零信任安全組件在企業(yè)網(wǎng)絡(luò)安全漏洞治理中的應(yīng)用

分類：應(yīng)用場景
作者：
來源：
發(fā)布時間：2023-10-23
訪問量：3042





零信任安全組件在企業(yè)網(wǎng)絡(luò)安全漏洞治理中的應(yīng)用

【概要描述】

背景

? ? ? 隨著互聯(lián)網(wǎng)時代的快速發(fā)展，APT攻擊、DDoS攻擊等網(wǎng)絡(luò)安全問題頻發(fā)。近月來，我司接連收到海陵區(qū)公安局網(wǎng)安部門發(fā)來的網(wǎng)絡(luò)安全漏洞通報，在經(jīng)過綜合分析和評估后，決定采用零信任安全解決方案，以此來強化網(wǎng)絡(luò)安全隱患排查整改，推動以攻促防，查漏補缺。?

? ? ? 企業(yè)信息基礎(chǔ)設(shè)施當(dāng)前已經(jīng)逐漸進入一個無邊界化的時代。為了支撐數(shù)字化業(yè)務(wù)，企業(yè)需要將業(yè)務(wù)和數(shù)據(jù)開放給相關(guān)的各種人員、各種設(shè)備，以滿足任何時間、任何地點的訪問需求。這必然會迎來一系列的安全威脅與管理難題。

? ? ? 云涌零信任安全管理平臺由控制中心、接入網(wǎng)關(guān)、云聯(lián)網(wǎng)關(guān)及連接器、管理控制臺、認證中心客戶端、認證中心網(wǎng)頁端、SaaS租戶管理平臺等產(chǎn)品模塊組合而成。其中非核心模塊可以根據(jù)客戶實際需求以及網(wǎng)絡(luò)環(huán)境進行組裝或拆卸。產(chǎn)品支持入駐式部署及SaaS運營方式。系統(tǒng)確保只有正確的人、使用正確的賬號、通過正確的設(shè)備、在正確的時間和地點、借助正確的應(yīng)用才能訪問正確的服務(wù)，同時遵從正確的訪問權(quán)限。

? ? ? 云涌零信任在企業(yè)傳統(tǒng)的網(wǎng)絡(luò)基礎(chǔ)架構(gòu)之上，構(gòu)建以身份為中心的，貫穿企業(yè)網(wǎng)絡(luò)-應(yīng)用-資源-數(shù)據(jù)全鏈路、一體化的安全網(wǎng)絡(luò)。

零信任端點安全建設(shè)方案

? ? ? 首先，優(yōu)先解決外網(wǎng)攻擊的問題，內(nèi)網(wǎng)服務(wù)端口不再通過NAT或反向代理暴露到公網(wǎng)，統(tǒng)一采用零信任安全組件進行接入，特點是隱藏服務(wù)端口，使服務(wù)端口無法被探測和感知到，只能通過零信任客戶端進行單包敲門，認證通過后才能訪問到授權(quán)的服務(wù)。

? ? ? 具體步驟如下：

1）? 匯總公司暴露在外網(wǎng)的所有端口及其對應(yīng)的服務(wù)內(nèi)網(wǎng)地址及端口。

a)????? 使用嗅探工具掃描公司出口IP，獲取所有暴露在公網(wǎng)的服務(wù)端口；

b)????? 通過路由器上的NAT配置信息找出公網(wǎng)服務(wù)端口對應(yīng)的內(nèi)網(wǎng)服務(wù)地址及端口；

c)????? 每個服務(wù)找到對應(yīng)的責(zé)任人，確認服務(wù)的訪問控制策略；

2）? 關(guān)閉公司所有公網(wǎng)服務(wù)端口，服務(wù)通過零信任安全組件接入，并配置相應(yīng)的訪問控制策略。

3）? 零信任客戶端推廣使用。

? ? ? 整改后，業(yè)務(wù)服務(wù)關(guān)閉公網(wǎng)訪問入口，員工及合作伙伴通過零信任客戶端，在互聯(lián)網(wǎng)安全的訪問內(nèi)網(wǎng)服務(wù)，業(yè)務(wù)不受任何影響。同時，零信任安全組件實時監(jiān)控訪問行為，動態(tài)評估訪問主體、訪問客體、訪問路徑、訪問環(huán)境等是否安全，并在識別出風(fēng)險時及時處置。

? ? ? 其次，為了解決內(nèi)網(wǎng)安全隱患，根據(jù)業(yè)務(wù)類型和部門劃分不同的VLAN，各VLAN之間的通過ACL策略進行合理的訪問控制。同時建立DMZ區(qū)，DMZ區(qū)用來放置必須公開的服務(wù)器資源（如企業(yè)Web服務(wù)器、文件服務(wù)器、論壇等）和零信任網(wǎng)關(guān)，外網(wǎng)、DMZ和內(nèi)網(wǎng)之間通過防火墻進行隔離。

? ? ? 以下為部署零信任安全組件后的網(wǎng)絡(luò)拓撲：