MicrosoftInternetExplorer402DocumentNotSpecified7.8lbNormal0Abstract:腾讯零信任安全管理系统iOA,基于终端安全、身份安全、应用安全、链接安全等核心能力,持续对用户进行权限授权终端接入流程管控和安全防护,使终端在任何网络环境下都能安全、稳定、高效地访问企业资源和数据,帮助企业降低内网办公、远程办公、云办公、跨境等不同业务场景的风险办公室。关键词:零信任;无边界;远程办公;跨境办公室;持续保护;IOA系统。可控制企业公有云、私有云、本地资源的访问权限。基于终端安全、身份安全、应用安全、链路安全等核心能力,可对终端接入过程进行持续的权限控制和安全防护,确保企业资源的可信接入,帮助企业降低不同业务场景下的风险,如作为内网办公、远程办公、云办公等,让员工无论身处何地(Anywhere)、何时(Anytime)、使用任何设备(Anydevice),都能安全地以全新的“4A办公”方式处理任何业务(任何工作)通过准确访问授权资源。1产品设计背景互联网时代,远程协??同办公逐渐发展成为社会新常态。新的办公模式下,也带来了各种安全和局限性的挑战:大型企业:设备数量多,种类繁多(Mac、Windows、台式机、笔记本、移动设备等)。业务种类很多:涉及金融、社交、游戏、云服务等业务。使用的办公工具不同,对应业务的办公安全敏感度也不同。职场分工多:在全国各地均设有办事处,有专线与集团公司网络相连的职场,包括专项外包职场、投后公司、分公司等。合作厂商众多:供应商协同系统办公、协同研发运维。高级威胁:面临行业专业黑客组织入侵、敏感数据泄露等风险。员工体验:面对年轻的职场,办公场域的访问和参观都有体验性的要求。自然灾害或其他紧急场景:台风、疫情、春节期间突发业务高峰等远程办公需求,涉及内部系统使用、研发、运维等需求。业务专一性:跨境收发邮件、登录办公系统、非办公地点的研发、运维。为了解决上述问题,腾讯于2015年自主设计、研发并部署了腾讯iOA。面对海量用户、海量业务、多分支职场、频发高级威胁攻击、远程办公、跨境办公等复杂环境,员工无论身在何处,使用任何方式,都能安全访问企业资源和数据。设备。2总体方案图1腾讯iOA总体方案架构腾讯iOA总体方案如图1所示,通过在公司内部建立iOA零信任网络,实现以下安全能力:(1)用户身份认证,提供多种认证方式,包括手机软Token\硬件Token\扫码认证等,可对接企业内部统一身份认证系统。(2)应用进程可信指定终端的可信应用进程白名单。应用标识特征包括发布者、签名、HASH、用于签名的根证书等特征。只有满足安全要求的应用进程才能发起对企业内部资源的访问,降低未知恶意代码入侵的风险。一般来说,一个企业的办公应用数量是有限的。如果企业对安全性要求高,存在潜在的APT和供应链攻击风险,这种方式比较简单有效。支持进程安全检测。提供病毒进程检测和未知灰色进程二次检测;如果发现系统无法识别进程,可以使用第三方威胁情报接口、沙盒检测等方式,由安全运营人员分析决定是否添加白名单发布。(3)设备安全可信保证了操作系统环境的可信。支持病毒扫描、漏洞修复、安全加固、合规检测、数据保护、EDR等多方位的终端管控能力。由于企业部门或集团子公司的业务需求不同,对安全防护的要求也不同。可以根据企业不同业务的安全级别,为终端分配不同的安全策略。保证硬件设备的可靠性。对于非企业提供的私有硬件设备资产,可统一采用安全基线检查,只有满足安全合规性检查的设备才能接入。当出现紧急远程业务需求,员工需要临时使用“新设备”完成工作时,新接入设备将受信安全基线合规和合法身份注册。腾讯iOA安全技术由资深杀毒引擎研发团队支持。支持41次vb100,服务6亿市场用户,拥有世界级腾讯安全联合实验室的技术支持,获得全球七大权威机构测评大满贯,最高评分100+。(4)链路保护和加速优化保护链路的设计采用按需建立连接的方式,而不是使用传统的安全隧道模式,以满足浏览器访问网页或一些并发的本地应用等访问场景连接。释放业务系统的访问并发能力。在零信任方案下,将登录和建立链接上下文分离,根据访问授权票据上下文减少重新登录,大大提高了访问连接的稳定性和用户体验。模拟不同网络环境访问内网门户系统,零信任和虚拟专用网解决方案登录和网页加载耗时测试如下:企业内部,提供并行扩展网关,链路加密等避免的能力攻击者通过内部受损节点进行流量分析。企业在完成传统终端设备网络接入后,还需要进行身份验证和权限控制才能访问具体的业务系统。用户与业务系统的直接连接通过网关进行隔离。在互联网侧,提供链路加密和全球接入点部署加速,解决弱网(如小运营商、丢包率高)、跨境(跨海线路、大延时)接入网络时延等问题,等,解决频繁出现的断线重连问题,提升远程办公体验。如图2所示。图2弱网络下虚拟专用网络和零信任网络登录及资源访问(5)持续访问控制是基于对关键对象访问的组合策略。支持针对不同人员(角色\部门等)下发不同的访问策略-应用白名单-可访问的业务系统。访问控制策略细粒度到终端应用进程级别,大大增加了攻击难度。当企业发现访问过程中涉及的关键对象存在安全隐患时,企业自身的安全检测可以启动人员、设备、访问权限的禁止和阻断。(6)企业内部SOC的基线变更和动态访问控制动态访问控制是根据安全合规基线的变化进行的。通过受控端采集的安全基线状态,根据企业运营需要,做出相应的动态响应决策。当发现基线安全状态存在风险时,及时阻断终端接入,实现动态接入控制。支持与企业内部SOC平台系统对接。SOC整合了企业内部所有安全设备/系统的日志和检测结果,具有强大的安全分析能力,支持对用户身份、终端设备等关键对象进行非常清晰的安全风险检测。腾讯iOA可以借助调用SOC的检测结果信息,及时阻断风险访问。当存在SOC平台难以自动判断的风险时,安全运营团队可以进一步进行人工分析,将确认的风险告警推送至腾讯iOA进行阻断。(7)垂直业务流量联动登录,提升用户体验对于Web流量,终端认证结果随Web流量进入网关后,可提供一键授权和统一登录能力。对于SSH、RDP等流量,可以提供API与服务器运维区运维跳板机的身份联动,统一权限管理。终端使用SSH客户端工具时,如果处于零信任网络工作环境,支持快速登录跳板机进行服务器访问。从跳板机登录后,可以在跳板机入口进行相应的运维访问安全控制,如命令限制、审计、访问阻断等。(8)其他办公体验改进通过腾讯iOA终端客户端为用户提供快捷的办公应用入口。用户登录后,可直接获取相应企业网提供的应用资源或OA系统入口资源。还提供常见终端异常诊断修复、网络自助修复工具等能力,降低企业IT管理成本。3技术创新3.1 技术与产品创新(1)采用按需建立连接的方式保护链路设计,替代传统的安全隧道模式。释放业务系统的访问并发能力。比如应用进程发起的连接有5个,则相应的会启动5个加密链接,释放应用本身的并发能力。如图3所示,图3链路优化,按需建立连接(2)缩小攻击面。根据细粒度访问控制的思想,将控制粒度细化到进程,网络访问发起过程采用应用白名单模式。只有满足安全要求的进程才能发起内部访问,减少供应链攻击,对未知恶意代码进行渗透扫描。如图4所示。图4网络接入发起流程采用应用白名单模式3.2应用场景创新(1)内网和内网远程办公场景:通过统一的业务安全接入通道,终端验证确认网络接入,系统、应用程序和访问权限,大大减少了未经授权访问企业内部资产的行为。(2)多云多通道安全接入和服务器运维场景:提供统一的接入控制策略,实现集中授权管理,控制不同流量指向不同网络。直接降低跨运营商、跨境专线的建设成本。(3)企业网络外部访问入口的安全防护:对各种入口流量进行安全处理,实现对源流量的网络策略管理。(4)跨境跨运营商办公加速:构建可靠、安全、优质的低时延网络接入,以及相应的安全办公体验。4实战成果疫情期间,公司6万名员工、10万台终端使用零信任网络通道。远程办公安全网络通道机从6台迅速扩展到140台,增长23倍,承载流量从不足1G增长到最大20G,增长近20倍,全面支持包括流程审批在内的各种办公场景、接入OA、远程运维开发等。保证远程和职场工作体验一致,用户不会感知到网络差。2019年以来,腾讯牵头推进CCSA、ITU-T国内外零信任标准项目,推动全球零信任标准化应用。2020年,腾讯联合CNCERT、公安三局、中国移动等22家单位,正式成立了业界首个零信任行业标准工作组,并牵头发布了国内首个立足实际的零信任白皮书。攻防战。5结束语目前,腾讯iOA已在金融、医疗、交通等多个行业得到应用。从“有界”到“无界”,作为安全创新的践行者,腾讯一直以自研的技术和解决方案应对复杂多变的安全形势。未来,腾讯安全将以自身的最佳实践输出行业用户,也希望与行业伙伴共同探索网络安全的创新方式,共同构建网络安全防线,共享健康的网络生态。作者简介>>>蔡东云,本科,腾讯企业IT部安全技术专家,主要研究方向为终端安全防护、APT检测、零信任。选自《信息安全与通信保密》2020年增刊第1期(为排版方便,原文中的引用已略去)
