2021-2022中国零信任全景图分析报告.pdf

2021-2022中国零信任全景图分析报告前 言随 着 云 计 算 、 移 动 互 联 、 物 联 网 等 新 技 术 的 发 展 ， 网 络 空 间 已 经 发 生 了 巨 大 的 变 化 ， 从传 统 的 网 络 边 界 已 经 发 展 到 了 无 界 化 。 面 对 全 球 数 字 化 和 万 物 互 联 的 加 速 ， 传 统 物 理 边界 被 彻 底 打 破 ， 以 零 信 任 “ 永 不 信 任 ， 始 终 验 证 “ 为 理 念 安 全 战 略 被 国 内 外 政 产 学 研 各界 广 泛 认 可 。零 信 任 ， 是 在 不 可 信 网 络 中 构 建 安 全 系 统 。 作 为 新 一 代 信 息 技 术 安 全 架 构 ， 零 信 任 创 新性 的 安 全 思 维 契 合 数 字 基 建 技 术 特 点 ， 能 更 好 地 提 升 企 业 信 息 化 系 统 和 网 络 的 整 体 安 全性 。云 安 全 联 盟 CSA作 为 零 信 任 技 术 研 究 、 标 准 制 定 的 先 行 者 及 践 行 者 ， 于 2020年 提 出 零信 任 十 周 年 ， 成 功 举 办 零 信 任 十 周 年 暨 第 一 届 零 信 任 峰 会 。 云 安 全 联 盟 大 中 华 区 为 了 向业 界 完 整 呈 现 中 国 零 信 任 的 行 业 生 态 ， 让 读 者 对 零 信 任 有 一 个 全 面 的 认 知 ， 同 时 提 高 零信 任 领 域 相 关 厂 商 和 优 秀 实 践 者 （ 甲 方 ） 的 曝 光 度 和 知 名 度 ， 为 打 算 实 施 零 信 任 的 甲 方提 供 完 整 的 参 考 ， 在 2020年 12月 发 布 了 2020中 国 零 信 任 全 景 图 （ 第 一 版 ） 。在 这 一 年 里 ， 零 信 任 在 落 地 应 用 方 面 取 得 长 足 进 步 与 发 展 ， 这 得 益 于 网 络 安 全 厂 商 、 用户 、 专 家 的 支 持 与 贡 献 ， CSA大 中 华 区 刷 新 推 出 2021中 国 零 信 任 全 景 图 （ 第 二 版 ） ，供 业 界 一 览 “ 零 信 任 ” 全 景 概 况 ， 作 学 习 及 落 地 参 考 ， 共 同 推 动 零 信 任 的 落 地 应 用 ， 更好 保 障 新 网 络 新 业 务 新 场 景 的 安 全 。目 录1.简 要 .52.零 信 任 概 述 .63.零 信 任 成 熟 度 模 型 .74.零 信 任 的 驱 动 因 素 .94 .1 合 规 驱 动 .94 .2 合 需 驱 动 .1 05.零 信 任 全 景 图 分 析 . 1 15 .1 公 司 类 型 .1 15 .2 被 保 护 对 象 .1 35 .3 业 务 场 景 .1 65 .4 业 务 类 型 .1 85 .5 技 术 类 型 .2 15 .6 服 务 模 式 .2 35 .7 部 署 架 构 .2 56.零 信 任 落 地 案 例 . 2 76 .1 深 信 服 -葛 洲 坝 集 团 零 信 任 安 全 办 公 项 目 .2 76 .2 天 融 信 -某 省 公 安 大 数 据 智 能 化 安 全 建 设 采 购 项 目 .3 06 .3 数 字 认 证 零 信 任 安 全 架 构 在 医 疗 领 域 的 应 用 .3 46 .4 白 山 云 -零 信 任 远 程 访 问 实 践 案 例 .4 06 .5 美 创 科 技 -浙 江 省 肿 瘤 医 院 基 于 零 信 任 理 念 的 数 据 安 全 建 设 最 佳 实 践 .4 37 . 致 谢 . 4 81.简 要 2021中 国 零 信 任 全 景 图 （ 第 二 版 ） 共 收 录 88家 单 位 ， 比 第 一 版 零 信 任 全 景 图 参 加的 单 位 增 加 了 35%， 为 了 更 好 地 体 现 各 单 位 擅 长 的 领 域 ， 这 次 的 评 审 归 类 结 合 各 单 位 提供 的 申 报 材 料 与 零 信 任 相 关 项 目 的 实 际 落 地 情 况 进 行 编 制 。 相 较 第 一 版 本 ， 我 们 对 第 二版 零 信 任 全 景 图 进 行 了 优 化 调 整 ， 主 要 调 整 包 括 ：1） 新 增 1个 模 块 ” 公 司 类 型 “ ， 对 所 有 被 调 研 的 单 位 进 行 了 分 类 ；2） “ 被 保 护 对 象 ” 分 类 下 增 设 “ API” 二 级 分 类 ；3） “ 业 务 场 景 ” 分 类 下 增 设 “ 数 据 交 换 ” 、 “ 企 业 多 云 战 略 ” 、 “ 物 联 网 ” 二 级 分类 ；4） “ 业 务 类 型 ” 分 类 下 增 设 “ 评 估 服 务 ” 和 “ 治 理 服 务 ” ， 取 消 “ 测 评 服 务 ” 二 级分 类 ；5） “ 部 署 架 构 ” 分 类 下 增 设 “ 终 端 ” 二 级 分 类 。图 1.1： 2021中 国 零 信 任 全 景 图 （ 关 注 “ 云 安 全 联 盟 CSA” 公 众 号 ， 回 复 “ 零 信 任 全 景 图 ” ， 下 载 高 清 图 片 ）以 下 将 从 零 信 任 概 述 、 零 信 任 成 熟 度 模 型 、 零 信 任 驱 动 因 素 以 及 零 信 任 全 景 图 分 析 四 个方 面 进 行 分 析 介 绍 ， 并 对 相 关 的 代 表 厂 商 进 行 了 分 类 汇 总 ， 希 望 能 为 甲 方 实 践 零 信 任 提供 参 考 和 帮 助 。2.零 信 任 概 述零 信 任 思 想 的 起 源 可 以 追 溯 到 1994年 由 JerichoForum提 出 的 “ 去 边 界 化 ” 网 络 安 全概 念 。 而 “ 零 信 任 ” 这 个 词 汇 则 是 由 Forrester原 首 席 分 析 师 John Kindervag于 2010年 首 次 提 出 的 。 零 信 任 思 想 摒 弃 了 “ 信 任 但 验 证 ” 的 传 统 方 法 ， 将 “ 从 不 信 任 、 始 终 验证 （ Never trust, always verify） ” 作 为 其 指 导 方 针 。 零 信 任 发 展 大 事 记 见 图 2.1，零 信 任 的 标 准 演 进 见 图 2.2。图 2.1： 零 信 任 发 展 大 事 记图 2.2： 零 信 任 标 准 的 推 进零 信 任 正 在 快 速 的 发 展 中 ， 越 来 越 多 的 组 织 都 在 拥 抱 零 信 任 。 其 中 美 国 国 防 部 DoD全 面启 动 零 信 任 战 略 并 且 发 布 了 DoD零 信 任 参 考 架 构 。 DoD零 信 任 参 考 架 构 分 别 从全 景 视 角 （ AV） 、 作 战 视 角 （ OV） 、 能 力 视 角 （ CV） 和 标 准 视 角 （ StdV） 对 零 信 任 架 构进 行 了 描 述 。图 2.3： DoD零 信 任 参 考 架 构 在 本 次 收 集 的 样 本 数 据 中 ， 从 客 户 行 业 分 布 来 看 ， 目 前 国 内 零 信 任 的 目 标 客 户 主 要 集 中在 政 府 及 事 业 单 位 、 金 融 、 制 造 业 、 运 营 商 、 互 联 网 、 能 源 、 电 力 和 医 疗 行 业 。图 2.4： 零 信 任 应 用 行 业 分 布 图3.零 信 任 成 熟 度 模 型2021年 9月 7日 ， 美 国 网 络 安 全 与 基 础 设 施 安 全 局 (CISA)发 布 零 信 任 成 熟 度 模 型 草案 。 成 熟 度 模 型 的 推 出 给 企 业 、 组 织 、 机 构 在 零 信 任 实 践 上 提 供 了 参 考 ， 有 助 于 通 过 零信 任 加 固 设 施 ， 通 过 该 模 型 可 以 评 价 当 前 的 零 信 任 能 力 和 水 平 ， 同 时 作 为 零 信 任 能 力 提升 的 参 考 。成 熟 度 模 型 包 括 五 个 支 柱 和 三 个 跨 领 域 能 力 ， 以 零 信 任 为 基 础 。图 3.1： 零 信 任 成 熟 度 模 型 五 大 支 柱 和 三 大 能 力在 每 个 支 柱 中 ， 成 熟 度 模 型 都 为 机 构 提 供 了 传 统 、 先 进 和 最 佳 零 信 任 架 构 的 具 体 示 例 。图 3.2： 零 信 任 成 熟 度 模 型 的 示 例而 在 国 内 ， 云 安 全 联 盟 大 中 华 区 与 中 国 信 通 院 正 联 合 编 写 “ 零 信 任 能 力 成 熟 度 模 型 ” ，相 信 中 国 特 色 的 零 信 任 模 型 将 会 很 快 诞 生 。4.零 信 任 的 驱 动 因 素4.1合 规 驱 动近 年 来 ， 数 据 安 全 形 势 日 益 严 峻 ， 侵 犯 个 人 隐 私 ， 攫 取 、 破 坏 和 滥 用 数 据 资 源 的 行 为 时有 发 生 ， 严 重 危 害 社 会 公 共 利 益 乃 至 国 家 安 全 。 特 别 是 随 着 数 字 经 济 日 益 成 为 国 际 竞 争的 制 高 点 ， 数 据 安 全 和 个 人 信 息 保 护 的 重 要 性 被 提 升 至 前 所 未 有 的 高 度 。 许 多 国 家 都 认识 到 数 据 安 全 的 重 要 性 ， 逐 步 开 始 颁 布 并 实 施 相 关 法 律 。 从 全 球 范 围 看 ， 立 法 成 为 大 国竞 争 和 争 夺 数 字 经 济 领 先 地 位 的 重 要 标 志 。图 4.1： 全 球 相 关 的 法 律 法 规 和 条 例2021年 6月 10日 ， 中 华 人 民 共 和 国 数 据 安 全 法 正 式 表 决 通 过 并 于 2021年 9月 1日 正 式 实 施 ， 掀 起 整 个 行 业 对 数 据 安 全 的 聚 焦 ， 也 凸 显 国 家 层 面 对 保 护 数 据 安 全 的 坚 定意 志 。 同 年 8月 20日 ， 中 华 人 民 共 和 国 个 人 信 息 保 护 法 正 式 表 决 通 过 并 于 11月 1日 正 式 实 施 。因 此 ， 各 行 各 业 都 迫 切 需 要 寻 求 新 的 数 据 安 全 解 决 之 道 ， 以 零 信 任 为 代 表 的 安 全 理 念 及架 构 等 脱 颖 而 出 ， 成 为 推 动 并 赋 能 合 规 建 设 的 重 要 方 法 和 指 南 ， 及 赋 能 数 字 经 济 持 续 健康 发 展 的 坚 实 底 座 。4.2合 需 驱 动数 字 经 济 时 代 ， 数 据 已 经 成 为 基 础 性 、 战 略 性 生 产 要 素 ， 成 为 决 定 各 国 数 字 经 济 发 展 水平 和 竞 争 力 的 核 心 资 源 。 因 此 ， 数 字 化 伴 生 的 新 技 术 和 应 用 对 网 络 安 全 技 术 和 管 理 方 式提 出 了 更 高 要 求 。图 4.2： 零 信 任 的 合 需 场 景例 如 在 全 球 COVID-19影 响 下 ， 远 程 会 议 、 远 程 运 维 、 移 动 办 公 、 数 字 孪 生 、 元 宇 宙 、各 类 沉 浸 式 体 验 等 新 技 术 、 新 应 用 和 新 场 景 的 层 出 不 穷 ， 加 速 了 传 统 物 理 安 全 边 界 模 糊化 ， 同 时 也 增 加 数 据 的 暴 露 面 ， 从 而 大 大 增 加 了 在 身 份 安 全 、 链 路 安 全 、 设 备 安 全 、 应用 安 全 、 接 入 安 全 、 大 数 据 平 台 、 云 计 算 方 面 的 安 全 风 险 。 因 此 ， 需 要 一 个 更 符 合 未 来安 全 趋 势 的 理 念 和 架 构 来 开 展 整 体 安 全 建 设 ， 也 直 接 驱 动 了 零 信 任 在 终 端 安 全 、 应 用 安全 、 访 问 安 全 、 设 备 准 入 、 流 动 数 据 安 全 、 勒 索 病 毒 防 护 等 能 力 的 应 用 和 落 地 ， 满 足 金融 、 医 疗 、 交 通 等 领 域 全 方 位 的 零 信 任 安 全 体 系 建 设 的 需 求 。5.零 信 任 全 景 图 分 析5.1公 司 类 型今 年 我 们 对 所 有 被 调 研 的 厂 商 进 行 了 如 下 分 类 ： 甲 方 零 信 任 实 践 者 、 增 加 零 信 任 业 务 的原 有 安 全 厂 商 以 及 零 信 任 领 域 的 新 兴 创 业 公 司 。由 于 零 信 任 方 案 的 落 地 需 要 与 业 务 场 景 高 度 结 合 ， 作 为 自 身 拥 有 强 大 研 发 和 安 全 能 力 的甲 方 企 业 ， 在 这 方 面 具 有 得 天 独 厚 的 优 势 。 自 Google发 表 BeyondCorp系 列 论 文 至 今 ，已 经 有 不 少 甲 方 公 开 了 他 们 的 零 信 任 实 践 经 验 ， 为 业 内 提 供 了 良 好 的 参 考 。 也 有 一 部 分企 业 在 自 身 成 功 实 践 的 基 础 上 ， 将 零 信 任 方 案 或 者 产 品 商 业 化 ， 从 甲 方 优 秀 实 践 者 转 变为 零 信 任 厂 商 。增 加 零 信 任 业 务 的 原 有 安 全 厂 商 基 于 之 前 已 有 的 通 用 技 术 积 累 和 丰 富 的 产 品 化 经 验 、 项目 实 施 经 验 ， 通 过 对 已 有 产 品 的 适 当 改 造 和 一 定 程 度 的 技 术 创 新 ， 快 速 切 入 零 信 任 市 场 。对 于 国 内 大 多 数 既 有 通 用 安 全 合 规 需 求 ， 又 希 望 通 过 零 信 任 提 升 现 有 安 全 能 力 （ 而 不 是彻 底 重 建 ） 的 甲 方 来 说 ， 更 倾 向 选 择 已 经 有 过 良 好 合 作 基 础 的 此 类 厂 商 。另 一 类 就 是 零 信 任 领 域 的 新 兴 创 业 公 司 ， 这 类 厂 商 更 倾 向 把 产 品 做 精 做 专 ， 也 相 对 更 愿意 迎 合 客 户 需 求 进 行 功 能 创 新 ， 因 此 也 获 得 不 少 甲 方 的 青 睐 。 按 公 司 类 型 分 类 ， 相 关 代表 厂 商 如 图 5.1所 示 ：5.2被 保 护 对 象零 信 任 聚 焦 于 保 护 “ 资 源 ” ， 即 本 文 所 述 “ 被 保 护 对 象 ” ， 包 括 组 织 拥 有 的 全 部 数 据 、应 用 和 IT资 产 （ 设 备 、 设 施 、 工 作 负 载 等 ） 。 保 护 数 据 主 要 是 指 防 止 数 据 泄 露 和 非 授权 访 问 ； 保 护 应 用 主 要 是 应 用 程 序 的 隐 身 、 应 用 的 细 粒 度 动 态 权 限 管 控 、 以 及 业 务 安 全等 ； 保 护 设 备 /设 施 /工 作 负 载 主 要 是 指 终 端 设 备 、 基 础 设 施 或 工 作 负 载 的 隔 离 与 保 护 ，比 如 云 主 机 、 容 器 等 工 作 负 载 之 间 的 隔 离 与 安 全 保 护 。 考 虑 到 API（ 应 用 程 序 接 口 ） 在数 字 化 进 程 中 所 起 的 作 用 越 来 越 大 ， 而 API安 全 问 题 导 致 的 数 据 泄 露 事 件 也 在 不 断 增 加 ，因 此 我 们 今 年 在 被 保 护 对 象 中 增 加 了 API这 一 分 类 。 保 护 API主 要 包 括 API安 全 代 理 与业 务 隐 藏 、 访 问 者 身 份 鉴 别 和 权 限 控 制 等 。组 织 在 选 择 零 信 任 策 略 执 行 点 （ PEP） 组 件 时 ， 首 先 应 识 别 所 需 要 保 护 的 资 源 类 型 （ 如前 所 述 ） 以 及 对 资 源 的 访 问 方 式 ， 例 如 用 户 访 问 业 务 应 用 、 运 维 人 员 访 问 IT资 产 、 微服 务 之 间 进 行 API接 口 调 用 、 应 用 系 统 访 问 后 台 数 据 库 ， 等 等 。 然 后 选 择 适 当 的 防 护 产品 ， 以 代 理 或 网 关 方 式 部 署 在 被 保 护 对 象 本 地 或 前 端 ， 并 配 合 零 信 任 策 略 决 策 点 （ PDP）实 现 对 资 源 的 动 态 保 护 。 按 被 保 护 对 象 分 类 ， 相 关 代 表 厂 商 如 图 5.2所 示 ：2 0 2 1 云 安 全 联 盟 大 中 华 区 -版 权 所 有 1 42 0 2 1 云 安 全 联 盟 大 中 华 区 -版 权 所 有 1 52 0 2 1 云 安 全 联 盟 大 中 华 区 -版 权 所 有 1 65.3业 务 场 景安 全 产 品 往 往 具 有 很 强 的 场 景 化 特 征 ， 在 不 同 场 景 下 选 择 合 适 的 厂 家 是 安 全 实 施 的 第 一步 。 跟 去 年 相 比 较 ， 我 们 今 年 增 加 了 数 据 交 换 、 企 业 多 云 战 略 、 物 联 网 等 场 景 ， 这 是 因为 数 字 化 改 革 越 来 越 深 入 ， 数 据 交 换 是 数 字 经 济 的 基 础 ， 数 据 往 往 掌 握 在 不 同 部 门 、 不同 组 织 手 里 ， 只 有 把 这 些 数 据 联 合 起 来 才 能 更 好 的 发 挥 数 据 的 价 值 。 Gartner调 查 表 明 ：到 2022年 底 ， 35%的 大 型 机 构 将 通 过 正 式 的 在 线 数 据 市 场 成 为 数 据 的 卖 家 或 买 家 ， 而2020年 这 一 比 例 为 25%. 这 也 说 明 数 据 交 换 市 场 正 在 放 大 ， 自 然 安 全 问 题 也 会 越 来 越 明显 。 而 云 化 和 物 联 网 的 发 展 ， 大 家 都 能 切 身 感 受 到 。上 云 还 加 快 了 SASE的 发 展 ， SASE是 一 种 基 于 实 体 的 身 份 、 实 时 上 下 文 、 企 业 安 全 /合 规策 略 ， 以 及 在 整 个 会 话 中 持 续 评 估 风 险 /信 任 的 服 务 。 SASE整 合 了 软 件 定 义 网 络 和 安 全 ，安 全 即 服 务 。 根 据 Gartner的 预 计 ， 到 2024年 ， 至 少 40 的 企 业 将 有 明 确 的 策 略 采 用SASE， 高 于 2018年 底 的 不 到 1 。当 我 们 的 业 务 正 在 快 速 放 大 ， 安 全 问 题 往 往 会 成 为 一 个 障 碍 。 Gartner的 研 究 预 计 到 2022年 底 ， 80 的 云 漏 洞 将 来 自 客 户 配 置 错 误 ， 凭 证 管 理 不 善 或 内 部 盗 窃 。 避 免 这 些 缺 陷 的最 佳 方 法 是 使 用 自 动 化 平 台 运 行 策 略 来 确 保 安 全 合 规 性 。 安 全 厂 家 有 责 任 为 组 织 提 供 合适 的 产 品 或 者 解 决 方 案 ， 推 进 业 务 的 创 新 和 变 革 。 按 业 务 场 景 分 类 ， 相 关 代 表 厂 商 如 图5.3所 示 ：2 0 2 1 云 安 全 联 盟 大 中 华 区 -版 权 所 有 1 75.4业 务 类 型与 去 年 相 比 ， 我 们 删 除 了 测 评 服 务 ， 但 是 增 加 了 评 估 服 务 和 治 理 服 务 。 零 信 任 是 一 个 安全 新 概 念 ， 不 同 的 厂 商 在 零 信 任 市 场 上 提 供 的 业 务 类 型 也 有 所 不 同 ， 主 要 包 括 产 品 、 服务 和 方 案 ， 业 务 类 型 体 现 了 厂 商 的 业 务 侧 重 点 。 标 准 产 品 解 决 相 对 比 较 明 确 的 业 务 场 景 ，它 的 特 点 是 投 入 成 本 相 对 比 较 少 ， 项 目 实 施 周 期 短 ， 可 控 性 高 。 服 务 指 的 是 安 全 相 关 的一 些 咨 询 、 评 估 等 ， 当 然 厂 商 可 能 会 有 自 己 的 一 些 工 具 配 合 人 力 服 务 。 而 方 案 一 般 是 产品 加 服 务 的 形 式 ， 形 成 一 个 整 体 解 决 方 案 ， 某 些 提 供 方 案 的 厂 商 ， 可 能 也 会 使 用 其 他 厂商 的 一 些 产 品 甚 至 服 务 ， 一 般 周 期 会 比 较 长 。随 着 数 字 经 济 的 高 速 发 展 ， 对 于 安 全 的 诉 求 越 来 越 高 。 根 据 ResearchDive最 新 发 布 的报 告 显 示 ， 全 球 零 信 任 网 络 安 全 市 场 规 模 从 2019年 的 185.0亿 美 元 增 长 到 2027年 的667.413亿 美 元 ， 从 2019年 到 2027年 的 复 合 年 增 长 率 为 17.6 ， 而 其 中 零 信 任 整 体 解决 方 案 的 市 场 份 额 将 会 越 来 越 大 。 零 信 任 从 单 一 产 品 往 平 台 、 整 体 解 决 方 案 发 展 的 趋 势越 来 越 明 显 。 对 于 甲 方 而 言 ， 选 择 合 适 的 零 信 任 厂 商 可 以 加 速 零 信 任 改 造 ， 为 业 务 赋 能 ，有 助 于 数 字 化 改 革 ， 同 时 从 数 字 化 改 革 中 获 取 增 量 业 务 所 带 来 的 创 收 。 按 业 务 类 型 分 类 ，相 关 代 表 厂 商 如 图 5.4所 示 ：2 0 2 1 云 安 全 联 盟 大 中 华 区 -版 权 所 有 1 95.5技 术 类 型跟 去 年 相 比 ， 技 术 类 型 并 没 有 调 整 ， 虽 然 技 术 不 断 发 展 ， 但 零 信 任 领 域 使 用 的 主 要 技 术还 是 SDP,IAM和 微 隔 离 。 IAM作 为 身 份 治 理 的 核 心 技 术 ， SDP解 决 南 北 向 安 全 问 题 ， 微隔 离 解 决 东 西 向 安 全 问 题 。 其 中 有 一 个 有 趣 的 事 情 ： 微 隔 离 产 品 入 选 了 Gartner发 布 的2021年 CWPP市 场 指 南 ， 说 明 数 据 中 心 内 部 东 西 向 流 量 的 安 全 问 题 越 来 越 受 重 视 。 这 跟现 在 的 系 统 越 来 越 复 杂 ， 微 服 务 、 中 间 件 、 各 种 中 台 以 及 云 部 署 有 一 定 关 系 。 按 技 术 类型 分 类 ， 相 关 代 表 厂 商 如 图 5.5所 示 ：2 0 2 1 云 安 全 联 盟 大 中 华 区 -版 权 所 有 2 22 0 2 1 云 安 全 联 盟 大 中 华 区 -版 权 所 有 2 35.6服 务 模 式零 信 任 服 务 的 部 署 模 式 取 决 于 安 全 要 求 ， 和 去 年 相 比 ， 没 有 做 调 整 ， 主 要 包 括 私 有 化 、云 化 以 及 混 合 模 式 。 私 有 化 的 部 署 模 式 下 相 关 的 产 品 或 服 务 以 私 有 化 的 形 式 提 供 ， 相 关的 资 源 或 服 务 由 一 个 用 户 独 占 使 用 ； 云 化 通 过 公 有 云 的 形 式 为 众 多 用 户 提 供 零 信 任 服 务 ，所 有 的 用 户 共 享 公 共 的 云 资 源 ； 还 有 一 种 模 式 是 同 时 支 持 私 有 化 和 云 化 服 务 的 混 合 模 式 。不 同 的 组 织 因 为 业 务 形 态 、 数 据 的 敏 感 程 度 、 风 险 承 受 能 力 或 监 管 的 要 求 不 同 ， 而 选 择不 同 的 服 务 模 式 。 很 多 高 监 管 行 业 的 客 户 可 能 更 倾 向 于 选 择 私 有 化 服 务 模 式 ， 将 产 品 部署 在 自 己 的 私 有 环 境 。 公 有 云 模 式 因 为 可 以 以 云 服 务 的 形 式 服 务 于 多 个 客 户 ， 可 以 节 省相 关 的 IT基 础 设 施 成 本 支 出 ， 具 有 较 高 的 性 价 比 。 但 从 调 查 来 看 ， 目 前 绝 大 多 数 的 零信 任 部 署 优 先 采 用 私 有 模 式 ， 说 明 大 量 的 客 户 还 是 希 望 对 平 台 有 较 强 的 管 控 力 。 按 服 务模 式 分 类 ， 相 关 代 表 厂 商 如 图 5.6所 示 ：5.7部 署 架 构零 信 任 的 经 典 部 署 架 构 主 要 包 括 ： 设 备 代 理 /网 关 部 署 、 飞 地 部 署 、 资 源 门 户 、 沙 箱 、终 端 和 探 针 等 ， 相 比 去 年 ， 我 们 增 加 了 “ 终 端 ” 。 设 备 代 理 /网 关 部 署 架 构 PEP位 于 资源 上 或 资 源 前 ， 网 关 作 为 资 源 的 代 理 ， 与 资 源 通 信 。 飞 地 部 署 架 构 下 网 关 位 于 某 一 资 源飞 地 边 界 (如 数 据 中 心 的 边 界 )。 资 源 门 户 部 署 架 构 PEP充 当 用 户 请 求 网 关 (如 公 有 云 的资 源 管 理 门 户 、 企 业 的 办 公 门 户 站 点 等 )。 沙 箱 部 署 则 是 通 过 沙 箱 让 程 序 隔 离 运 行 。 除此 以 外 还 有 部 署 与 终 端 、 核 心 交 换 机 旁 路 部 署 、 微 隔 离 等 形 式 。 部 署 架 构 的 选 择 很 大 程度 上 由 业 务 场 景 决 定 ， 企 业 选 择 的 部 署 模 式 需 要 结 合 实 际 的 业 务 场 景 。 从 目 前 的 落 地 情况 看 ， 设 备 代 理 和 终 端 这 两 种 架 构 的 部 署 模 式 占 据 了 主 流 。 按 部 署 架 构 分 类 ， 相 关 代 表厂 商 如 图 5.7所 示 ：2 0 2 1 云 安 全 联 盟 大 中 华 区 -版 权 所 有 2 62 0 2 1 云 安 全 联 盟 大 中 华 区 -版 权 所 有 2 76.零 信 任 落 地 案 例6.1深 信 服 -葛 洲 坝 集 团 零 信 任 安 全 办 公 项 目6.1.1 方 案 背 景中 国 葛 洲 坝 集 团 股 份 有 限 公 司 是 一 家 集 工 程 建 设 、 工 业 制 造 、 投 资 运 营 、 综 合 服 务 为 一体 的 跨 国 经 营 企 业 集 团 ， 是 大 型 基 础 设 施 投 资 建 设 领 域 的 “ 国 家 队 ” ， 是 水 利 水 电 建 设的 “ 全 球 名 片 ” ， 创 造 了 5000余 项 精 品 工 程 和 100多 项 世 界 之 最 。 葛 洲 坝 集 团 多 次 荣获 国 家 科 技 进 步 特 等 奖 、 国 家 科 技 进 步 一 等 奖 、 国 家 优 质 工 程 金 质 奖 、 中 国 建 筑 工 程 鲁班 奖 、 中 国 土 木 工 程 詹 天 佑 奖 、 全 国 五 一 劳 动 奖 状 、 中 国 对 外 承 包 工 程 企 业 社 会 责 任 金奖 等 荣 誉 ， 入 选 美 国 工 程 新 闻 记 录 （ ENR） 全 球 国 际 承 包 商 225强 、 财 富 中 国500强 企 业 、 中 国 建 筑 业 竞 争 力 200强 企 业 等 排 名 。葛 洲 坝 集 团 坚 持 科 技 创 新 引 领 发 展 ， 是 国 家 创 新 型 企 业 和 国 家 高 新 技 术 企 业 ， 在 数 字 化浪 潮 下 ， 葛 洲 坝 集 团 也 在 积 极 投 入 数 字 化 建 设 。 随 着 数 字 化 转 型 的 不 断 深 化 ， 在 业 务 访问 上 ， 越 来 越 多 的 业 务 系 统 需 要 实 现 随 时 随 地 的 移 动 接 入 ， 建 设 面 临 诸 多 挑 战 ：1） 过 去 考 虑 便 利 性 ， 一 些 移 动 接 入 的 业 务 系 统 直 接 暴 露 在 互 联 网 上 ， 且 明 文 传 输 ， 存在 极 大 的 安 全 风 险 ， 需 要 收 缩 业 务 系 统 暴 露 面 ， 实 现 数 据 安 全 传 输 ；2） 员 工 可 以 通 过 办 公 APP、 企 业 微 信 、 浏 览 器 等 多 种 方 式 访 问 业 务 系 统 ， 希 望 提 供 安 全 、快 捷 的 认 证 方 式 ， 以 及 一 致 的 访 问 权 限 ；3） 组 织 架 构 上 存 在 众 多 分 支 单 位 ， 需 实 现 安 全 接 入 策 略 的 分 级 分 权 管 理 ；4） 日 志 审 计 合 规 ， 需 要 提 供 详 尽 的 日 志 审 计 功 能 ， 满 足 6个 月 以 上 的 日 志 审 计 的 要 求 。葛 洲 坝 集 团 希 望 找 到 一 套 合 适 的 方 案 来 解 决 上 述 问 题 。6.1.2 方 案 概 述 和 应 用 场 景通 过 前 期 的 方 案 调 研 ， 葛 洲 坝 选 择 了 以 零 信 任 理 念 构 建 业 务 安 全 访 问 的 防 护 体 系 ， 结 合自 身 需 求 及 实 际 测 试 ， 最 终 选 择 了 深 信 服 零 信 任 安 全 办 公 方 案 。1） 通 过 集 群 部 署 零 信 任 控 制 中 心 和 零 信 任 代 理 网 关 ， 实 现 统 一 管 理 和 保 障 办 公 业 务 安全 访 问 的 高 可 靠 性 ；2） 通 过 策 略 配 置 ， 将 业 务 系 统 收 缩 进 内 网 ， 避 免 直 接 暴 露 在 互 联 网 ， 并 通 过 SSL 加 密技 术 实 现 数 据 传 输 加 密 ；3） 通 过 零 信 任 控 制 中 心 与 企 业 微 信 、 统 一 认 证 平 台 、 办 公 APP进 行 对 接 ， 实 现 统 一 身份 管 理 和 无 密 码 认 证 ， PC端 采 用 企 业 微 信 扫 码 登 录 ， 手 机 端 可 实 现 指 纹 快 捷 认 证 ；4） 通 过 管 理 员 分 级 分 权 功 能 ， 将 系 统 管 理 员 、 安 全 管 理 员 、 审 计 管 理 员 角 色 分 开 ， 满足 等 保 合 规 要 求 ， 并 通 过 创 建 二 级 管 理 员 ， 实 现 下 级 单 位 自 助 运 维 管 理 ；5） 通 过 零 信 任 的 日 志 中 心 平 台 将 所 有 的 用 户 日 志 、 管 理 员 日 志 统 一 存 储 、 查 询 ， 并 提供 用 户 访 问 行 为 、 统 计 报 表 和 风 险 分 析 功 能 ； 将 用 户 访 问 应 用 的 行 为 明 文 镜 像 给 态 势 感知 ， 实 现 安 全 联 动 。6.1.3 优 势 特 点 和 应 用 价 值葛 洲 坝 集 团 通 过 零 信 任 方 案 建 设 实 现 了 安 全 移 动 办 公 ， 员 工 可 以 随 时 随 地 安 全 地 访 问 各内 网 业 务 系 统 ， 办 公 效 率 得 到 了 大 幅 提 升 ；通 过 办 公 APP、 统 一 认 证 平 台 、 企 业 微 信 与 零 信 任 结 合 ， 实 现 了 门 户 入 口 集 约 化 和 统 一身 份 管 理 ， 提 高 办 公 效 率 与 安 全 性 ；管 理 员 分 级 分 权 、 日 志 留 存 等 ， 满 足 合 规 以 及 日 常 管 理 要 求 。6.1.4 经 验 总 结项 目 实 施 过 程 也 经 历 了 不 少 挑 战 ， 最 终 在 厂 商 的 配 合 下 顺 利 落 地 ：1） 业 务 系 统 的 快 速 上 线 ： 由 于 业 务 系 统 众 多 ， 涉 及 到 零 信 任 设 备 要 与 办 公 APP、 企 业 微信 、 统 一 认 证 平 台 对 接 ， 除 了 产 品 能 力 外 ， 实 施 经 验 也 尤 为 重 要 。 在 整 个 业 务 上 线 过 程中 ， 深 信 服 积 极 提 供 同 类 场 景 的 经 验 参 考 ， 保 障 了 业 务 顺 利 上 线 ；2） 业 务 的 延 续 性 ： 在 零 信 任 上 线 前 ， 原 本 VPN的 访 问 路 径 要 保 持 不 能 中 断 ， 涉 及 到 现有 应 用 、 权 限 等 策 略 的 迁 移 和 零 信 任 上 线 前 期 的 并 存 使 用 ， 既 要 考 虑 策 略 的 平 滑 迁 移 ，也 要 考 虑 并 存 场 景 下 的 冲 突 问 题 。 深 信 服 在 实 施 中 提 供 了 VPN配 置 转 化 服 务 ， 保 障 了 策略 平 滑 迁 移 ， 且 零 信 任 采 用 与 VPN不 同 的 技 术 架 构 ， 避 免 了 客 户 端 的 兼 容 冲 突 ， 在 不 中断 业 务 的 情 况 下 实 现 了 零 信 任 的 上 线 。6.1.5 其 他 （ 反 馈 /荣 誉 ）客 户 评 价 ： 深 信 服 零 信 任 解 决 方 案 极 大 地 提 升 了 葛 洲 坝 集 团 的 办 公 业 务 访 问 的 安 全 性 ，满 足 等 保 合 规 、 审 计 合 规 的 要 求 ， 产 品 兼 容 性 好 、 日 志 审 计 详 细 ， 能 很 好 地 提 升 运 维 效率 。6.2天 融 信 -某 省 公 安 大 数 据 智 能 化 安 全 建 设 采 购 项 目6.2.1 方 案 背 景某 省 公 安 厅 大 数 据 安 全 整 体 解 决 方 案 ， 以 “ 一 切 资 源 化 、 资 源 目 录 化 、 目 录 全 局 化 、 全局 标 准 化 ” 为 设 计 理 念 ， 以 “ 分 层 解 耦 ， 异 构 兼 容 ” 为 设 计 思 路 ， 以 “ 安 全 、 合 规 、 可信 ” 为 实 现 目 标 ， 提 升 科 学 实 用 的 体 系 化 安 全 防 护 能 力 ， 规 范 化 安 全 管 理 能 力 ， 综 合 化安 全 运 维 能 力 ， 实 现 全 网 安 全 态 势 敏 锐 感 知 ， 安 全 威 胁 快 速 检 测 与 处 置 确 保 大 数 据 全 程可 知 可 控 ， 可 管 可 查 ， 变 静 态 为 动 态 ， 变 被 动 为 主 动 ， 为 某 省 公 安 厅 公 安 大 数 据 智 能 化建 设 保 驾 护 航 。6.2.2 方 案 概 述 和 应 用 场 景本 案 以 数 据 安 全 为 中 心 ， 以 安 全 基 础 设 施 为 支 撑 ， 以 安 全 大 数 据 智 能 分 析 为 抓 手 ， 从 “ 云 、数 据 、 应 用 、 网 、 边 界 、 端 ” 六 维 构 建 纵 深 ， 实 现 统 一 安 全 管 理 ， 构 建 “ 安 全 、 可 信 、合 规 ” 的 大 数 据 智 能 化 安 全 立 体 纵 深 防 御 体 系 ， 形 成 科 学 实 用 的 规 范 化 安 全 管 理 能 力 、体 系 化 安 全 防 护 能 力 、 综 合 化 安 全 运 维 能 力 ， 变 静 态 为 动 态 ， 变 被 动 为 主 动 ， 为 公 安 大数 据 智 能 化 建 设 提