銀行零信任安全白皮書

P1現(xiàn)狀與需求01P2銀行零信任安全框架04P3業(yè)務場景實現(xiàn)08P4安全合規(guī)與隱私保護134.2安全訪問P5總結與展望25現(xiàn)狀與需求11環(huán)境背景 ●1.1環(huán)境背景"十四五"時期，我國金融業(yè)安全和信息化發(fā)展的外部環(huán)境和內(nèi)部條件發(fā)生復雜而深刻的變化，機遇與挑戰(zhàn)前所未有。作為數(shù)據(jù)密集型行業(yè)，銀行業(yè)更需要嚴格落實法律法規(guī)，將監(jiān)管要求的網(wǎng)絡與數(shù)據(jù)信息安全指導方針、風險管理、監(jiān)督和檢查管理的流程和機制等內(nèi)容整合到現(xiàn)有安全管理策略和制度建設當中。健全數(shù)據(jù)安全治理體系，強化數(shù)據(jù)全生命周期安全防護，嚴防數(shù)據(jù)誤用濫用。推動數(shù)據(jù)分級分類管理，科學界定數(shù)據(jù)所有權、使用權、管理權和據(jù)適用范圍成為金融機構首要基礎安全建設。近年來，國內(nèi)外網(wǎng)絡攻擊和數(shù)據(jù)泄露事件頻發(fā)，攻擊手段不斷升級，從數(shù)據(jù)的采集、傳輸、存儲、處理到訪問，國家、企業(yè)和個人面臨著各類的網(wǎng)絡與數(shù)據(jù)后，于2021年陸續(xù)發(fā)布《數(shù)據(jù)安全法》、《個人信息保護法進網(wǎng)絡與數(shù)據(jù)安全建設提供了法理依據(jù)?！?2安全挑戰(zhàn)隨著云計算、互聯(lián)網(wǎng)、移動計算和物聯(lián)網(wǎng)的發(fā)展，銀行業(yè)務場景復雜導致的數(shù)據(jù)安全受到更多的威脅。由于業(yè)務的不斷快速發(fā)展，金融機構的業(yè)務系統(tǒng)多達幾百上千個，應用場景繁多，其中承載著大量的客戶基礎信息、業(yè)務交易數(shù)據(jù)、業(yè)務產(chǎn)品數(shù)據(jù)、企業(yè)經(jīng)營數(shù)據(jù)、機構數(shù)據(jù)、認證信息、生物特征信息、企業(yè)員工信息等大量業(yè)務和系統(tǒng)數(shù)據(jù)。這些數(shù)據(jù)由于業(yè)務需要在各個系統(tǒng)間不停的流轉(zhuǎn)銀行面臨的安全挑戰(zhàn)有以下方面：派拉軟件發(fā)展研究院瓜@零信任安全架構銀行零信任安全框架21技術特點銀行零信任安全框架風險，主要從身份安全、終端安全、網(wǎng)絡安全、API安全結合銀行業(yè)的遠程辦公、銀行一體化安全邏輯架構如圖2-1所示外部觸點外部觸點人《遠程辦公義交換與安全平臺￥信創(chuàng)平臺服務治理數(shù)據(jù)治理系統(tǒng)運維數(shù)字銀行》》這一解決終端運行環(huán)境的安全問題，由終端感知與終端防護兩部分組成。終端感知包括安全事件檢測、安全事件調(diào)查、遏制安全事件、以及修復至感染前的狀態(tài)；終端防護由漏洞利用預防/內(nèi)存保護、應用控制/白名單、系統(tǒng)信任保證、網(wǎng)絡防火墻、可視性及微隔離幾大類組成。API安全W=解決各資源的數(shù)據(jù)交互與共享，實現(xiàn)API資產(chǎn)管理與監(jiān)控，提供API編排滿足業(yè)務擴展的需要。對外提供最小權限的接口服務訪問，在實現(xiàn)業(yè)務互聯(lián)互通的前提下完成接口服務訪問控制，提供監(jiān)控與審計，提高業(yè)務效率，增加用戶體驗，促進企業(yè)的合規(guī)性。目支持本地或私有云部署，如果涉及遠程辦公，臺網(wǎng)關服務器，組成SDP服務解決網(wǎng)絡訪問關服務器地址需要能被公有云和私有云訪問32數(shù)字銀行33系統(tǒng)運維業(yè)務場景實現(xiàn)●3.1遠程辦公隨著疫情常態(tài)化以及遠程辦公的發(fā)展，加快了越來越多的員工通過遠程方式接入金融體系內(nèi)網(wǎng)系統(tǒng)，進行辦公和生產(chǎn)，金融企業(yè)在傳統(tǒng)辦公模式下的安全邊界正在被逐漸打破。為更加有效識別訪問對象與權限，保護后端網(wǎng)絡和服務資源，實現(xiàn)便捷、高效與安全辦公，已成為普遍共識，圍繞著從終端身份、訪問資源的用戶身份、終端到資源端的鏈路安全到訪問資源權限的自適應，以及資源實現(xiàn)隱藏來避免外部探測和攻擊等問題，我們需要構建基于零信任安全模型的遠程如圖3-1所示員工/用戶員工/用戶￥公藝CD￥API數(shù)據(jù)交換安全平臺￥圖3-1一體化安全辦公借助于零信任的ZTaaS可實現(xiàn)后端網(wǎng)絡的隱藏，實現(xiàn)終端身份先認證后連接，終端身份與用戶身份同時驗證，避免了匿名和不安全終端的接入，在鏈路建立之前就可獲得用戶對后端資源是否有訪問的權限，解決了匿名或未授權用戶的建設數(shù)字銀行的安全框架平臺，基于用戶、設備、系統(tǒng)等不同的訪問對象，統(tǒng)一內(nèi)外部服務的安全接入，通過訪問身份認證和鑒權，減少身份與API數(shù)據(jù)泄露和攻擊風險，實現(xiàn)數(shù)據(jù)安全訪問；通過打通移動APP、微信小程序、第三方合作伙伴和企業(yè)內(nèi)部應用的數(shù)據(jù)互聯(lián)互通，實現(xiàn)數(shù)據(jù)安全共享；通過API資產(chǎn)的統(tǒng)一管理與檢查API權限的安全，實現(xiàn)資產(chǎn)統(tǒng)計與業(yè)務系統(tǒng)安全保護；打通企業(yè)上下游業(yè)務，整合內(nèi)外部服務能力，實現(xiàn)敏捷應對業(yè)務的變化。可實現(xiàn)企業(yè)生態(tài)建設，降低運營成本、擴大數(shù)據(jù)積累、提升客戶體驗。業(yè)務的發(fā)展需要用大量的操作系統(tǒng)與網(wǎng)絡設備來支撐，傳統(tǒng)的運維管理模式很難滿足安全與效率的平衡，甚至二者都不沾邊，運維人員的工作變得異常復雜和高風險，尤其對特權賬號的申請與授權非常敏感。金融機構面臨著如何實現(xiàn)資源的統(tǒng)一管控與特權賬號的全生命周期管理，操作系統(tǒng)或數(shù)據(jù)庫的細粒度訪問控制與審計，實現(xiàn)事前、事中、事后的全方位安全保護，在保障安全、監(jiān)控、審計的前提下最大限度提高工作效率等多方面問題，要解決這些問題，我們需要構建一體化的安全運維平臺來解決。如圖3-3所示問安全合規(guī)與隱私保護派拉軟件發(fā)展研究院 數(shù)據(jù)安全是構建客戶信任的基礎，在數(shù)字經(jīng)濟穩(wěn)步發(fā)展的背景之下，數(shù)字化帶來的安全挑戰(zhàn)成為業(yè)界熱門話題，網(wǎng)絡安全也隨之升級為數(shù)字安全，安全合規(guī)與隱私保護愈發(fā)受到越來越多企業(yè)的關注。因此，從企業(yè)角度，應當著重從身份和權限治理、安全訪問、服務安全三個方面進行安全保護。在企業(yè)中，用戶或設備的身份信息都分散在各個業(yè)務系統(tǒng)中，企業(yè)在使用不同的業(yè)務服務過程中都存在由于身份信息的不同而存在數(shù)據(jù)的不一致性，權限也不盡相同，企業(yè)需要在每個業(yè)務系統(tǒng)中手動完成身份與權限信息的維護，容易引發(fā)以下幾個問題：中國人姓名的重名率很高，在數(shù)字化系統(tǒng)授權時往往造成困擾，甚至導致錯△每一員工的入職、轉(zhuǎn)正、更換部門或升職、離職都需要在所有的數(shù)字化系統(tǒng)外部用戶或供應商需要手工創(chuàng)建身份信息，在供應商完成工作后往往沒有及△離職員工不及時關閉賬號導致數(shù)據(jù)泄露。 過度授權導致用戶可以查看超出應有權限的數(shù)據(jù)，造成企業(yè)信息安全風險?！魍ㄟ^郵件或即時消息溝通身份和授權，往往會發(fā)生遺漏、錯誤的情況，從而A用AEAA用Am 身份管理平臺可連接多數(shù)據(jù)源，通過與HR系統(tǒng)聯(lián)動，當員工入職在HR中確認，員工身份數(shù)據(jù)實時同步到身份管理平臺中，平臺利用內(nèi)置的規(guī)則，自動化開通相關的應用的訪問賬號(比如郵箱，OA,CRM等系統(tǒng));當員工相關的數(shù)據(jù)變更的情況下，如改換手機號，平臺將實時同步數(shù)據(jù)到所有更改員工相關的業(yè)務系統(tǒng)中；當員工離職時，在幾秒鐘內(nèi)即可完成所有賬號的鎖定，該員工將無法再訪問企業(yè)的業(yè)務系統(tǒng)。這些自動化的操作將很大程度提升管理效率，降低由于手工操作代來的風險。在身份管理中，所有的用戶、設備、系統(tǒng)身份和業(yè)務權限將集中呈現(xiàn)。設備和用戶的身份訪問前將同時驗證，每一個實體在哪些業(yè)務系統(tǒng)中擁有身份和權限將一目了然。身份和權限的可視化不僅提升管理員的工作效率，也有助于企業(yè)進行權限審計和管理，最大程度上避免過度授權。一方面，平臺通過單點登錄(SingleSignOn-SSO)來實現(xiàn)一次登錄全局訪問的能力，用戶只需登錄一次，通過平臺的用戶門戶即可訪問所有的經(jīng)授權的數(shù)字化系統(tǒng)。另一方面，平臺提供用戶自助平臺，可以幫助用戶完成應用訪問申請、個人信息修改、綁定訪問設備、綁定社交賬號登錄等等，提升數(shù)字化應用的使用體驗?！稑I(yè)權管理一體化m——開時法加業(yè)切切 傳統(tǒng)的訪問需要借助于終端工具，例如VPN,而這種方式已遠不能滿足企業(yè)VPN包含終端軟件和服務端軟件，終端要建立與服務端的連接需要提供賬號終端需要事先知道服務端的地址和端口，驗證身份憑據(jù)后建立加密隧道，然后用戶通過其他工具訪問企業(yè)資源，如果用同一個VPN賬號和密碼在任何終端上同樣不具備細粒度訪問控制VPN的服務端只對來自終端的網(wǎng)絡身份進行驗證，至于用戶想干什么并不知道或者對是否有權限訪問企業(yè)中的資源無能為力，這就導致有網(wǎng)絡身份的用戶在訪問資源未驗證身份前在后端環(huán)境中可為所欲為，由于無法識別，整個后端環(huán)境VPN的終端只是解決與服務端的連接，而服務端到資源端的不存在加密隧道連接，也不提供對終端環(huán)境的檢測和保護，如果終端不安全，會據(jù)直接進入到后端環(huán)境。例如用戶換了終端繼續(xù)工作，如果更換的終端環(huán)境是高風險的，而用戶的權限并沒有發(fā)生變化，這就很可能出現(xiàn)安全問題，服務端到資源端的整個環(huán)境及易受到感染和攻擊。壓通平臺的零信任客戶端提供終端安全容器，對訪問設備進行安全保護，從終端到資源端提供全鏈路加密隧道來保障端到端的安全，在訪問過程中，不僅對用戶進行身份認證，同時也對訪問設備進行認證。對服務資源進行訪問時，直接參與到資源授權環(huán)節(jié)，保證了從設備到業(yè)務全程的安全管理。零信任訪問的數(shù)據(jù)定義邊界，需要通過軟件定義邊界(SoftwareDefinedPerimeter-SDP)技術，實現(xiàn)在建立訪問連接前需要完成安全認證。只有通過安全認證，SDP網(wǎng)關才能打開端口，從而降低網(wǎng)絡暴露面，減少攻擊的可能性。用戶要訪問后端的資源服務，啟動終端軟件后，輸入憑據(jù)，終端會向服務端的的認證服務發(fā)起單包認證模式，終端不會收到任何響應，直到服務端的認證服務完成對來自該終端的身份驗證后才通知服務端的可信網(wǎng)關開放有效端口給終端進行再次連接。利用零信任的網(wǎng)絡隱身能力，企業(yè)可以在任何環(huán)境下構建基于安全數(shù)據(jù)中心。零信任訪問中，不僅僅依賴于用戶和設備的認證。零信任通過訪問網(wǎng)關收集用戶訪問數(shù)據(jù)和訪問上下文信息(如常用設備，常用訪問地點，時間，設備指紋，訪問的操作行為等等)。通過大數(shù)據(jù)安全算法，分析當前用戶訪問的風險，到風險過高的情況下對訪問進行實時阻斷。4自適應最小權限授權●用戶在任何情況下都需要保持最小權限的訪問，平臺在運行過程中會采集用戶訪問期間在終端、網(wǎng)絡、可信網(wǎng)關、認證服務、后端的資源服務等信息，如果發(fā)現(xiàn)環(huán)境有變化，平臺會自動完成身份權限的調(diào)整，保持訪問安全。端到端的安全訪問基于用戶行為的風險分析網(wǎng)絡隱身能力自適應最小權限授權金m三性 API接口之間的調(diào)用缺乏有效管控，在企業(yè)沒有統(tǒng)一的標準下，各個服務供應商會根據(jù)自己的軟件標準實現(xiàn)相互的調(diào)用，由于沒有監(jiān)管API的安全，結果會存在未授權的API、API授權過度、相互的調(diào)用無法追溯等API資產(chǎn)風險。要實現(xiàn)API安全，需要用到API管理平臺來解決，從API管理、API門戶、API網(wǎng)關、到API監(jiān)控、API編排，平臺提供了完整的服務與安全功能，滿足服務安全的需求。以下是平臺的能力：0101API安全管理：API管理提供了API標準接口的定義、發(fā)布、上線、下線全生命周期管理，包括環(huán)境管理，通過平臺可以很直觀的看到各接口服務的數(shù)量與使用狀態(tài)，以及調(diào)用雙方與時間。當一個業(yè)務API無法滿足另一個業(yè)務時，平臺提供API接口編排的方式來滿足，實現(xiàn)了API的重復利用。2權限與審計：API網(wǎng)關會對接口服務的調(diào)用進行身份識別與鑒權，保障API的調(diào)用為最小權限，并對接口調(diào)用雙方進行全方位的審計，做到調(diào)用可追溯，當被調(diào)方繁忙或在設定的時間范圍內(nèi)沒響應時，會實現(xiàn)接口間的負載均衡做出及時響應，避免調(diào)用方的超時異常，增加了業(yè)務之間訪問的可持續(xù)性和高可用性，促進了企業(yè)的合規(guī)性。3服務自助接入：平臺提供API門戶，按照企業(yè)的統(tǒng)一接入標準提供自助接入SDK和文檔說明，供API發(fā)布或使用廠商及自開發(fā)應用人員完成調(diào)用接口開發(fā)與對接，實現(xiàn)標準接口注冊、授權、注銷流程化，最大限度提高了業(yè)務的敏捷與安全。4數(shù)據(jù)可視化：API監(jiān)控為業(yè)務系統(tǒng)API安全及API之間的調(diào)用狀態(tài)提供了監(jiān)管可視化，包括時間范圍內(nèi)