规模的远程接入内网信息系统的解决方案。在疫情期间，云深互联为广大企业免费提供安全接入内网服务。 云深互联的「深云SDP」产品作为中国市场的标准化零信任安全软件产品，可以改变传统的远程连接方式： 1.不需要采购任何硬件设备； 2.不需要任何安装服务器端软件； 3.部署快捷，通过三步设置即可完成； 4.运维工作极简，快速按需设置用户应用访问权限； 5.多层零信任架构及加密算法实现内网应用对非授权用户完全不可见，避免黑客攻击。 深云SDP使用指南 企业开启安全远程办公只需三步： 1.申请注册深云SDP企业账号，并在深云SDP云服务安全大脑创建远程办公应用。 2. 在企业内网中配置远程应用内外网地址映射与防火墙规则，并对接深云SDP云服务网关，即可将远程应用隐身于互联网中，只有合法用户通过深云SDP企业浏览器才能访问。 3. 客户下载安装深云SDP企业浏览器，接入深云SDP云服务，开启安全远程办公模式。 如希望采用更安全方式解决员工远程办公需求的企业，可联系云深互联7x24小时技术支持团队。热线：18500634052 长按二维码免费注册使用 深云SDP平台 SDP的全称是Software Defined Perimeter，即软件定义边界，是由国际云安全联盟CSA于2014年提出来的新一代企业安全技术架构，目标是让企业的数字的资源不受物理空间限制，无论服务器在哪里、无论员工在哪里，都可以安全高效地互联互通。SDP是基于零信任安全理念的实践技术架构，因此SDP也称为ZTNA（零信任网络访问），其产品和解决方案在国外已经比较成熟并且得到广泛的应用。知名的互联网公司Google（BeyondCorp项目）和Microsoft（AccessAnywhere项目）也已经使用ZTNA架构来实现员工的内网以及远程办公。全球权威IT咨询机构Gartner于2019年的研究报告《Market Guide for Zero Trust Network Access》（零信任网络访问市场指南）中指出，到2023年会有60%的企业使用ZTNA替代VPN。深云SDP是由云深互联开发的SDP产品，也是中国区较早入选Gartner ZTNA报告的产商。 安全优势有哪些？ 深云SDP产品提供远程访问便利性的同时，能够消除更多网络攻击风险。 抗击疫情，共守健康。同心协力，中国加油！ 本次活动海报 -The End- 更多精彩阅读 一篇读懂：为什么软件定义边界（SDP）更适合远程访问应用场景？ 后边界时代的信任是“零信任” 云深互联陈本峰：软件定义边界（SDP）是零信任安全的落地技术 Cybersecurity Insiders 发布《2019零信任安全市场普及行业报告》 2020-02-02 11:40

呼吁隔离防疫，为安全远程办公助力！ 呼吁隔离防疫，为安全远程办公助力！ 2020-01-30 20:32

谷歌BeyondCorp系列论文（六）：构建健康机群（附论文合集下载） 随着企业大规模的采用移动互联网和云计算技术，传统的采用防火墙建立的“城堡”安全模式，变得越来越不安全。2014年12月起，Google先后发表6篇BeyondCorp相关论文，论文提供了一种新的安全模式，设备和用户只能获得经过验证的资源，构建软件定义安全的雏形。另外，论文也介绍了BeyondCorp的架构和实施情况，为传统网络架构迁移至BeyondCorp架构提供依据参考。 2019-06-14 13:55

谷歌BeyondCorp系列论文（五）：用户体验 BeyondCorp系列论文的前几篇讨论了在实践过程中我们如何解决各个方面的技术挑战[1-3]。在迁移过程中，除了技术因素，还要考虑人的因素：在整个迁移过程中，必须始终将用户牢记于心，为最终用户尽可能地提供无缝的体验。当出现问题时，我们希望用户知道如何解决，去哪里寻求帮助。本文将讨论谷歌员工在BeyondCorp模型中的工作体验，从新员工入职、新设备配置，到遇到问题时如何处理。 2019-06-11 19:59

谷歌BeyondCorp系列论文（四）：迁移到BeyondCorp-提高安全性的同时保持生产力 为推动国内安全技术和理论与国际同步，在国内传播国际优秀实践，中国云安全联盟秘书处组织专家翻译BeyondCorp相关论文，供大家学习参考。 2019-06-10 19:47

谷歌BeyondCorp系列论文（三）：访问代理 本文将详细介绍BeyondCorp前端基础设施——访问代理（Access Proxy, AP）的实现，关注其实施过程中遇到的挑战,以及设计和上线中学到的经验教训。此外，对于我们正在开展的，旨在提高员工访问内部应用时使用体验的项目，本文也有所涉及。 2019-06-03 19:07

谷歌BeyondCorp系列论文（二）：从设计到部署 为推动国内安全技术和理论与国际同步，在国内传播国际优秀实践，中国云安全联盟秘书处组织专家翻译BeyondCorp相关论文，供大家学习参考。特别感谢CSA大中华区SDP工作组与奇安信身份安全实验室对本次翻译工作的贡献及支持！ 2019-05-31 10:24

谷歌BeyondCorp系列论文(一)：一种新的企业安全方案 如今，几乎所有企业都会采用防火墙来建立安全边界，然而，这种安全模型存在问题：一旦边界被突破，攻击者可以畅通无阻地访问企业的特权内部网络。另一方面，随着企业大规模地采用移动互联网和云计算技术，边界防护变得越来越难。谷歌采用了不同的网络安全方法，逐步摆脱对特权内网的依赖，越来越多地将企业应用程序从内网迁移至公网。 2019-05-29 11:01

后边界时代的信任是“零信任” 公司企业采用零信任方法的案例在增多，敏感受限文件及应用只能被可信用户及设备访问。 过去二十年里，大多数企业都依赖外向型安全方法，设置企业防火墙以阻止外部入侵者进入企业网络。然而，随着员工远程工作情况的增加，企业安全防护工作也变得复杂了许多。现在的攻击者技术高超，方法多样，可以不触发任何警报就绕过防线，而一旦进入企业内网，引起的破坏不可估量。以防火墙为中心的策略面临被攻击者蹂躏的风险。 后边界时代需要以“零信任”为基础的新安全方法。零信任模型既能赋予员工随时随地登录的灵活性，又能让安全团队通过验证试图连接系统的任何人和物而继续掌有控制权。 01 边界安全：墙上的缺口 云应用和移动设备的普及驱动了远程工作模式的兴盛。即便IT预算不多，也能引入多个云服务供公司员工从世界任何角落访问关键文件及应用。事实上，很多初创公司都是完全基于云的。 如今，员工在世界另一端利用开会间隙在咖啡馆上网干活的效率，并不比在公司办公桌前伏案工作的低。远程工作模式给公司企业和员工自身都带来了巨大的商业利益。但是，基于边界的安全方法就惨遭重击了。攻击者可以使用偷来的登录凭证，或者利用被黑掉的肉鸡，很轻松地溜进公司企业内网。那些区分不出合法员工与恶意黑客的公司企业将直面数据泄露的巨大风险。 安全访问解决方案供应商 Duo Security 的《Duo可信访问报告2018》分析了近1100万台设备每月约5亿次登录的数据，发现43%的受保护应用及数据访问请求都来自公司外部。2017到2018年间，客户及公司企业需验证的外部网络数量增加了10%，代表着越来越多的公司业务可能是员工从不安全WiFi网络接入公司完成的事实。工作模式变革的程度昭然若揭。 02 远程风险 对接入企业网络的移动设备管理不善，又进一步加剧了安全事件发生的风险。研究发现，90%的安卓设备并未升级到最新的操作系统，85%的 Chrome OS 设备也没有保持更新。 不勤打补丁也不更新操作系统的设备就是黑客眼中的肥羊，他们只需得手一台这种设备，就可借此将攻击延伸进整个企业内网。入侵者还可突袭设备本身，搜罗其中存储的各种登录凭证，为后续大型攻击做准备。设备上的机密数据、接入的企业网络及云应用，都有可能被黑客盗取或篡改。 3 不信任任何人，验证所有事物 随着旧边界安全墙的崩塌，仅仅因为用户身处内网就赋予信任的方式不再适用。越来越多的公司企业开始采用零信任方法，只有受信用户及设备可访问敏感受限文件和应用。但凡不能验明正身的用户或安全状况不达标的设备都不会得到授权，无论他们的请求是否来自应受信任的位置。 用户身份验证可以通过双因子身份验证(2FA)等方法实现。2FA可以防止攻击者以盗来的凭证冒充合法用户。除此之外，设备必须保持操作系统和安全补丁更新，保证没感染任何恶意软件。 基于风险的方法是管理零信任安全的最佳方式。该方法根据对业务的潜在风险和指向可疑行为的外部因素调整访问要求。如果用户是从补丁完整的企业托管设备登录工作应用，他们无需更多验证步骤便可享有完整权限。但如果用户是用更新不及时的个人设备登录，那他们就会被要求通过额外的步骤进一步验证其身份，或者只享有有限的访问权限。 该过程不能给用户带来负担。基于风险的方法所提供的灵活性意味着公司企业可以在不给合法用户增加非必要障碍的基础上实现零信任策略，让合法用户就好像在公司办公室里登录一样快捷。 虽然传统边界防护或许已壮士暮年，但公司企业仍能通过零信任方法保护自身，确保只有真实可信的用户被授权访问公司网络。 （来源：安全牛） 2019-03-14 19:14

创建零信任安全模型不可忽略的5大因素 早在2010年，当时还是Forrester Research首席分析师的约翰·金德维格（John Kindervag）就率先提出了针对企业安全的“零信任”方法。 如今，经历了近10年的时间，这种方法在具体实施方面仍然存在问题。企业想要有效地实施这种方法就必须清楚地了解其所带来的变化，及其将会对客户体验造成的影响。 该零信任安全模式是将单一的边界保护转移到公司内的每个端点和用户。其中心思想是企业不应自动信任内部或外部的任何人/事/物，且必须在授权前对任何试图接入企业系统的人/事/物进行验证。 简单来说，零信任的策略就是不信任任何人/事/物。除非网络明确接入者的身份，否则任谁也无法进入。这种方法建立在身份验证、设备验证、可信端点、网络隔离、访问控制以及用户和系统信息的基础之上，是保护和管理应用程序及数据免受新型和高危风险侵害的关键。 零信任是关于如何创建组织的网络安全态势的思考过程和方法，其基本上打破了旧式的“网络边界防护”思维。在旧式思维中，专注点主要集中在网络防御边界，其假定已经在边界内的任何事物都不会造成威胁，因此边界内部事物基本畅通无阻，全都拥有访问权限。而就零信任模型而言，其对边界内部或外部的网络统统采取不信任的态度，必须经过验证才能完成授权，实现访问操作。 推动零信任模型日渐流行的现实因素有很多，例如： 1. 黑客和恶意威胁 事实证明，很多规模庞大的数据泄露事件都是由于黑客在绕过公司防火墙后，几乎可以畅通无阻地访问内部系统造成的。 2. 工作流的移动化和云端化 如今，可以说网络边界已经根本不存在了。单纯由内部系统组成的企业数据中心不再存在，企业应用一部分在办公楼里，一部分在云端，分布各地的员工、合作伙伴和客户都可以通过各种设备远程访问云端应用。 面对这样的新形势，我们应该如何保护自身安全成为了一个重要命题，而零信任模型也由此应运而生并流行开来。 然而，实施零信任模型并不是一件容易的事情，它更像是一场重视过程的修行，而不是为了实现而实现的目的地。但是很显然，并不是所有人都能明白这一道理。如今，供应商们都在争先恐后、全力以赴地实施零信任模型，将其作为下一阶段最重要的一件大事，以便能够将“零信任”作为最新宣传噱头来推广自身的安全产品和平台。 事实上，实现零信任模型所涉及的许多内容都是无聊且繁琐的工作，比如创建并维护有关数据访问的策略，以及授权访问读取和写入数据的应用程序等等。在实现零信任模型的过程中不存在一劳永逸的方法，也没有什么“万能灵丹”，繁琐枯燥的工作只能依靠熟知企业业务启动因素和核心资产的内部团队。 以下是安全专家总结的有关企业在实现零信任的道路上必须采取的一些关键步骤： 1 定义零信任 安全专家表示，启动零信任模型的第一步，就是将您的团队聚在一起，就零信任的定义达成共识。然而，根据达成的具体共识来制定实施目标，以及实现这些目标的路线图。需要注意的是，这并不意味着要抛弃目前所部署的保护边界的技术。但是，在保护您的核心资产方面，企业必须愿意采取不同的思维方式并进行组织变革。 如今，部分企业的IT部门已经实现了零信任的很多方面。他们通常已经部署了多因素身份验证、IAM以及权限管理等技术。然而，建立零信任环境不仅仅是实现这些单个技术，而是应用这些技术来实现“无法证明可被信任即无法获取权限”的理念。企业必须清楚地了解零信任在您的环境中意味着什么，再去考虑如何实现零信任以及确定哪些技术有助于实现这一理念。 与其病急乱投医地花冤枉钱，不如先了解清楚问题再出去购买适合自己的零信任产品，如此才能真正地发挥其效用，当然，这也是实现零信任模型并不容易的体现之一。除此之外，在实施零信任的过程中，获取高层领导的明确承诺和理解也是关键所在。 2 了解用户体验 在规划零信任方法时，还需要考虑该模型将对用户体验造成的影响。遵循“永不信任且始终验证”原则的零信任方法会改变用户与您的系统和数据交互的方式。因为，在零信任模式下，您需要知道您的用户是谁，他们正在访问哪些应用程序，他们是如何连接到您的应用程序的，以及您为保护访问权限所需采取的控制措施等。 在启动零信任模型进行组织变革之前，请确保您已经了解了未来的用户体验。考虑清楚您将采取何种计划在所有应用程序和所有用户之间实现零信任，以及您希望采取何种机制来以细粒度和一致性的方式控制访问？ 除此之外，还要问问自己是否需要分布式控制，例如，让应用程序所有者定义自己的安全策略。或者，通过集中式IT或安全小组门户策略是否会产生更好的效果？您还需要考虑如何确保并保持对安全数据访问要求的遵从性等内容。 一旦组织确定了他们希望用户与其系统进行交互的方式，他们就必须接受这种转变不可能在一夕之间实现的现实。首先，他们需要进行小范围“踩点试验”，针对最危险的用例实现零信任模型，并花时间不断完善并正确实施该模型。随着时间的推移，小范围的“踩点”胜利将最终融合成一个完整的转型。记住，这一过程是每一次胜利累积的质变结果，并非一蹴而就之功。 3 选择正确的架构 不存在任何一种单一的方法和技术能够实现零信任模型。在最基本的层面上，零信任是通过确保只有经过安全验证的用户和设备才能够访问您的系统，以此来保护您的应用程序和数据安全。您在网络上的位置（边界内部还是外部）无关乎身份验证和设备验证的结果。 事实上，在各种各样的现有技术和监管过程支撑之下，零信任方法才得以完成保护企业IT环境的使命。据安全专家介绍，目前，市场上主要存在3种最具竞争力的方法可用于实现零信任模型——微分段（microsegmentation）、软件定义边界（SDP）以及零信任代理。 在基本网络用语中，“分段”是指将以太网划分为子网络（也就是子网），以管理并控制网络流量，而不是将所有数据包发送给所有节点。网络分段提供了基础工具，提升了网络性能，并在传统静态网络中引入了安全性。 微分段基于这一基本理念，抽象出新的虚拟化及控制层。使用微分段，数据中心被划分为逻辑单元，这些逻辑单元往往是工作负载或应用。这样IT能够针对每个逻辑单元制定独特的安全策略与规则。一旦周边被渗透，微分段能够显著减少恶意行为的攻击面，并限制攻击的横向（东西）移动。因为，传统防火墙能够实现常见的南北向防护，但微分段明显地限制了企业内工作负载之间不必要的东西向通信。 这种零信任方式显著改变了网络攻击模式：攻击者进行边界渗透并监视网络活动等待时机到来，注入恶意软件并控制核心系统，最终剽窃有价值的数据或者破坏业务活动。 虽然具备种种优点，但是在软件定义技术出现之前，采用微分段需要依赖传统的物理防火墙以及VLAN。手工配置时需要针对横向（东西）流量控制配置内部防火墙——并随着时间的变化对配置进行维护——这一过程除了非常难实现之外，代价也十分大。 安全技术在发展初期，对于边界的安全防范主要是在网络出口布置硬件防火墙，随着IT架构的变化，边界越来越模糊，云的租户不满足共用防火墙，希望得到更个性化的服务。软件定义边界（SDP）方案应运而生。 通过SDP，组织可以基于可信签名构建每个终端的“VPN隧道”，形成零信任网络，拒绝一切外部攻击威胁。不同于传统的VPN隧道，SDP的隧道是按照业务需求来生成的，也就是说这是一种单包和单业务的访问控制，SDP控制器建立的访问规则只对被授权的用户和服务开放，密钥和策略也是动态和仅供单次使用的。通过这种类似“白名单”的访问控制形式，网络中未被授权的陌生访问在TCP链接建立阶段就是完全被屏蔽和拒绝的。 但是，正如微分段技术一样，SDP也存在其弊端——即一旦隧道建立，SDP几乎无法再确保交易的安全性和完整性。 第三种方法——也是Akamai公司已经采取的一种方式，就是使用零信任代理来建立经过身份验证的用户和应用程序之间的按需边界（on-demand perimeter），以及内联行为（in-line behavioral）和有效负载分析。总体而言，零信任代理能够有效地将前两种技术的最佳功能和有效负载分析，结合到一个可以逐步部署的可管理系统之中。 4 实施强大的措施来验证用户和设备 零信任模型需要组织重新思考如何保护每个应用程序、端点、基础设施及用户。零信任最大的改变在于将执行机制从单一的网络边界转移到每个目标系统和应用程序。其重点是验证用户的身份以及他们所使用的设备，而不是基于某人是否从受信或不受信的网络中访问企业资源的安全策略。 用户方面需要使用多因素身份验证（MFA）来增强密码强度，并使用其他验证步骤来确定授权的访问级别。无论用户类型（终端用户、特权用户、外包IT、合作伙伴或客户）或访问的资源如何，都需要应用零信任原则。除此之外，您的访问决策还需要具有适应性和动态性（即随变化而变）。 通过了零信任模型也就意味着系统能够信任试图访问您资产的设备，因为毕竟只有经过验证的设备/人才能授权访问您的系统。这也就是说，我们必须采取措施来确保已通过验证的用户注册其设备，以便在未来的验证过程中能够有效地识别它们。如果用户通过他们每天都会使用的注册设备来获取访问权限，他们就会拥有一定程度的信任。而一旦他们试图从网吧的工作站访问服务，或是使用之前从未使用过的设备获取权限，这种信任窗口就会自动关闭。 设备验证还涉及为条目设置最低限度的安全要求，并确保只有满足该阀值的设备才能够访问网络。设备是否进行过“越狱”操作？设备设置是否符合公司政策，如硬盘加密、病毒防护以及最新补丁？这些都是必须考虑在内的问题。 5 为迎接挑战做好准备 不要低估实施零信任框架所涉及的工作量，尤其是在大型组织中实施零信任模型。无论您处于网络上的哪个位置（边界内/外），想要从的单一的边界保护转移到允许对每个应用程序和设备进行身份验证和授权访问的模型都不是易事。对于许多组织来说，定义并开发一个在整个企业范围内一致的数据访问策略需要花费大量时间，且极具挑战性。除此之外，实现和管理统一授权和访问控制系统，并识别所有提供关键数据访问的应用程序也是一项重大且艰巨的任务。 寻找到限制用户访问和特权的方法是另一项重大挑战。组织需要做出的最大改变是为用户提供他们完成工作所需的足够权限，并在不会对用户体验造成不必要影响的情况下，提示其使用多因素身份验证（MFA）机制。他们需要确保授予使用的任何权限都是临时的、有时间限制且会自动撤销的。 举例来说，对于Akamai公司而言，其零信任过程中最大的实施障碍在于其非Web应用程序，因为其中许多非Web应用程序都无法支持MFA等功能。该公司花费了大量时间来构建处理此类应用程序的功能，并最终构建了一个轻量级代理，允许非Web应用程序更好地使用零信任代理。该公司目前正在部署这种轻量级的客户端应用程序隧道，为现今企业中分布的非Web应用程序提供认证访问服务。 究其本质，零信任意味着确保用户身份安全，以及保护应用程序。这一过程可以通过提供“由内向外连接（inside-out connectivity），精确访问，零信任加密等方式来实现。这也就是说，如果我们能够确保用户的身份安全，了解他们所使用的应用程序，并确保这些应用程序安全，那么端点设备和网络就会变得无关紧要，无论设备或位置如何，用户都会是安全的。这是一个巨大的转变。 来源：安全牛 --------------- End --------------- 2019-03-12 20:53

闲话企业桌面安全和运维 随着企业发展到一定规模，管理问题就会日益突出。管理问题不光体现在人员的管理，也体现在日常工作的方方面面。影响到员工日常办公最核心基础的工作就是桌面运维，企业在壮大的过程中，应用系统会日益复杂增多、员工增多、办公设备增多，这些给企业带来的管理成本上升，也影响整个企业的运作效率。 桌面运维之殇 是什么让运维人员工作越来越崩溃？答曰：日常的桌面管理。 桌面运维人员除了日常的服务器运维巡检工作，还要面对员工各种突发问题，要求能够快速响应，以便快速解决故障保证员工的工作可以顺利进行。但是这种日常的零零散散的桌面问题，伴随着大量的重复劳动和低效沟通。一个问题解决，少则5-10分钟沟通清楚，多则20-40分钟，有的需要远程查看，还有的要跑到现场解决。导致一个工程师一天8小时处理的问题非常有限。 有何解决之道？ 有人提议，部署桌面云吧，VDI的好处： 好处之一：就是简化桌面管理，节约桌面运维成本。 好处之二：保护数据资产，员工权限和桌面行为统一管理，降低泄密隐患。 好处之三：允许用户从任何不同地点和设备访问虚拟桌面。 管理员创建一个主镜像再根据需要对镜像进行个性化，可以对不同部分用户使用不同策略，分发补丁和更新过程简化。总结为：可以花更少的时间，管理更多的用户桌面。 于是企业开始调研考察，综合各方面算了一笔小账，顾虑随之而来： 1、第一个就是，厂商宣称的部署VDI后降低企业管理成本，但是初期成本投入并不是低，这个预算批下来并不容易。通常几百人的企业建设桌面云成本就是大几百万的建设费用。要保证桌面流畅运行，网络带宽、服务器资源、存储容量都有比较高的要求，加之虚拟化软件、管理软件费用，总体成本算下来投入巨大。对于一个千人以上公司，部署一套VDI成本是相当值得左右权衡的。 2、查了某度，又得知什么叫做开机风暴？桌面云应用在企业内最大的挑战是员工刚上班时大量虚拟桌面同时开机、登录，所造成的启动风暴。当成千上百云桌面同时启动，后端存储端会接收到大量并发 I/O(输入/输出)，导致存储系统的性能无法及时响应请求，使大量I/O队列访问超时，如此桌面响应会极慢甚至崩溃。桌面用户看到的表现是登录时一直在加载无法启动的桌面，尝试重启多次还是无果，严重影响用户使用体验和工作效率。上了桌面云体验真的有厂商说的那么好吗？ 3、桌面云虽然在运维成本上有所节约，但初期硬件投入再加上云终端+软件许可，云桌面的投入成本远大于PC桌面的成本；为了让用户更易接受，很多厂商缩减用户成本，以牺牲用户体验填初期采购成本的坑。 4、再者， 3D场景体验效果由CPU和GPU性能共同决定，但传统的云桌面no GPU,限制了3D图形的应用。如要满足对显卡有超高要求的设计人员，则需使用GPU虚拟化技术，需要支付高昂的GPU虚拟化成本。 VDI固然是在保护数据资产和管理上有着独到的优势，但是企业也会综合权衡成本投入，以及核心要解决的问题到底是什么，产品能解决哪些运维领域问题。 例如，下面这些领域的问题，VDI也不是都能一一解决。 说到这个事情，先分析一下桌面运维工程师这个岗位平时是干啥的？ 桌面运维工程师=软件维护+硬件维护，硬件维护包括打印机、以及大量的终端办公设备维护，软件维护方面从操作系统到桌面跑的应用都归他管。想象一下一个几千甚至万人规模的企业，每天有多少办公终端出现问题的可能。有人的地方就有水平差异，没错，运维管理人员觉得so easy的事情，只需要动动手指搞定的事情，为啥用户不行呢？ 1 兼容性问题 例如，员工把浏览器升级到了最新的IE11，但是原有的系统需要IE8浏览器访问支持，员工要自己点“工具”选择“兼容性视图设置”，就这一步，难倒了多少员工。更不要提什么是阻止窗口弹出／允许窗口弹出了，找半天不知道在哪打开设置。IT部门在这些问题上，手册写了，还要在非常显眼的地方提示，但是效果并不很好。这是很多企业的运维管理人员真实的声音。 2 控件下载、安装、升级 企业现存系统大多为B／S系统，直接浏览器地址栏输入地址就能访问了，涉及下载、安装、升级的主要还是windows控件。控件也主要为文档插件、ERP／财务／预算系统插件、网银插件等，只有正确安装好插件才能正常访问到某些业务内容，否则功能是缺失的。个别插件在安装后还要调整系统的安全级别设置才能正常运行，这些一直是桌面管理试图为普通用户解决，但是又比较耗时间的事，一个一个配置非常不现实。常见的方法还是靠使用说明告知员工，但依然无法避免大量的员工提问。 3 注册表被篡改 某些是由于员工从网上浏览信息被恶意弹出提示下载的软件，或安装包存在插件捆绑被动安装的程序。这些被动安装的程序，一旦修改了本机的注册表导致IE配置项篡改，就非常有可能带来原有系统不能访问。如果说前面的问题还能用说明书来解决，那么这个问题就只能靠一步步排查了，因为运维人员根本无法知道用户在终端做了哪些操作引起来的问题，而且还要定位好原因后修改，最是耗时麻烦。 4 恶意攻击事件 非员工意愿或恶意网站诱导员工安装程序的行为，往往伴随着恶意攻击，病毒木马就是利用这种途径趁虚而入到企业内部，窃取或对数据造成破坏，直接影响了终端办公环境的安全。例如，虽然公司总是从行政指令或是IT强制员工定期修改账号密码并且提高密码复杂度，但这依然无法改变员工的浏览器缓存、以及系统账号密码存在本地文件夹，恶意程序也能读取的问题。 那么除了VDI以外的方案有木有？ 云深互联的Deepcloud 深云SDP及Enterplorer浏览器解决方案。 一个既能保护数据资产，又降低桌面运维复杂度，但又不损失性能体验的一种解决方案。 深云SDP可以实现： 1 统一的工作平台 以企业私有的浏览器为终端，管理后台为每个终端用户预置兼容性方案，进行分策略的管理和统一插件下发，终端配置沙箱锁定配置，最大限度解决桌面运维管理的复杂度。 2 帮助内网应用隐身， 减少安全开支 对企业应用做到无法在网络上扫描到端口，默认所有连接行为都不可信。应用不对任何用户直接开放连接，只能通过企业私有的访问入口，只对合法授权的认证用户行临时开放连接，每次连接都要进行认证。 3 更细粒度的安全控制 除了用户、应用、设备的差异化策略管理，管理平台还可基于页面级访问行为进行控制，例如访问黑白名单、禁止打印输出、禁止复制、禁止查看源代码等，最大限度减少泄密隐患。 4 增强型的身份认证和数据保护 支持设备绑定、扫码、指纹、人脸等多因子身份认证，支持文档不落地、数字水印、cookie和缓存加密、支持国密通讯。 5 可视化的行为审计和态势感知 深云SDP安全大脑可以汇聚各个深云隐盾网关以及所有深云SDP客户端发送过来的日志及审计信息，对汇聚信息进行大数据智能统计分析，协助运维人员快速了员工访问情况，了解业务应用系统访问压力变化，故障预警，及时发现企业内部风险，以满足企业运维及安全需求。 综上，深云SDP既可以作为替代远程桌面的补充方案，还可以解决VDI无法实现的兼容性配置桌面运维难题，亦可与现有远程桌面相结合，共同提高企业桌面运维管理水平和安全访问问题。 --------------- End --------------- 2019-03-07 19:44

从撤掉防火墙开始 ，揭秘谷歌BeyondCorp安全实践 实际上每一个公司现在都使用防火墙来强制保证网络边界安全。然而，这个安全模型是存在问题的，因为，当网络边界被攻破时，攻击者可以相对简单的访问公司的内网。当公司采用移动设备和云技术时，网络边界会变得越来越难以保证。Google 正在采用一个不同的方法来保证网络安全。我们舍弃了内网的要求，而是把我们的企业应用搬到了互联网上。 从早前的IT基础设施开始，企业就开始使用网络边界来保护和限制内部资源的访问。网络边界安全模型经常和中世纪城堡相比较：一座厚墙的城堡，被护城河包围，唯一的出入口有重兵把守。城外的任何东西都认为是危险的，而城内的任何东西都认为是安全可靠的。任何穿过吊桥进入城堡访问资源都得到了授权。 当一个企业的所有的员工只在公司办公时，网络边界安全模型能够很好的运转。然而，在移动员工队伍来临的情况下，被许多员工使用的设备的浪潮，和基于云服务的增长，另一种攻击方式已经出现，而且这种新的攻击方式正在想传统领域扩展。这个模型的管家假设已经不再成立：网络边界已经不仅仅局限于企业的物理位置，并且位于网络边界内的也不再是一个安全可靠的地方，可以用于托管个人电脑和企业应用。 然而，大多数的企业都假设内网是一个放置企业应用的安全的环境，Google 的经验已经证明，这个结论是错误的。所以，我们应该假设内部网络和外网一样充满危险，构建企业应用也应该基于这个假设。 Google BeyondCorp 方案是使用一个新的废除内部特殊办公网络的模型。取代特殊办公网络模型的是，只依赖设备和用户证书而不是用户网络位置——例如在公司网络、家中网络、在酒店活着在咖啡厅来进行访问控制。所有对企业资源的访问都是认证过的完全合法的，并且基于设备状态和用户证书加密过的。我们可以对不同的企业资源实施细粒度的访问控制。因此，所有 Google 的员工可以在任意网络下进行办公，并且不需要一个传统的 VPN 来连接到内部网络。除了一些潜在的差异，在本地和远端访问企业数据的用户体验实际上几乎完全相同。 BeyondCorp 的主要组件 BeyondCorp 是由许多合作的组件组成，保证只有合适的经过认证多设备和用户才可以通过认证访问到必要的企业应用。每一个组件都会在下面进行描述（见图1）。 （图1） 一 安全地识别设备 1、设备清单数据库 BeyondCorp 使用“受管理设备”的概念，用来表示由企业生产并且受到企业控制的设备。只有受管理设备才可以访问企业应用。围绕设备清单数据库的设备跟踪和采购流程是此模型的基石之一。当设备在有效的生命周期内时，Google 保证对设备变化的跟踪。信息会受到监控、分析，会在 BeyondCorp 的其他部分发挥价值。因为 Google 有许多的清单数据库，所以元数据库可以用来从多个来源合并和标准化设备信息，并且让这些信息在 BeyondCorp 的下游组件中发挥价值。在这里有了这些元数据，我们就有了需要访问我们企业的所有设备信息了。 2、设备识别 所有的设备都需要通过某种特定的方式来进行特定标记，并且将标记记录到设备清单数据库。有一种特定的来完成标记的方式就是使用设备证书来区分每一个设备。为了收到证书，设备必须在当前正确的存储在设备清单数据库中。这个证书是存储到名字叫做TPM（授信平台模块）的硬件或软件，或者一个合理的证书存储中。设备认证过程会认证设备证书存储的有效性，只有通过认证的设备我们才认为是一个受管理设备。由于证书会定期更新，所以这些检查也是强制的。一旦安装过后，这个证书会使用在与企业服务的所有通信中。虽然证书可以唯一地识别设备，单它不是单向访问权限。它是作为一个关于这个设备信息的一个密钥。 二 安全定义用户 1、用户和组织数据库 BeyondCorp 也使用用户数据库和组织数据库来追踪和管理所有的用户。这个数据库系统已经与 Google 的包含所有用户的工作分类、用户名与组成员身份等 HR 流程深度整合。当员工加入公司时，就会改变角色和责任，当离开公司时，这些数据库也会更新。这些系统告诉 BeyondCorp 关于需要访问企业的用户所有的合理信息。 2、单点登录系统 对于外部来说，单点登录系统是一个集中用户认证的入口，在用户请求访问企业资源时，用于认证主要和第二因子证书。在使用用户数据库和组织数据库验证用户后，单点登录系统会生成一个短生命周期的可以用来作为访问部分特定资源的认证凭证。 三 从网络中移除互信 1、基于无特权网络（Unprivileged Network） 为了让本地访问和远端访问保持一致，即使是在一个私有的地址空间里，BeyondCorp 也定义和依赖与外部网络非常相似的无特权网络。无特权网络只能连接到互联网、受限的基础服务（如 DNS、DHCP 和 NTP 等）和像 Puppet 一样的配置管理系统。所有的客户端设备在 Google 大楼中时，都会分配到此网络上。在这个网络和 Google 的其他部分网络之间，有一个严格的管理 ACL（访问管理清单）。 2、802.1x 有线和无线网络访问认证 不论是有线网络还是无线网络访问， Google 都是使用基于802.1x认证的 RADIUS 服务来分配设备到合适的网络上。我们使用动态而不是静态的 VLAN 分配策略。这个方法意味着，相比依赖静态的控制器/端口的配置方式，我们使用 RADUIS 服务来通知控制器给已经认证的设备分配合适的 VLAN。受管理的设备提供他们的设备证书作为 802.1x 握手的一部分，然后被分配到无特权网络中，如果是企业网络中的不识别的或者不受管理的设备，就把他们分配到修复网络或者访客网络中。 四 外部应用和工作流 1、面向网络的访问代理 在 Google 所有的企业应用都是通过在客户端和应用之间强制加密的面向网络的访问代理暴露给内部和外部的客户端。每个应用都配置了访问代理，并且有共同的特征如全球可达性、负载均衡、访问控制检查、应用健康检查和拒绝服务攻击保护。这个代理在经过了访问控制检查（描述见下文）后，把请求委托给了后端的合适的应用。 2、公共 DNS 入口 所有的 Google 企业应用都对外暴露，并且在公共的 DNS 中注册，CNAME 将应用程序指向面向网络的访问代理。 五 实施基于清单的控制 1、用户和设备授信 每个用户或者设备的访问级别是可以根据时间变化的。在访问多个数据源时，我们可以实现动态的推断每个用户或者设备的信任级别。这个信任级别可以在访问控制引擎（描述见下文）中作为它的决策过程中的一部分来使用。例如，一个设备没有更新最新的操作系统补丁，它可能就会导致被降低到一个更低的信任级别。一类特定的设备，例如特定的电话或者平板，可能就会有一个特定的信任级别。用户从新的地点访问应用可能会有一个不同的信任级别。我们同时使用静态规则和启发算法来确定信任的级别。 2、访问控制引擎 带有访问代理的访问控制引擎在请求企业应用之前提供了服务级别的基本认证。这个认证决策对用户、用户所属组、设备证书和来自设备清单数据库中的设备信息进行断言。如果需要的话，访问控制引擎也可以强制基于地理位置的访问控制。用户与设备的信任级别推断也包含认证决策。例如， Google bug 跟踪系统的访问权限可以限制为使用工程师设备的全职工程师。财务应用的访问权限可以限制为使用受管理的非工程师设备的在财务操作组的全职和兼职员工。访问控制引擎也可以通过不同的方式来限制同一个应用的不同部分。例如，查看 bug 跟踪系统的入口可能就比更新或者查找同一个 bug 跟踪系统需要更少的访问控制。 3、进入访问控制引擎的管道 访问控制引擎不断的从运行中的可以获取数据来帮助进行访问决策的管道中收集反馈。除了其他因素外，包含证书白名单的信息、用户和设备的信任级别和设备与用户的清单详情。 六 端到端示例 1、应用 在这个例子中，我们假设已经有一个应用被放入 BeyondCorp 中。这个应用被工程师用来审计代码、评论代码、更新代码和当审计者同意时，提交代码。这个应用codereviw.corp.google.com 被限制为只有全职和兼职工程师使用任意受管理设备才可以访问。 2、配置面向网络的访问代理 codereview.corp.google.com 的拥有者为这个服务配置了访问代理。这个配置指定了后端的地址和每个后端最大的通信量。codereview.corp.google.com 这个域名已经在公共的 DNS 服务中进行了注册，它的 CNAME 指向了访问代理。例如： 3、配置访问控制引擎 访问控制引擎提供了默认的规则：限制只有全职工程师使用受管理设备可以访问。codereview.corp.google.com 的拥有者在两个方面提供了指定的更多的授权访问的规则：最高信任级别的受管理设备，和有着最高信任级别的全职以及兼职的工程师。 七 一个工程师访问网络 如果网络是位于企业管理的物理建筑的外面：通过一个 Google 提供的笔记本电脑，一个工程师访问任意的 WiFi 网络。例如，这个网络可能是使用便携设备或者咖啡厅的WiFi所组成的机场的 WiFi 网络。我们不需要打开一个 VPN 来连接到公司网络。 如果网络是位于企业管理的物理建筑的里面：通过一个 Google 提供的笔记本电脑或者桌面端，工程师访问企业网络。笔记本像 RADIUS 服务提供了它的设备证书用于 802.1x 的握手。只要提供了有效的证书，笔记本电脑就会被在无特权网路中分配一个地址。如果这个设备不是公司发行的电脑，或者说证书已经过期了，这个设备就会被分配一个有许多限制访问权限的修复网络的地址。 访问应用，不考虑网络 从一个公司发布的笔记本电脑上的网络，工程师可以访问 codereview.corp.google.com。你可以查图 1 来作为流程的参考。 1、请求直接到达访问代理。笔记本提供了它的设备证书。 2、访问大礼没有识别出用户，因此直接重定向到了 SSO 系统。 3、工程师提供了他的主要因子和第二因子身份认证因素，通过了 SSO 系统的认证，获得了一个凭证，从定向回到访问代理。 4、访问代理目前拥有识别设备的设备证书、识别用户的 SSO 的凭证。 5、访问控制引擎执行配置给codereview.corp.google.com 的指定的认证检查。这个认证检查是关于每一个请求： a. 这个用户已经被工程师组确认。 b. 这个用户已经确认拥有足够的信任级别。 c. 这个设备已经确认过是一个有良好记录的受管理设备。 d. 这个设备已经确认拥有足够的信任级别。 e. 如果所有的检查都通过了，这个请求可以通过，并且可以访问到合适的后端服务。 f. 如果上述检查失败了，那么这个访问会被拒绝。 使用这种方法，我们可以对每个请求进行丰富的服务级别身份验证和授权检查。 向 BeyondCorp 迁移 就像世界上所有其他企业一样，Google 在很多年中都有一个为了它的客户端和应用的无特权网络。这种模式的产生对企业的日常工作至关重要。当所有的公司组件都将迁移到 BeyondCorp 时，一次性移动所有网络中的用户和所有应用到 BeyondCorp 环境对于业务连续性来说都是一个难以置信的风险。正是由于整个原因，Google 在分阶段迁移方面花费了大量的资源，才成功的将许多组中的网络用户零影响地迁移到 BeyondCorp 中。下面的部分，表示图2，详细说明了我们做的工作。 1 一 工作流程资格 在 Google 中使用的所有应用都需要通过访问代理来工作。BeyondCorp 主动的检查和授权所有应用，让完成任务从复杂（例如 SSO 整合）变得简单（例如支持 HTTPS 通信）。每一个应用都需要一个访问代理的配置，并且，在许多情况下会在访问控制引擎中有特定的内容。每一个应用都经过了以下阶段： a、可以从特权网络直接访问或者在外部通过一个 VPN 访问。 b、可以通过特权网络直接访问或者从外网和无特权网络通过一个访问代理进行访问。在这个场景下，我们使用分布式 DNS。内部名称服务器直接指向应用，而外部名称指向访问代理。 c、外网、特权和无特权网络都通过访问代理进行访问。 二 工作职能分析 通过检查整个公司的工作职能和根据工作流程资格来分析此信息，我们可以对迁移到用户组进行优先级排序。因此，我们可以选择在那个时间点上，对整个工作流以及对 BeyondCorp 的能力非常理解的来自财务、销售、法务或者工程师团队的网络用户。 三 减少 VPN 的使用 越来越多的引用可以通过访问代理进行访问是，我们开始积极地阻止使用 VPN 的用户，采用以下策略： a、我们限制了 VPN 的访问，只有被证实的需求的用户才可以使用。 b、我们监控了 VPN 的使用情况，并且删除了特定时间端内没有使用过 VPN 的用户的使用权限。 c、我们监控了 VPN 的使用和 活跃的 VPN 用户。如果所有的工作流都一块通过访问代理实现，我们积极地鼓励用户放弃VPN 访问权利。 四 流量分析管道 当我们确定（或者几乎确定）用户所有的工作流在无特权网络中可以正常使用时，我们把用户迁移到无特权网络就非常重要了。为了确定一个相对的程度，我们建立了一个流量分析管道。作为整个管道的输入，我们从公司的每一个开关的净流量进行数据取样。然后，根据非特权网络和公司其他网络之间的规范 ACL 来分析这些数据。这些分析能够让我们确定通过了 ACL 的总流量，和一个没有通过 ACL 的流量有序列表。没有通过 ACL 的流量可以关联到特定的工作流或者特定的用户或者特定的设备。然后，我们逐步浏览没有通过的列表，使其在 BeyondCorp 环境中运行。 五 无特权网络模拟器 为了增加从开关中使用抽象的流量分析管道，我们也在整个公司通过连接到 Google 网络的安装了流量监控的用户设备来模拟非特权网络中的行为。这个流量监控检测作为每一个设备的基础服务，检查所有输入和输出流量，根据 ACL 规范来验证非特权网络和公司其他网络的流量，记录没有通过验证的流量。这个监控有两种模式： 记录模式：捕获不合格的流量，但是仍然允许这部分流量离开设备。 强制模式：捕获和丢弃不合格的流量。 六 迁移策略 有了流量分析管道和非特权模拟器，我们根据以下内容确定和分阶段实施迁移策略： a、通过工作职能或者工作流或者地理位置来定义潜在的候选集合。 b、在记录模式下操作模拟，定义用户和设备在持续的 30 天间有超过 99.9% 的合格流量。 c、激活模拟器的强制模式，定义用户和设备在持续的 30 天间有超过 99.9% 的合格流量。 d、在操作模拟器到强制模式成功 30 天后，将当前情况记录到设备清单中。 e、除了包含在候选集中之外，在模拟器的执行模式中成功操作30天提供了一个非常强烈的信号，即当 RADIUS 服务器为下一个 802.1x 认证请求提供服务时，应将设备分配给非特权网络。 七 异常处理 除了尽可能的将我们的用户和设备从特权网络自动迁移到非特权网络上以外，我们也在这次迁移中实现了一个简单的流程让用户可以暂时的不迁移。我们包含一个已知的没有完成 BeyondCorp 迁移的工作流清单。用户可以在正常的允许等级中使用这些工作流程，标记他们和他们的设备作为特定工作流的活跃用户。当这个工作流最终完成迁移时，这些用户就会收到通知，并且再次被选中需要进行迁移。 完成 BeyondCorp 迁移 Google 企业向 BeyondCorp 的迁移正在进行汇总，它需要的主要的工作流已经完成了。我们的迁移工具和战略允许我们再不影响日常的生产情况下，主动地迁移用户、设备和工作流到 BeyondCorp 中。 我们预计使用了很长一段时间的工作流需要花费一些实践才能迁移到 BeyondCorp 中。例如，使用特点协议与服务端进行交互的重客户端应用就会是一个挑战。我们调研了许多方式来让这些应用接入 BeyondCorp ，也许通过认证服务来进行匹配。 随着我们向 BeyondCorp 迁移，我们打算发布后续文章来解释为什么和 Google 如何迁移到 BeyondCorp 上，旨在鼓励其他的企业实施相似的策略。 2019-03-05 19:30

没有人知道你是一条狗，为什么安全需要软件定义边界？ 今天的大多数安全团队还是无法分辨网络另一端坐着的是个黑客还是间谍，亦或是诈骗犯，甚至——一条狗。 SDP能改变这种状况。 1993年，漫画家 Peter Steiner 发表了一幅如今闻名全球的漫画：一条狗蹲踞在电脑前对另一条狗说“互联网上没人知道你是一条狗”。 25年过去了，这句话依旧无比正确。而且情况更加糟糕： 很多安全专家常常无法弄清所谓的“用户”到底是黑客还是间谍，或者是骗子。如何验证远程连接对面的人(或者狗)，是安全工作的一大重要问题。是时候以用户为中心的动态访问控制来解决这一问题了。 常有人说，用户身份验证问题源于互联网最初的目的和设计。用于收发消息的互联网协议没有要求用户验明自身。但该问题还有遗留安全系统在设计上的因素。尤其是，我们所用的工具并没有关注用户本身。比如说，防火墙和网络访问控制就是围绕网络地址和端口架设的。即便是复杂的下一代防火墙也是围绕协议来设计，而不是落脚在用户上。 为验证远程连接对面的用户，我们需要基于用户的安全解决方案，也就是能够杜绝黑客冒充授权用户的解决方案。我们需要软件定义的边界(SDP)。SDP也称为“黑云( Black Cloud)”，是在2007年美国国防信息系统局“全球信息网格黑核网络”项目成果的基础上发展起来的一种安全方法。 软件定义边界基于用户上下文而不是凭证来授权企业资产访问。为阻止对应用基础设施的网络攻击，云安全联盟(CSA)在2013年成立了SDP工作组，抛出了一个非常全面的安全方法，该方法融合了设备身份验证、基于身份的访问和动态配置连接。 虽然SDP中的安全组件都很常见，但这三者的集成却是相当创新的。更重要的是，SDP安全模型可阻止所有类型的网络攻击，包括DDoS、中间人攻击、服务器查询(OWASP十大威胁之一)和高级持续性威胁(ATP)。 SDP要求用户拿出多种身份验证变量，比如时间、位置、机器健康状况和配置等，用以证实该用户是否是其所声称的身份，或者验证用户能否被信任。这一上下文信息可使公司企业识别出非法用户——即便该用户持有合法用户凭证。 访问控制还应是动态的，能够应对风险和权限提升。用户与系统和应用间的互动是实时的。在会话中，用户可以执行任意数量不同风险级别的事务。举个例子，用户可以多次查看电子邮件、打印机密文档，以及更新企业博客。当用户行为或环境发生变化时，SDP会持续监视上下文，基于位置、时间、安全状态和一些自定义属性实施访问控制管理。 SDP还应能够脚本化，以便能够检查除设备信息之外的更多情况。SDP需能收集并分析其他数据源，以提供上下文，帮助进行用户授权动作。这能确保在合法用户试图访问新设备或不同设备上资源的时候，有足够的信息可供验证用户并授权访问。 一旦用户可被恰当验证，也就是我们可以确信某用户是财务部门的某某某而不是骗子或狗狗，SDP就可以在用户和所请求的资源间创建一条安全的加密隧道，保护二者之间的通信。而且，网络的其他部分则被设为不可见。通过隐藏网络资源，SDP可减小攻击界面，并清除用户扫描网络和在网络中横向移动的可能性。 最后，因为当今IT环境的复杂性和巨大规模，SDP需可扩展并高度可靠。最好是打造得像云一样能够容纳大规模扩展，且是分布式和恢复力强的。 保护访问安全的关键，在于确保对手不能轻易盗取凭证以获得访问权。我们需要SDP来区别已授权用户和黑客。尽管有这种长期和必要的安全控制，很多企业还是难以正确运用，但又不得不理顺并恰当应用。今天的SDP架构中已经容纳了所有这些特性。 --------------- End --------------- 2019-02-28 20:59

一篇读懂：为什么软件定义边界（SDP）更适合远程访问应用场景？ 如今，越来越多的员工逐渐习惯使用手机、平板电脑等个人设备，通过3G和4G网络进行收发邮件、处理工作流程，访问企业资源；使用笔记本电脑，通过公共WiFi连接到公司网络进行远程办公。 根据“全球职场分析”和FlexJobs公司报告，远程办公人员的数量在过去十年中增长了115%。然而与此同时，员工对企业内部网络资源的远程访问也增加了企业网络的脆弱性，产生众多安全隐患。 本文将通过传统远程访问方式的对比情况、场景案例，详解软件定义边界（SDP）在远程访问中为企业带来的强大优势。 远程访问常见方式 向业务人员提供应用系统的安全远程访问有三种常见方式：直接连接、VPN和VDI。 (1) 直接连接：在直接访问的情况下，应用系统通常是一个Web应用程序，配置到公共互联网环境下，不考虑访问限制。在这些情况下，应用系统暴露于各种安全威胁下，极易受到各种形式的攻击，包括暴力破解，DDoS，XSS和任何TLS漏洞（如心脏出血漏洞Heartbleed或贵宾犬漏洞Poodle）。 ∇ (2) VPN：通过VPN，内网及其所有的资源都将对该业务人员的设备开放。 ∇ (3) VDI：通过VDI，业务人员可以操作虚拟计算机（通常是Windows操作系统），这个虚拟机可以用作企业应用系统的启动平台。业务应用系统通常是一个需要“厚Windows客户端”（较多在客户端及服务器端的运算，较少的通信链接）的客户端/服务器应用程序。 ∇ 使用SDP访问 通过SDP解决方案，只有授权用户才能访问业务应用系统。实际上，未经授权的用户甚至无法访问SDP网关 ——在SDP模型中有一个重要概念，即单包授权（Single Packet Authorization, SPA）技术。所有访问业务系统之前都需要发一个SPA包，该包内含有用户身份、访问token、时间戳、超时时间等数据，网关只有接收客户端发来的第一个带身份信息的包，服务器验证通过后，才会允许建立用户与应用之间的连接。 也正因为应用受到单包授权SPA的保护，所以对攻击者来说实际上是完全不可见。 ∇ 以下为不同的用户的访问需求，以及如何管理这种访问： 案例一 需求：Grace在公司总部的销售部门工作。日常工作中，她需要通过由IT团队开发的新销售报告系统访问重点客户销售报告。由于经常拜访不同地方的客户，需要远程运行报告，且该应用系统托管在Amazon AWS上。 挑战：Grace在出差期间在机场和咖啡店访问多个免费网络。过去，IT安全部门发现了她的笔记本电脑上的恶意软件，他们担心当Grace通过VPN访问新的重点客户销售报告或返回公司总部时，恶意软件可能会传播到AWS基础架构中。 ∇ ∇ 案例二 需求：Dave负责IT部门的供应链应用系统。新的业务流程要求其供应商员工Jim在货物发运后立即在其供应链应用系统中输入货件的详细信息。 挑战：这需要授予第三方供应商的一部分人员对应用系统的访问权限，这些业务人员（例如Jim）不是公司的员工，而Dave对其安全策略及安全培训等方面的控制是有限的。Dave不希望授予他们进入公司内网的广泛网络访问权限（VPN），他担心如果供应商端的账号被盗，他的整个公司网络将会受到伤害。他该如何限制“爆炸半径”？ ∇ ∇ 案例三 需求：Jim每周都会准备一份业务分析报告，生成报告的是一个只能在Windows系统上运行的客户端/服务器(C/S)应用程序。所以IT部门为Jim和他的团队部署了一个VDI解决方案。Jim每次需要通过VDI登录远程桌面，然后启动报告程序。 挑战：这个（C/S）报告程序是从一个大型供应商处购买的打包的应用程序。建议的部署模式仅是“自有”，即供应商建议不要通过公共互联网访问应用程序的服务端，因为其并不稳定/安全。也就是说，服务器必须与客户端在同一网络内。 因此，对于远程用户，IT安全团队决定使用VDI，其中客户端和服务器始终保持在同一网络中。但是，构建和维护VDI服务器的成本非常高，并且会随着远程/出差雇员数量的增加而增加。 组织面临的挑战是如何安全地开放（C/S）应用程序的服务器部分，以便业务用户可以直接在他们自己的Windows笔记本电脑上运行客户端。 ∇ 总结 在这个使用场景中，SDP为企业提供了强大的优势： ○为远程业务用户提供安全访问企业应用的途径； ○精确控制用户可以访问的应用程序； ○增加第三方业务集成； ○更简单的合规报告； ○降低VDI相关基础设施成本； ○更简单的安全策略配置； ○提高业务流程的生产效率。 文章来源：《软件定义边界在IaaS中的应用》（中国云安全联盟） --------------- End --------------- 2019-02-26 19:20

深度长文 ｜为什么软件定义边界(SDP)能有效改善 IaaS安全现状？ 如今，IT和安全管理者已深刻认识到，企业和云提供商之间所面临的IaaS安全挑战：IaaS与传统的内网相比，有着不同的用户访问需求和安全需求，然而，这些需求并不能完全由传统安全工具或者IaaS供应商提供的安全架构来满足。 例如： ◇企业往往需要对用户访问网络资源进行一定程度的限制，但传统的网络访问控制（NAC）和虚拟局域网（VLAN）解决方案在IaaS环境中并不适用，因为它是多租户、虚拟化的网络基础设施。 ◇另外，在IaaS环境中，所有用户都需要对云资源进行“远程访问”，最成熟的手段无它，只有VPN。但是，随着当今移动办公、跨公司协作或动态云环境等场景广泛存在企业当中，VPN通过管理IP地址和端口的访问控制并不适用。 当前，IaaS 供应商通常会创建和推动“责任共享模型”，这个模型宣称IaaS供应商负责云的安全，而客户（企业）负责自己在云中的安全。下图是融合了几个领先IaaS供应商的理念而创建的责任共享模型。 许多企业还在尝试拥抱云安全责任共享概念，IaaS供应商提供的工具集由供应商自己创建时更是如此。这些工具倾向基于静态 IP 地址而不是基于用户（或身份），客户不能通过这种方法行之有效地管理基于用户的云资源的访问。因此，客户公司依赖应用级的身份验证来保护对这些资源的访问，致使内网里任何人都可对整个云网络进行访问。 从安全角度来看这自然存在相应风险——基于网络级的资源访问有太多可以被未经身份验证的攻击者利用的弱点。同时还有一个合规问题——企业经常要在敏感和受控环境中报告“谁访问了什么”。 如上图所示，SDP架构在与 IaaS供应商的责任共享模型中有重要作用。通过SDP，云客户可以在他们自身的安全共享控制部分采用更有效的方式。事实上，SDP也正在成为改变网络安全在整个企业中实践的催化剂——无论是在内网还是公有云的环境 IaaS参考架构 基础设施即服务（Infrastructure as a Service，IaaS）能够为消费者提供CPU、内存、存储、网络和其他基础计算资源，在这些资源之上，消费者能够部署和运行任意软件，包括操作系统和应用。消费者不需要关心底层云基础设施，但是可以控制操作系统、存储和部署的应用程序，也可能对特定的网络组件有控制能力。下图展示了一个IaaS环境的简化架构图，可以适用于公共云和私有云的部署。 该图显示了一个包含两组IaaS资源 (虚拟机)，分成两个私有云网络的IaaS云环境。这些私有云网络可以对应不同的帐户, 或云环境中不同的私有区域 (如 AWS 虚拟私有云)。从网络访问的角度来看,这些私有云网络受到云防火墙的保护, 防火墙在逻辑上控制这些网络的访问进出。对进入这些私有云网络(间)的访问控制很快就会变得复杂,不同的云提供者有不同的工具集。本文中, 我们有意省略路由表、网关或 NACLs 等构件的复杂性, 以便我们能够集中精力于管理用户访问 IaaS 资源所面临的挑战。 1 IaaS安全需求新挑战 IaaS的网络访问存在一个重大的安全挑战。作为云安全责任共享模型的一部分, 网络安全直接依赖于企业。将私有云资源公开到公共互联网通常不是一个可接受的选项——仅依赖于身份验证来保护，显然不符合安全和合规要求。因此, 企业需要在网络层弥补这一差距。 由于如下几个原因，IaaS安全需求面临新的挑战。 位置只是一个普通的属性而已 不同的开发人员 (即使是座位相邻的开发者) 也可能需要不同类型的网络来访问不同的资源。例如, Sally是数据库管理员，需要访问运行数据库的所有服务器的3306端口。Joe坐在Sally旁边, 管理Purple项目的应用程序代码, 并需要使用SSH连接到那些运行Purple项目的应用服务器。Chris和小组其他人员不一样，他是远程工作的。他是Purple项目的应用程序开发员，尽管相隔千里也要求与Joe有相同的访问。 位置可能仅仅是访问策略需要考虑的属性之一，而非传统网络环境中网络访问层的主要驱动因素。 唯一的不变是变化 这是一个真理，在云环境中尤其如此。首先, IaaS环境中的计算资源是高度动态的，服务器实例不断地被创建和销毁7。手动管理和跟踪这些访问几乎不可能。其次, 开发者也是动态的 (尽管从个人的角度来看不一定如此)——至少他们可能同时在不同项目中担任不同的角色。 这个问题在DevOps 环境中被放大。开发、QA、发布和运维角色混合在一个团队中, 对“生产”资源的访问可以迅速改变。 IP 地址难题 也许我们不需要传说中的网络管理员福尔摩斯 (CCIE #1), 但我们的 IPv4 世界确实面临着严峻的挑战：不仅用户的 IP 地址定期更改, 用户和IP地址之间也没有一对一的对应关系。下图说明了当访问规则完全由 IP 地址驱动时, 即使是简单的环境也会很复杂: 安全要求和传统安全工具？ 从根本上说, 有两个问题需要解决: ◇安全地远程访问 ◇用户访问的可见性和可控性 安全地远程访问 首先, 让我们考虑安全的远程访问问题。直到今天, 我们还没有发明一种将开发人员上传到云中的方法, 所以，所有的云用户都是远程的, 这意味着无论网络连接是公共互联网还是专用的直接连接，与云的通信都是在网络连接上发生。 企业通常通过使用VPN 解决这一问题, 通过建立站点到站点的VPN(如上面的图中的公司总部位置蓝色线所示), 或者从用户的设备通过VPN 集中器直接连到云。或者, 结合上述两个方案，将用户从其设备通过VPN连接到企业网络, 再从那里通过站点到站点的VPN进入云。 使用 VPN 在技术上解决了上面的问题的第一部分（安全地远程访问），它为从用户设备到云网络的网络通信提供了安全、加密的隧道。这有一些缺点，特别是如果所有的用户流量都需要先到公司网络，然后再去访问云，这将引入额外的延迟, 造成单点故障,并可能会增加带宽成本和VPN授权的购买成本。通过VPN直接从每个用户的设备连接到云有助于解决其中的一些问题，但可能会与用VPN同时进入企业网络的需求（例如访问内部开发资源）发生冲突。 普遍来说,如果VPN上应用程序通讯协议已经是加密的，例如HTTPS 和 SSH，并不会增强安全的保密性和完整性，VPN 可以提供帮助的一个方面是安全的可用性, 因为被VPN保护的资源可以确保不会公开可见, 从而防止 DDoS一类的攻击。 用户访问的可见性和控制 不管用户如何进入IaaS环境的（无论是否通过VPN），安全团队仍然需要控制 (并监视和报告) 在IaaS 环境中哪些用户可以访问哪些资源。 IaaS 平台提供了内置的工具来管理这一点，例如 AWS 中的安全组和 Azure 中的网络安全组, 基于 IP 地址控制对服务器的访问。 这是安全访问面临的最基础的挑战——企业需要解决用户访问问题, 但只被赋予了基于 IP 地址的访问控制工具。 在IaaS环境下，安全远程访问控制已经不再是一个特殊场景。所有用户都是“远程的”，因此，网络安全团队需要关心所有用户是如何访问资源的，而不仅仅是用户的一个子集。也就是说，安全的远程访问控制必须成为一个核心关注点，并且是采用IaaS的任何企业的整体策略的一部分。 为什么是SDP而不是VPN？ VPN是一种广泛用于安全远程用户访问控制的普遍技术。但是为什么企业不能继续使用这种被验证过的技术呢？ VPN很好地为远程用户提供对虚拟局域网或网段的安全访问，就好像它们实际在存在于企业网络一样。这种技术，在与多因子验证结合时，对于具有传统边界的企业以及静态用户和服务器资源来说效果很好。但是正如Gartner的调研报告所说，“DMZ和传统VPN是为上世纪90年代的网络设计的，由于缺乏保护数字业务所需的敏捷性，它们已经过时。” VPN有两个缺点，使它们不适合当今的需求。首先，它们对所分配的网络提供非常粗粒度的访问控制。它们的目标是让远程用户的行为就像在本地网络上一样，这意味着所有用户都可以对整个虚拟局域网VLAN进行完全的网络访问。尝试配置VPN以为不同用户提供不同级别的访问是不现实的。它们也不能很容易地适应网络或服务器集群的变化。VPN根本无法跟上当今的动态发展的企业的需要。 其次，即使公司对VPN所提供的控制级别感到满意，但VPN只是一种控制远程用户的竖井式解决方案——它们不会帮助保护本地内网中的用户，这意味着组织需要一组完全不同的技术和策略来控制本地用户的访问。这将使协调和匹配这两个解决方案所需的工作量成倍增加。而且，随着企业采用混合和基于云计算的计算模型，VPN就更难被有效地使用。 虚拟桌面基础设施（VDI） 虚拟桌面基础设施（VDI）是一组技术，可以让企业在企业数据中心的集中式服务器机群中托管大量的桌面操作系统实例。这些实例可以是桌面操作系统的虚拟化实例，也可以是许多用户并发登录到的桌面操作系统的多用户版本。与VPN一样，VDI一直是企业用来远程访问其网络和应用程序的一种重要机制。 总的来说，在今天的云计算和移动世界中，VDI有一些缺点。首先，远程桌面的用户体验往往在小型的移动设备上表现不佳。它不会以一种响应的方式呈现，而且非常难以使用，因此会阻碍生产力。 其次，很多基于桌面的客户端/服务器C/S应用程序已经被重新编写为Web应用程序，从而减少了VDI的价值。第三，VDI集群的采购成本很高，尤其是如果它们是基于硬件的。最重要的是，随着越来越多的工作业务系统转移到云上，企业已经意识到VDI并不能解决远程应用程序的用户访问的问题。 事实上，VDI确实解决了部分远程访问问题——通常通过对从客户端设备到VDI服务器的流量进行加密，但它不能帮助解决核心的用户访问问题——控制一个特定用户可以访问的网络资源。在某些情况下，VDI会使多个用户出现在一个多用户操作系统中，从而使这个问题变得更加困难。在这种情况下，通过传统的网络安全解决方案进行网络访问控制实际上是不可能的。 VDI无疑是有一定的好处，但是它并不是为了控制用户对云网络和服务器资源的访问而设计的，因此在某些方面甚至会使这个问题变得更加困难。 SDP怎么解决这个问题？ SDP可以解决上面讨论的所有安全问题，为企业提供对IaaS环境的安全远程访问，并对用户访问做到细粒度的可见性和控制。 通过使用SDP，企业的云资源对于未经授权的用户完全不可见。这样完全消除了许多攻击方式，包括暴力攻击; 网络流量攻击，以及TLS漏洞攻击，如著名的“心脏出血Heartbleed漏洞” 和 “Poodle漏洞”。SDP通过在企业的服务器周围建立一张“暗网”，帮助它们成功地为云计算安全负责。 SDP以预认证和预授权作为它的两个基本支柱。通过在单数据包到达目标服务器之前对用户和设备进行身份验证和授权，SDP可以在网络层上执行最小权限原则，可以显著地缩小攻击面。 什么是软件定义边界（SDP）？ 软件定义边界（SDP）架构由三个主要组件组成，如下所示： 用SDP术语来说，客户端（用户设备）指的是发起主机，网关指的是接收主机。在通过控制器进行身份验证后，客户端为每个网关建立加密的隧道（上面的图表显示了两个分布式网关，每个网关保护一组不同的资源，由单个控制器管理）。 SDP规范中的一个重要元素是单包授权（SPA）。使用这种技术，客户端基于一个共享密钥（seed）创建一个基于HMAC的一次性口令，并将其提交给SDP控制器和网关，作为连接建立过程发送的第一个网络数据包。 因为SDP控制器和网关拒绝无效的数据包（可能来自未经授权的用户），所以它们可以防止和未经授权的用户或设备建立TCP连接。由于非法的客户端可以通过分析单个数据包来区分，所以SDP控制器和网关所产生的计算负载是最小的。这极大降低了DDoS攻击的有效性，并使得SDP服务可以在面向公众的网络中可以更安全、更可靠地部署。 基于用户而不仅仅是IP地址策略 由于SDP系统是以用户为中心的（也就是说，在允许任何访问之前，它们先验证用户和设备），因此它们允许企业基于用户属性创建访问策略。通过使用诸如目录组成员、IAM-分配的属性和角色等机制，公司可以以一种对业务、安全和合规性团队有意义的方式定义和控制对云资源的访问。相比之下，传统的网络安全系统完全基于IP地址，根本不考虑用户。 软件定义边界（SDP）的优势 部署SDP的企业将在直接改善安全性的几个维度受益，我们希望在本文档的其余部分中清楚地表达出来。SDP的其他好处包括运维效率、简化的合规性工作和降低成本等。下面我们将进行一一探讨。 运维效率 与达到特定级别的安全性所需的手工工作相比，SDP的自动化策略执行在运维上体现了显著的好处。从另一个角度来看，一个企业可以通过SDP轻松获得的安全性级别实际上是不可能通过传统的安全工具实现的。 简化合规性工作 SDP的实施产品通常提供每个用户访问权限和活动的详细记录，这是由于网关对所有客户端网络流量进行日志记录和控制。因此，SDP可以根据这些细节提供自动化的合规性报告。 而且，由于SDP支持对用户访问的细粒度控制，企业通过将其网络分割成更小的、隔离的部分来获得降低合规性需要的范围。 降低成本 SDP可以帮助企业以多种方式降低成本。首先，对访问策略的自动执行减少了为响应用户或服务器更改而手动更新和测试防火墙规则的需求。在较大的企业中，这通常是其IT人员日常工作的一部分，因此这提供了一个减少工作量和人工成本的机会（特别是在外包模型中）。它还将提高业务和技术人员的生产效率，同时也可以有效降低硬成本（特别是对于小时工或外包的工人）。 其次，简化的合规性工作将减少准备和执行审计所需的时间和精力。这两项活动都需要第三方咨询师，节省的每一小时都是直接的成本节约。 最后，SDP还可以给企业带来一种替代其他技术的方案，从而降低成本。例如，我们已经看到一些企业在考虑升级传统NAC的网络交换机时选择了SDP，这为他们节省了数十万美元的资本支出。 SDP、身份及访问管理 SDP、身份及访问管理（IAM）在很多方面都是互补的。首先，SDP能实现对已经部署的IAM系统进行身份验证，这可以加速SDP的上线。这种身份验证可能通过连接到本地LDAP或AD服务器，或者使用SAML之类的标准来实现。 其次，SDP实施产品通常使用IAM用户属性（如目录组成员、目录属性或角色）作为SDP策略的元素。例如，一个SDP策略可能会定义为“目录组中的所有销售用户都可以在443端口上访问销售门户的服务器。”这是一个很好的例子，说明SDP系统如何为现有的IAM系统增值（并扩展能力）。 最后，SDP系统也可以包含在由IAM系统管理的身份生命周期中。通常被称为“参加者，移动者，离开者”，IAM系统中管理与用户帐户和访问权限相关的业务和技术流程。部署SDP的企业应该将SDP管理的网络权限包含到它们的IAM供应系统中。例如，当IAM系统在应用程序X中为Sally Smith创建一个新帐户时，SDP系统应该同时创建相应的网络权限。 综上所述，这种集成很好地支持了第三方用户访问SDP系统。SDP控制器信任第三方IAM系统提供的身份验证和用户身份生命周期的所有权管理。因此，当第三方用户在它们的IAM系统中被禁用时（这对企业的用户禁用流程非常关键），用户将自动无法访问SDP保护的资源，因为他们不能通过关联进行身份验证。这个关联很好地解决了第三方访问的一个常见问题。 2019-02-21 19:06

支持国密算法，Enterplorer浏览器赋能企业数据资产安全可控 当前，密码已成为网络空间的“内在”基因，与网络安全深度融合。一方面，密码在数据机密性保护、复杂网络实体认证等方面具有的独特优势；另一方面，密码技术不断与网络安全深度融合，在数据加密、身份鉴别、访问控制、取证溯源等方面发挥着重要作用。 毫不夸张的说，密码是互联网的基础设施，是安全互联互通的前提。基于此，Enterplorer企业浏览器增加了密码模块和安全协议模块，全面支持国密SSL传输和国密 CA 证书，为守护企业数据资产提供有效保障。 1 国产密码，为网络安全筑起新支点 一直以来，密码在实现网络和信息系统的真实性、机密性、完整性和不可否认性方面发挥着不可替代的重要作用，是金融服务、电子政务、数字经济等关键领域实现用户身份认证和信息传输的加密，保障交易及用户数据安全的关键技术保障措施。 然而在各个行业领域，大多系统普遍使用国外的密码体系，这就相当于“门是自家的，但钥匙在别人手中”，存在安全隐患。因此，我国高度重视密码算法国产化工作，法律法规和政策性文件如：《密码法》、《网络安全等级保护条例》、《关键信息基础设施安全保护条例》均对密码应用提出了明确要求。 2018年7月15日，中央办公厅、国务院办公厅印发《金融和重要凌虚密码应用与创新发展工作规划（2018-2002年）》，更是对未来五年金融和重要领域，包括国家关键信息技术设施、数字经济、国防科工等领域密码应用与创新发展进行了战略部署和明确指导。 如今，随着密码技术的不断推动和探索，我国商用密码算法在设计、实现方面均有突破性发展。 以SM算法为例，密钥替换攻击是目前多个数字签名算法不能抵御的攻击方法，SM2数字签名算法抵御密钥替换攻击方面存在可证明安全，SM2算法的性能与EC-SDSA等国际算法相当，但签名长度更短。SM3算法能够抵御差分分析且具有较强的扩散性，在硬件实现面积和性能上占优。SM4算法在设计上实现了资源重用，即密钥扩展过程和加密过程类似，实现时硬件资源占用较少，目前针对SM4的研究最多能分析32轮中的23轮，具有良好的安全强度。 （图1:主要商用密码及应用范围） 2 支持国密，Enterplorer浏览器提供多重价值 我们都知道，在PC端，浏览器作为通往互联网的入口，在企业当中，浏览器更是使用最频繁的核心基础软件。据统计，如今，90%以上的业务系统都由浏览器进行访问。因此在整个国产密码应用体系中，客户端的浏览器软件对国产密码算法的支持成为非常重要的环节。 然而，在使用SSL/TLS链接时，目前通用的浏览器基于RSA的安全证书，企业所使用的浏览器普遍基于RSA安全证书，对采用国密算法的服务器，这些浏览器往往无法进行访问；同时，国际权威的密码机构已确认RSA算法不再安全，可以被破解。另一方面，企业系统中采用的安全协议和加密算法均为国外制定，密码应用的关键环节存在着不可控因素，一旦被利用攻击，将造成严重损失。 为此，Enterplorer企业浏览器增加了密码模块和安全协议模块，全面支持国密SSL传输和国密CA 证书，有效弥补了原有密码应用体系中薄弱的一环。 （图2：Enterplorer企业浏览器国密算法应用） 在通讯领域： 首先，Enterplorer企业浏览器支持国密CA根证书和国密HTTPS，实现国产密码算法 SSL链接功能，有效保证数据传输过程中安全性和完整性。其次，提供对SM1国密硬件U-key等多种形态身份认证设备、使用环境及相关控件的管理。 除此之外，Enterplorer企业浏览器实现了国际云安全联盟（Cloud Security Alliance, CSA）于2013年提出的软件定义边界（Software Defined Perimeter, SDP）的模型（见下图3）。 （图3:软件定义边界（SDP）模型） 而SDP模型是在“零信任”网络概念下产生的，该概念是由Forrest的分析师John Kindervag在 2010提出的。“零信任”是指在移动时代和云时代到来后，传统的网络边界技术如防火墙，VPN等设备无法满足前提下提出的；简单来说，”零信任“的策略就是不信任任何人/事/物，除非网络明确接入者的身份，否则任谁也无法进入。 因此： SDP模型中如何鉴别“来者何人”变成了一个重要基础； 其次，要考虑数据在网络传输过程中如果防止重放，中间人劫持等攻击手段； 再次，客户端以及服务器端如何防止设备被劫持或攻破后，硬盘存储的数据不可被明文获取；这三点都需要密码学的技术的合理应用。 举例来说，SDP模型中一个重要概念是单包授权（Single Packet Authorization, SPA）技术；如图3所示，应用网关的作用是默认拒绝一切外部链接，所有的访问网关后的业务系统之前需要发一个SPA包，该包内含有用户身份、访问token、时间戳、超时时间等数据，这些数据采用了对称加密和哈希算法来保证数据不可被明文查看，不可被重放等功能；Enterplorer企业浏览器采用把上述内容封装进一个UDP包，发送到应用网关，应用网关收到后解开UDP包，并检查数据有效性，如果正常，则为该客户端开放一定时间的访问权限，如果错误就不做处理，继续保持该客户端的不可访问性。 再举一个例子，企业应用往往从安全性考虑只希望数据只能通过自己企业的客户端可以访问。Enterplorer作为一款面向企业办公的浏览器，他在UserAgent（UA）串加入了企业特有的动态认证标识。我们采用了HMAC即摘要算法技术把企业ID，访问token等内容生成该标识，这样网关或者Web服务器上只识别该标识，拒绝其他连接，达到了只能该企业的Enterplorer浏览器才能访问，其他浏览器拿取不到任何内容的效果。 在本地文件领域： 目前，大多数消费级浏览器，为满足快速、极致的浏览体验，往往会自动保存用户名和密码数据，并对用户的操作进行记录、将这些记录存储到历史记录当中，如网址历史、下载历史、页面缓存以及各种cookie信息，然而一旦用户的电脑被攻陷，Cookie被盗走，将会对用户、企业隐私和敏感信数据带来巨大风险。 例如，我们通过一些软件ChromePass可以轻易秒开读取Chrome浏览器存储的密码（如下图4），Cookie和Cache数据也是这样。 （图4：ChromePass明文读取Chrome存储的网站用户名/密码） 为此，Enterplorer 企业浏览器在网站账户密码加密、Cookies等本地文件安全方面实现国际算法和国密算法的支持与应用，保护本地的数据安全。 万物互联，密不可分，信任是基，安全为本。Enterplorer企业浏览器支持国家自主密码算法，符合我国网络自主信任体系以及密码行业相关规范，弥补国密算法改造环节中必不可少的一环，将为万物互联时代中企业打造安全“入口”，守护企业核心资产价值。 --------------- End --------------- 2019-02-19 19:20

Enterplorer企业浏览器升级4.0，为企业数据资产构筑智能安全统一入口 数字化时代，企业越来越多的依靠“数据”，它如同血液，贯穿于企业生产经营的各个环节，为商业创新发展提供动能。但伴随着云计算、移动互联的飞速发展，数据逐渐暴露在更开放、更复杂的网络环境中，数据安全潜藏巨大风险。如今在企业当中，90%以上的业务系统都由浏览器进行访问，其入口性作用毋庸置疑。毫不夸张的讲，如果说业务系统好比企业数据资产的仓库，浏览器则是通往数据仓库的大门。 然而企业在使用普通浏览器中，无论企业主/CIO、员工以及IT人员都面临诸多问题： 对企业主/CIO而言：企业IT安全建设是一个整体的方案，浏览器作为数据安全的第一关卡，如果不做控制，整个方案的安全性将大打折扣。 对企业员工而言：日常办公中，应用多而杂，每个都要单独登录访问，不同系统因为兼容性还需用不同浏览器打开，使用过程苦不堪言。 对企业IT人员而言：浏览器/电脑系统配置复杂，员工无基础，需要逐一解决，问题碎片化大大增加运维成本和难度。 而解决这些问题，企业亟需一款企业级浏览器。 2016年，Enterplorer企业浏览器移动端发布，旨在帮助企业实现在移动化战略布局、安全移动办公的需求，时至今天，Enterplorer浏览器PC端正式发布4.0版本，基于最新版Chromium70内核，为企业打造安全高效的应用服务和数据生态，构建专属的、统一管控的、并且安全加固的数据资产大门，带来全新答案。 “ 基于标准SDP安全模型， 让企业更适应无边界IT环境 云计算、移动互联等技术的快速发展让企业应用和员工本身第一次脱离了内网的限制，网络边界逐步瓦解，基于传统网络安全模型、以边界防护为核心的防护理念和措施在安全对抗高级化、内外泄密途径多样化的今天尽显疲态。 相较于普通浏览器，Enterplorer企业浏览器基于零信任网络安全理念和软件定义边界（SDP）网络安全模型，由浏览器客户端、管控后台、应用网关组成三角架构。 其中： 1、浏览器客户端进行设备、身份认证； 2、管控后台用来对所有的企业浏览器进行管理，制定安全策略； 3、网关部署于应用之前，默认关闭所有TCP端口，以类似“白名单”的访问控制形式，只对身份、设备合法的用户动态开放端口 也正因此，黑客难以看到动态端口，无法对服务器扫描，应用程序“隐身”于互联网之中，有效解决企业移动办公、上云带来的应用暴露在公网的所面临安全风险。 “ 极致的用户体验， 打造企业专属统一工作入口 随着信息化深入，企业开发和拥有的IT系统数量剧增，浏览器版本多样化、系统兼容性差、登陆方式繁琐等一系列问题。Enterplorer企业浏览器为以上问题提供解决之道： 1 支持Chrome及多版本IE浏览器内核、参数配置统一下发，解决企业系统兼容性问题，形成PC端的统一入口。 2 针对不同的企业风格，Enterplorer可对浏览器进行个性化的首页门户和界面定制，结合办公场景需要在首页汇聚主要业务数据，做到统一待办接入，打造一个既可控又注重企业形象和办公效率的专有门户。 3 全面支持iOS，Android，MacOS, Windows等平台。 1 “ 四层安全模型， 多方位保障数据与应用安全 Enterplorer企业浏览器 同时提供访问安全、数据安全、身份安全以及行为安全多层次安全服务，为企业高效连接并构建稳定的企业数据流提供有力的安全支持。 1 访问安全 通过身份接入验证、设备接入验证、应用访问权限控制等，帮助保护业务应用，让应用对外完全不可见，用户只能通过企业安全浏览器进行授权后访问。 2 数据安全 支持芯片级硬件加密，实现内存层级数据保护。（仅Windows平台） 3 身份安全 生物身份识别：指纹识别、人脸识别、生物识别 设备绑定：Enterplorer企业浏览器只有在特定的设备上才能登录 多种验证手段：扫码登录、手机验证登录、时间地理围栏、IP地址围栏 4 行为安全 行为记录：网页访问时间、网页内容复制、网页打印或者保存、文件下载 行为控制：禁用地址栏、禁用复制、禁用打印、禁用鼠标右键、禁用网页保存、禁止查看源码 数字水印：姓名、手机号、邮箱、工号、设备ID、时间戳 锁屏保护：用户有事离开，及时忘记也会自动锁屏，防止他人窃取机密数据 1 “ 支持国密HTTPS以及国密CA证书， 满足企业合规需求 浏览器是国产密码算法普及应用的关键环节，但当前，企业所使用的浏览器普遍基于RSA安全证书，对采用国密算法的服务器，这些浏览器往往无法进行访问，另一方面其算法安全性正日益遭受挑战，不符合国家政策安全合规要求。 1 Enterplorer企业浏览器支持SM1国密硬件U-key，以及SM2，SM3，SM4国密算法； 2 全面支持国密HTTPS以及国密CA证书。 最后 数据资产的价值取决于安全体系的建立，数据大爆炸时代，安全的基石性作用日显突出。Enterplorer浏览器作为一款企业级安全浏览器，在为实现企业对各类应用和服务高效管理的同时，不断深入、探索企业办公场景中的安全需求，提供基于SDP安全模型的全新访问方式以及“云-管-端”全程的数据保护，帮助企业筑起专属、统一管控的数据资产安全可控大门。 2019-01-29 17:36