《【網(wǎng)絡(luò)安全論文】遠(yuǎn)程辦公模式下的網(wǎng)絡(luò)安全分析》由會員分享,可在線閱讀,更多相關(guān)《【網(wǎng)絡(luò)安全論文】遠(yuǎn)程辦公模式下的網(wǎng)絡(luò)安全分析(6頁珍藏版)》請在裝配圖網(wǎng)上搜索。
1、【網(wǎng)絡(luò)安全論文】遠(yuǎn)程辦公模式下的網(wǎng)絡(luò)安全分析
摘要:2020年新型冠狀病毒疫情在全球的蔓延,催生了各單位遠(yuǎn)程辦公的需求。本文通過針對遠(yuǎn)程辦公常見場景總結(jié)及網(wǎng)絡(luò)安全風(fēng)險深入分析的基礎(chǔ)上,從傳輸安全、數(shù)據(jù)安全、業(yè)務(wù)安全、認(rèn)證授權(quán)、安全審計、終端安全等多個維度,提出了保證遠(yuǎn)程辦公模式下網(wǎng)絡(luò)安全的防護(hù)方法和防護(hù)體系。
關(guān)鍵詞:遠(yuǎn)程辦公;VPN;堡壘機(jī);EDR;MDM
2020年初一場突如其來的新型冠狀病毒疫情席卷全國,為了貫徹落實(shí)疫情期間各項監(jiān)管要求,降低人群聚集帶來的交叉感染風(fēng)險,很多單位的員工無法到達(dá)現(xiàn)場辦公。因此,大多數(shù)企、事業(yè)單位及政府機(jī)關(guān)選擇了遠(yuǎn)程辦公
2、模式,采用即時通訊、網(wǎng)絡(luò)會議、電子郵件等新型工具替換了傳統(tǒng)辦公模式,讓員工在家里即可進(jìn)行遠(yuǎn)程辦公。這種新型遠(yuǎn)程辦公模式打破了地域限制,既能滿足疫情期間的監(jiān)管要求,又能保證業(yè)務(wù)的有序開展。但是,遠(yuǎn)程辦公模式在帶來極大便捷性的同時,也使得單位的數(shù)據(jù)安全、業(yè)務(wù)安全、運(yùn)維安全、終端安全等方面面臨前所未有的網(wǎng)絡(luò)風(fēng)險和挑戰(zhàn)。
一遠(yuǎn)程辦公場景分析
目前,各單位采用的遠(yuǎn)程辦公場景主要可以歸納為下文所述類別,如圖1所示。
1.遠(yuǎn)程辦公場景
遠(yuǎn)程辦公場景主要包括:遠(yuǎn)程辦公人員使用微信、釘釘?shù)燃磿r通訊工具進(jìn)行遠(yuǎn)程溝通及工作文檔分享等;使用騰訊會議等互聯(lián)
3、網(wǎng)會議系統(tǒng)召開遠(yuǎn)程工作會議;使用電腦或者手機(jī)等接入單位內(nèi)部門戶、OA、財務(wù)等辦公類系統(tǒng),進(jìn)行遠(yuǎn)程業(yè)務(wù)處理等。遠(yuǎn)程辦公場景中,為了確保遠(yuǎn)程溝通、視頻會議等場景下的數(shù)據(jù)安全,需要對重要的文字、語音、圖片、文件等數(shù)據(jù)進(jìn)行加密。為了保證遠(yuǎn)程辦公類系統(tǒng)自身安全,應(yīng)增強(qiáng)應(yīng)用系統(tǒng)的健壯性,保證系統(tǒng)部署架構(gòu)合理、具備統(tǒng)一認(rèn)證和授權(quán)系統(tǒng),確保人員的可信和權(quán)限的可控。
2.遠(yuǎn)程運(yùn)維場景
遠(yuǎn)程運(yùn)維場景主要滿足單位IT運(yùn)維人員的遠(yuǎn)程運(yùn)維需求。IT運(yùn)維人員需要接入單位內(nèi)部IT系統(tǒng),利用SecureCRT等遠(yuǎn)程運(yùn)維工具,對單位內(nèi)部的IT系統(tǒng)和設(shè)備進(jìn)行日常配置、數(shù)據(jù)清理、應(yīng)用更新等運(yùn)維操作。
4、遠(yuǎn)程運(yùn)維人員一般都具有很高的權(quán)限,應(yīng)對遠(yuǎn)程運(yùn)維人員采用雙因素認(rèn)證等增強(qiáng)型認(rèn)證措施,確保人員的可信;采用VPN等加密通道連接后臺系統(tǒng),確保運(yùn)維數(shù)據(jù)的安全;同時,采用堡壘機(jī)等審計設(shè)施,保證人員的權(quán)限得到嚴(yán)格管控,操作得到全程審計記錄。
3.遠(yuǎn)程開發(fā)場景
遠(yuǎn)程開發(fā)場景主要滿足單位研發(fā)人員的需求,研發(fā)人員需要接入單位內(nèi)部研發(fā)系統(tǒng),利用研發(fā)工具進(jìn)行代碼開發(fā)等相關(guān)工作。遠(yuǎn)程開發(fā)場景中源代碼是需要保護(hù)的核心資產(chǎn)。此場景存在源代碼泄露、開發(fā)人員越權(quán)訪問、開發(fā)數(shù)據(jù)明文傳輸?shù)蕊L(fēng)險。因此,應(yīng)對開發(fā)人員采用雙因素認(rèn)證等增強(qiáng)型認(rèn)證措施,保證人員的可信;采用VPN等加密通道,保證傳輸數(shù)據(jù)鏈
5、路的安全;采用代碼開發(fā)管理系統(tǒng)或者統(tǒng)一認(rèn)證授權(quán)系統(tǒng),只賦予開發(fā)人員完成開發(fā)任務(wù)的最小權(quán)限;采用堡壘機(jī)、云桌面、數(shù)據(jù)加密等技術(shù),防止開發(fā)源代碼等重要數(shù)據(jù)在開發(fā)人員本機(jī)落地,保證重要源碼數(shù)據(jù)不外泄,確保開發(fā)人員操作行為可審計和可追溯。
二遠(yuǎn)程辦公網(wǎng)絡(luò)安全風(fēng)險分析
1.數(shù)據(jù)安全風(fēng)險
新型冠狀病毒疫情期間,以釘釘、微信、騰訊會議等為代表的智能化、移動化工具越來越廣泛地應(yīng)用,利用這些遠(yuǎn)程辦公工具,可以實(shí)現(xiàn)遠(yuǎn)程高效的協(xié)同辦公。但是,通過即時通訊和互聯(lián)網(wǎng)會議系統(tǒng)等工具發(fā)送和傳輸?shù)臄?shù)據(jù),可能包含大量重要或敏感數(shù)據(jù),這些數(shù)據(jù)一旦泄漏,將會給單位造成嚴(yán)重影響。另一方
6、面,有些企業(yè)將系統(tǒng)數(shù)據(jù)部署到公有云,實(shí)現(xiàn)數(shù)據(jù)托管服務(wù)。針對公有云的外部攻擊、權(quán)限盜用、明文數(shù)據(jù)截獲等均可能造成數(shù)據(jù)丟失、損壞或泄露,給企業(yè)帶來重大損失。
2.遠(yuǎn)程運(yùn)維安全風(fēng)險
當(dāng)前常見的遠(yuǎn)程運(yùn)維方式是采用“VPN+Windows遠(yuǎn)程桌面”或者使用“Teamviewer、向日葵”等遠(yuǎn)程運(yùn)維工具,這些運(yùn)維方式均存在較高的網(wǎng)絡(luò)安全風(fēng)險,如:內(nèi)外網(wǎng)隔離失效、越權(quán)操作、數(shù)據(jù)泄露、數(shù)據(jù)破壞、運(yùn)維操作無法審計和追溯等。在疫情期間,由于很多單位IT運(yùn)維人員無法到達(dá)單位現(xiàn)場工作,單位的重要系統(tǒng)和設(shè)備一旦出現(xiàn)故障,將無法第一時間恢復(fù),很可能造成業(yè)務(wù)中斷。另一方面,IT系統(tǒng)和設(shè)備通常
7、部署在單位內(nèi)網(wǎng),運(yùn)維人員又具有很高的操作權(quán)限,如何保障運(yùn)維過程的安全性、保密性和合規(guī)性是遠(yuǎn)程運(yùn)維面臨的主要難題。
3.業(yè)務(wù)系統(tǒng)安全風(fēng)險
需要開通遠(yuǎn)程辦公業(yè)務(wù)的系統(tǒng),由于有些系統(tǒng)在設(shè)計初期并未考慮遠(yuǎn)程辦公場景,因此業(yè)務(wù)系統(tǒng)架構(gòu)和部署方式均不滿足遠(yuǎn)程辦公的要求。個別系統(tǒng)為了臨時滿足遠(yuǎn)程辦公需要,會將核心應(yīng)用和數(shù)據(jù)庫等關(guān)鍵系統(tǒng)資產(chǎn)直接發(fā)布到互聯(lián)網(wǎng)。這些系統(tǒng)如果應(yīng)用層面存在安全漏洞,將會給黑客乘虛而入的機(jī)會,黑客將會以遠(yuǎn)程辦公業(yè)務(wù)為跳板,攻擊單位內(nèi)部其他系統(tǒng),給單位內(nèi)網(wǎng)業(yè)務(wù)帶來極大的網(wǎng)絡(luò)安全風(fēng)險。
4.終端安全風(fēng)險
遠(yuǎn)程辦公場景下,接入單
8、位內(nèi)部業(yè)務(wù)系統(tǒng)的終端設(shè)備包括臺式機(jī)、筆記本電腦、手機(jī)、PDA等多種類型,這些終端一旦被置入惡意病毒木馬等感染性和控制性軟件,將給單位內(nèi)部業(yè)務(wù)系統(tǒng)帶來病毒爆發(fā)、數(shù)據(jù)泄露、系統(tǒng)損害、權(quán)限濫用等各類網(wǎng)絡(luò)安全風(fēng)險。
三遠(yuǎn)程辦公模式下的安全網(wǎng)絡(luò)防護(hù)
面對疫情期間突發(fā)的遠(yuǎn)程辦公需求,如何在保證遠(yuǎn)程辦公便利性的同時,又能確保遠(yuǎn)程辦公業(yè)務(wù)的網(wǎng)絡(luò)安全是當(dāng)前亟待解決的問題。因此,建設(shè)針對移動辦公模式下的網(wǎng)絡(luò)安全防護(hù)體系是一項重要任務(wù)。根據(jù)上述所歸納的遠(yuǎn)程辦公場景,以及所總結(jié)的主要網(wǎng)絡(luò)安全風(fēng)險,遠(yuǎn)程辦公模式下的網(wǎng)絡(luò)安全防護(hù)體系建設(shè)主要包括下文所述內(nèi)容。
1.安全傳輸通
9、道及重要數(shù)據(jù)加密
采用VPN等安全傳輸通道技術(shù),在遠(yuǎn)程辦公人員到單位業(yè)務(wù)系統(tǒng)之間建立起安全的傳輸通道,保證傳輸數(shù)據(jù)的安全性。在即時通訊、會議系統(tǒng)、數(shù)據(jù)存儲等層面,采用數(shù)據(jù)加密和數(shù)字簽名等安全技術(shù),對運(yùn)維口令、開發(fā)代碼、財務(wù)數(shù)據(jù)、審批指令等重要和敏感數(shù)據(jù)進(jìn)行加密傳輸,保證數(shù)據(jù)的保密性和完整性。
2.基于零信任的業(yè)務(wù)系統(tǒng)安全訪問
針對需要開通遠(yuǎn)程訪問的業(yè)務(wù)系統(tǒng),建議采用零信任安全技術(shù),實(shí)現(xiàn)接入人員、接入設(shè)備、權(quán)限控制、行為審計等全方位的可信驗證。采用WAF防火墻、網(wǎng)頁防竄改等產(chǎn)品,增強(qiáng)應(yīng)用的安全性,防止SQL注入、跨站、越權(quán)等常見開發(fā)漏洞。利用防火墻
10、等設(shè)備,實(shí)現(xiàn)內(nèi)、外網(wǎng)隔離,落實(shí)細(xì)粒度的訪問控制策略,在保證外網(wǎng)業(yè)務(wù)訪問便利性的同時,確保內(nèi)網(wǎng)核心業(yè)務(wù)的網(wǎng)絡(luò)安全,防止安全攻擊的內(nèi)部橫向擴(kuò)散。
3.統(tǒng)一的多因子認(rèn)證和權(quán)限控制
針對遠(yuǎn)程辦公人員,需要構(gòu)建統(tǒng)一的認(rèn)證和授權(quán)系統(tǒng),具備基于數(shù)字證書、動態(tài)口令、人臉識別、指紋識別等多種認(rèn)證方式,根據(jù)業(yè)務(wù)系統(tǒng)的重要性和人員接入場景的可信性等多重因素,靈活選擇認(rèn)證方式,實(shí)現(xiàn)接入人員的可信驗證。同時,根據(jù)人員身份,賦予其訪問系統(tǒng)的最小權(quán)限,并能夠?qū)λ性綑?quán)或其他可能危害系統(tǒng)行為進(jìn)行審計和告警等。
4.重要操作行為可審計、可追溯
針對遠(yuǎn)程運(yùn)維和遠(yuǎn)程開
11、發(fā)人員,通過部署堡壘機(jī)、桌面云等安全技術(shù)設(shè)施,實(shí)現(xiàn)IT運(yùn)維和開發(fā)人員的增強(qiáng)認(rèn)證和細(xì)粒度權(quán)限管理。實(shí)現(xiàn)所有操作的可審計、可追溯,對于可能影響業(yè)務(wù)運(yùn)行的重要的操作,具備多人審核和制約機(jī)制,對于不符合權(quán)限的運(yùn)維操作,進(jìn)行實(shí)時阻斷和告警。對于源代碼等重要數(shù)據(jù),采用基于加密或者簽名的數(shù)據(jù)安全技術(shù),防止數(shù)據(jù)的泄露和破壞,實(shí)現(xiàn)重要數(shù)據(jù)的全生命周期安全管理。
5.終端設(shè)備的安全
針對遠(yuǎn)程辦公人員使用的各類終端設(shè)備,采用EDR、MDM、準(zhǔn)入控制等終端安全管理手段,對于終端設(shè)備實(shí)現(xiàn)病毒防護(hù)、軟件黑白名單控制、重要業(yè)務(wù)數(shù)據(jù)水印保護(hù)、必要條件下的遠(yuǎn)程擦除以及終端入網(wǎng)的健康檢查等多重安全
12、機(jī)制,實(shí)現(xiàn)接入終端的可信、可控和可管??傊?,針對移動辦公模式,需要結(jié)合業(yè)務(wù)場景和各層面可能存在的網(wǎng)絡(luò)安全風(fēng)險,構(gòu)建遠(yuǎn)程辦公模式下的整體網(wǎng)絡(luò)安全防護(hù)體系,才有可能保證遠(yuǎn)程辦公模式下的網(wǎng)絡(luò)安全。遠(yuǎn)程辦公模式下的網(wǎng)絡(luò)安全防護(hù)技術(shù)體系架構(gòu)如圖2所示。遠(yuǎn)程辦公模式網(wǎng)絡(luò)安全防護(hù)體系具備如下特點(diǎn):從架構(gòu)層面構(gòu)建起從“接入終端——外部邊界防護(hù)——DMZ區(qū)零信任業(yè)務(wù)網(wǎng)絡(luò)——內(nèi)部業(yè)務(wù)系統(tǒng)/內(nèi)部研發(fā)內(nèi)網(wǎng)”層層遞進(jìn)的縱深安全防護(hù)體系。在接入終端層面采用EDR、EMM、終端準(zhǔn)入控制等多項技術(shù)手段,確保接入終端設(shè)備的安全可信,從源頭上控制網(wǎng)絡(luò)安全風(fēng)險。在外部防護(hù)邊界,部署IPSecVPN或SSLVPN產(chǎn)品、即時通訊加密產(chǎn)
13、品、多因子認(rèn)證和授權(quán)產(chǎn)品等安全產(chǎn)品,確保數(shù)據(jù)傳輸通道安全、重要數(shù)據(jù)保密以及人員的細(xì)粒度權(quán)限控制。在DMZ區(qū)對外業(yè)務(wù)部署區(qū)域,采用基于零信任的安全基礎(chǔ)設(shè)施,部署WAF、業(yè)務(wù)應(yīng)用安全監(jiān)測等多種產(chǎn)品,確保對外提供遠(yuǎn)程服務(wù)的業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)安全。部署堡壘機(jī)、云桌面等安全產(chǎn)品,保證開發(fā)和運(yùn)維人員操作行為可審計、可追溯,保證重要開發(fā)和運(yùn)維數(shù)據(jù)的安全。在內(nèi)網(wǎng)業(yè)務(wù)系統(tǒng),采用防火墻等安全措施,實(shí)現(xiàn)嚴(yán)格的隔離和訪問控制措施,保證內(nèi)部業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)安全。
四總結(jié)
隨著遠(yuǎn)程辦公模式的大規(guī)模推廣和不斷發(fā)展,將會出現(xiàn)新的網(wǎng)絡(luò)安全威脅和風(fēng)險。因此,網(wǎng)絡(luò)安全防護(hù)技術(shù)體系需要根據(jù)遠(yuǎn)程辦公業(yè)務(wù)的發(fā)展模式,不斷地進(jìn)行創(chuàng)新和發(fā)展。另一方面,需要同步建立遠(yuǎn)程辦公網(wǎng)絡(luò)安全管理、應(yīng)急處置等綜合管理體系,開展網(wǎng)絡(luò)安全培訓(xùn),提高單位員工遠(yuǎn)程辦公網(wǎng)絡(luò)安全意識等,才能全面保障遠(yuǎn)程辦公業(yè)務(wù)模式的網(wǎng)絡(luò)安全。