64E5保护零信任环境t的数据安全实践 白小勇 炼石网络 68A 提要 1 数字化催生x务级安全技术 2 64E5对内部威胁防护的实践 3 64E5对E44E数据的安全防护实践 数字化同时带来了发展机遇和安全挑战 •  企x数字化推动了x务效率的快速提升l为 企x带来了巨大利益 •  高价值使数据成为更加明确的攻击目标l重 要数据关乎企x核心x务风险 •  一切都可能被入侵&控制 •  无法简单区分是e好的f还是e坏的fl单 纯的一次性阻断&允许策略已经没有意义 内部威胁已经成为企x的主要安全威胁 .0% 敏感信息泄露事件 来源于e内鬼f -,% 企x发生过严重的 商x秘密泄露事件 数据使用v保密面临ey难fl亟待新安全手段解决 VS X •  高价值数据在信息系统中流转和共享l 是刚需 •  好人坏人难辨的情况t仍需要依靠信 息系统进行x务发展 •  传统数据安全手段面向文档文件或数据库l要 么脱离x务含义l要么粒度较粗 •  面对如今复杂的多人协同场景l单纯的阻断会 影响x务效率l而允许会造成安全疏漏 安全策略需要综合考虑x务机会v安全风险 云和移动化等使得企xu再 拥有物理系统掌控、设备v x务交互l同时数字化x务 的规模和复杂度提升l导致 传统手段难以分辨e好坏f 完美防御已然失效l是否信 任u再取决于单个向量l而 是取决于场景的st文l同 时信任v否是动态的l会随 着x务场景持续变化 数字化x务的风险v机会共 存l新一代安全策略必须保 持vx务发展快速同步l并 w是自适应的l能结合x务 价值管理风险 64DF4主张结合x务st文评估风险 HuVXPrLMTVT^c TX^PVVTRPXNP FSrPL^ TX^PVVTRPXNP 6oWWuXT^c TX^PVVTRPXNP 5VLNUVTs^s IST^PVTs^s 5PSLvTorLV sTRXL^urPs HTs^orTNLV MPSLvTors HLVuP oQ LssP^ DPpu^L^ToX sPrvTNPs 64DF4核心要素 •  持续动态评估 •  自适应 Ø  x务场景丰富化l以提高评估准确度 8XvTroXWPX^LV NoX^Pb^ Ø  响应和处置安全事件后l再将规则反馈到 8X^PrprTsP rTsU ^oVPrLXNP 防护产品的安全策略集 •  8X^PrprTsP poVTNc 风险v信任 •  动态灰度名单取代了传统的静态黑白名单 •  ESouVO ^STs PX^T^c ^LUP ^STs rPquPs^PO LN^ToX oX ^STs PX^T^c RTvPX ^SP NurrPX^ NoX^Pb^# Wc ^rus^ oQ ^SP PX^T^c LXO Wc ^oVPrLXNP Qor rTsU2 6oX^TXuous rTsU LXO ^rus^ PXRTXP 6oX^TXuous LOLp^TvP rTsU LXO ^rus^ LssPssWPX^ （持续自适应风险v信任评估k l  l  l  l  l  l  l  l  5VoNU&BrPvPX^ 4sU Qor WorP NoX^Pb^ 4VVoa 4VVoa LXO VoR 4VVoa LXO LuOT^ 4VVoa LXO TsoVL^P 4VVoa LXO ^Sro^^VP 7PNPTvP * 源自GLr^XPr 评估 •  基于st文l评估引擎计算DTsU ENorP •  st文u仅有<F基础设施st文l更重要 的是x务st文 64DF4的启发 •  64DF4响应策略也取决于x务机会lv其失去 x务机会l可承受一定风险 •  对云服务的安全l云访问64E5是实施64DF4 的主要手段 数据在信息化系统中的u同层次持续流转 个人隐私 企x运营 产品数据 物流供应 企x财务 知识资产 共赢协作 经营报表 核心设计 沟通交流 公文流转 数据查询 客户关系 数据 x务应用 A4 5B? 8WLTV E6? C?E BL? ?B? 8DB ?8E 6D? HD? (00d(0000人 软件平台 操作系统l中间件l数据库l 文件系统、存储系统lHcpPrvTsor 1(00人 添加文字 基础设施 6BGl内存l磁盘l网•l 光”l交换机 数据 1(0人 <F技术发展带来新威胁l推动安全产品向细粒度演进 更细粒度 安全控制 数字化x务提升了<F的规模、复杂度、 颗粒度l要求安全控制能力v之匹配l 并w安全防护要vx务相结合i x务级 企x应用 64E5 EIG I49 内容级 4H 7B< <7E 载荷级 (网络) 状态 防火墙 1992 <BE GF? 数据库 加密 5PcoXO 6orp 云访问 64E5 7LB @G9I E<8? HB@ 时间轴 2007 2014 ex务感知f的64E5 类型 感知范围 请求关联 技术能力 功能特点 生活举例 x务结 合 安全产品 适用场景 64E5 云安全&内部 威胁防护 低 Brobc 7B<&@G9I& I49&7LB 外网管控&互 联网安全 无 HB@网关& <7E&<BE&9I 内外网隔离& 内网监控 5roUPr x务级 5usTXPss$ LaLrPXPss <X^Pr$ rPquPs^ 5roUPr 委托式安全 代理 经纪人 8XNrcp^ 高 5usTXPss pVL^QorW 内容级 6oX^PX^$ LaLrPXPss <X^rL$ rPquPs^ Brobc 转发式安全 代理 快递员 载荷级 (网络) BLcVoLO$ LaLrPXPss <X^rL$pLr^$ rPquPs^ 9TV^Pr 封包&替换& 阻断 门卫 9TV^Pr 64E5将丰富安全能力施加到x务级 企x应用安全代理 云访问安全代理 (6orp 4ppVTNL^ToX EPNurT^c 5roUPr) & (6VouO 4NNPss EPNurT^c 5roUPr) 对x务操作和敏感 数据的精细化识别 st文环境的持续 采集和还原 丰富的安全策略及 响应动作 基于x务st文的 细粒度访问控制 g  近百种应用操作n数十 种文件类型l多种内容 检测方法 g  用户l账户l设备l操 作目标lx务含义lx 务关联 g  支持加密、阻断、隔离、 水印、7D?、阻断用 户、带密码压缩、告警、 日志等 g  关联数十种主体、客体、 环境参数 g  基于属性和角色的访问 控制 数据加密和脱敏 g  q兆级商用密码加解密 处理性能 g  对字段或文件提供格式 保留加密 将数据安全和威胁防护能力作用到持续变化的x务场景中 场景一m企x内部威胁防护场景 * .0%以s的安全事件源于内部威胁 权限缺口 企x内网 明文存储 企x数据中心 E6? 6D? A4 8DB BL? v外网隔离 ?8E 企xx务部门 X 互联网 外包工作区域 企x<F部门 敌我难分 敌我难分 合规推演 企x应用64E5提供以数据为抓手的零信任安全架构 只有符合权限的用户才能访问 到其应该使用的数据l同时具 备可定责的防篡改审计 v权限体系结合的解密策 略l无法被绕过 没有任何人能从应用服务后台 获取敏感数据明文信息 A4 6D? ?8E E6? 8DB BL? 企x数据中心 企xx务部门 6TpSPrGL^PaLc 企x<F部门 企x内网 v外网隔离 X 互联网 外包工作区域 实践m64E5防护BL?数据安全 风险 规划 需求 概念设计 风险 详细设计 风险 工艺设计 风险 风险 仿真v验证 风险 重用 优化设计 迭代 h% 生产 风险 处理v回收 风险 维修 风险 售后服务 风险 测试v验证 销售 风险 风险 () 为BL?赋予数据加密能力 %#p*4O QsO-.,K&R,R 4,N4,-#K%*Q QR^S #KQRNvN v% QRQ*4)&K9R .9O^.,-QR%R SR QRNvNv% 6G 明文文档 密文文档 BL?服务器 直接从后台结构树中查看 数模属性信息也被加密 直接从后台t载的数模文 件无法在设计软件中打开 () 从后台非法获取的敏感数据只有密文 利用漏洞获取 敏感数据 内部潜伏敌特 从交换机s也无 法获取敏感数据 已沦陷的 办公区交换机 明文文档 6TpSPrGL^PaLc 密文文档 密文文档 通过维护命令 接触后台数据 %#p*4O QsO-.,K&R,R 4,N4,-#K%*Q QR^S #KQRNvN v% QRQ*4)&K9R .9O^.,-QR%R SR QRNvNv% 密文文档 BL?服务器 应用实施人员 系统管理员直接访 问后台数据 审计管理员 安全保密员 系统管理员 <F运维、外包实施、管理员、内部恶意 人员、被控制主机、特木等人员和手段 均无法直接从后台获取敏感数据 )) 杜绝关键操作时身份被冒用 口令m aosST( 访问行为异 6G 常& 进行关键操 再次进行强 作 身份认证 口令m 4X^TL/(0)# 35LoSu 口令m 4X^TL/(0 )#35Lo Su BL?服务器 6TpSPrGL^PaLc会 自动将用户口令替 换成复杂强口令 遇到关键x务操作时l会 要求再次进行身份验证 )) 增强关键x务操作和数据使用的身份验证 统一认证 服务器 *% 无法完成 GE5KPc验证 )% 要求再 次验证身 份 某高权限设计师 电脑被远程控制 (% 执行数据 t载v发送 已沦陷的 办公区交换机 应用级 6TpSPrGL^PaLc 部门级 6TpSPrGL^PaLc (% 执行用户权 )% 要求再次 *% 插入GE5UPc 限修改的操作 验证身份 获取权限 (% 以口令m aosST( 登录系统 *% 拒绝登录 系统管理员账号被窃取l用来访 问数据v给其他用户提权 潜伏敌特试图通过窃取来 的凭证登录BL?系统 %#p*4O QsO-.,K&R,R 4,N4,-#K%*Q QR^S #KQRNvN v% QRQ*4)&K9R .9O^.,-QR%R SR QRNvNv% BL?服务器 )% aosST(v 4X^TL/(0)#35LoSu 匹配失败 防止身份被冒用l确保操作为用户本 人执行m •  u通过部门级6TpSPrGL^PaLc无 法正确验证登录凭