安恒信息AiTrust產(chǎn)品及解決方案無論是在終端環(huán)境感知、網(wǎng)絡(luò)隱身能力、安全事件溯源分析等核心技術(shù)方面，還是在業(yè)務(wù)接入訪問可視化展示、多場景業(yè)務(wù)監(jiān)管等實際應(yīng)用方面都具備先發(fā)優(yōu)勢。自推出以來已陸續(xù)服務(wù)于公安、政府、運營商等行業(yè)重點客戶。

伴隨金融業(yè)務(wù)上云、數(shù)字化轉(zhuǎn)型落地等技術(shù)變革，傳統(tǒng)網(wǎng)絡(luò)邊界被打破造成新的安全困境。當(dāng)傳統(tǒng)安全建設(shè)的“守成者”力不從心，不受制于邊界的零信任架構(gòu)成為更有潛力的“破局者”。今年，金融行業(yè)面臨的最大挑戰(zhàn)就是數(shù)據(jù)安全和隱私保護，而數(shù)據(jù)安全和隱私保護正面臨三大挑戰(zhàn)：合規(guī)、遠(yuǎn)程辦公加速安全邊界消失、數(shù)字化轉(zhuǎn)型（上云）。當(dāng)下金融組織渴望一種能夠應(yīng)對以上挑戰(zhàn)的網(wǎng)絡(luò)安全防御方法和體系，可以保護整個企業(yè)范圍內(nèi)的總體邊界，還可以將企業(yè)的安全邊界移動到組織內(nèi)外的每個網(wǎng)絡(luò)、系統(tǒng)、用戶和設(shè)備，從而使更細(xì)粒度和更高效的安全訪問控制成為可能。

■?缺乏更安全的遠(yuǎn)程辦公網(wǎng)絡(luò)方式

不同類型用戶尚不能按照預(yù)先確定的信任級別，無法實現(xiàn)訪問預(yù)先申請的內(nèi)部業(yè)務(wù)應(yīng)用，未預(yù)先申請的內(nèi)部業(yè)務(wù)應(yīng)用將無法被訪問。當(dāng)下資源訪問通道，未能通過身份動態(tài)認(rèn)證牽引業(yè)務(wù)信任關(guān)系。

■?缺乏對銀行內(nèi)部業(yè)務(wù)應(yīng)用和數(shù)據(jù)的保護

缺乏“按需受控訪問”的技術(shù)能力，包含有效整合數(shù)據(jù)安全保護相關(guān)的傳輸加密、敏感數(shù)據(jù)識別、精細(xì)化訪問控制等技術(shù)，無法保護應(yīng)用資源、數(shù)據(jù)在網(wǎng)絡(luò)中的傳輸和調(diào)用，并不能優(yōu)先保護高價值和高敏感數(shù)據(jù)資產(chǎn)。

■?業(yè)務(wù)開放造成過多互聯(lián)網(wǎng)暴露面

用戶通過訪問認(rèn)證之前，應(yīng)用資源對用戶是透明開放的；在用戶通過訪問身份認(rèn)證和應(yīng)用授權(quán)后，用戶可以輕松獲得內(nèi)部網(wǎng)絡(luò)使用權(quán)，這是巨大的安全風(fēng)險！

■?安全管理成本和潛在建設(shè)成本非常巨大

在遠(yuǎn)程場景下，VPN的安全策略調(diào)整和擴容管理方式非常不靈活，給用戶帶來非常大的人力和時間成本。

此背景下，零信任被提出來，其核心原則是“Trust no-one. Verify everything”，提倡以身份為邊界作為權(quán)限管控的基礎(chǔ)。進一步講，就是零信任認(rèn)為企業(yè)不應(yīng)該自動信任內(nèi)部或外部的任何人/事/物，應(yīng)在授權(quán)前通過動態(tài)和持續(xù)的身份認(rèn)證和評估機制，對網(wǎng)絡(luò)環(huán)境中的訪問主體人和設(shè)備的危險等級進行科學(xué)準(zhǔn)確判定，采用最小特權(quán)訪問策略，嚴(yán)格執(zhí)行訪問控制，提升所有網(wǎng)絡(luò)實體連接之間的可信關(guān)系，增加企業(yè)安全保障。

安恒信息幫助用戶落地

五大安全目標(biāo)

?■?重構(gòu)保護對象

安恒信息AiTrust首先協(xié)助用戶定義數(shù)據(jù)保護范圍，然后再構(gòu)建其他安全層。由于數(shù)據(jù)是攻擊者和內(nèi)部威脅的最終目標(biāo)，因此，我們建議第一關(guān)注點就是數(shù)據(jù)，對數(shù)據(jù)訪問行為進行實時安全檢測和響應(yīng)管控。

■?重定義網(wǎng)絡(luò)邊界

安恒信息AiTrust可以對網(wǎng)絡(luò)進行分段、隔離和限制，阻止攻擊者進入網(wǎng)絡(luò)竊取數(shù)據(jù)。

■?重定義信任對象

網(wǎng)絡(luò)安全其實是人的安全，人是安全策略中最薄弱的環(huán)節(jié)。無論請求來自何處或訪問什么資源，安恒信息AiTrust都會采取“永遠(yuǎn)不要信任，永遠(yuǎn)要驗證”的安全原則。在授予訪問權(quán)限之前，每個訪問請求都經(jīng)過完全身份驗證，授權(quán)和加密。

■?重定義接入設(shè)備

由于網(wǎng)絡(luò)上設(shè)備的數(shù)量在過去幾年中呈爆炸式增長，而這些連接的設(shè)備中的每一個都可以作為攻擊者滲入網(wǎng)絡(luò)的入口點。所以，安恒信息AiTrust能夠隔離，保護和控制網(wǎng)絡(luò)上的每臺設(shè)備。

■?增加威脅可見能力

高級威脅檢測和用戶行為分析是掌握網(wǎng)絡(luò)中任何潛在威脅的關(guān)鍵，便于實時識別異常行為。執(zhí)行安恒信息AiTrust的安全策略，可以讓安全事件響應(yīng)團隊及時了解網(wǎng)絡(luò)中發(fā)生的事情，并進行分析。

通過零信任技術(shù)提供統(tǒng)一的業(yè)務(wù)安全訪問通道，取消職場內(nèi)部終端直連內(nèi)部業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)策略，盡可能避免企業(yè)內(nèi)部服務(wù)完全暴露在辦公網(wǎng)絡(luò)中的情況。所有的終端訪問都需進行用戶身份校驗和終端/系統(tǒng)/應(yīng)用的可信確認(rèn)，并進行細(xì)粒度的權(quán)限訪問校驗，然后通過零信任網(wǎng)關(guān)訪問具體的業(yè)務(wù)，這樣能極大的減少企業(yè)內(nèi)部資產(chǎn)被非授權(quán)訪問的行為。

在零信任技術(shù)方案中，零信任應(yīng)用代理網(wǎng)關(guān)暴露在外網(wǎng)而內(nèi)部資產(chǎn)被隱藏，通過用戶身份認(rèn)證、接入設(shè)備認(rèn)證、應(yīng)用授權(quán)、傳輸鏈路加密，建立信任鏈的方式來訪問資源。

遠(yuǎn)程辦公場景下正確實施零信任方案好處如下：

■?可快速擴容

零信任網(wǎng)關(guān)可以通過負(fù)載均衡實現(xiàn)快速的橫向擴展，來滿足突發(fā)的遠(yuǎn)程辦公需求；

■?安全控制能力強

零信任把安全架構(gòu)延伸到用戶終端上，有更強的控制和感知能力；

■?安全攻擊面小

零信任遠(yuǎn)程辦公方案中，唯一可被訪問的只有零信任應(yīng)用代理網(wǎng)關(guān)，所有內(nèi)部資源全部被隱藏在網(wǎng)關(guān)后，即便資源存在0day也難以被攻擊到；

■?用戶體驗佳

用戶一旦完成認(rèn)證后，整個使用過程對用戶不會有打擾，權(quán)限維持一致性，有較好用戶體驗。

遠(yuǎn)程辦公場景下正確的實施零信任方案后業(yè)務(wù)訪問邏輯圖