干货分享｜零信任在金融行业四大场景中的落地及应用

　　随着各国在金融科技关键底层技术布局加快，跨国协作加强，监管力度加大，金融科技在经济复苏过程中正发挥着重要作用。中国金融科技产业逐步进入更加规范的发展阶段，同时，对于金融科技应用的识别、管理也更加严格，在此背景下，如何保障金融科技安全显得尤为重要。

　　8月11日，第四届INSEC WORLD 成都·世界信息安全大会系列研讨会金融科技安全专场成功举办，会议邀请网商银行、深信服科技、乐信集团的安全负责人共同探讨金融科技安全。

　　图片来源：世界信息安全大会

　　深信服零信任产品总监杨志刚在会上进行了金融行业零信任应用场景及实践分享。

　　杨志刚认为，金融行业数字化转型带来了资源开放和共享，越来越多的企业将应用部署到云端，企业数据通过云服务共享，资产暴露面变大，受攻击维度也就越多。同时，远程办公、多方协同办公等带来了访问需求复杂性变高和内部资源暴露面扩大的风险。

　　“数字化变革、IT架构转型、业务弹性扩展、安全边界逐渐模糊，我们建议引入‘零信任’理念，通过‘软件定义边界’‘微隔离’‘身份认证和管理’等关键技术落地零信任架构，从传统网络提升到零信任网络，真正实现全面安全保护。”

　　零信任理念及相关技术，在金融行业拥有广泛的应用场景，当前应用较为普遍的主要是远程办公、跨网访问、第三方接入和移动展业。

　　远程办公场景

　　远程办公场景首先要解决的问题是：业务系统都在公司内网，员工不在公司时怎么实现访问？

　　解决了访问问题还得考虑安全问题。例如，远程办公时使用的个人终端如果感染了病毒木马，怎么防止终端接入时对内网系统产生威胁？采用口令认证时，如果口令泄露或者被暴破，如何防止其被不法分子利用登录内部系统？

　　采用SDP技术路线，部署零信任平台和代理网关，能够实现远程访问安全。

　　身份认证：多因子身份认证，并根据风险评估情况（如异常地点/时间段/使用终端、账号暴破、僵尸账号等）进行增强认证，保障身份持续可信；

　　终端检测：终端环境和应用程序合规性检测，阻断风险终端设备访问后端业务；

　　链路安全：L3+L4隧道加密技术，保证数据传输机密性；

　　访问控制：基于身份的细粒度权限访问控制，阻断越权访问流量，进一步收缩和保障主客体的受控访问关系；

　　持续评估：持续监控和分析主客体的访问行为，通过与EDR/态势感知的对接，实现网络、端点、行为多维度风险评估，异常情况实施动态访问控制。

　　跨网访问场景

　　传统安全建设采用分区分域+纵深防御的方式解决跨网访问问题，但随着业务和人员规模的不断变化，分区分域面临严峻挑战：用户活动，范围广泛；人员众多，职责切换；入职离职，权限复杂；ACL腐化混乱；一机多网，隔离艰难。

　　通过部署零信任平台、代理网关/直连网关，可以实现跨网访问安全。

　　流量身份化：通过对接统一身份管理系统，实现流量的身份化；

　　终端检测：终端环境和应用程序合规性检测，阻断风险终端设备访问后端业务；

　　访问控制：基于身份的细粒度权限访问控制，阻断未授权访问流量，进一步收缩和保障主客体的受控访问关系；

　　数据防护：综合数据沙箱、桌面云、内容审计等，实现差异化的数据泄密防护；

　　网络隔离：基于安全沙箱的网络隔离技术，实现一机多空间，不同空间访问不同网络区域的业务，实现安全隔离，防止风险横向扩散；

　　持续评估：持续监控和分析主客体的访问行为，通过与EDR/态势感知的对接，实现网络、端点、行为多维度风险评估，异常情况实施动态访问控制。

　　第三方接入场景

　　第三方接入场景面临的主要安全风险有：非法或违规访问业务、带病毒终端访问业务、明文传输泄密、恶意扫描和网络攻击风险高、越权访问等。

　　零信任的部署，能够在身份、终端、业务、数据、网络等方面为用户第三方接入提供安全保障。

　　身份认证：多因子身份认证，并根据风险评估情况（如异常地点/时间段/使用终端、账号暴破、僵尸账号等）进行增强认证，保障身份持续可信；

　　终端检测：终端环境和应用程序合规性检测，阻断风险终端访问业务；

　　业务收缩：将互联网业务收缩至内网，隐藏对外暴露面，防御恶意扫描和攻击；

　　数据安全：重要业务通过安全沙箱访问，实现数据落地的隔离/加密、防泄漏；

　　网络隔离：基于安全沙箱的网络隔离技术，实现终端网络隔离，防止风险横向扩散；

　　无端访问：高体验要求场景，支持无端访问，不改变原有系统访问习惯。

　　移动展业场景

　　移动终端的便携特性，使数据更容易以转存、截屏、分享等方式被外发，或因终端丢失等原因导致数据泄露，难以保障数据安全；

　　移动展业要求随时随地访问，需要接把业务系统通过边界设备映射到互联网，系统暴露面大、容易遭受攻击/渗透；

　　随着BYOD的普及，专用终端的采购成本和使用不变制约了移动展业的效率，而传统EMM方案针对设备进行管控，终端干扰大、员工接受程度低、兼容性问题频出。

　　如何在安全的基础上最大限度的保障用户体验？零信任为用户提供了一种解决方案：

　　身份认证：多因子身份认证，并根据风险评估情况（如异常地点/时间段/使用终端、账号暴破、僵尸账号等）进行增强认证，保障身份持续可信；

　　SDK集成/应用自动封装：移动APP可集成零信任SDK，实现终端环境基线检查，业务数据本地加密存储、内存拷贝阻断、屏幕水印震慑截屏拍屏行为等能力，以及L3+L4隧道加密，保证数据传输的机密性与安全接入，也可以采用自动封装方式，0开发实现安全改造；

　　业务收缩：将互联网业务收缩至内网，隐藏对外暴露面，防御恶意扫描和攻击；

　　访问控制：基于身份的细粒度权限访问控制，阻断越权访问流量，进一步收缩和保障主客体的受控访问关系；

　　持续评估：持续监控和分析主客体的访问行为，异常情况实施动态访问控制。

　　深信服零信任aTrust可以满足金融多场景的安全需求，助力金融科技安全建设从传统网络提升到零信任网络，在方案的落地应用上有4大价值点和优势体现：

　　1.实施部署简单

　　最小交付场景下，采用标准SDP架构，两个组件就可以满足多场景的安全访问，不管是移动APP接入、Web接入、内网员工接入还是第三方接入均可一站式匹配。

　　2.用户体验好

　　全面兼容各类终端系统及浏览器；接入速度快、使用稳定，支持免密上线、自动重连；提供WorkSpace办公体验，统一工作入口，满足各种场景下的办公便捷性，全面提升用户体验。

　　3.安全有效

　　丰富的认证手段、基于终端环境的持续检测和认证、融合SDP软件定义边界和终端数据安全沙箱，同时满足接入安全与终端数据安全。

　　4.满足大规模使用

　　支持百万规模用户、十万级资源、权限管理的部署应用，支持多网关横向扩容，满足超大规模并发接入。已交付项目中单项目最高达60w并发在线终端。

　　目前，深信服零信任已在金融、运营商、互联网企业、大型制造业、教育、政府科研、企事业单位等各行各业落地实施，其价值与优势也正在被越来越多的用户认可。