返回服务概览

Zero Trust · 公共与民间 IT

不信任边界。每一次访问都重新验证。

摆脱以边界为中心的内网安全，转向持续验证用户、终端与访问情境、并将系统间访问降至最低的零信任体系，在发生入侵时尽早阻断损害扩散。

联系我们 查看诊断项目

成熟度诊断

以基于 CISA 零信任成熟度模型（ZTMM）开发的诊断工具，评估 6 个 Pillar 共 45 个项目。成熟度按领域分四个阶段判定。

  1. Traditional（传统）
  2. Developing（初始）
  3. Enhancing（提升）
  4. Optimal（最优）
Zero Trust 技术能力

1Identity身份

  • IGA
  • MFA
  • RBAC
  • Secrets Management
  • Access Mgmt & Identity Federation
  • PAM
  • PBAC (Risk Engine)

2Device终端

  • Device Inventory
  • EDR
  • Device Sandboxing
  • Baseline Config & Patch
  • Device Encryption
  • Device Compliance
  • Device AuthN/AuthZ
  • Risk-score Based Compliance
  • MDM

3Application应用

  • API Security
  • Application Micro Segmentation
  • Vulnerability Mgmt
  • Patch & Config Mgmt
  • WAF
  • Service Mesh
  • Container Security
  • CSPM
  • CASB & On-prem security

4Network & Infrastructure网络与基础设施

  • SD-WAN
  • NGFW
  • DDoS Protection
  • Forward Proxy
  • IDS/IPS
  • RBI
  • Network Segmentation
  • ZTNA
  • NAC

5Data数据

  • Data Discovery
  • DLP
  • Removable Media Encryption
  • IRM
  • Data Classification
  • Data Access Monitoring
  • Masking & Tokenization

6Telemetry & Analytics, Automation & Orchestration遥测与分析、自动化与编排

  • SOAR
  • UEBA
  • SIEM
  • Threat Intelligence

典型企业的现状

Identity
缺乏身份与权限统一管理体系，IDC 与云之间的认证体系分为两套
Device
终端安全状态未反映到访问决策中，新资产发现与资产清单自动化不足
Application
首次认证后的持续授权与再验证不足，开源漏洞与许可证管理不足
Network
以边界安全为中心，防火墙策略变更与验证自动化不足
Data
重要信息的安全分类体系薄弱

转型方法

大前提

通过 IAM、SSO、PAM 建立集中式权限管理体系

补充事项

引入并落地 Micro Segmentation 等实现系统、工作负载、进程细分的专用解决方案

韩国金融机构应用案例分析

该案例在原有基于 IAM、SSO、PAM 的集中式权限管理体系上结合 Micro Segmentation，将用户认证与权限控制扩展到实际运营系统、工作负载、进程之间的通信控制。

  1. 01确保内部通信可见性

    在服务器、云工作负载、用户终端部署代理，收集实际通信流量，识别服务器间连接、应用与进程级通信以及未登记资产

    注意事项

    为降低导入初期应用阻断策略时业务中断的可能性，在通信流量分析上投入充足工作量

  2. 02基于业务的逻辑分组

    将部门、业务、应用、OS、服务器角色、重要性等属性定义为标签，把复杂的 IP 与网络结构划分为以业务含义为中心的逻辑组

    注意事项

    贴标签时与业务信息、资产管理信息交叉核对，确认一致性

  3. 03中央权限信息与通信策略联动

    利用现有用户、登录 ID、角色、特权信息，将每个用户可访问的 URL、IP、目标系统构建为 ACL，使中央权限管理实时反映到 Micro Segmentation 策略中

    注意事项

    联动管理入职、调岗、离职、职务变更，使其迅速反映到 IAM 权限变更与 ACL 中

  4. 04以工作负载、进程为单位的最小权限控制

    服务器、应用、工作负载、进程之间仅允许必要通信，管理员访问也细分到指定终端、访问路径、目标服务器、端口、进程，阻断外部入侵者、内部未授权访问及向相邻系统的横向移动

    注意事项

    重要业务与管理员访问通过涵盖审批、例外、到期期限等的受控策略进行管理

  5. 05分阶段应用策略并提升运营水平

    通过标签、策略模板、自动策略推荐降低运营复杂度，为今后扩展基于 AI 的策略管理及检测与响应自动化奠定基础

    注意事项

    将策略违规、横向移动、未授权访问事件收集到 SIEM，重复性响应与 SOAR 剧本联动

应用效果

成功因素与启示

  1. 01利用并联动现有控制手段

    成功因素

    以现有 IAM、SSO、PAM 信息作为共同策略基准，扩展到工作负载访问控制

    启示

    导入 Micro Segmentation 时，以共享现有 Identity 信息与 Risk 信息的统一策略结构进行设计，追求 Zero Trust 设计

  2. 02内部可见性优先

    成功因素

    优先掌握实际通信与应用依赖关系，在应用策略前通过模拟确认业务影响与例外通信

    启示

    避免全公司一次性应用，从入侵影响度高的业务开始定义保护区并分阶段扩展

  3. 03基于有意义业务的策略管理

    成功因素

    将以 IP、端口为中心的静态 ACL 转变为以业务、应用、角色、进程为中心

    启示

    业务、安全、基础设施部门共同确定标签与允许通信策略，并就例外相关的到期与重新审批策略达成一致

  4. 04策略决策与执行的联动

    成功因素

    IAM、PAM 决定谁拥有何种权限，解决方案则把这些权限连接到其适用的工作负载与进程

    启示

    将通信策略违规与检测、响应体系相连接（策略违规事件在 SIEM 中整合，高风险场景在 SOAR 中自动隔离、阻断、调查）

  5. 05将解决方案导入的首要目标设定为抑制入侵扩散

    成功因素

    相比完全预防，更专注于控制入侵后向相邻系统的扩散，在威胁情况下也维持重要业务保护区

    启示

    以风险降低为基准（例：不必要通信路径的清除率）而非策略制定数量来衡量导入效果

目标架构：ZTNA 访问控制构成

摆脱以边界为中心的内网安全，转向持续验证用户、终端与访问情境、并将系统间访问降至最低的体系。

End-Point

  • 用户
  • 管理员
  • 设备

PDP 策略决策

  • 策略管理与评估
  • 访问请求策略分析
  • 用户身份验证
  • 设备身份验证
  • 审计与记录管理
  • 实时监控

基于身份的风险评估

PEP 策略执行

  • MFA
  • SSO
  • EDR
  • DB 访问控制
  • 统一访问控制
  • Cloud 访问控制
  • …

Resource

  • 运营网
  • 开发网
  • 云（AWS）

架构运营大前提

  • 不信任位置与网络，持续验证所有访问
  • 即使允许访问后，也检测风险变化并持续重新评估权限

各组成部分的作用

1
End-Point
识别用户、管理员、终端等所有访问主体
2
PDP
基于身份、终端、访问情境的风险度决定是否允许
3
PEP
基于策略确定的最小访问权限允许访问
4
Resource
统一保护 IDC 服务器集群、开发网、云网络等重要资源

执行经验

以下项目由光明海事成员在此前任职单位执行，并非光明海事公司的业绩；列出这些项目是为了展示成员的经验范围。

打算将内网安全转向零信任吗？

从现状诊断到目标架构与分阶段转型计划，与您共同设计。

联系我们