新闻速递海泰基于融合门户的零信任架构及解决方案-海泰方圆_1

DU毛毛

前言税务ukey的相关资讯可以到我们网站了解一下，从专业角度出发为您解答相关问题，给您优质的服务！

云计算、大数据、物联和移动互联等技术的兴起，过去旧式基于边界的安全防护理念已经很难满足各种复杂的业务场景，平台、业务、用户和终端正在呈现出多样化的趋势，传统的物理络安全边界正在逐步瓦解和消失，随之来的是更多的安全风险。





伴随着新技术的蓬勃发展，对信息安全越来越重视，已出台《密码法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》《信息系统密码应用基本要求》、57号文等法律法规和政策标准，以此满足对于政企信息数据安全建设要求。政企在聚焦本领域的业务时，还需规范建设信息数据安全保障体系，形成科学用的体系化安全技术防护能力、规范化安全管理能力和综合化安全监管运维能力。





零信任定义





为应对络边界瓦解、外部攻击防不胜防、内部威胁严重加剧和监管力度加大等新时代络安全面临的诸多挑战，零信任安全应运而生。零信任安全（或零信任络、零信任架构、零信任）比较早由约翰金德维格在2022年提出。在《零信任络:在不可信络中构建安全系统》一书中，对零信任安全进行了简要归纳和概况：






络时刻不处于危险的环境中；





络中自始至终都存在外部或内部威胁；





络位置不足以决定络的可信程度；





所有的设备、用户和络流量都应当经过认证和授权；





安全策略必须是动态的，并基于尽可能多的数据源计算而来。




总结来说，零信任安全的核心思想是，默认情况下企业内部和外部所有的人、事和物都是不可信的，提倡以身份作为权限管控的基础，基于认证和授权重构访问控制的信任基础。IEEE高级会员杰克伯班克对零信任进行了如下注解：零信任不是单一产品，也不是单一的方法或技术。对一个组织来说是一种态度，一种决心将络安全放到先事项，然后通过投入资源进行支撑。





图1零信任概念演进图（数据来源信通院）





零信任建设原则





零信任是一种以资源保护为核心的络安全范式，其前提是信任从不被预先授予，而是必须持续进行评估。零信任是一种企业资源和数据安全端到端的保护方法，其包含人、设备和应用等体的身份标识、鉴权信息、访问管理、端点管控和运行环境等内容。通过对体信息的细致管控，现尽可能细粒度的访问控制。一般来说，零信任建设会遵循以下几点原则：





①所有数据资源和计算服务都被视为资源


②论络位置如何，所有通信都应该是安全的


③对单个企业资源的访问是在每个会话的基础上授予的


④对资源的访问由动态策略决定，包括客户端标识、应用程序和请求资产的可见状态，以及其它行为属性


⑤企业确保所拥有的资产和相关的设备均处于比较安全的状态，并持续监控以确保资产处于比较安全的状态


⑥所有资源的身份验证和授权都是动态的，并且在访问之前严格执行


⑦企业尽可能多地收集络基础设施和通信系统当前的状态信息，以提升其络安全状况





海泰零信任架构





基于以上原则，北京海泰方圆科技股份有限提出了海泰零信任架构，在该架构中各组件之间通过单独的控制平面进行通信，而应用程序数据交互则在数据平面上进行。其中，核心组件是动态信任评估引擎和策略执行引擎。动态信任评估引擎，该组件负责比较终决策授予访问主体对资源的访问权限，使用企业策略和外部来源的输入，作为信任算法的输入，来授予、拒绝或撤销对资源的访问权；策略执行引擎，该组件负责启动、监控和终止访问主体与企业资源之间的连接。








图2海泰零信任方案逻辑架构





海泰零信任架构包括以下几个核心要点：






所有访问请求都要被零信任安全接入关拦截，进行强制访问控制；
访问权限由动态信任评估引擎进行时判定；
持续的信任评估生成信任库；
对身份和权限进行细粒度的管理。




可见，海泰零信任架构的目标是通过建立统一的身份管理体系，采用动态的身份认证和访问控制策略，确保可信的人、应用和服务等主体，使用可信的设备，在恰当的时间和地点，通过可信的访问链路，使用可信的认证方式，安全合规的访问相关资源。





海泰零信任方案





海泰凭借在密码领域的多年沉淀和对信息安全行业痛点的深度理解，经过研发团队的技术攻坚和细致打磨，推出了海泰基于融合门户的零信任解决方案。





海泰零信任解决方案，以自主研发的零信任融合门户、密码服务平台、统一身份认证平台、智能感知系统、动态评估授权系统和零信任安全接入关等产品为主，构建基于可信用户、可信设备和可信应用的访问主体，并对其访问行为进行持续信任评估和动态授权，以达到边界的比较严格权限访问控制的零信任比较佳践。





海泰零信任解决方案主要包括：零信任融合门户、零信任安全接入关和动态评估授权系统等自主研发软硬件产品。








图3海泰零信任方案系统组成





方案核心组成产品介绍：



零信任融合门户




海泰零信任融合门户是基于红莲花国密浏览器构建的多信息聚合门户系统。企业可以通过安全融合门户有效的整合企业内各类信息，现统一入口登录，并且能够集中管理用户不同业务信息的初步展现与集成，是建立企业以业务为导向的移动信息化平台的重要组成。





红莲花国密浏览器是海泰方圆响应自主可控战略，以国密算法为基础、结合政企业务应用需求，针对国产信息化支撑中存在的络应用安全、浏览器安全等安全性问题，自主设计浏览器的安全体系架构，全面支持国密算法、支持信创环境的一款浏览器，具备完善的后台支撑服务等能力，完成了多项技术创新、应用模式的创新，多次获得工信部相关产业课题基金的支持。






零信任安全接入关




目前安全边界防护设备的功能越来越复杂，通常需要依赖性能强劲的CPU、复杂的操作系统和各种各样的第方代码库现安全保障功能。而这些功能的现，需要极大量的代码支撑，其中只要一行代码出问题被黑客攻破，就可能会让安全边界的大门敞开。面临这样的问题，在高安全应用环境中，又该如何相信一个依赖上千万行代码的安全边界设备能够保障我们的业务系统安全





基于上述问题，海泰方圆设计了一款不依赖CPU、操作系统和第方代码库的纯硬件高保障安全边界设备零信任安全接入关，保障企业在互联上的边界安全，保证只有被授权用户可以接入内。由于零信任安全接入关不依赖CPU、操作系统和任何第方代码库，而使用自研的纯硬件技术现，使得硬件规模极小，核心功能代码是只有不到500行的硬件代码，能够通过有效的代码审计保障其安全性。





因此，攻击者在攻击该设备时，攻击面只有500行硬件代码现的极小硬件逻辑，相比于上千万行代码的安全边界设备，大大的降低了由于代码缺陷导致安全边界设备被攻破的可能性，从而在根本上解决了传统安全边界设备由于CPU、操作系统以及各种第方代码库漏洞而造成的自身被攻破的难题。








图4零信任安全接入关






身份安全及权限管理系统




身份安全系统包含用户、设备和应用类体的安全管理，主要功能涵盖：员工身份、供应商身份、合作者身份和特权身份分类管理，设备身份管理和应用身份管理。





权限管理系统能够提供细粒度的权限管理，包括，自助申请、工作流审批和自动收回权限等。管理员可以了解用户在各个应用中授权情况，了解权限被授予哪些应用。






动态评估授权系统




动态评估授权系统是零信任整体架构的策略指挥中心，通过多维度的数据为访问主体对核心业务资产的访问进行风险判断和信任评估，进而执行相应的访问策略。





动态评估授权系统包括风险计算、信任评估和动态授权个模块，通个这个模块协同工作完成访问主体对访问客体的动态访问授权，并对异常访问行为进行阻断。






智能感知系统




通过访问系统日志和终端上传的信息以及其他外部分析平台上报的风险信息，进行综合风险关联判定，利用大数据和人工智能技术，构建信任评估模型，对风险进行持续评估，为动态访问控制提供信任等级评估。





海泰基于融合门户的零信任架构及解决方案的核心目标是：为企业构建全方位、一站式的零信任安全体系，现基于可信身份的边界动态访问控制，助力企业能够速迁移到零信任安全架构。