一、案例背景

为促进和推动重点单位和行业对关键信息基础设施和行业重要系统的网络安全保护，2016年以来，公安部每年组织国家级的网络攻防实战演习。演习采用实战方式，选取国内数十支顶尖网络安全攻击队伍对关键信息基础设施运营者和重点单位运营者的信息系统和网络设施进行实战攻击。根据国家网络安全相关法律法规及集团公司相关要求，为进一步降低互联网暴露面，减少网络攻击风险，区公司组织相关单位完善了互联网系统网络安全管理要求和系统入网申请流程，进一步加强对互联网系统网络安全管理。
 

一方面，为了实现安全的远程接入办公，亟需采取一套比传统安全技术和架构具有显著提升的新架构、新技术或新产品来解决以上问题，新的网络安全架构必须采用零信任安全架构，新的网络安全架构需能够很好的适用于该场景下，并在经过测试后，VPN异构产品能够很好的解决VPN设备出现的安全问题。
 

另一方面，在信息化高速发展时期，云计算、大数据、物联网、移动互联网等新兴技术的应用，为各行各业的信息化建设带来了颠覆性的变革和超高速的发展的同时也为信息安全的防护带来了诸多挑战，主要表现如下：

1.互联网的飞速发展突破了业务常规的时间、空间限制，移动化、碎片化的访问方式，导致网络的边界越来越模糊，企业的安全边界极易被泛化；
 

2.大量业务大规模向云上迁移，数据的集中导致传统物理边界之外的数据和基础设施成为高价值的攻击目标；
 

3.应用系统的日益增加和累积，导致企业资产在互联网上的攻击暴露面不断扩大，攻击者总能比用户更早的发现漏洞；
 

4.日益繁多的业务系统导致管理和访问的难度不断提升，以账户、凭证为基础的访问方式已经无法确保身份的可信度；
 

5.基于内网用户、设备和流量可信假设的传统边界思维，无法有效抵御来自企业网络内部的威胁，攻击者的渗入、员工的疏忽，都会导致数据泄露。

因此，亟需一套新的安全体系来满足现有的企业信息安全防护要求。

二、案例概述

在加快新型基础设施建设（“新基建”）以及数字化转型的大背景下，以云计算为代表的新技术基础设施与5G为代表的通信网络基础设施作为“新基建”的底座，都面临转型升级，以更好地支撑各行各业全面数字化转型的要求。
 

一方面，作为三大运营商之一，通过新建系统100%上云，存量系统"关移转并"三年上云，解决实际业务问题，降本增效提感知，助推企业数字化转型的同时，上云后暴露在互联网的数据和业务，因企业访问失去了边界，由原有的传统企业内网直接拓展到互联网，面临着极高的安全风险。具体表现如下：

1.信息集中导致攻击目标明确

某市营业厅日常访问的业务支撑系统上云后，使得云端平台存储了大量的高价值数据资源，业务和数据的集中造成了目标的集中和风险的集中，成为了黑产最主要的攻击和窃取目标。
 

2.多元访问导致权限管理杂乱

云端部署了大量业务支撑系统，不同员工需要在特定环境下访问不同的业务系统，因授权板块分散，用户权限不集中管控，导致用户权限无法动态分配、实时更新，存在大量权限开放或无人使用的风险账号。
 

3.封闭端口导致远程访问困难

为避免黑客的攻击和扫描，云端主机不能在互联网上暴露访问端口，不能使用VPN访问。但员工在家办公或出差时，有远程访问云上业务系统的需求。
 

另一方面，该运营商面临着兼顾员工日常办公场景和营业厅业务场景稳定运行双重挑战。在办公场景下，原有接入方式;一次连接，永久授权，存在安全隐患；端口暴露在互联网上，极易被攻击者利用等诸多风险问题，需要实时监测内网终端、主机、虚拟资源的健康状态，并能够有效防止安全威胁横向扩散，加强对员工建立身份识别与访问管理体系，确保访问人员可信;，访问权限可控，访问行为可视。营业厅场景下，原有VPN连接不稳定，影响业务办理体验，认证方式单一，用户名密码可能会被盗用等风险问题凸出。需要确保在最大并发用户数情况下的不同用户角色便捷、高效、安全的接入访问各个业务系统的需求。

三、安全技术应用情况
 

任子行零信任安全防护解决方案

基于零信任安全理念，根据客户业务支撑系统上云后的信息安全需求，提供零信任远程接入安全防护解决方案，助力用户加强云端数据与业务安全保护，有效管理员工访问权限，动态控制远程访问安全，通过对人、终端和系统都进行识别、访问控制、实现全面的身份化，成功建立网络安全新边界。

具体建设方案如下：

1.集中访问通道，应用隐身，缩小攻击暴露面

业务支撑系统上云后，必须使用云主机访问业务系统。通过部署零信任安全网关，将企业内网应用隐身，只有通过认证授权的用户使用安全浏览器才能与零信任网关和应用系统建立加密连接，非授权的用户无法扫描到核心应用，从而实现了最细粒度的应用隔离。对企业内网业务系统进行隐身，将企业内网应用暴露的攻击面降到最低。
 

2.统一权限管控，权限最小，防止威胁横向扩散

通过层层授权与防御机制，只授予员工办公所需的应用访问权限，应用级最小授权给用户，精细化管理用户权限。并根据用户访问的设备及网络环境，基于信任模型判定用户安全级别，限定不同安全级别用户可访问的应用。
 

3.动态访问控制，评估智能，降低数据泄露风险

始终假设网络充满威胁，不信任任何网络、人、设备/系统，基于员工身份库，实现多因子身份认证，基于访问环境，动态控制用户的访问策略，基于用户行为分析，持续验证用户身份合法性。精细化控制用户远程访问权限，传输链路应采取加密措施，保证数据传输的安全性,弱化内部数据泄露的风险。
 

4.建立统一业务系统，门户统一，提升用户访问体验

智行零信任安全浏览器集成SSO单点登录能力，只需一次浏览器认证，即可单账号无缝访问内外网环境应用，消除切换账号困扰，提升用户访问体验。

四、客户反馈效果

客户评价

在项目实施过程中，零信任团队面临客户环境多样性、网络复杂性等多方面挑战。零信任产品上线可在不破坏原有客户环境的情况下进行，因此需要对客户外接设备进行逐一对接，对客户网络环境进行深度适配。同时，通过部署任子行智行零信任安全防护产品，帮助用户解决远程办公场景下的各种风险问题的同时，大大提升了用户体验和办公效率。对此，客户给与任子行产品和技术服务高度评价。

安全风险降低情况及使用效果情况

1.信息安全加强：身份管理体系作为信息安全加强的重要举措，可有效保障公司机密及业务数据的安全使用，保护其信息资产不受勒索软件、犯罪黑客行为、网络钓鱼和其他恶意软件攻击的威胁，加强内部人员规范管理；平均减少了31%的重复身份。
 

2.业务流程风险控制：业务流程风险控制作为管理核心，身份治理体系可加强内外部相关人员访问的硬件设备及业务系统进行集中管控，同时从管理制度、合规性、审计要求进行内部风险控制；通过自动化的账号创建、变更、回收及重复密码工作，提升IT部门91%的运维效率。
 

3.提高企业生产力：为有效满足信息系统对业务的快捷响应能力，减少保护用户凭证和访问权限的复杂性及开销，打造一套标准化、规范化、敏捷度高的身份管理平台成为经营发展的基础保障，可极大提高企业生产力。通过集中的用户管理模块，访问认证模块及合规审计模块的统一建设，有效减少88%的信息化重复投入。
 

4.降低运营成本：实现身份管理和相关最佳实践，可以多种形式带来重大竞争优势。大多数公司需要为外部用户赋予到内部系统的访问权限。向客户、合作伙伴、供应商、承包商和雇员开放业务融合，可提升效率，降低运营成本。用户从打开网页到登录进系统的访问时间，通过统一认证与SSO，提升73%的用户访问效率。
 

5.满足合规要求：通过加强身份治理，基于业务场景的人、终端、环境、链路、流量、资产、行为上下文、内容等多维的因素进行风险计算动态调整用户访问权限，确保访问人员可信、访问终端可信、访问行为可信；为企业构建具备较强风险应对能力的动态自适应网络安全闭环体系，满足国家相关法律法规及标准要求。