2021年10月11日至17日，以“網(wǎng)絡(luò)安全為人民，網(wǎng)絡(luò)安全靠人民”為主題的2021國(guó)家網(wǎng)絡(luò)安全宣傳周在陜西西安國(guó)際會(huì)展中心盛大開(kāi)幕。10月12日上午，由陜西省委網(wǎng)信辦、西安市委網(wǎng)信辦指導(dǎo)，國(guó)家工業(yè)信息安全發(fā)展研究中心主辦，華為等企業(yè)承辦的“零信任安全實(shí)踐”論壇成功舉辦，共同探討網(wǎng)絡(luò)安全行業(yè)落地實(shí)踐。國(guó)家工業(yè)信息安全發(fā)展研究中心總工程師李麗女士、華為安全產(chǎn)品領(lǐng)域總裁馬燁為論壇開(kāi)場(chǎng)致辭，開(kāi)啟了今天的精彩討論。

一、業(yè)務(wù)與政策雙輪驅(qū)動(dòng)，

數(shù)字化轉(zhuǎn)型面臨巨大挑戰(zhàn)

社會(huì)數(shù)字化轉(zhuǎn)型不斷深入，遠(yuǎn)程辦公的用戶和市場(chǎng)規(guī)模呈現(xiàn)出爆發(fā)式增長(zhǎng)，邊界變得更加模糊，使得安全威脅更加難以防范?！稊?shù)據(jù)安全法》的頒布對(duì)企業(yè)數(shù)據(jù)安全保障和管理提出了更高的要求，數(shù)據(jù)的分級(jí)分類，數(shù)據(jù)在流動(dòng)過(guò)程中的采集、傳輸、存儲(chǔ)、處理、交換、銷毀等數(shù)據(jù)全生命周期中都需要落實(shí)安全保障。這些業(yè)務(wù)與政策上的變化為企業(yè)帶來(lái)新的安全挑戰(zhàn)。

二、保護(hù)企業(yè)數(shù)據(jù)安全，

從零信任開(kāi)始

企業(yè)發(fā)展邁入數(shù)字經(jīng)濟(jì)時(shí)代，數(shù)據(jù)是核心生產(chǎn)要素，是國(guó)家基礎(chǔ)性和戰(zhàn)略性資源。數(shù)據(jù)安全問(wèn)題影響國(guó)家發(fā)展與安全，關(guān)系公眾利益，也與公民個(gè)人權(quán)益密切相關(guān)。零信任架構(gòu)的最根本的目的就是為了保護(hù)數(shù)據(jù)安全，通過(guò)數(shù)據(jù)防泄漏、數(shù)據(jù)庫(kù)審計(jì)、虛擬沙箱、隱藏水印、用戶和實(shí)體行為分析、云訪問(wèn)安全代理等一系列技術(shù)來(lái)進(jìn)行數(shù)據(jù)的保護(hù)、分類、隔離和控制，對(duì)靜態(tài)數(shù)據(jù)和傳輸中的數(shù)據(jù)進(jìn)行加密處理，最終實(shí)現(xiàn)數(shù)據(jù)的安全防護(hù)。

一是，零信任安全架構(gòu)需要對(duì)任何接入對(duì)象進(jìn)行持續(xù)安全驗(yàn)證，實(shí)現(xiàn)對(duì)用戶訪問(wèn)數(shù)據(jù)權(quán)限的控制，這也符合了《數(shù)據(jù)安全法》對(duì)數(shù)據(jù)分類分級(jí)保護(hù)的規(guī)定。

二是，通過(guò)建立終端設(shè)備零信任、用戶零信任、流量零信任和應(yīng)用零信任機(jī)制，構(gòu)建端到端全流程信任鏈，可以滿足《數(shù)據(jù)安全法》對(duì)數(shù)據(jù)安全管理的要求。

三是，通過(guò)全網(wǎng)威脅態(tài)勢(shì)感知和網(wǎng)絡(luò)安全聯(lián)動(dòng)對(duì)潛在的安全風(fēng)險(xiǎn)進(jìn)行溯源處置，可以滿足《數(shù)據(jù)安全法》對(duì)安全風(fēng)險(xiǎn)可監(jiān)測(cè)和處置的要求。

三、零信任“熱”中的“冷”思考

零信任是當(dāng)下熱門的網(wǎng)絡(luò)安全技術(shù)理念。中國(guó)信息安全研究院副院長(zhǎng)左曉棟在主旨發(fā)言中對(duì)零信任進(jìn)行了深度解讀。零信任的產(chǎn)生有客觀必然性，它源于網(wǎng)絡(luò)安全風(fēng)險(xiǎn)加大，傳統(tǒng)信任模型受到挑戰(zhàn)。以前的訪問(wèn)主體和客體都相對(duì)簡(jiǎn)單、明確，但物聯(lián)網(wǎng)和大數(shù)據(jù)技術(shù)的應(yīng)用使主客體變得日益多樣化，越來(lái)越難以保證數(shù)量繁多的主客體始終處在可信狀態(tài)。

為了應(yīng)對(duì)網(wǎng)絡(luò)安全形勢(shì)變化，零信任要求實(shí)施動(dòng)態(tài)細(xì)粒度訪問(wèn)控制，這是零信任的本質(zhì)特征。即，身份認(rèn)證不再依賴邊界防御，而是需要持續(xù)驗(yàn)證身份，且服務(wù)、資源、環(huán)境等變化均是判斷身份是否可信的考量因素。零信任的實(shí)質(zhì)是對(duì)訪問(wèn)控制的新要求，不是網(wǎng)絡(luò)安全的全部。

零信任作為一種理念和思路，不是對(duì)既有技術(shù)和體系結(jié)構(gòu)的顛覆。零信任的實(shí)現(xiàn)離不開(kāi)網(wǎng)絡(luò)安全基本能原理。企業(yè)和廠商要在零信任“熱”中進(jìn)行“冷”思考，重視實(shí)踐和實(shí)效，通過(guò)技術(shù)升級(jí)真正解決安全挑戰(zhàn)和問(wèn)題。

面向數(shù)字化轉(zhuǎn)型，數(shù)據(jù)的分級(jí)分類管理是實(shí)施數(shù)據(jù)全生命周期安全保護(hù)的重要基礎(chǔ)。只有在科學(xué)、規(guī)范的分級(jí)分類管理基礎(chǔ)上，才能夠有效地保護(hù)數(shù)據(jù)的安全。華為零信任安全解決方案可以做到數(shù)據(jù)端到端全生命周期防護(hù)，保護(hù)數(shù)據(jù)安全。

華為零信任安全解決方案具備三大特點(diǎn)：1、持續(xù)驗(yàn)證“準(zhǔn)”：持續(xù)監(jiān)測(cè)終端設(shè)備和用戶的安全風(fēng)險(xiǎn)，可監(jiān)測(cè)的終端評(píng)估項(xiàng)超過(guò)50類，通過(guò)多維安全感知可以保障接入網(wǎng)絡(luò)的終端設(shè)備和用戶值得信任。2、動(dòng)態(tài)授權(quán)“快”：根據(jù)授權(quán)主體、客體環(huán)境和行為風(fēng)險(xiǎn)進(jìn)行動(dòng)態(tài)授權(quán)，實(shí)現(xiàn)應(yīng)用、功能、API、數(shù)據(jù)等維度的精細(xì)安全訪問(wèn)控制。3、全局防御“穩(wěn)”：通過(guò)多方面評(píng)估，創(chuàng)建一條完整的信任鏈實(shí)現(xiàn)端到端加密訪問(wèn)業(yè)務(wù)時(shí)延無(wú)感知。

華為零信任安全解決方案當(dāng)前覆蓋了政企行業(yè)用戶的典型應(yīng)用場(chǎng)景，如敏感業(yè)務(wù)訪問(wèn)、數(shù)據(jù)交換和遠(yuǎn)程辦公場(chǎng)景等，適用于政府、部委、金融、交通等大型企業(yè)。以零信任安全方案在大數(shù)據(jù)中心應(yīng)用為例，華為零信任安全訪問(wèn)在某省級(jí)政府單位的數(shù)據(jù)中心已持續(xù)穩(wěn)定運(yùn)行超過(guò)一年，通過(guò)零信任安全接入，覆蓋應(yīng)用40多個(gè)，用戶終端超過(guò)1.5萬(wàn)，每天攔截的未授權(quán)訪問(wèn)達(dá)到300+，端到端訪問(wèn)時(shí)延毫秒級(jí)，在既保證安全的同時(shí)又不影響客戶的使用體驗(yàn)，有效保證了相關(guān)大型組織數(shù)據(jù)中心的安全。

全球安全漏洞和攻擊事件頻發(fā)，《數(shù)據(jù)安全法》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》、《個(gè)人信息保護(hù)法》等法律條例不斷推出，網(wǎng)絡(luò)安全的監(jiān)管力度持續(xù)加大。華為作為全球領(lǐng)先的ICT基礎(chǔ)設(shè)施和智能終端提供商，網(wǎng)絡(luò)安全是華為公司的最高綱領(lǐng)。在零信任實(shí)踐論壇中，華為中國(guó)首席網(wǎng)絡(luò)安全與用戶隱私保護(hù)官李加贊分享了華為端到端網(wǎng)絡(luò)安全治理與思考。講述了華為如何構(gòu)筑并全面實(shí)施端到端的全球網(wǎng)絡(luò)安全保障體系，在公司治理、流程、研發(fā)、驗(yàn)證、供應(yīng)、交付、審計(jì)等各個(gè)領(lǐng)域踐行網(wǎng)絡(luò)安全與用戶隱私保護(hù)，在每一個(gè)ICT基礎(chǔ)設(shè)施產(chǎn)品和解決方案中，都融入信任、構(gòu)建高質(zhì)量，助力客戶打造網(wǎng)絡(luò)韌性。

吉大正元副總裁張寶欣分享了基于密碼的零信任體系，希望通過(guò)將密碼技術(shù)賦能零信任架構(gòu)，為零信任解決方案建立堅(jiān)實(shí)的安全底座，為廣大用戶在提升網(wǎng)絡(luò)安全能力的同時(shí)，也為符合等保、密評(píng)的相關(guān)要求做好準(zhǔn)備。

零信任安全解決方案的實(shí)際交付并不是交鑰匙工程。除了有完善的方案和成熟的產(chǎn)品做支撐外，還需要對(duì)客戶的使用場(chǎng)景進(jìn)行全面而細(xì)致的調(diào)研，結(jié)合用戶業(yè)務(wù)場(chǎng)景才能最大程度上兼顧安全性與易用性。吉大正元注重對(duì)零信任應(yīng)用場(chǎng)景與安全策略的積累，現(xiàn)已具備大量開(kāi)箱即用的安全策略，包括：動(dòng)態(tài)訪問(wèn)控制策略、用戶實(shí)體行為分析策略、終端環(huán)境感知策略等。能夠在短時(shí)間內(nèi)根據(jù)不同行業(yè)用戶的需求，為客戶量身打造零信任安全基線。

聯(lián)軟科技聯(lián)合創(chuàng)始人張建耀表示，端點(diǎn)安全是零信任實(shí)踐的關(guān)鍵一環(huán)。聯(lián)軟可提供終端安全一體化的能力，通過(guò)終端安全管理模塊，保障終端可管；通過(guò)網(wǎng)絡(luò)準(zhǔn)入控制，保障身份可信；通過(guò)終端EDR，保障入侵可防；通過(guò)終端DLP，保證數(shù)據(jù)可控。從體檢、到入網(wǎng)、到檢查響應(yīng)，最終圍繞著數(shù)據(jù)的保護(hù)，構(gòu)成了零信任端點(diǎn)動(dòng)態(tài)智能防護(hù)的重要部分。聯(lián)軟科技借助于網(wǎng)絡(luò)準(zhǔn)入控制、終端安全和終端數(shù)據(jù)安全等能力，從傳統(tǒng)的內(nèi)網(wǎng)安全到內(nèi)網(wǎng)零信任可以很平滑的遷移，目前已經(jīng)在金融、政府、高端制造業(yè)等領(lǐng)域有豐富的實(shí)踐。

竹云首席運(yùn)營(yíng)官戴立偉在論壇中分享了以現(xiàn)代IAM體系構(gòu)筑零信任安全實(shí)踐場(chǎng)景主題演講。IAM作為零信任的核心組件，可提供端到端的安全和可信支撐，構(gòu)建以身份為核心、應(yīng)用權(quán)限為對(duì)象、動(dòng)態(tài)訪問(wèn)控制為手段的統(tǒng)一身份訪問(wèn)與權(quán)限管理系統(tǒng)。

竹云零信任安全訪問(wèn)整體解決方案已在眾多大型企業(yè)應(yīng)用，通過(guò)全面的權(quán)限管理體系，實(shí)現(xiàn)底層網(wǎng)絡(luò)安全和上層應(yīng)用安全的關(guān)聯(lián)和融合。竹云零信任訪問(wèn)平臺(tái)在某大型集團(tuán)企業(yè)已接入1000余個(gè)應(yīng)用，覆蓋本地、移動(dòng)端、云端等多類型應(yīng)用。通過(guò)風(fēng)險(xiǎn)引擎模塊實(shí)現(xiàn)日均300萬(wàn)次風(fēng)險(xiǎn)檢測(cè)，并實(shí)時(shí)將風(fēng)險(xiǎn)事件轉(zhuǎn)發(fā)到態(tài)勢(shì)感知，通過(guò)實(shí)時(shí)可視化監(jiān)測(cè)，實(shí)現(xiàn)事前預(yù)警、事中訪問(wèn)控制和事后追溯的全流程閉環(huán)管控。

四、零信任在國(guó)內(nèi)網(wǎng)絡(luò)安全的實(shí)踐

在圓桌討論環(huán)節(jié)，北京賽博英杰科技有限公司董事長(zhǎng)譚曉生邀請(qǐng)與會(huì)嘉賓共同討論了零信任在國(guó)內(nèi)各行業(yè)的優(yōu)秀實(shí)踐。

竹云首席運(yùn)營(yíng)官戴立偉首先分享了一個(gè)汽車制造企業(yè)分階段建立IAM體系的案例。IAM有不同的建設(shè)方法和方式，通過(guò)分階段持續(xù)性建立，對(duì)員工、伙伴等內(nèi)部人員進(jìn)行身份管理和風(fēng)險(xiǎn)動(dòng)態(tài)控制，實(shí)現(xiàn)了權(quán)限統(tǒng)一管理和動(dòng)態(tài)權(quán)限聯(lián)動(dòng)，有效解決了權(quán)限冒用風(fēng)險(xiǎn)和安全事件回溯的難題。

9月1日《數(shù)據(jù)安全法》開(kāi)始實(shí)施以后，如何通過(guò)零信任解決數(shù)據(jù)安全問(wèn)題，聯(lián)軟科技聯(lián)合創(chuàng)始人張建耀認(rèn)為，零信任核心的理念在于持續(xù)驗(yàn)證及最小化的授權(quán)，這與數(shù)據(jù)安全法是吻合的。同時(shí)也應(yīng)該認(rèn)識(shí)到數(shù)據(jù)安全是非常大的話題，需要根據(jù)場(chǎng)景和保護(hù)對(duì)象，進(jìn)行技術(shù)選擇，平衡安全和效率。

吉大正元副總裁張寶欣認(rèn)為，在零信任實(shí)踐中，密碼技術(shù)提供安全信任的基礎(chǔ)。零信任關(guān)注身份管理，通過(guò)身份管理為設(shè)備、應(yīng)用、API訪問(wèn)和人員頒發(fā)數(shù)字證書，解決信道安全問(wèn)題。通過(guò)國(guó)密證書的政策，發(fā)放加密證書和簽名證書，實(shí)現(xiàn)雙向國(guó)密通道認(rèn)證，同時(shí)通過(guò)高性能硬件，還可以實(shí)現(xiàn)每秒數(shù)十萬(wàn)次的簽名驗(yàn)簽，確保效率。

最后，華為安全產(chǎn)品領(lǐng)域副總裁王任棟介紹了華為的零信任優(yōu)秀實(shí)踐，以華為HiSec Insight安全態(tài)勢(shì)感知系統(tǒng)及HiSecEngine系列安全網(wǎng)關(guān)為核心的安全方案，包括智慧城市移動(dòng)辦公、政務(wù)園區(qū)SDP代理接入、政務(wù)重要應(yīng)用訪問(wèn)、金融遠(yuǎn)程辦公等場(chǎng)景。同時(shí)，華為零信任安全解決方案中包含了生態(tài)合作廠商，通過(guò)市場(chǎng)調(diào)研，選擇產(chǎn)品領(lǐng)先、研發(fā)能力扎實(shí)、以客戶為中心的優(yōu)質(zhì)企業(yè)，并且在客戶方案實(shí)施過(guò)程中，通過(guò)生態(tài)聯(lián)合驗(yàn)證實(shí)驗(yàn)室機(jī)制保障產(chǎn)品組合的實(shí)施質(zhì)量。

原文標(biāo)題：網(wǎng)安周零信任實(shí)踐論壇 | 零信任“熱”中的“冷”思考

文章出處：【微信公眾號(hào)：華為數(shù)據(jù)通信】歡迎添加關(guān)注！文章轉(zhuǎn)載請(qǐng)注明出處。
責(zé)任編輯:pj