銀行零信任安全白皮書

P1現(xiàn)狀與需求01P2銀行零信任安全框架04P3業(yè)務(wù)場景實(shí)現(xiàn)08P4安全合規(guī)與隱私保護(hù)134.2安全訪問P5總結(jié)與展望25現(xiàn)狀與需求11環(huán)境背景 ●1.1環(huán)境背景"十四五"時(shí)期，我國金融業(yè)安全和信息化發(fā)展的外部環(huán)境和內(nèi)部條件發(fā)生復(fù)雜而深刻的變化，機(jī)遇與挑戰(zhàn)前所未有。作為數(shù)據(jù)密集型行業(yè)，銀行業(yè)更需要嚴(yán)格落實(shí)法律法規(guī)，將監(jiān)管要求的網(wǎng)絡(luò)與數(shù)據(jù)信息安全指導(dǎo)方針、風(fēng)險(xiǎn)管理、監(jiān)督和檢查管理的流程和機(jī)制等內(nèi)容整合到現(xiàn)有安全管理策略和制度建設(shè)當(dāng)中。健全數(shù)據(jù)安全治理體系，強(qiáng)化數(shù)據(jù)全生命周期安全防護(hù)，嚴(yán)防數(shù)據(jù)誤用濫用。推動(dòng)數(shù)據(jù)分級分類管理，科學(xué)界定數(shù)據(jù)所有權(quán)、使用權(quán)、管理權(quán)和據(jù)適用范圍成為金融機(jī)構(gòu)首要基礎(chǔ)安全建設(shè)。近年來，國內(nèi)外網(wǎng)絡(luò)攻擊和數(shù)據(jù)泄露事件頻發(fā)，攻擊手段不斷升級，從數(shù)據(jù)的采集、傳輸、存儲、處理到訪問，國家、企業(yè)和個(gè)人面臨著各類的網(wǎng)絡(luò)與數(shù)據(jù)后，于2021年陸續(xù)發(fā)布《數(shù)據(jù)安全法》、《個(gè)人信息保護(hù)法進(jìn)網(wǎng)絡(luò)與數(shù)據(jù)安全建設(shè)提供了法理依據(jù)?！?2安全挑戰(zhàn)隨著云計(jì)算、互聯(lián)網(wǎng)、移動(dòng)計(jì)算和物聯(lián)網(wǎng)的發(fā)展，銀行業(yè)務(wù)場景復(fù)雜導(dǎo)致的數(shù)據(jù)安全受到更多的威脅。由于業(yè)務(wù)的不斷快速發(fā)展，金融機(jī)構(gòu)的業(yè)務(wù)系統(tǒng)多達(dá)幾百上千個(gè)，應(yīng)用場景繁多，其中承載著大量的客戶基礎(chǔ)信息、業(yè)務(wù)交易數(shù)據(jù)、業(yè)務(wù)產(chǎn)品數(shù)據(jù)、企業(yè)經(jīng)營數(shù)據(jù)、機(jī)構(gòu)數(shù)據(jù)、認(rèn)證信息、生物特征信息、企業(yè)員工信息等大量業(yè)務(wù)和系統(tǒng)數(shù)據(jù)。這些數(shù)據(jù)由于業(yè)務(wù)需要在各個(gè)系統(tǒng)間不停的流轉(zhuǎn)銀行面臨的安全挑戰(zhàn)有以下方面：派拉軟件發(fā)展研究院瓜@零信任安全架構(gòu)銀行零信任安全框架21技術(shù)特點(diǎn)銀行零信任安全框架風(fēng)險(xiǎn)，主要從身份安全、終端安全、網(wǎng)絡(luò)安全、API安全結(jié)合銀行業(yè)的遠(yuǎn)程辦公、銀行一體化安全邏輯架構(gòu)如圖2-1所示外部觸點(diǎn)外部觸點(diǎn)人《遠(yuǎn)程辦公義交換與安全平臺￥信創(chuàng)平臺服務(wù)治理數(shù)據(jù)治理系統(tǒng)運(yùn)維數(shù)字銀行》》這一解決終端運(yùn)行環(huán)境的安全問題，由終端感知與終端防護(hù)兩部分組成。終端感知包括安全事件檢測、安全事件調(diào)查、遏制安全事件、以及修復(fù)至感染前的狀態(tài)；終端防護(hù)由漏洞利用預(yù)防/內(nèi)存保護(hù)、應(yīng)用控制/白名單、系統(tǒng)信任保證、網(wǎng)絡(luò)防火墻、可視性及微隔離幾大類組成。API安全W=解決各資源的數(shù)據(jù)交互與共享，實(shí)現(xiàn)API資產(chǎn)管理與監(jiān)控，提供API編排滿足業(yè)務(wù)擴(kuò)展的需要。對外提供最小權(quán)限的接口服務(wù)訪問，在實(shí)現(xiàn)業(yè)務(wù)互聯(lián)互通的前提下完成接口服務(wù)訪問控制，提供監(jiān)控與審計(jì)，提高業(yè)務(wù)效率，增加用戶體驗(yàn)，促進(jìn)企業(yè)的合規(guī)性。目支持本地或私有云部署，如果涉及遠(yuǎn)程辦公，臺網(wǎng)關(guān)服務(wù)器，組成SDP服務(wù)解決網(wǎng)絡(luò)訪問關(guān)服務(wù)器地址需要能被公有云和私有云訪問32數(shù)字銀行33系統(tǒng)運(yùn)維業(yè)務(wù)場景實(shí)現(xiàn)●3.1遠(yuǎn)程辦公隨著疫情常態(tài)化以及遠(yuǎn)程辦公的發(fā)展，加快了越來越多的員工通過遠(yuǎn)程方式接入金融體系內(nèi)網(wǎng)系統(tǒng)，進(jìn)行辦公和生產(chǎn)，金融企業(yè)在傳統(tǒng)辦公模式下的安全邊界正在被逐漸打破。為更加有效識別訪問對象與權(quán)限，保護(hù)后端網(wǎng)絡(luò)和服務(wù)資源，實(shí)現(xiàn)便捷、高效與安全辦公，已成為普遍共識，圍繞著從終端身份、訪問資源的用戶身份、終端到資源端的鏈路安全到訪問資源權(quán)限的自適應(yīng)，以及資源實(shí)現(xiàn)隱藏來避免外部探測和攻擊等問題，我們需要構(gòu)建基于零信任安全模型的遠(yuǎn)程如圖3-1所示員工/用戶員工/用戶￥公藝CD￥API數(shù)據(jù)交換安全平臺￥圖3-1一體化安全辦公借助于零信任的ZTaaS可實(shí)現(xiàn)后端網(wǎng)絡(luò)的隱藏，實(shí)現(xiàn)終端身份先認(rèn)證后連接，終端身份與用戶身份同時(shí)驗(yàn)證，避免了匿名和不安全終端的接入，在鏈路建立之前就可獲得用戶對后端資源是否有訪問的權(quán)限，解決了匿名或未授權(quán)用戶的建設(shè)數(shù)字銀行的安全框架平臺，基于用戶、設(shè)備、系統(tǒng)等不同的訪問對象，統(tǒng)一內(nèi)外部服務(wù)的安全接入，通過訪問身份認(rèn)證和鑒權(quán)，減少身份與API數(shù)據(jù)泄露和攻擊風(fēng)險(xiǎn)，實(shí)現(xiàn)數(shù)據(jù)安全訪問；通過打通移動(dòng)APP、微信小程序、第三方合作伙伴和企業(yè)內(nèi)部應(yīng)用的數(shù)據(jù)互聯(lián)互通，實(shí)現(xiàn)數(shù)據(jù)安全共享；通過API資產(chǎn)的統(tǒng)一管理與檢查API權(quán)限的安全，實(shí)現(xiàn)資產(chǎn)統(tǒng)計(jì)與業(yè)務(wù)系統(tǒng)安全保護(hù)；打通企業(yè)上下游業(yè)務(wù)，整合內(nèi)外部服務(wù)能力，實(shí)現(xiàn)敏捷應(yīng)對業(yè)務(wù)的變化?？蓪?shí)現(xiàn)企業(yè)生態(tài)建設(shè)，降低運(yùn)營成本、擴(kuò)大數(shù)據(jù)積累、提升客戶體驗(yàn)。業(yè)務(wù)的發(fā)展需要用大量的操作系統(tǒng)與網(wǎng)絡(luò)設(shè)備來支撐，傳統(tǒng)的運(yùn)維管理模式很難滿足安全與效率的平衡，甚至二者都不沾邊，運(yùn)維人員的工作變得異常復(fù)雜和高風(fēng)險(xiǎn)，尤其對特權(quán)賬號的申請與授權(quán)非常敏感。金融機(jī)構(gòu)面臨著如何實(shí)現(xiàn)資源的統(tǒng)一管控與特權(quán)賬號的全生命周期管理，操作系統(tǒng)或數(shù)據(jù)庫的細(xì)粒度訪問控制與審計(jì)，實(shí)現(xiàn)事前、事中、事后的全方位安全保護(hù)，在保障安全、監(jiān)控、審計(jì)的前提下最大限度提高工作效率等多方面問題，要解決這些問題，我們需要構(gòu)建一體化的安全運(yùn)維平臺來解決。如圖3-3所示問安全合規(guī)與隱私保護(hù)派拉軟件發(fā)展研究院 數(shù)據(jù)安全是構(gòu)建客戶信任的基礎(chǔ)，在數(shù)字經(jīng)濟(jì)穩(wěn)步發(fā)展的背景之下，數(shù)字化帶來的安全挑戰(zhàn)成為業(yè)界熱門話題，網(wǎng)絡(luò)安全也隨之升級為數(shù)字安全，安全合規(guī)與隱私保護(hù)愈發(fā)受到越來越多企業(yè)的關(guān)注。因此，從企業(yè)角度，應(yīng)當(dāng)著重從身份和權(quán)限治理、安全訪問、服務(wù)安全三個(gè)方面進(jìn)行安全保護(hù)。在企業(yè)中，用戶或設(shè)備的身份信息都分散在各個(gè)業(yè)務(wù)系統(tǒng)中，企業(yè)在使用不同的業(yè)務(wù)服務(wù)過程中都存在由于身份信息的不同而存在數(shù)據(jù)的不一致性，權(quán)限也不盡相同，企業(yè)需要在每個(gè)業(yè)務(wù)系統(tǒng)中手動(dòng)完成身份與權(quán)限信息的維護(hù)，容易引發(fā)以下幾個(gè)問題：中國人姓名的重名率很高，在數(shù)字化系統(tǒng)授權(quán)時(shí)往往造成困擾，甚至導(dǎo)致錯(cuò)△每一員工的入職、轉(zhuǎn)正、更換部門或升職、離職都需要在所有的數(shù)字化系統(tǒng)外部用戶或供應(yīng)商需要手工創(chuàng)建身份信息，在供應(yīng)商完成工作后往往沒有及△離職員工不及時(shí)關(guān)閉賬號導(dǎo)致數(shù)據(jù)泄露。 過度授權(quán)導(dǎo)致用戶可以查看超出應(yīng)有權(quán)限的數(shù)據(jù)，造成企業(yè)信息安全風(fēng)險(xiǎn)?！魍ㄟ^郵件或即時(shí)消息溝通身份和授權(quán)，往往會發(fā)生遺漏、錯(cuò)誤的情況，從而A用AEAA用Am 身份管理平臺可連接多數(shù)據(jù)源，通過與HR系統(tǒng)聯(lián)動(dòng)，當(dāng)員工入職在HR中確認(rèn)，員工身份數(shù)據(jù)實(shí)時(shí)同步到身份管理平臺中，平臺利用內(nèi)置的規(guī)則，自動(dòng)化開通相關(guān)的應(yīng)用的訪問賬號(比如郵箱，OA,CRM等系統(tǒng));當(dāng)員工相關(guān)的數(shù)據(jù)變更的情況下，如改換手機(jī)號，平臺將實(shí)時(shí)同步數(shù)據(jù)到所有更改員工相關(guān)的業(yè)務(wù)系統(tǒng)中；當(dāng)員工離職時(shí)，在幾秒鐘內(nèi)即可完成所有賬號的鎖定，該員工將無法再訪問企業(yè)的業(yè)務(wù)系統(tǒng)。這些自動(dòng)化的操作將很大程度提升管理效率，降低由于手工操作代來的風(fēng)險(xiǎn)。在身份管理中，所有的用戶、設(shè)備、系統(tǒng)身份和業(yè)務(wù)權(quán)限將集中呈現(xiàn)。設(shè)備和用戶的身份訪問前將同時(shí)驗(yàn)證，每一個(gè)實(shí)體在哪些業(yè)務(wù)系統(tǒng)中擁有身份和權(quán)限將一目了然。身份和權(quán)限的可視化不僅提升管理員的工作效率，也有助于企業(yè)進(jìn)行權(quán)限審計(jì)和管理，最大程度上避免過度授權(quán)。一方面，平臺通過單點(diǎn)登錄(SingleSignOn-SSO)來實(shí)現(xiàn)一次登錄全局訪問的能力，用戶只需登錄一次，通過平臺的用戶門戶即可訪問所有的經(jīng)授權(quán)的數(shù)字化系統(tǒng)。另一方面，平臺提供用戶自助平臺，可以幫助用戶完成應(yīng)用訪問申請、個(gè)人信息修改、綁定訪問設(shè)備、綁定社交賬號登錄等等，提升數(shù)字化應(yīng)用的使用體驗(yàn)?！稑I(yè)權(quán)管理一體化m——開時(shí)法加業(yè)切切 傳統(tǒng)的訪問需要借助于終端工具，例如VPN,而這種方式已遠(yuǎn)不能滿足企業(yè)VPN包含終端軟件和服務(wù)端軟件，終端要建立與服務(wù)端的連接需要提供賬號終端需要事先知道服務(wù)端的地址和端口，驗(yàn)證身份憑據(jù)后建立加密隧道，然后用戶通過其他工具訪問企業(yè)資源，如果用同一個(gè)VPN賬號和密碼在任何終端上同樣不具備細(xì)粒度訪問控制VPN的服務(wù)端只對來自終端的網(wǎng)絡(luò)身份進(jìn)行驗(yàn)證，至于用戶想干什么并不知道或者對是否有權(quán)限訪問企業(yè)中的資源無能為力，這就導(dǎo)致有網(wǎng)絡(luò)身份的用戶在訪問資源未驗(yàn)證身份前在后端環(huán)境中可為所欲為，由于無法識別，整個(gè)后端環(huán)境VPN的終端只是解決與服務(wù)端的連接，而服務(wù)端到資源端的不存在加密隧道連接，也不提供對終端環(huán)境的檢測和保護(hù)，如果終端不安全，會據(jù)直接進(jìn)入到后端環(huán)境。例如用戶換了終端繼續(xù)工作，如果更換的終端環(huán)境是高風(fēng)險(xiǎn)的，而用戶的權(quán)限并沒有發(fā)生變化，這就很可能出現(xiàn)安全問題，服務(wù)端到資源端的整個(gè)環(huán)境及易受到感染和攻擊。壓通平臺的零信任客戶端提供終端安全容器，對訪問設(shè)備進(jìn)行安全保護(hù)，從終端到資源端提供全鏈路加密隧道來保障端到端的安全，在訪問過程中，不僅對用戶進(jìn)行身份認(rèn)證，同時(shí)也對訪問設(shè)備進(jìn)行認(rèn)證。對服務(wù)資源進(jìn)行訪問時(shí)，直接參與到資源授權(quán)環(huán)節(jié)，保證了從設(shè)備到業(yè)務(wù)全程的安全管理。零信任訪問的數(shù)據(jù)定義邊界，需要通過軟件定義邊界(SoftwareDefinedPerimeter-SDP)技術(shù)，實(shí)現(xiàn)在建立訪問連接前需要完成安全認(rèn)證。只有通過安全認(rèn)證，SDP網(wǎng)關(guān)才能打開端口，從而降低網(wǎng)絡(luò)暴露面，減少攻擊的可能性。用戶要訪問后端的資源服務(wù)，啟動(dòng)終端軟件后，輸入憑據(jù)，終端會向服務(wù)端的的認(rèn)證服務(wù)發(fā)起單包認(rèn)證模式，終端不會收到任何響應(yīng)，直到服務(wù)端的認(rèn)證服務(wù)完成對來自該終端的身份驗(yàn)證后才通知服務(wù)端的可信網(wǎng)關(guān)開放有效端口給終端進(jìn)行再次連接。利用零信任的網(wǎng)絡(luò)隱身能力，企業(yè)可以在任何環(huán)境下構(gòu)建基于安全數(shù)據(jù)中心。零信任訪問中，不僅僅依賴于用戶和設(shè)備的認(rèn)證。零信任通過訪問網(wǎng)關(guān)收集用戶訪問數(shù)據(jù)和訪問上下文信息(如常用設(shè)備，常用訪問地點(diǎn)，時(shí)間，設(shè)備指紋，訪問的操作行為等等)。通過大數(shù)據(jù)安全算法，分析當(dāng)前用戶訪問的風(fēng)險(xiǎn)，到風(fēng)險(xiǎn)過高的情況下對訪問進(jìn)行實(shí)時(shí)阻斷。4自適應(yīng)最小權(quán)限授權(quán)●用戶在任何情況下都需要保持最小權(quán)限的訪問，平臺在運(yùn)行過程中會采集用戶訪問期間在終端、網(wǎng)絡(luò)、可信網(wǎng)關(guān)、認(rèn)證服務(wù)、后端的資源服務(wù)等信息，如果發(fā)現(xiàn)環(huán)境有變化，平臺會自動(dòng)完成身份權(quán)限的調(diào)整，保持訪問安全。端到端的安全訪問基于用戶行為的風(fēng)險(xiǎn)分析網(wǎng)絡(luò)隱身能力自適應(yīng)最小權(quán)限授權(quán)金m三性 API接口之間的調(diào)用缺乏有效管控，在企業(yè)沒有統(tǒng)一的標(biāo)準(zhǔn)下，各個(gè)服務(wù)供應(yīng)商會根據(jù)自己的軟件標(biāo)準(zhǔn)實(shí)現(xiàn)相互的調(diào)用，由于沒有監(jiān)管API的安全，結(jié)果會存在未授權(quán)的API、API授權(quán)過度、相互的調(diào)用無法追溯等API資產(chǎn)風(fēng)險(xiǎn)。要實(shí)現(xiàn)API安全，需要用到API管理平臺來解決，從API管理、API門戶、API網(wǎng)關(guān)、到API監(jiān)控、API編排，平臺提供了完整的服務(wù)與安全功能，滿足服務(wù)安全的需求。以下是平臺的能力：0101API安全管理：API管理提供了API標(biāo)準(zhǔn)接口的定義、發(fā)布、上線、下線全生命周期管理，包括環(huán)境管理，通過平臺可以很直觀的看到各接口服務(wù)的數(shù)量與使用狀態(tài)，以及調(diào)用雙方與時(shí)間。當(dāng)一個(gè)業(yè)務(wù)API無法滿足另一個(gè)業(yè)務(wù)時(shí)，平臺提供API接口編排的方式來滿足，實(shí)現(xiàn)了API的重復(fù)利用。2權(quán)限與審計(jì)：API網(wǎng)關(guān)會對接口服務(wù)的調(diào)用進(jìn)行身份識別與鑒權(quán)，保障API的調(diào)用為最小權(quán)限，并對接口調(diào)用雙方進(jìn)行全方位的審計(jì)，做到調(diào)用可追溯，當(dāng)被調(diào)方繁忙或在設(shè)定的時(shí)間范圍內(nèi)沒響應(yīng)時(shí)，會實(shí)現(xiàn)接口間的負(fù)載均衡做出及時(shí)響應(yīng)，避免調(diào)用方的超時(shí)異常，增加了業(yè)務(wù)之間訪問的可持續(xù)性和高可用性，促進(jìn)了企業(yè)的合規(guī)性。3服務(wù)自助接入：平臺提供API門戶，按照企業(yè)的統(tǒng)一接入標(biāo)準(zhǔn)提供自助接入SDK和文檔說明，供API發(fā)布或使用廠商及自開發(fā)應(yīng)用人員完成調(diào)用接口開發(fā)與對接，實(shí)現(xiàn)標(biāo)準(zhǔn)接口注冊、授權(quán)、注銷流程化，最大限度提高了業(yè)務(wù)的敏捷與安全。4數(shù)據(jù)可視化：API監(jiān)控為業(yè)務(wù)系統(tǒng)API安全及API之間的調(diào)用狀態(tài)提供了監(jiān)管可視化，包括時(shí)間范圍內(nèi)