隨著信息技術(shù)不斷進(jìn)步，數(shù)字經(jīng)濟(jì)逐步邁入發(fā)展深水區(qū)，同時(shí)疫情常態(tài)化也推動(dòng)了產(chǎn)業(yè)上云以及各行各行數(shù)字化轉(zhuǎn)型進(jìn)程。數(shù)字社會(huì)的發(fā)展逐步瓦解了線上與線下、開(kāi)放互聯(lián)網(wǎng)與安全局域網(wǎng)的邊界，新型安全風(fēng)險(xiǎn)也隨著邊界模糊化而出現(xiàn)。為解決此類問(wèn)題，“零信任”體系從概念加速走向落地。
零信任理念的核心思想是不信任任何網(wǎng)絡(luò)和用戶，對(duì)每個(gè)用戶的每次訪問(wèn)均進(jìn)行信任識(shí)別、評(píng)估、認(rèn)證和授權(quán)，因此零信任的基礎(chǔ)是身份，需要圍繞強(qiáng)大的身份識(shí)別和訪問(wèn)控制（IAM）方案構(gòu)建。業(yè)內(nèi)普遍認(rèn)為，軟件定義邊界（SDP）、身份識(shí)別與訪問(wèn)管理（IAM）、微隔離（MSG）是實(shí)現(xiàn)零信任的三大技術(shù)路徑。
01 金融業(yè)零信任需求分析
《金融業(yè)數(shù)字化轉(zhuǎn)型發(fā)展報(bào)告（2020年-2021年）》中提出，為應(yīng)對(duì)新技術(shù)應(yīng)用帶來(lái)的安全邊界模糊、安全敞口放大等風(fēng)險(xiǎn)，金融機(jī)構(gòu)開(kāi)始推進(jìn)零信任安全體系應(yīng)用。47家受訪機(jī)構(gòu)的有效反饋顯示，9家機(jī)構(gòu)開(kāi)展零信任規(guī)劃、計(jì)劃配置產(chǎn)品及服務(wù)，6家機(jī)構(gòu)實(shí)現(xiàn)零信任部分場(chǎng)景落地應(yīng)用，27家機(jī)構(gòu)開(kāi)展應(yīng)用研究探索，僅有6家機(jī)構(gòu)還未開(kāi)展此項(xiàng)工作。
02 新一代身份識(shí)別和訪問(wèn)控制（IAM）平臺(tái)“信令云”
身份識(shí)別與訪問(wèn)控制技術(shù)（IAM）的核心是在用戶進(jìn)入網(wǎng)絡(luò)之前建立身份，這也是零信任模型的核心，二者在多數(shù)理念上不謀而合，因此IAM 被認(rèn)可為零信任入門(mén)級(jí)解決方案。在零信任體系下，用戶不僅僅包含個(gè)人和企業(yè)，還有終端設(shè)備，以及應(yīng)用API等，接入應(yīng)用的部署環(huán)境包括私有機(jī)房、私有云、公有云，甚至是混合云等。
那么，如何保證正確的主體，在正確的條件下，獲得正確的訪問(wèn)權(quán)？這是IAM在運(yùn)營(yíng)與迭代中直面的挑戰(zhàn)?；谝陨闲枨蠛吞魬?zhàn)，中國(guó)金融認(rèn)證中心（CFCA）構(gòu)建了零信任體系下的新一代身份識(shí)別和訪問(wèn)控制（IAM）平臺(tái)——信令云統(tǒng)一身份認(rèn)證平臺(tái)（簡(jiǎn)稱“信令云”），該平臺(tái)包括統(tǒng)一身份管理、統(tǒng)一認(rèn)證管理、單點(diǎn)登錄服務(wù)、統(tǒng)一訪問(wèn)授權(quán)、統(tǒng)一合規(guī)審計(jì)、統(tǒng)一資源管理等模塊，體系架構(gòu)如圖所示：
基于IAM技術(shù)架構(gòu)，信令云主要為客戶提供兩方面的能力：身份管理和訪問(wèn)管理。
其中，身份管理是指將員工或者內(nèi)外部用戶在各個(gè)應(yīng)用系統(tǒng)中的用戶名和密碼進(jìn)行統(tǒng)一管理，實(shí)現(xiàn)用戶在組織機(jī)構(gòu)中隨著入離調(diào)轉(zhuǎn)等行為而產(chǎn)生的整套身份標(biāo)識(shí)的全生命周期管理。具體分為以下幾類功能：
· 數(shù)據(jù)源管理：支持打通外部數(shù)據(jù)庫(kù)、AD域、通用LDAP等多種數(shù)據(jù)源，并且可通過(guò)HTTP、RADIUS等多種協(xié)議完成用戶身份數(shù)據(jù)的實(shí)時(shí)同步。
· 賬號(hào)管理：提供賬號(hào)全生命周期管理的功能，不再需要每個(gè)應(yīng)用系統(tǒng)單獨(dú)配置賬號(hào)，管理員可以統(tǒng)一高效地處理賬號(hào)的創(chuàng)建、變更、啟用和禁用。
· 權(quán)限管理：支持基于角色的授權(quán)模型，支持組織機(jī)構(gòu)分級(jí)授權(quán)，實(shí)現(xiàn)權(quán)限的及時(shí)分配和回收。
訪問(wèn)管理提供單點(diǎn)登錄、多因素認(rèn)證、訪問(wèn)策略配置，以及訪問(wèn)審計(jì)等功能，可以解決由于各個(gè)系統(tǒng)安全策略和訪問(wèn)權(quán)限的不同而導(dǎo)致的認(rèn)證方式混亂、登錄流程復(fù)雜等問(wèn)題。具體分為以下幾類功能：
· 單點(diǎn)登錄：支持OIDC、SAML2、OAuth2.0、CAS等多種單點(diǎn)登錄的協(xié)議，滿足PC端、移動(dòng)端等多種應(yīng)用的接入需求。用戶只需一次認(rèn)證，即可登錄多個(gè)應(yīng)用系統(tǒng)。
· 多因素認(rèn)證：在靜態(tài)密碼的基礎(chǔ)上增加二次認(rèn)證，通過(guò)動(dòng)態(tài)口令、“掃一掃”、生物識(shí)別、手機(jī)推送等方式提升訪問(wèn)的安全性，并且可支持?jǐn)?shù)字證書(shū)高安全級(jí)別的認(rèn)證方式。
· 認(rèn)證管理：支持靜態(tài)密碼、動(dòng)態(tài)口令、生物識(shí)別、數(shù)字證書(shū)，以及微信、釘釘?shù)鹊谌秸J(rèn)證等多種認(rèn)證方式，并提供認(rèn)證工具的管理，認(rèn)證策略的配置等功能。
03 產(chǎn)品價(jià)值
信令云將為各類數(shù)字化轉(zhuǎn)型主體提供以下功能價(jià)值：
· 保護(hù)信息安全
提供安全可靠的身份和鑒權(quán)服務(wù)，提供更好的用戶訪問(wèn)控制，降低了內(nèi)部和外部數(shù)據(jù)泄漏的風(fēng)險(xiǎn)。
· 提升管理效率
有助于企業(yè)IT部門(mén)從繁瑣重復(fù)的賬號(hào)管理、權(quán)限管理等工作中解脫出來(lái)，可以大幅提升企業(yè)的管理效率，降低管理成本。
· 消除信息孤島
將信息系統(tǒng)進(jìn)行整合，實(shí)現(xiàn)單點(diǎn)登錄、統(tǒng)一認(rèn)證，消除信息孤島，促進(jìn)協(xié)同辦公。
· 滿足合規(guī)要求
符合商用密碼安全性評(píng)估標(biāo)準(zhǔn)《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》和等級(jí)保護(hù)2.0中關(guān)于身份鑒別相關(guān)要求。
當(dāng)下，在金融業(yè)推動(dòng)數(shù)字化轉(zhuǎn)型深入發(fā)展的進(jìn)程中，加強(qiáng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)防范成為轉(zhuǎn)型平穩(wěn)、高效進(jìn)行的關(guān)鍵。CFCA依托自身20余年在身份認(rèn)證領(lǐng)域積累的豐富經(jīng)驗(yàn)和技術(shù)優(yōu)勢(shì)，助力金融機(jī)構(gòu)網(wǎng)絡(luò)安全保障體系從傳統(tǒng)的被動(dòng)防護(hù)體系向更加積極主動(dòng)的新型安全防御體系轉(zhuǎn)型。（責(zé)任編輯：方杰）
版權(quán)聲明：本文內(nèi)容由互聯(lián)網(wǎng)用戶自發(fā)貢獻(xiàn)，該文觀點(diǎn)僅代表作者本人。本站僅提供信息存儲(chǔ)空間服務(wù)，不擁有所有權(quán)，不承擔(dān)相關(guān)法律責(zé)任。如發(fā)現(xiàn)本站有涉嫌抄襲侵權(quán)/違法違規(guī)的內(nèi)容， 請(qǐng)發(fā)送郵件至 舉報(bào)，一經(jīng)查實(shí)，本站將立刻刪除。
