网赌赢钱提不了款该怎么挽回房天下

零信任安全(quan)防(fang)护理念在公安大数(shu)据行(xing)业中的实践 来源(yuan): 发表时间: 2021-08-25

前言


    近期,安(an)(an)全(quan)(quan)领域(yu)讨论的(de)(de)最多(duo)的(de)(de)就是《关(guan)键信息基础(chu)设(she)(she)施(shi)安(an)(an)全(quan)(quan)保(bao)护条(tiao)例(li)》以及9月1日将会一起施(shi)行的(de)(de)另一部重要法(fa)例(li)《数(shu)(shu)(shu)据(ju)安(an)(an)全(quan)(quan)法(fa)》。重要性不言而喻,《条(tiao)例(li)》明确了(le)关(guan)键信息基础(chu)设(she)(she)施(shi)安(an)(an)全(quan)(quan)保(bao)护中各(ge)(ge)个责任主体,以及各(ge)(ge)个角色的(de)(de)职(zhi)责范围和(he)法(fa)律(lv)义务。《数(shu)(shu)(shu)据(ju)安(an)(an)全(quan)(quan)法(fa)》则明确了(le)以数(shu)(shu)(shu)据(ju)为(wei)中心、数(shu)(shu)(shu)据(ju)安(an)(an)全(quan)(quan)保(bao)护方(fang)责任,确认了(le)数(shu)(shu)(shu)据(ju)安(an)(an)全(quan)(quan)分级分类的(de)(de)指导原则。目前,各(ge)(ge)级公(gong)(gong)安(an)(an)机关(guan)在全(quan)(quan)国开(kai)展公(gong)(gong)安(an)(an)大(da)数(shu)(shu)(shu)据(ju)的(de)(de)建(jian)设(she)(she),除了(le)需要满(man)足上述(shu)法(fa)规的(de)(de)要求外,也(ye)正在积极实(shi)践零(ling)信任的(de)(de)安(an)(an)全(quan)(quan)防护理念(nian),进一步增强(qiang)公(gong)(gong)安(an)(an)的(de)(de)数(shu)(shu)(shu)据(ju)安(an)(an)全(quan)(quan)。


    公(gong)安业(ye)务在数(shu)(shu)(shu)据(ju)(ju)(ju)层面,从(cong)数(shu)(shu)(shu)据(ju)(ju)(ju)接入开始,根据(ju)(ju)(ju)分级分类的标准,对(dui)数(shu)(shu)(shu)据(ju)(ju)(ju)进行(xing)各类标注,包括数(shu)(shu)(shu)据(ju)(ju)(ju)集(ji)、数(shu)(shu)(shu)据(ju)(ju)(ju)表、行(xing)、列(lie)进行(xing)一系列(lie)的标记,为上层应用和安全访问(wen)控(kong)制(zhi)提供底(di)层支撑。


    在应用(yong)层面,通过(guo)统一访问主体(ti)的(de)身份认证(zheng),动态(tai)的(de)权(quan)限控制以及通过(guo)工(gong)作流(liu)的(de)审批和(he)审计管理,能够实现对数据(ju)“可(ke)用(yong)可(ke)见、可(ke)用(yong)不可(ke)见、不可(ke)用(yong)不可(ke)见”等的(de)安全措施。


    本文(wen)基于锐安(an)科技在公(gong)安(an)行(xing)业所积累(lei)的经验优势,介绍了(le)对零信(xin)任思想的研究(jiu)及实践经验,希望(wang)可(ke)以为(wei)公(gong)安(an)大数(shu)据(ju)行(xing)业零信(xin)任安(an)全建设提供参(can)考。



一、零信任设计理念

    零信任设计理念主(zhu)要(yao)有四个:

    第一、系统以身份为中心。零信任的思想从一开始就是设计每一个应用、设备、用户等实体达到唯一的身份,通过研发的认证服务把这些管起来,统一身份化都有唯一的标识。


    第二、环境感知。结合国内知名厂家的安全能力,在用户登录系统之后,能对用户终端的环境,网络的环境以及用户自身访问的行为进行持续的监测,从而实现身份的认证。


    第三、动态的权限控制。用户登录系统之后,权限不是一成不变的,可以通过权限服务进行细粒度的权限管理,另外通过环境感知的变化来实现动态权限的管控。


    第四、严格的业务安全访问控制。用户在安全访问数据的过程中,有很多安全的执行检查点。目前有可信接入检控、可信API/数据检控来实现相关的功能。


二、零信任设计组(zu)成

    整个零信任部署的物理逻辑(ji)架构(gou):

    用户在访问数据(ju)的过程中,有很多安全组(zu)件,例如环境感(gan)知、认证服(fu)(fu)务、权限服(fu)(fu)务、可信接(jie)入(ru)检控、可信API/数据(ju)检控。

    

    本文重点(dian)介绍认证服(fu)务(wu)、权限服(fu)务(wu)配合环境服(fu)务(wu)是如何实(shi)现(xian)持续(xu)身(shen)份(fen)认证,和动态权限管控(kong)这两方面的实(shi)践(jian)经验。

    

    首先介绍(shao)的是认证服务。认证服务分以下几个(ge)模(mo)块:

 

1.png 

图1:零信(xin)任体系服务架构(gou)-以(yi)身份(fen)为中心


    集中身份管(guan)理。目(mu)前零(ling)信任的(de)(de)思想是将(jiang)系统(tong)的(de)(de)人(ren)员(yuan)、设(she)备的(de)(de)利(li)用等统(tong)一分配(pei)唯(wei)一的(de)(de)标识(shi)码进行管(guan)理。只有注册的(de)(de)用户、合法的(de)(de)用户才(cai)(cai)能(neng)使用系统(tong),合法的(de)(de)设(she)备才(cai)(cai)能(neng)接入(ru)网络,合法的(de)(de)应(ying)用才(cai)(cai)能(neng)部(bu)署。


    统(tong)一(yi)(yi)门(men)(men)户(hu)(hu)。为了方便使(shi)用(yong)(yong)(yong),认证服务也提(ti)供了统(tong)一(yi)(yi)的(de)(de)门(men)(men)户(hu)(hu)。当用(yong)(yong)(yong)户(hu)(hu)登录(lu)系(xi)统(tong)之后(hou),统(tong)一(yi)(yi)门(men)(men)户(hu)(hu)可(ke)根据用(yong)(yong)(yong)户(hu)(hu)的(de)(de)身份,将权(quan)限(xian)范围内应用(yong)(yong)(yong)系(xi)统(tong)的(de)(de)APP图(tu)(tu)标(biao)展(zhan)现(xian)在(zai)(zai)统(tong)一(yi)(yi)门(men)(men)户(hu)(hu)上面。例(li)如用(yong)(yong)(yong)户(hu)(hu)A,他具有(you)右边A、B、C三(san)个业务系(xi)统(tong)的(de)(de)访问(wen)权(quan)限(xian),那么用(yong)(yong)(yong)户(hu)(hu)在(zai)(zai)登录(lu)系(xi)统(tong)之后(hou),统(tong)一(yi)(yi)门(men)(men)户(hu)(hu)会查询这(zhei)个用(yong)(yong)(yong)户(hu)(hu)A的(de)(de)权(quan)限(xian),然后(hou)将A、B、C三(san)个APP图(tu)(tu)标(biao)展(zhan)现(xian)在(zai)(zai)统(tong)一(yi)(yi)门(men)(men)户(hu)(hu)上面,提(ti)供给用(yong)(yong)(yong)户(hu)(hu)A访问(wen)。用(yong)(yong)(yong)户(hu)(hu)B,具有(you)A、B、C、D四个业务系(xi)统(tong)的(de)(de)访问(wen)权(quan)限(xian),那么B用(yong)(yong)(yong)户(hu)(hu)在(zai)(zai)登录(lu)系(xi)统(tong)之后(hou),在(zai)(zai)统(tong)一(yi)(yi)门(men)(men)户(hu)(hu)内可(ke)看到A、B、C、D四个APP图(tu)(tu)标(biao)。


    认(ren)(ren)证(zheng)因(yin)子管(guan)理(li)。为了确(que)保用(yong)户(hu)(hu)登录(lu)的(de)安全,系统(tong)提供(gong)统(tong)一认(ren)(ren)证(zheng)因(yin)子的(de)管(guan)理(li),目前系统(tong)已经对接(jie)PKI、人脸、声纹(wen)、指纹(wen)等认(ren)(ren)证(zheng)因(yin)子,用(yong)户(hu)(hu)可(ke)以很(hen)方(fang)便的(de)组合(he)这(zhei)些认(ren)(ren)证(zheng)因(yin)子,来实现用(yong)户(hu)(hu)登录(lu)到门户(hu)(hu)的(de)安全。系统(tong)可(ke)以很(hen)方(fang)便的(de)调用(yong)人脸或(huo)者声纹(wen)对用(yong)户(hu)(hu)进(jin)行二次安全校验(yan)。


    其次(ci)是(shi)权限(xian)服务。权限(xian)服务就(jiu)是(shi)能够实现细粒度的(de)权限(xian)管控服务。

 

2.png 

图2:零信任体(ti)系服务架构-细粒度(du)授权


    先说(shuo)说(shuo)集中权(quan)(quan)限(xian)管理这(zhei)(zhei)(zhei)个(ge)(ge)模块(kuai),这(zhei)(zhei)(zhei)是(shi)系统授权(quan)(quan)的(de)(de)(de)一(yi)(yi)个(ge)(ge)核心。通过该(gai)模块(kuai),可(ke)以(yi)(yi)很方便实(shi)(shi)现(xian)用(yong)户(hu)的(de)(de)(de)授权(quan)(quan)管理。该(gai)模块(kuai)有两(liang)个(ge)(ge)属性(xing),一(yi)(yi)个(ge)(ge)是(shi)身(shen)份(fen)(fen)的(de)(de)(de)属性(xing),一(yi)(yi)个(ge)(ge)是(shi)角色(se)的(de)(de)(de)属性(xing)。身(shen)份(fen)(fen)的(de)(de)(de)属性(xing)可(ke)以(yi)(yi)是(shi)人,也可(ke)以(yi)(yi)是(shi)组(zu)织机(ji)构(相(xiang)当(dang)(dang)于(yu)给组(zu)织机(ji)构所有的(de)(de)(de)人授权(quan)(quan),实(shi)(shi)现(xian)批量授权(quan)(quan));角色(se)在(zai)我(wo)们系统里面相(xiang)当(dang)(dang)于(yu)一(yi)(yi)个(ge)(ge)权(quan)(quan)限(xian)的(de)(de)(de)集合(he),权(quan)(quan)限(xian)的(de)(de)(de)粒度(du)可(ke)以(yi)(yi)管理到(dao)应用(yong)、服(fu)务(wu)、功(gong)(gong)能(neng)菜单操(cao)作(zuo)、数(shu)据(ju)(ju)等。尤其是(shi)在(zai)数(shu)据(ju)(ju)的(de)(de)(de)权(quan)(quan)限(xian)管理,粒度(du)可(ke)以(yi)(yi)细化到(dao)数(shu)据(ju)(ju)的(de)(de)(de)类别、来源、数(shu)据(ju)(ju)集、表的(de)(de)(de)行或列,把这(zhei)(zhei)(zhei)些(xie)组(zu)合(he)的(de)(de)(de)权(quan)(quan)限(xian)赋予到(dao)某(mou)(mou)个(ge)(ge)角色(se),这(zhei)(zhei)(zhei)个(ge)(ge)角色(se)给予某(mou)(mou)个(ge)(ge)身(shen)份(fen)(fen),就可(ke)以(yi)(yi)实(shi)(shi)现(xian)授权(quan)(quan)的(de)(de)(de)效果。这(zhei)(zhei)(zhei)些(xie)身(shen)份(fen)(fen)具体(ti)的(de)(de)(de)指(zhi)向某(mou)(mou)个(ge)(ge)人,那(nei)么这(zhei)(zhei)(zhei)个(ge)(ge)人就有访问某(mou)(mou)个(ge)(ge)应用(yong)的(de)(de)(de)权(quan)(quan)限(xian),能(neng)够(gou)使(shi)用(yong)这(zhei)(zhei)(zhei)个(ge)(ge)应用(yong)的(de)(de)(de)哪几个(ge)(ge)功(gong)(gong)能(neng)项,这(zhei)(zhei)(zhei)个(ge)(ge)功(gong)(gong)能(neng)项下面能(neng)够(gou)使(shi)用(yong)哪几个(ge)(ge)功(gong)(gong)能(neng)子菜单,这(zhei)(zhei)(zhei)些(xie)菜单能(neng)够(gou)使(shi)用(yong)那(nei)些(xie)服(fu)务(wu)接口,这(zhei)(zhei)(zhei)些(xie)服(fu)务(wu)接口能(neng)够(gou)调用(yong)查询哪些(xie)数(shu)据(ju)(ju),这(zhei)(zhei)(zhei)样就构成(cheng)了一(yi)(yi)个(ge)(ge)完整(zheng)的(de)(de)(de)业务(wu)流程。


    另(ling)外,大数据(ju)平台(tai)提供数据(ju)资(zi)源目录(lu)、业务(wu)系统目录(lu)以(yi)及(ji)服务(wu)资(zi)源目录(lu),方(fang)便授权服务(wu)进(jin)行管理,可以(yi)很方(fang)便的对这几大类的资(zi)源进(jin)行排列组合。


    接下来,介绍零信(xin)任的持续身份认证是怎么实现的。

 


 


 

3.png 

图3:零信任体系服(fu)务架(jia)构(gou)-持续身份认证


    如前面所述,零信任一般是(shi)(shi)与众多安(an)(an)全厂商合作,用(yong)(yong)(yong)(yong)户在(zai)(zai)访(fang)(fang)(fang)问(wen)(wen)业务(wu)(wu)(wu)系(xi)统的(de)过程中,安(an)(an)全厂家提供的(de)环境感知模块对终端、网络环境是(shi)(shi)持续(xu)监测的(de),根据风(feng)险(xian)会(hui)(hui)输出分值(zhi)提供给(ji)认证(zheng)(zheng)服务(wu)(wu)(wu)。如果用(yong)(yong)(yong)(yong)户使用(yong)(yong)(yong)(yong)的(de)设备中了病毒或木马,那么(me)环境感知服务(wu)(wu)(wu)传递(di)给(ji)系(xi)统的(de)分值(zhi)就会(hui)(hui)比较(jiao)低。认证(zheng)(zheng)服务(wu)(wu)(wu)触发(fa)两(liang)个(ge)动作:当用(yong)(yong)(yong)(yong)户访(fang)(fang)(fang)问(wen)(wen)的(de)是(shi)(shi)低敏应用(yong)(yong)(yong)(yong),触发(fa)二(er)次认证(zheng)(zheng),调用(yong)(yong)(yong)(yong)人(ren)脸,确认是(shi)(shi)否是(shi)(shi)本人(ren)在(zai)(zai)访(fang)(fang)(fang)问(wen)(wen)应用(yong)(yong)(yong)(yong)系(xi)统;当用(yong)(yong)(yong)(yong)户访(fang)(fang)(fang)问(wen)(wen)的(de)是(shi)(shi)高敏应用(yong)(yong)(yong)(yong),认证(zheng)(zheng)服务(wu)(wu)(wu)会(hui)(hui)将当前用(yong)(yong)(yong)(yong)户令(ling)牌撤销,该用(yong)(yong)(yong)(yong)户的(de)访(fang)(fang)(fang)问(wen)(wen)被(bei)拦截并(bing)暂时取(qu)消应用(yong)(yong)(yong)(yong)的(de)访(fang)(fang)(fang)问(wen)(wen)权限(xian)。待用(yong)(yong)(yong)(yong)户的(de)风(feng)险(xian)消除后(hou),才能(neng)够正(zheng)常访(fang)(fang)(fang)问(wen)(wen)系(xi)统。


    最后,介绍动态授权是怎(zen)么实现的。



 


 

4.png 

 图4:零(ling)信任体系服务(wu)架构-动态授权

 


    目前权(quan)(quan)限(xian)服务提供(gong)两种(zhong)授权(quan)(quan),第(di)一个是静态(tai)的授权(quan)(quan),人员(yuan)根据(ju)所属组织(zhi)机构、职(zhi)级等可以(yi)预置一些(xie)权(quan)(quan)限(xian)。


    重点分(fen)享第二个(ge)(ge)动态授权(quan)(quan)是如何(he)实现(xian)的(de)。假如用(yong)(yong)(yong)户(hu)A,他(ta)目前拥有1、2、3、4四个(ge)(ge)业(ye)务(wu)(wu)系(xi)(xi)统的(de)访(fang)问(wen)(wen)权(quan)(quan)限(xian)(xian)(xian)(xian),其中业(ye)务(wu)(wu)系(xi)(xi)统4是一个(ge)(ge)高敏的(de)应用(yong)(yong)(yong),环境感知(zhi)系(xi)(xi)统在(zai)(zai)用(yong)(yong)(yong)户(hu)访(fang)问(wen)(wen)系(xi)(xi)统过(guo)程中持续检测环境,把(ba)风险分(fen)值(zhi)提供给认(ren)证服(fu)(fu)(fu)(fu)务(wu)(wu),如果(guo)当(dang)前用(yong)(yong)(yong)户(hu)风险分(fen)值(zhi)很低,也就是风险等(deng)级很高,那么认(ren)证服(fu)(fu)(fu)(fu)务(wu)(wu)通知(zhi)权(quan)(quan)限(xian)(xian)(xian)(xian)服(fu)(fu)(fu)(fu)务(wu)(wu),需要做权(quan)(quan)限(xian)(xian)(xian)(xian)变(bian)更(geng)(geng),调整该用(yong)(yong)(yong)户(hu)的(de)应用(yong)(yong)(yong)访(fang)问(wen)(wen)权(quan)(quan)限(xian)(xian)(xian)(xian),实现(xian)动态的(de)变(bian)更(geng)(geng)。当(dang)这个(ge)(ge)用(yong)(yong)(yong)户(hu)再次登录,因为权(quan)(quan)限(xian)(xian)(xian)(xian)已经做了(le)变(bian)更(geng)(geng),在(zai)(zai)登录后,门户(hu)只展示1、2、3业(ye)务(wu)(wu)系(xi)(xi)统,4业(ye)务(wu)(wu)系(xi)(xi)统的(de)图(tu)(tu)标就看(kan)不到了(le)。当(dang)用(yong)(yong)(yong)户(hu)的(de)环境恢复到安全(quan)状态的(de)时候,权(quan)(quan)限(xian)(xian)(xian)(xian)服(fu)(fu)(fu)(fu)务(wu)(wu)才会把(ba)业(ye)务(wu)(wu)系(xi)(xi)统4的(de)访(fang)问(wen)(wen)权(quan)(quan)限(xian)(xian)(xian)(xian)重新(xin)赋予给用(yong)(yong)(yong)户(hu),用(yong)(yong)(yong)户(hu)重新(xin)登后,门户(hu)就会再次展现(xian)4个(ge)(ge)APP图(tu)(tu)标。通过(guo)以(yi)上认(ren)证服(fu)(fu)(fu)(fu)务(wu)(wu)、权(quan)(quan)限(xian)(xian)(xian)(xian)服(fu)(fu)(fu)(fu)务(wu)(wu)再结(jie)合环境感知(zhi)服(fu)(fu)(fu)(fu)务(wu)(wu),可以(yi)实现(xian)一次完整的(de)用(yong)(yong)(yong)户(hu)动态权(quan)(quan)限(xian)(xian)(xian)(xian)的(de)变(bian)更(geng)(geng)。


四、锐安(an)科技零信任实践案例


    锐安(an)科(ke)技是大数据(ju)产品与网(wang)络安(an)全(quan)(quan)服务(wu)的(de)(de)(de)提供商(shang),在(zai)公安(an)大数据(ju)的(de)(de)(de)建设(she)过程中,为保护数据(ju)和应用(yong)的(de)(de)(de)安(an)全(quan)(quan)做了(le)(le)很多(duo)工(gong)作。在(zai)实(shi)际(ji)建设(she)当中锐安(an)科(ke)技除实(shi)现(xian)部(bu)(bu)标要求外,也根据(ju)当地(di)的(de)(de)(de)实(shi)际(ji)情况,结(jie)合大数据(ju)建设(she)的(de)(de)(de)需求对系(xi)统(tong)功(gong)能做了(le)(le)适当的(de)(de)(de)定制,以便更好的(de)(de)(de)发挥零信任安(an)全(quan)(quan)的(de)(de)(de)效果。目前(qian),锐安(an)科(ke)技零信任体系(xi)建设(she)已在(zai)多(duo)个省(sheng)公安(an)厅、市局部(bu)(bu)署并应用(yong)。


    最后,锐安(an)(an)科技也将积极(ji)联合各(ge)安(an)(an)全厂家(jia)形(xing)成安(an)(an)全生态(tai)联盟(meng),共同推动零信任在公安(an)(an)等各(ge)行业的(de)应用,为大数据(ju)的(de)安(an)(an)全保(bao)驾护(hu)航。