零信任安全組件在企業(yè)網(wǎng)絡(luò)安全漏洞治理中的應(yīng)用

分類：應(yīng)用場(chǎng)景
作者：
來源：
發(fā)布時(shí)間：2023-10-23
訪問量：2749





零信任安全組件在企業(yè)網(wǎng)絡(luò)安全漏洞治理中的應(yīng)用

【概要描述】

背景

? ? ? 隨著互聯(lián)網(wǎng)時(shí)代的快速發(fā)展，APT攻擊、DDoS攻擊等網(wǎng)絡(luò)安全問題頻發(fā)。近月來，我司接連收到海陵區(qū)公安局網(wǎng)安部門發(fā)來的網(wǎng)絡(luò)安全漏洞通報(bào)，在經(jīng)過綜合分析和評(píng)估后，決定采用零信任安全解決方案，以此來強(qiáng)化網(wǎng)絡(luò)安全隱患排查整改，推動(dòng)以攻促防，查漏補(bǔ)缺。?

? ? ? 企業(yè)信息基礎(chǔ)設(shè)施當(dāng)前已經(jīng)逐漸進(jìn)入一個(gè)無邊界化的時(shí)代。為了支撐數(shù)字化業(yè)務(wù)，企業(yè)需要將業(yè)務(wù)和數(shù)據(jù)開放給相關(guān)的各種人員、各種設(shè)備，以滿足任何時(shí)間、任何地點(diǎn)的訪問需求。這必然會(huì)迎來一系列的安全威脅與管理難題。

? ? ? 云涌零信任安全管理平臺(tái)由控制中心、接入網(wǎng)關(guān)、云聯(lián)網(wǎng)關(guān)及連接器、管理控制臺(tái)、認(rèn)證中心客戶端、認(rèn)證中心網(wǎng)頁端、SaaS租戶管理平臺(tái)等產(chǎn)品模塊組合而成。其中非核心模塊可以根據(jù)客戶實(shí)際需求以及網(wǎng)絡(luò)環(huán)境進(jìn)行組裝或拆卸。產(chǎn)品支持入駐式部署及SaaS運(yùn)營(yíng)方式。系統(tǒng)確保只有正確的人、使用正確的賬號(hào)、通過正確的設(shè)備、在正確的時(shí)間和地點(diǎn)、借助正確的應(yīng)用才能訪問正確的服務(wù)，同時(shí)遵從正確的訪問權(quán)限。

? ? ? 云涌零信任在企業(yè)傳統(tǒng)的網(wǎng)絡(luò)基礎(chǔ)架構(gòu)之上，構(gòu)建以身份為中心的，貫穿企業(yè)網(wǎng)絡(luò)-應(yīng)用-資源-數(shù)據(jù)全鏈路、一體化的安全網(wǎng)絡(luò)。

零信任端點(diǎn)安全建設(shè)方案

? ? ? 首先，優(yōu)先解決外網(wǎng)攻擊的問題，內(nèi)網(wǎng)服務(wù)端口不再通過NAT或反向代理暴露到公網(wǎng)，統(tǒng)一采用零信任安全組件進(jìn)行接入，特點(diǎn)是隱藏服務(wù)端口，使服務(wù)端口無法被探測(cè)和感知到，只能通過零信任客戶端進(jìn)行單包敲門，認(rèn)證通過后才能訪問到授權(quán)的服務(wù)。

? ? ? 具體步驟如下：

1）? 匯總公司暴露在外網(wǎng)的所有端口及其對(duì)應(yīng)的服務(wù)內(nèi)網(wǎng)地址及端口。

a)????? 使用嗅探工具掃描公司出口IP，獲取所有暴露在公網(wǎng)的服務(wù)端口；

b)????? 通過路由器上的NAT配置信息找出公網(wǎng)服務(wù)端口對(duì)應(yīng)的內(nèi)網(wǎng)服務(wù)地址及端口；

c)????? 每個(gè)服務(wù)找到對(duì)應(yīng)的責(zé)任人，確認(rèn)服務(wù)的訪問控制策略；

2）? 關(guān)閉公司所有公網(wǎng)服務(wù)端口，服務(wù)通過零信任安全組件接入，并配置相應(yīng)的訪問控制策略。

3）? 零信任客戶端推廣使用。

? ? ? 整改后，業(yè)務(wù)服務(wù)關(guān)閉公網(wǎng)訪問入口，員工及合作伙伴通過零信任客戶端，在互聯(lián)網(wǎng)安全的訪問內(nèi)網(wǎng)服務(wù)，業(yè)務(wù)不受任何影響。同時(shí)，零信任安全組件實(shí)時(shí)監(jiān)控訪問行為，動(dòng)態(tài)評(píng)估訪問主體、訪問客體、訪問路徑、訪問環(huán)境等是否安全，并在識(shí)別出風(fēng)險(xiǎn)時(shí)及時(shí)處置。

? ? ? 其次，為了解決內(nèi)網(wǎng)安全隱患，根據(jù)業(yè)務(wù)類型和部門劃分不同的VLAN，各VLAN之間的通過ACL策略進(jìn)行合理的訪問控制。同時(shí)建立DMZ區(qū)，DMZ區(qū)用來放置必須公開的服務(wù)器資源（如企業(yè)Web服務(wù)器、文件服務(wù)器、論壇等）和零信任網(wǎng)關(guān)，外網(wǎng)、DMZ和內(nèi)網(wǎng)之間通過防火墻進(jìn)行隔離。

? ? ? 以下為部署零信任安全組件后的網(wǎng)絡(luò)拓?fù)洌?/p>

總結(jié)

? ? ? 通過云涌零信任，有效阻擋了外網(wǎng)攻擊，實(shí)現(xiàn)了安全漏洞的快速處理。通過對(duì)內(nèi)部網(wǎng)絡(luò)架構(gòu)進(jìn)行適當(dāng)調(diào)整，解決了內(nèi)網(wǎng)的安全隱患。

為了更好的進(jìn)行安全防護(hù)。云涌零信任為企業(yè)客戶提供可落地的建設(shè)性解決方案，達(dá)到整改安全漏洞隱患，完善安全防護(hù)措施，優(yōu)化安全策略，有效提升整體網(wǎng)絡(luò)安全防護(hù)水平的目的。將安全防護(hù)能力用到各業(yè)務(wù)場(chǎng)景，為企業(yè)的保駕護(hù)航。