一、案例背景：
隨著信息化技術不斷發展，企業智慧化、數字化理念的不斷深化已經深入各個領域，云計算、大數據、物聯網、移動互聯、人工智能等新興技術為客戶的信息化發展及現代化建設帶來了新的生產力，但同時也給信息安全帶來了新挑戰。企業急需一套安全、可信、合規的立體化縱深防御體系，確保訪問全程可知、可控、可管、可查，變靜態為動態，變被動為主動，為信息化安全建設提供嚴密安全保障。
客戶已經建立了自己的內部業務訪問平臺，通過部署邊界安全等實現了一定程度的安全訪問。但是，隨著業務訪問場景的多樣化和攻擊手段的升級，當前的安全機制存在一些局限性，需要進行升級改造。其中的主要問題如下：
1)傳統安全邊界瓦解
2)外部風險暴露面不斷增加
3)企業人員和設備多樣性增加
4)數據泄露和濫用風險增加
5)內部員工對數據的惡意竊取
二、案例概述：
隨著信息化技術不斷發展，企業智慧化、數字化理念的不斷深化已經深入各個領域，云計算、大數據、物聯網、移動互聯、人工智能等新興技術為客戶的信息化發展及現代化建設帶來了新的生產力，但同時也給信息安全帶來了新挑戰。企業急需一套安全、可信、合規的立體化縱深防御體系，確保訪問全程可知、可控、可管、可查，變靜態為動態，變被動為主動，為信息化安全建設提供嚴密安全保障。基于商用密碼的零信任，本質是以身份為中心進行動態訪問控制。零信任對訪問主體與訪問客體之間的數據訪問和認證驗證進行處理，其將一般的訪問行為分解為作用于網絡通信控制的控制平面及作用于應用程序通信的數據平面。訪問主體通過控制平面發起訪問請求，經由信任評估引擎、訪問控制引擎實施身份認證及授權，獲得許可后系統動態數據平面，訪問代理接受來自主體的數據，從而建立一次可信的安全訪問連接。過程中，信任評估引擎將持續進行信任評估工作，訪問控制引擎對評估數據進行零信任策略決策運算，來判斷訪問控制策略是否需要作出改變，若需要作出改變時，將及時通過訪問代理中斷此前連接，從而有效實現對資源的保護。本項目涉及到的主要應用場景有：零信任遠程辦公場景、零信任與云計算平臺（公有云/私有云/混合云）結合場景。
三、安全技術應用情況：
基于客戶現有安全訪問能力以及其面臨的安全挑戰，需要為用戶建設以下幾個層面的安全機制：
1.將身份作為訪問控制的基礎
身份作為訪問控制的基礎，為所有對象賦予數字身份，基于身份而非網絡位置來構建訪問控制體系。
2.最小權限原則
強調資源的使用按需分配，僅授予其所需的最小權限。同時限制了資源的可見性。默認情況下，資源對未經認證的訪問發起方不可見。
3.實時計算訪問策略
訪問策略決策依據包括：訪問發起方的身份信息、環境信息、當前訪問發起方信任等級等，通過將這些信息進行實時計算形成訪問策略。一旦決策依據發生變化，將重新進行計算分析，必要時即使變更訪問策略。
4.資源安全訪問
默認網絡互聯環境是不安全的，要求所有訪問鏈必須加密。
可信訪問網關提供國密安全代理能力，保障訪問過程中的機密性。
5.基于多源數據進行信任等級持續評估
訪問發起方信任等級是零信任授權決策判斷的重要依據。訪問發起方信任等級根據多源信任信息實時計算得出。
6.動態控制機制
當訪問發起方信任等級發生變化后，策略執行引擎將向各個策略執行點進行策略下發。再由各策略點執行控制動作。
總體架構
零信任總體架構如下圖所示：
1、動態訪問控制體系
動態訪問控制體系主要負責管理參與訪問的實體身份管理、風險威脅的采集，以及動態訪問控制策略的定義及計算，動態訪問控制的主要產品組件如下：
1）IAM：
作為動態訪問控制的基礎，為零信任提供身份管理、身份認證、細粒度授權及行為感知能力。
身份管理及認證能力：身份管理服務對網絡、設備、應用、用戶等所有對象賦予數字身份，為基于身份來構建訪問控制體系提供數據基礎。認證服務構建業務場景自適應的多因子組合認證服務。實現應用訪問的單點登錄。
細粒度權限管理能力：權限服務基于應用資源實現分類分級的權限管理與發布。實現資源按需分配使用,為應用資源訪問提供細粒度的權限控制。
2）安全控制中心：
作為策略管理中心：負責管理動態訪問控制規則。作為策略執行引擎：負責基于多數據源持續評估用戶信任等級，并根據用戶信任等級與訪問資源的敏感程度進行動態訪問控制策略匹配，最后將匹配到的結果下發到各個策略執行點。
3）用戶實體行為感知：
通過日志或網絡流量對用戶的行為是否存在威脅進行分析，為評估用戶信任等級提供行為層面的數據支撐。
4）終端環境感知：
對終端環境進行持續的風險評估和保護。當終端發生威脅時，及時上報給安全策略中心，為用戶終端環境評估提供數據依據。
5）網絡流量感知：
實現全網的整體安全防護體系，利用威脅情報追溯威脅行為軌跡，從源頭解決網絡威脅；威脅情報告警向安全控制中心輸出，為安全控制中心基于多源數據進行持續信任評估提供支撐。
6）可信訪問網關/API網關：
代理網關是確保業務訪問安全的關口，為零信任提供建立國密SSL安全通路，基于動態安全，制的會話阻斷移動終端與客戶端登錄均通過安全通道訪問服務。
2、策略執行點
主要負責執行由安全控制中心下發的動態訪問控制策略，避免企業資源遭到更大的威脅。主要包括以下動態訪問控制能力：
二次認證：當用戶信任等級降低時，需要使用更加安全的認證進行認證，確保是本人操作。效果：當用戶信任等級降低時，需要使用生物識別技術和數字證書技術組合的方式才能完成認證。
限制訪問：當用戶信任等級降低時，限制其能訪問的企業資源，避免企業敏感資源對外暴露的風險。效果：當用戶信任等級降低時，通過動態權限的變化，使其不能訪問到企業敏感資源。
會話熔斷：當用戶訪問過程中信任等級降低時，立即阻斷當前會話。最大程度上降低企業資源受到威脅的時間。效果：當用戶下載文件時，如果信任等級降低，會導致下載失敗。
身份失效：當用戶信任等級過低時，為避免其進行更多的威脅活動。將其身份狀態改為失效。效果：身份失效后，不能訪問任何應用。
終端隔離：當終端產生嚴重威脅時，對被隔離的終端進行網絡層面上的隔離，效果：被隔離后斷網；
3、密碼支撐服務
密碼支撐服務為零信任提供底層的密碼能力，負責保障所有訪問的機密行和完整性。
邏輯架構
安全控制中心基于訪問發起者的身份及終端環境、實體行為、網絡態勢等多源數據，實時計算信任等級，并將信任等級與安全策略自動匹配，決定最終訪問方式。
主要應用場景
1.與云計算平臺（公有云/私有云/混合云）結合保護企業資源
為客戶構建動態的虛擬身份邊界，解決內部人員訪問、外部人員訪問、外部應用訪問、外部數據平臺問安全問題。
2.遠程辦公場景下保護企業資源
客戶遠程辦公主要包含以下幾條路徑：
1)用戶直接訪應用路徑
通過零信任方案的落地，實現了國內外用戶多網絡位置、多種訪問通道、多種脫敏方式的自適應無感安全訪問流程。
2)VPN訪問路徑
通過SDP技術在實現資源隱藏的同時，能夠支持端到端的安全訪問。有效的降低了資源暴露面。
3.云桌面訪問路徑
將用戶的云桌面作為一個特殊的CS應用與零信任進行對接，對接后使云桌面訪問路徑得到了更強的
安全保護。改造后具備了單點登錄、動態認證，實時阻斷能力，并使用國密算法進行通道保護。
4.特權賬號
集中管理所有特權帳戶，提供密碼托管服務、動態訪問控制和特權賬號發現等能力。管理范圍包括：
操作系統特權賬號、網絡設備特權賬號、應用系統特權賬號等。
