招商证券：基于零信任的远程办公安全平台在证券行业的应用 – 作者:联软科技leagsoft

近期，《基于零信任的远程办公安全平台在证券行业的应用》刊登于由公安部主管，公安部第三研究所、中国计算机学会计算机安全专业委员会主办的《信息网络安全》（刊号：国内刊号：CN31-1859/TN;国际刊号：ISSN1671-1122，2020年增刊）上。

文章主要介绍了招商证券基于零信任和软件定义边界SDP理念设计的远程办公安全平台——招商证券云锁安全平台，结合了证券行业自身特点，具备较高安全级别，快速的业务拓展等能力，助力企业远程安全办公。

以下为《基于零信任的远程办公安全平台在证券行业的应用》的主要内容：

作者| 何宇，林岳

（招商证券股份有限公司，

广东 深圳 518000）

摘要：针对安全远程办公业务场景，传统的VPN解决方案存在诸多局限性。本文介绍了一种基于零信任和软件定义边界理念设计的安全平台，并结合证券行业自身特点进行实践。实际应用表明，该平台在具备较高安全级别的基础上，同时具备快速的业务拓展能力。

关键词：零信任;证券;远程办公;软件定义边界；安全平台

2020年伊始，新型冠状病毒肺炎（COVID-19）疫情爆发，受疫情影响，远程办公普及率有了大幅提升。但也伴随着一些问题，如远程办公自身安全风险、业务连续性风险、涉密数据安全风险、用户隐私泄露风险、网络通信安全风险等。

针对远程办公的业务场景，大多数证券业企业采用了基于网络为中心而构建的传统VPN边界控制防御方案。但随着证券业整体的飞速发展，公司各类业务系统数量与复杂性与日俱增，特别是随着移动互联网的爆发，应用系统也大都需要支持移动端和其它非安全网络接入。信息安全部门面临着系统网络环境越来越复杂，系统安全边界越来越模糊，但系统上线要求却越来越紧急的情况。

招商证券云锁安全平台以零信任理念为基础，以认证授权体系为基石，以业务安全为核心，通过控制平面和数据平面分离，应用多种业务场景，实现企业安全和业务发展的高效融合。助力企业在善用远程办公的便利性和高效性的同时又能兼顾复杂网络环境下的安全问题。

云锁安全平台充分参考了零信任模型中验证用户与权限控制、验证设备、访问网络的流量相对安全、服务自适应四个基本原则，对应提出了“四个安全”：身份安全、终端安全、网络安全、服务安全：

（一）身份安全

零信任体系中首先强调的就是身份验证，且认证需要遵循最小特权原则。针对公司内部办公系统的身份验证和不同系统权限分配，平台通过对接SSO单点登录接口，与域控联动来构建体系的身份认证中心，从而实现对用户进行账号级别粒度的权限控制。

该安全平台同时支持用户/用户组管理，包括7级用户组及组继承，支持用户多因素认证，包括口令，证书，动态令牌，短信，IP/MAC/硬件特征码绑定，动态识别。支持本机和第三方认证，包括RADIUS，LDAP，AD。支持PKI证书，包括签发证书，本地证书验证，证书链管理，证书超期及有效性检测，在线证书验证等（CRL、OCSP）。除提供多因素认证及集成IAM联动外，平台也内置了IAM模块，可以帮助用户实现用户身份的统一化管理。当用户拥有多终端接入时，采用手机扫描登录，在确保安全的同时可提升用户体验。

（二）终端安全

在确认用户身份以及权限之后，接下来同样需要对用户设备进行验证，确保设备安全。设备验证不仅仅是一次性验证，还需要基于PDP/PEP的定义，针对每个应用和每个策略进行，以确保每台设备都得到授权，每台设备都是安全的。同时，终端安全还应包括数据安全治理的相关内容，尤其是数据泄密防护，在移动终端等设备上特别需要关注。

安全平台在设备认证阶段，以唯一机器码为标志，实现用户与设备一对一，一对多，多对多模式绑定。在终端数据治理方面，该平台通过安全沙箱技术在终端上划分出安全空间，该空间和本地完全隔离，实现了数据落地加密保护。在终端显示的数据保密方面，使用应用水印功能，确保用户在任何环境下均可安全的使用业务系统。

（三）网络安全

在SDP规范下，整个系统的控制总线和数据总线是独立的，只有认证和授权的用户才可以访问相应的应用系统，受保护的应用和敏感数据对非授权用户是不可见的。该平台通过SPA（来实现服务隐身和攻击防御，真正实现零信任的基础理念。

云锁安全平台通过安全网关的方式为终端接入提供了统一的对外访问入口：终端与网关之间通过安全隧道进行连接，安全隧道采用SSL加密协议，对传输中的数据进行了加密处理，每个应用都独享一个安全隧道，保证应用数据在传输过程中的安全。对于安全隧道的使用，要求平台设计以设备、用户及应用三方综合维度的严格身份认证。只有通过认证的调用者才可与安全隧道创建网络连接，保证了隧道使用者的合法性,安全的控制了外部网络对内网应用的访问。

终端和网关两个核心控制点，这两个控制点相互关联，双向认证，高度安全，即使通过黑客类手段获取终端权限，利用伪造或中间人攻击等手段也无法突破网关的防护。

数据流阶段，在客户端和被访问的资源之间建立动态的一对一应用级安全加密隧道，在TCP链接建立阶段屏蔽和拒绝未被授权的访问，并对应用层数据流进行实时分析和检测，对于异常的数据流量报警和处理。

（四）服务安全

零信任体系要求整个系统的访问控制引擎动态可控，可以较为灵活的根据实际情况调整策略，快速进行系统的部署和调整。

云锁安全平台采用了微服务架构作为整个平台服务中心的基础架构，平台里每一个服务都可以根据用户业务能力进行横向扩展。所有微服务在控制中心集中管控，从而实现零信任理念中的“服务安全”。

招商证券云锁安全平台在实际应用中运行状况良好，已承载了公司大部分内部系统。在疫情期间，该平台于初始的一周内紧急上线了27个内网系统，全面助力公司各条业务线展开远程办公，确保公司重要业务系统稳定运行。经过实际检验，证明该平台在具备较高安全级别的情况下，同时具备快速业务拓展能力。

在后期的实践中，该平台还可整合云平台，在内网范围内对所有设备进行管控，真正实现零信任理念，构建远程办公的内生安全能力，为企业的数字化转型保驾护航。

招商证券云锁安全平台由联软科技参与实施和部署，该项目保障招商证券在疫情期间持续的移动远程办公业务的安全和高效，同时也是联软零信任架构解决方案的重要实践。联软科技将不断利用新技术和服务，加强相关方案在实际场景中的应用落地，助力各行各业的企业用户随时随地安全业务运行。

来源：freebuf.com 2021-01-06 15:37:16 by: 联软科技leagsoft