零信任内网安全访问

攻击者大量利用弱口令、口令爆破等惯用伎俩，在登录过程中突破企业边界、在传输过程中截获或伪造登录凭证。大型组织甚至国家发起的APT高级攻击，还可以绕过或攻破企业网络防护边界在企业内部进行横向访问。  

在非授权访问、员工无意犯错等情况下，“合法用户”非法访问特定的业务和数据资源后，造成企业内部数据泄漏，甚至可能发生内部员工“获取”管理员权限，导致更大范围、更高级别的企业信息安全灾难性事故。

传统的安全架构以“纵深防御+边界防御”为主，企业在成长过程中，安全边界逐步被打破，并彻底走向模糊化，基于边界的安全防护体系逐渐失效，已经难以适应企业快速成长，难以应对业务的快速变化。

通常企业有一个总部和一个或多个位置分散的分支机构，这些机构没有由企业自有的物理网络连接，员工可通过内网访问企业内部应用，其应用系统会暴露于各种安全威胁下，易受到各种形式的攻击，包括暴力破解、DDoS、XSS和任何TLS漏洞。

员工在出差过程中，经常通过不同的环境或设备远程访问企业内网进行公文处理、邮件收发或资料上传下载，因不安全的环境和设备非常容易导致恶意软件通过内网进行传播，带来巨大的安全风险。

企业内部运维人员在非工作时间，为快速支持和解决业务的应急问题，需要通过远程访问后台服务器的端口和访问权限进行管理，而粗放式的端口授权和访问机制，导致攻击者可快速扫描其服务器漏洞，增加了被攻击风险。

一部分企业为方便应用系统被全球用户或分支机构访问，采取直接通过NAT方式映射至互联网，并开通其访问端口和访问路径，其安全隐患一是应用系统无法应对各种攻击和病毒入侵，二是攻击者使用DDoS等攻击手段导致业务瘫痪。

基于零信任资源门户部署方式，对用户的自有设备实现设备、人员和权限的综合鉴权与访问，其中门户网关可以是单个资源或资源集，并且不需要在客户端设备安装代理软件。

基于零信任设备代理/网关部署方式，对用户的非自有设备实现设备、人员和权限的综合鉴权与访问，其中每个资源都具备一个网关，并且在客户端设备安装代理软件。

使用SDP网关，针对运维管理人员及企业内部用户，通过远程访问或直接访问形式，首先进行SPA单包认证，只有用户身份、访问权限和设备通过验证且可信，则建立相应的TCP连接，同时开放服务器运维端口及应用系统访问端口等权限。

通过新一代防火墙NGFW技术,实现针对企业内部以应用维度进行网络隔离，主要包括两种实现模式：

• 第三方防火墙微隔离：通过第三方防火墙供应商提供的虚拟防火墙进行隔离，其特点包括具备丰富的安全能力、支持自动化编排和丰富的分析报告；

• 基于代理模式微隔离：通过使用将代理软件部署至主机或虚拟机中，实现动态方式控制代理主机间的通信和安全，其特点包括适用各种线下线下平台、支持自动化编排和安全策略的快速迁移。

通过对企业多身份源的统一、可信终端管控以及不同网络访问场景的安全管控，促进企业对内部、外部、客户、消费者、合作伙伴等不同群体和对象的管理。同时基于主体、客体和环境等层面的角色动态管理和最小权限管控，满足安全治理要求。通过AI风险分析与监测，动态感知安全边界的变化，更多的用户通过手机、Pad等不同可信终端进行业务访问，进一步扩大安全管理边界。基于可信设备的准入和身份鉴别，保障设备可信接入和安全环境的合规访问。

通过实施“从不信任并始终验证”，不同类型用户只能按照预先确定的信任级别，访问预先申请的企业资源，未预先申请的企业资源将无法被访问，阻止企业内部“漫游”情况。

在实施“按需受控访问”的基础上，有效整合资源保护相关的数据加密、网络分段、数据防泄露等技术，保护应用资源、数据在网络中的传输和存储，并优先保护高价值资源。

用户通过访问认证之前，资源对用户隐身；即便在用户通过访问认证和授权，成功进入网络以后，零信任架构也将阻止用户漫游到未经授权的区域。零信任思维从根本上降低了外部（互联网可发现）和内部（内部威胁）攻击面。

零信任架构终结了安全防护手段各自为政的现状，在零信任架构实施时，可以通过与现有工具的集成，大幅度降低零信任潜在建设成本。