金融行業(yè)數字化轉型和近年來(lái)全球疫情，讓移動(dòng)辦公、遠程辦公成了常態(tài)化需求，在不同人員運用不同設備在不同地點(diǎn)混合辦公的場(chǎng)景下，如何保障企業(yè)業(yè)務(wù)系統訪(fǎng)問(wèn)的安全性和流暢度，實(shí)現企業(yè)內部敏感數據落地閉環(huán)管理？
當前，某股份制商業(yè)銀行使用的SSL VPN系統已進(jìn)入軟件生命末期，且不支持國密改造，對國產(chǎn)桌面操作系統不適配。
其次，產(chǎn)品整體安全性低。SSL VPN網(wǎng)關(guān)對外暴露訪(fǎng)問(wèn)入口，非管控設備和行外人員均可訪(fǎng)問(wèn)，存在被外部探測攻擊風(fēng)險；VPN代理終端全流量，設備一旦入網(wǎng)，惡意軟件即可對網(wǎng)內系統進(jìn)行內網(wǎng)掃描、探測、攻擊等；VPN客戶(hù)端無(wú)法對終端環(huán)境進(jìn)行動(dòng)態(tài)檢測，對終端數據無(wú)防護能力。
用戶(hù)體驗欠佳。SSL VPN賬號結合密碼及短信驗證碼的身份認證流程顯得繁瑣復雜；其次，內外網(wǎng)的接入認證管理方式不統一，增加管理復雜度；更令人困擾的是，由于行內應用眾多，卻缺乏一個(gè)統一的訪(fǎng)問(wèn)入口，導致用戶(hù)在訪(fǎng)問(wèn)多個(gè)系統時(shí)需要反復登錄不同賬號，極為不便；加之VPN系統時(shí)常出現異常掉線(xiàn)的情況，嚴重影響了用戶(hù)的辦公效率和體驗。
系統運維復雜。VPN一體機形態(tài)，多套設備疊加部署在不同數據中心入口，無(wú)法構建統一接入平臺對所有VPN設備進(jìn)行統一管理；終端多客戶(hù)端運行，占用過(guò)多設備性能，軟件沖突問(wèn)題增加運維壓力。
該銀行亟需新的網(wǎng)絡(luò )安全模型應對日益復雜的網(wǎng)絡(luò )環(huán)境和混合辦公需求，實(shí)現內外網(wǎng)一致的安全與體驗，保障安全合規，保護敏感數據，助力業(yè)務(wù)發(fā)展。為有效解決問(wèn)題，該行采用了聯(lián)軟全網(wǎng)零信任解決方案，以“永不信任，始終驗證”為核心，構建了全新的網(wǎng)絡(luò )安全架構。方案融合了SDP軟件定義邊界、EPP端點(diǎn)安全和數據安全等功能，通過(guò)一體化客戶(hù)端，實(shí)現網(wǎng)絡(luò )和業(yè)務(wù)應用的統一接入和訪(fǎng)問(wèn)。
▲該銀行全網(wǎng)零信任系統部署架構
1智能化認證，內外網(wǎng)無(wú)縫切換接入
該方案的一大亮點(diǎn)在于其自動(dòng)感知位置觸發(fā)認證流程的機制。當用戶(hù)發(fā)起接入請求時(shí)，一體化客戶(hù)端自動(dòng)判斷終端所處環(huán)境，在行內則發(fā)起802.1x接入認證，在行外則發(fā)起SDP接入認證。認證流程結合終端安全檢查，實(shí)現信任等級評估，獲取網(wǎng)絡(luò )和業(yè)務(wù)應用動(dòng)態(tài)訪(fǎng)問(wèn)權限。這種智能化的認證方式，讓員工無(wú)需手動(dòng)切換網(wǎng)絡(luò )環(huán)境，實(shí)現了內外網(wǎng)的無(wú)縫銜接，極大提升了混合辦公場(chǎng)景下的業(yè)務(wù)效率。該行全網(wǎng)零信任方案采用多重安全技術(shù)，例如終端環(huán)境感知、細粒度訪(fǎng)問(wèn)控制、動(dòng)態(tài)授權、SPA單包認證、終端防泄密和數字水印等，全方位保障網(wǎng)絡(luò )和數據安全。SPA單包認證技術(shù)實(shí)現了網(wǎng)絡(luò )及資源的“真隱身”，最大程度減少企業(yè)網(wǎng)絡(luò )暴露面。應用級的安全加密傳輸隧道，國密算法加密，確保數據傳輸過(guò)程中的安全。持續的環(huán)境感知和動(dòng)態(tài)授權機制，確保只有符合安全策略的設備和用戶(hù)才能訪(fǎng)問(wèn)企業(yè)資源。安全沙箱、終端DLP數據防泄露、通道審計管控和水印等技術(shù)，則為企業(yè)數據提供了全生命周期安全防護。新的零信任安全體系不僅提升了安全性，也顯著(zhù)改善了用戶(hù)體驗。統一的訪(fǎng)問(wèn)入口和簡(jiǎn)化的認證流程，讓員工告別繁瑣的登錄操作。同時(shí)，系統還提供了行內掃碼和短信兩種便捷的認證方式，進(jìn)一步提升了用戶(hù)體驗。此外，該方案還簡(jiǎn)化了運維管理，策略統一配置下發(fā)，大大降低了IT部門(mén)的運維壓力。
▲項目建設完成后，整體接入效果圖
方案從可信身份、可信終端、可信接入、可信應用、可信數據等多方面實(shí)現全網(wǎng)零信任體系的落地。項目建設完成后，達成了無(wú)邊界管理、零暴露面、應用隧道加密、多因素認證、終端環(huán)境感知、數據保護、精細化權限管理等多重安全目標以及對傳統設備和信創(chuàng )設備的統一管理，有效提升了銀行辦公效率和安全性，為銀行的數字化轉型提供了堅實(shí)的安全保障。
