基于等保2.0和可信数字网络架构的安全保障体系

发布时间:2019-05-27 10:18 作者/来源: 浏览量:993

《中华人民共和国网络安全法》于2017年6月1日颁布,明确了国家实行网络安全等级保护制度,标志了等级保护制度的法律地位,等级保护制度是国家的基本制度、基本国策、地位特殊,对于维护中国网络安全、维护国家安全、社会秩序和公共利益意义重大。


为了配合网络安全法的实施,同时适应云计算、移动互联、物联网、工业控制和大数据等新技术、新应用情况下网络安全等级保护工作的开展,弥补等保1.0标准在适用性、时效性、可操作性等方面的缺陷,公安部组织相关单位制定并发布了等保2.0系列标准,为推动标准落地,联软科技积极参与标准宣贯,未来将发布一系列等保2.0标准解读。


读者通过本文可了解等保2.0标准的内涵和核心变化,并可了解数字化时代背景下如何构建基于等保2.0和可信数字网络架构的安全保障体系



等保2.0内涵和核心变化


为落实“分等级保护、突出重点、积极防御、综合防护”的总体要求,建立“打防管控”一体化的网络安全综合防御体系,提升国家网络安全整体防御能力,公安部于2019年5月13日正式发布了《网络安全等级保护基本要求》、《网络安全等级保护安全设计技术要求》、《网络安全等级保护测评要求》三个核心标准,初步形成了比较完备的等级保护体系,标准主要内涵和变化情况如下:




同时针对云计算、移动互联、工控系统、物联网提出安全扩展要求,如果是金融、电力等关键基础设施,必须在基本要求的基础上,根据自身系统情况,满足扩展相关要求。



安全建设需求和建设新思路


等级保护制度是在国家大力推进数字化经济的背景下推出的,现在企业纷纷利用新技术进行数字化转型,建立了以数据业务为核心,以云计算、物联网、大数据、人工智能、移动互联网等新技术为支撑的新一代业务系统,推动了企业业务发展,但随着传统IT向新一代IT转变,用户、设备、应用和数据正在向传统企业边界控制区域之外迁移,用户访问未知不固定,传统安全防护手段无法适应移动互联、物联网等新技术场景的安全防护,用户急需针对新一代IT设施,从全新的安全视角构建整体、动态、主动、精准的安全保障体系,并充分发挥可信通信、可信边界、可信计算在企业安全建设的关键作用。


Ⅰ.


一:满足等级保护2.0合规要求

在等级保护提升到国家基本制度、基本国策的背景下,目前等级保护制度通过网络安全法已上升到法律层面,具备法律约束力,如果不按等保合规要求履行安全建设义务,可能遭受执法部门处罚,主要责任人可能会被追究法律责任。


二:解决新技术带来的新风险

随着各行各业推动云计算、移动互联、物联网等新技术应用,需要针对新技术的特点,避开传统安全防护无法有效应对的问题,采用全新的安全视角构建整体、动态、主动、精细的安全保障体系,特别是针对金融、电力等关键基础设施,需要在满足基本要求的情况下,实现重点防护,提升动态、主动防御能力。


三:发挥可信技术的关键作用

在安全法明确支持推广国产自主可信的环境下,必须在找漏洞、打补丁等传统安全防护方式的基础上,采取安全可信、主动免疫等新的防护手段,做到攻不进去,非授权信息拿不到,窃取信息看不懂,系统和信息改不了,系统攻击行为赖不掉,实现安全通信、安全区域边界、安全计算环境。


四:安全融于业务

在满足等级保护合规的基础上,安全与业务深度融合,且安全不降低业务效率,协助客户快速完成业务开发、业务上线、业务推广等,同时提升用户访问业务的体验。


五:加强安全风险管控

通过安全重构大幅减小攻击面和降低问题发生的概率;通过动态授权和访问控制实现身份统一管理,大幅减低入侵可能或延缓攻击;通过大数据、人工智能、欺骗等技术,快速发现入侵,追踪溯源,消除入侵。


六:加强安全管理建设

技术和管理并重,加强安全管理机构、制度、人员、建设、运维管理建设,构建统一集中管控平台,实现统一监控、统一安全基线管理、统一策略下发、统一安全事件和行为管理等,防止风险扩散,持续提升安全运营服务能力,实现人机共治。


Ⅱ. 


基于以上需求分析,尊重历史,着眼未来,建议用户基于可信数字网络架构理念构建新一代安全保障体系。

       


由上图可见,可信数字网络架构相对传统安全防护理念具有以下特点:


一是可避免被动防御、疲于奔命、很难成功等传统安全防护思路存在的问题,通过安全重构,大幅减小攻击面和降低问题发生的概率;


二是在静态防护、漏洞修补等传统安全防护基础上,通过安全重构,减少攻击面,并实现动态授权和访问控制,大幅减低入侵可能,延缓攻击,避免系统瘫痪或数据泄露;


三是利用人工智能、主动欺骗等技术对行为进行分析,快速发现入侵,追踪溯源,消除入侵,使得安全体系具备安全对抗的能力。


基于此,我们设计了基于可信数字网络架构的平台化安全防护解决方案


Ⅲ. 平台化安全防护解决方案总体框架



一:可信接入(前提)

通过建立统一身份认证体系,实现用户、设备、业务等所有用户或设备的统一身份管理和入网管控,通过安全绑定、安全检查等技术,确保入网设备合规、身份真实唯一,并可对入网用户实现动态细粒度访问控制。针对云平台等环境,用户可采用基于零信任的SDP架构,实现用户和设备安全接入、动态细粒度最小权限控制、设备安全合规管理、单点登录、加密传输、数据安全保护等功能,减少业务攻击面,确保终端数据不丢失、不扩散、不泄露。


二:设备及资产管理(基础)

通过主动、被动等方式,利用探针、客户端等方式协助客户摸清资产,实现资产分类管理,及时发现非合规、存在风险的资产,及时对风险资产进行预警、审计和处置,提升资产合规率。


三:行为可管可控(关键)

不依赖黑白名单,实现网络行为、终端行为、服务器行为、数据使用行为可管可控,不放过任何可疑行为,如在网络行为管理方面,可基于设备画像、大数据、威胁情报等技术实现异常或恶意行为发现管控;同时可基于主动欺骗技术实现入侵行为主动捕捉,并可联动准入、终端管理等设施避免风险扩散,实现风险溯源;在终端行为管理方面,可实现软件使用行为、终端安全行为、终端非法外联、终端打印行为、文件拷贝行为等行为的管理;在服务器行为管理方面可及时发现流量异常行为、管理员配置缺陷等行为的发现和管控;在数据行为管控方面,可实现数据外发、打印截屏等行为的管控。


四:数据安全可控(核心)

等级保护2.0明确要求保护个人信息,同时企业自身也存在敏感数据保护问题,如果要实现数据安全管控,首先要掌握需要保护的数据有哪些,分布在什么地方。联软科技具有丰富的,以场景为驱动的解决方案实施经验,可协助客户完成数据梳理,同时提供DLP工具,用户利用关键字、数据标识符、自动聚类、文档DNA等技术通过主动、增量扫描等方式可快速完成敏感数据发现。


针对数据使用环节,联软科技提供了邮件/移动存储介质等外发通道监控、外发审计或阻断、数据跨网安全交换、数据使用行为分析审计、文档流转追踪、拍照截屏追踪溯源等数据保护技术,可与用户现有审批流程无缝集成。


五:智慧洞察安全(价值呈现)

通过集中管控平台采集各类网络行为、终端操作行为、数据使用行为等数据,利用联软自主研发的大数据、机器学习、设备画像、幻影技术等核心技术,及时发现内网异常行为或外部入侵行为,并及时联动准入等设施控制风险,真正做到用户可见、行为可控、风险可视、响应及时。


总结


等级保护的实施必须根据用户网络和业务实际情况,需要在满足等保2.0合规要求的前提下,注重安全与业务的融合,任何的安全手段不能降低业务效率,同时要区别对象,重新审视对象,对于云平台等采用新技术构建的设施,需要重新定级并慎重选择技术路线,采用实事求是的科学安全观,统一规划,稳步推进,真正做到不但可以满足等保要求,同时可以满足业务实际需要,不降低业务效率,实现安全与业务的融合共生共存。

全国服务热线

400-6288-116

联系我们

Email: support@leagsoft.com

深圳市南山区高新区软件大厦10层1001-1003

服务热线

400-6288-116

在线咨询

售前咨询

售后咨询

渠道合作

申请试用

公众号

微信扫一扫
关注公众号:Leagsoft

返回顶部
本站由XwebCms技术服务