安全解讀 | 深入淺出：從數(shù)字化轉(zhuǎn)型談到企業(yè)身份安全建設(shè)

本文從企業(yè)的數(shù)字化轉(zhuǎn)型的現(xiàn)狀說起，到企業(yè)的風(fēng)險(xiǎn)與信息安全建設(shè)，落地于身份安全建設(shè)。

閱讀時(shí)長：5分鐘

適合讀者：企業(yè)CEO、CIO、信息安全部門、IT部門

相信您能從此文中有所收獲

現(xiàn)如今，很多企業(yè)的建設(shè)模式是：業(yè)務(wù)部門提出需求->信息部門進(jìn)行立項(xiàng)->面對(duì)集成商招投標(biāo)->項(xiàng)目開發(fā)上線，這樣的經(jīng)典建設(shè)方式導(dǎo)致了企業(yè)中的每個(gè)信息系統(tǒng)都是一座座煙囪，給企業(yè)帶來的直接影響就是各服務(wù)重復(fù)建設(shè)、打通成本太高、不利于企業(yè)的業(yè)務(wù)沉淀和持續(xù)發(fā)展。

其中業(yè)務(wù)沉淀對(duì)企業(yè)的影響最大，許多企業(yè)為了改變煙囪式的信息孤島現(xiàn)狀，采用企業(yè)服務(wù)總線ESB來構(gòu)建內(nèi)部的服務(wù)樞紐和渠道，這在一定程度上解決了服務(wù)和數(shù)據(jù)不通的情況，ESB也成為了大多數(shù)企業(yè)穩(wěn)定運(yùn)行的高速公路，但是ESB大多在建設(shè)服務(wù)的初期是為了滿足服務(wù)互通，如果一個(gè)服務(wù)一味的追求功能的穩(wěn)定，那么對(duì)于企業(yè)來講便是死路，也就缺少了SOA最核心的理念：松耦合的服務(wù)帶來業(yè)務(wù)的復(fù)用，通過服務(wù)的編排助力企業(yè)業(yè)務(wù)的快速響應(yīng)和創(chuàng)新。企業(yè)缺乏業(yè)務(wù)創(chuàng)新，就無法快速應(yīng)對(duì)千變?nèi)f化的市場(chǎng)需求，諸多企業(yè)為了業(yè)務(wù)創(chuàng)新經(jīng)常在一個(gè)系統(tǒng)運(yùn)行幾年后，重新規(guī)劃一套嶄新的系統(tǒng)或進(jìn)行整體升級(jí)來滿足業(yè)務(wù)發(fā)展需求，且不論基礎(chǔ)功能模塊的重新建設(shè)帶來的重復(fù)投入有多大，更重要的是，多年的業(yè)務(wù)沉淀很難全部保留。

因此企業(yè)在數(shù)字化轉(zhuǎn)型的過程中一方面要考慮到業(yè)務(wù)沉淀和創(chuàng)新能力，這也是阿里巴巴在構(gòu)建“中臺(tái)”時(shí)的核心方向，另一方面，云計(jì)算和移動(dòng)化是數(shù)字化轉(zhuǎn)型的關(guān)鍵詞，很多企業(yè)在數(shù)字化轉(zhuǎn)型上云的過程中很糾結(jié)，上云的價(jià)值顯而易見，能夠給企業(yè)帶來快速的商業(yè)模式重構(gòu)，可風(fēng)險(xiǎn)也緊跟而來。總而言之，大多數(shù)企業(yè)對(duì)云還是有些許顧忌，數(shù)據(jù)放在云上便是給了外界一個(gè)可乘之機(jī)，如果說業(yè)務(wù)沉淀和創(chuàng)新能力是數(shù)字化轉(zhuǎn)型的果實(shí)，那么安全便是儲(chǔ)存這個(gè)果實(shí)的盒子，而身份安全正是打開盒子的鑰匙。

不安有三，無鎖為大。2月23日，微盟對(duì)外發(fā)布公告：服務(wù)器大面積服務(wù)集群無法響應(yīng)，生產(chǎn)環(huán)境及數(shù)據(jù)遭受嚴(yán)重破壞，而事件的原因是遭到研發(fā)中心運(yùn)維人員惡意破壞。

微盟是中國領(lǐng)軍的中小企業(yè)云端商業(yè)及營銷解決方案提供商，同時(shí)也是中國領(lǐng)軍的騰訊社交網(wǎng)絡(luò)服務(wù)平臺(tái)中小企業(yè)精準(zhǔn)營銷服務(wù)提供商。微盟圍繞商業(yè)云、營銷云、銷售云打造智慧云端生態(tài)體系，通過去中心化的智慧商業(yè)解決方案賦能中小企業(yè)實(shí)現(xiàn)數(shù)字化轉(zhuǎn)型。

截止2020年2月25日12點(diǎn)，微盟集團(tuán)在股市報(bào)5.660港元，一天時(shí)間內(nèi)，微盟市值蒸發(fā)了約9.63億港元，目前微盟正在擬定商戶賠付方案，截止到28日前，微盟仍未完全恢復(fù)。

當(dāng)大家都沉浸在數(shù)字化轉(zhuǎn)型的豐收喜悅中時(shí)，微盟的這次安全事件卻給我們敲響了警鐘，正如上文所言，數(shù)字化轉(zhuǎn)型是業(yè)務(wù)發(fā)展必經(jīng)之路，可是“安全“無論何時(shí)都應(yīng)該放在發(fā)展的前面。

信息安全方面，企業(yè)要做的還有很多很多······

Gartner數(shù)據(jù)顯示，中國在 2019年的IT支出約達(dá)到2.9萬億元規(guī)模，而信息安全市場(chǎng)規(guī)模為500億元左右，中國信息安全支出占IT支出比例僅為 1.7%，而這個(gè)數(shù)字在國際上約為3.1%。無論是等保2等法律法規(guī)的要求或是微盟的前車之鑒，“安全問題”必須要引起企業(yè)的高度重視。

據(jù) Ponemon Institute《2018年全球組織內(nèi)部威脅成本報(bào)告》報(bào)告顯示，64%的企業(yè)信息泄漏事件都是由員工或承包商的疏忽導(dǎo)致的，因此對(duì)于企業(yè)來講外部的攻擊要防，內(nèi)部的蓄意報(bào)復(fù)及疏忽也要管。

那么在身份安全方便應(yīng)該管哪些呢？

A.企業(yè)生態(tài)上下游的接口（API）身份

B.企業(yè)外部供應(yīng)商（Business）身份

C.消費(fèi)者、個(gè)人用戶或終端用戶（Customer）的身份

D.企業(yè)下游經(jīng)銷商（Dealer）的身份

E.企業(yè)內(nèi)部辦公人員、運(yùn)維人員（Employee）的身份

企業(yè)需要通過對(duì)數(shù)字身份的治理、可信鑒別、訪問控制以及監(jiān)控管理來完成對(duì)企業(yè)內(nèi)的現(xiàn)有應(yīng)用資產(chǎn)、服務(wù)器資產(chǎn)、數(shù)據(jù)資產(chǎn)的“全維度保護(hù)”，保障用戶能夠高效訪問、IT部門能夠做到有序變更、以及企業(yè)可持續(xù)發(fā)展的安全體系建設(shè)。

那么針對(duì)數(shù)字化轉(zhuǎn)型過程中遇到的這么多身份，應(yīng)該從何下手呢？

零信任是近年較為流行的網(wǎng)絡(luò)安全框架之一。

百因必有果，為什么有零信任這個(gè)概念呢？那就不得不提邊界信任，邊界信任是現(xiàn)代網(wǎng)絡(luò)中最常見的傳統(tǒng)信任模型，所謂邊界信任就是明確什么是可信任的設(shè)備或網(wǎng)絡(luò)環(huán)境，什么是不可信任的設(shè)備或網(wǎng)絡(luò)環(huán)境，并在這兩者之間建立“城墻”，從而保證不可信任的設(shè)備或網(wǎng)絡(luò)環(huán)境無法在攜帶威脅信息的情況下，訪問到可信任的設(shè)備或網(wǎng)絡(luò)環(huán)境的信息。隨著防火墻技術(shù)的發(fā)展，越來越多的威脅信息都可以被防火墻直接攔截，這使得邊界信任模型看起來完美無缺。

但是，邊界信任模型存在一些致命弱點(diǎn)：

1) 如今網(wǎng)絡(luò)攻擊的花樣層出不窮，攻擊方式變幻莫測(cè)。然而，由于將所有的“防護(hù)”都孤注一擲地依賴于防火墻，一旦有新的威脅形式超出防火墻的防護(hù)范圍，那么防火墻就形同虛設(shè)；

2) 如果攻擊者使用了某些方法繞過了防火墻，比如：利用惡意郵件直接進(jìn)入內(nèi)網(wǎng)；

3) 無法識(shí)別可信設(shè)備對(duì)其他可信設(shè)備進(jìn)行攻擊的行為；

所有的弱點(diǎn)，歸根到底都是對(duì)可信任設(shè)備與網(wǎng)絡(luò)環(huán)境的“過度信任”造成的。相比于邊界信任模型中對(duì)信任設(shè)備及網(wǎng)絡(luò)區(qū)域的“過度信任“，“零信任”在考慮敏感信息時(shí)，默認(rèn)情況下不應(yīng)該信任網(wǎng)絡(luò)中的任何設(shè)備和區(qū)域，而是應(yīng)該通過基于認(rèn)證和授權(quán)重構(gòu)訪問控制的信任體系，對(duì)訪問進(jìn)行“信任授權(quán)”，并且這種授權(quán)和信任應(yīng)當(dāng)是動(dòng)態(tài)的，即“信任授權(quán)”應(yīng)當(dāng)基于訪問實(shí)時(shí)地進(jìn)行評(píng)估與變換。

那么零信任應(yīng)用在上文各種身份場(chǎng)景下，又應(yīng)該如何做呢？

1.API身份

企業(yè)需要通過企業(yè)級(jí)API網(wǎng)關(guān)來實(shí)現(xiàn)API接口數(shù)據(jù)的集中出和入，特定場(chǎng)景下進(jìn)行API認(rèn)證鑒權(quán)及限流熔斷重發(fā)等業(yè)務(wù)處理；

詳情參考“API網(wǎng)關(guān)與服務(wù)安全最佳實(shí)踐”（←可點(diǎn)擊查看）

2.內(nèi)部員工和合作伙伴

通過可信數(shù)字身份的自動(dòng)化治理來橫向打通所有業(yè)務(wù)系統(tǒng)，以身份大數(shù)據(jù)風(fēng)險(xiǎn)感知和分析加強(qiáng)零信任下的身份安全；

詳情參考“零信任安全架構(gòu)的核心基礎(chǔ)--統(tǒng)一身份認(rèn)證”（←可點(diǎn)擊查看）

3.C端用戶的身份

C端用戶是很多企業(yè)的最終用戶，車企的車主、制造業(yè)的消費(fèi)者、金融行業(yè)的儲(chǔ)戶等等，企業(yè)需要通過對(duì)互聯(lián)網(wǎng)數(shù)字身份的治理來構(gòu)建2C的生態(tài)服務(wù)，呈現(xiàn)C端用戶的智能畫像，為精準(zhǔn)用戶營銷和全渠道消費(fèi)營銷賦能，也為企業(yè)提供未來擴(kuò)展開發(fā)能力；

詳情參考“企業(yè)C端消費(fèi)者用戶身份認(rèn)證安全探討”（←可點(diǎn)擊查看）

4.特權(quán)賬號(hào)的身份

Gartner 《2019 特權(quán)訪問管理最佳實(shí)踐》提出，良好 PAM 解決方案應(yīng)建立在四大基礎(chǔ)之上：

? 提供所有特權(quán)賬戶的完整可見性

? 治理和控制特權(quán)訪問

? 監(jiān)視和審計(jì)特權(quán)活動(dòng)

? 自動(dòng)化和集成特權(quán)賬號(hào)管理工具

特權(quán)賬號(hào)管理方案能夠幫助公司企業(yè)保護(hù)敏感數(shù)據(jù)特權(quán)訪問，特別是在云計(jì)算大行其道的今天，運(yùn)維的邊界擴(kuò)大，難度也增大，很多企業(yè)直接把業(yè)務(wù)系統(tǒng)交給第三方或外包進(jìn)行運(yùn)維，甚至于直接把密碼告訴運(yùn)維人員，其中存在的風(fēng)險(xiǎn)不言而喻。

針對(duì)內(nèi)部的運(yùn)維人員惡意泄漏，如果微盟能夠在特權(quán)身份安全上滿足以下六點(diǎn)，可避免甚至杜絕大部分事故：

1. 持續(xù)收集并管理特權(quán)賬戶

2. 多因素認(rèn)證（強(qiáng)認(rèn)證、核心資產(chǎn)二次認(rèn)證、命令二次認(rèn)證）

3. 訪問控制（實(shí)時(shí)監(jiān)控、雙崗復(fù)核、高危命令黑白名單）

4. 用戶行為分析（風(fēng)險(xiǎn)動(dòng)態(tài)感知并預(yù)警）

5. 權(quán)限控制（限時(shí)授權(quán)運(yùn)維、命令細(xì)粒度授權(quán)、分權(quán)分域管理）

6. 密碼管理（密碼不落地、定期改密、密碼信封、密碼分段）

最后要說的是，信息安全建設(shè)絕非易事，企業(yè)要做的不止于身份安全，數(shù)據(jù)安全、網(wǎng)絡(luò)安全、終端安全等同樣重要。但身份安全是企業(yè)內(nèi)部核心資產(chǎn)的鑰匙，數(shù)字化轉(zhuǎn)型是一條風(fēng)險(xiǎn)與機(jī)遇并存的路，如果在轉(zhuǎn)型的過程中沒有保管好這個(gè)鑰匙，那么企業(yè)的數(shù)字化轉(zhuǎn)型也就失去了價(jià)值，任何成果都隨時(shí)可能付之一炬。