最全安全方案架构设计-装备评测-终极神装预览站

导语：

随着各项安全法规的相继落地，安全体系建设对于企业显得尤为重要，本文将从终端层、网络层、云平台、数据、身份、特殊场景的安全角度出发整体进行安全体系架构的设计。

安全环境大背景：

木马网络攻击勒索病毒log4j企业数据泄露企业境外上市数据安全违规 ……

近几年安全事件频发，且攻击手段不断创新，各类安全法规也相继不断出台，安全成为企业IT建设中不可或缺且极为重要的部分；安全事件的发生，可能带来企业资产、业务发展、品牌形象等不同程度的损失，因为针对安全部分的建设，必须进行整体全面的考虑与规划，只有将安全防护体系建设的更全面才能将攻击拦在墙外。

整体方案架构设计：

全面考虑现有安全场景及法律法规相关要求，从多个维度整体考虑安全防护方案，整体分为三横三纵6大模块，部分模块可能在安全设计上存在一定重叠。

终端安全：终端安全是安全防护的最前端，特点是数量多，分布散，公网面接触大，个人行为个性化可控性差。整体以下几个角度进行终端安全建设：终端设备防护、终端行为管控、零信任体系、移动端安全以及云桌面的桌面托管方案。

网络安全：网络安全涉及业务的公网入口，攻击的第一道入口。进行网络安全的防护主要从以下几个角度考虑：链路安全、传输层进行加密、DDos防护、云防火墙、web防火墙、混合云网络边界安全防护。

云平台安全：如果网络层被攻破，云平台会面临直接威胁，云平台层的安全防护将会作为最后一道防线。云平台的安全主要从以下几个维度进行建设：主机安全、容器安全、平台审计、运维安全。

纵向维度安全：

身份安全：通过身份安全实现对整个平台及链路访问人员及管理人员的认证与管理，身份安全主要有以下几个维度：多因子认证、身份管理、身份验证

数据安全：《数安法》及《个保法》的颁布实施进一步加强了数据安全的重要性，数据安全从以下几个方面进行考虑：敏感数据识别、数据脱敏、数据加密、数据分类分级、数据资产标签等

场景安全：除了通用的平台及技术安全考虑之外，还有其他一些特殊场景的安全需要进行额外考虑，比如外卖、电商场景下的个人信息保护，可以考虑使用号码保护的方案；个保法要求之下，app等需要通过隐私合规的检测才能上架，不符合隐私合规要求的app会面临下架、通报、整改等风险；除此之外，小程序已经成为企业主流的前端选择，关于小程序安全的建设也同样不可忽略

整体安全架构设计以下针对各部分安全建设进行一定展开

终端安全

终端设备防护

病毒查杀主动防御和拦截专业漏洞修复异常登录检测访问习惯、关系异常检测系统加固文件、数据管理/水印外设管控终端应用安全终端行为管控

数据防泄漏高危行为识别员工违规操作可追溯零信任

无流量是默认“可信任”基于用户的身份和行为动态授权移动端安全：

设备注册设备策略设置设备信息随时获取设备运行监控远程控制设备回收安全安全工作空间云桌面

本地操作，运行与云端数据全部存储在云端，无法下载本地网络安全：

传输加密

https/ssl证书私有协议加密混合云网络安全

V**专线SDWAN DDos防护

流量清洗云防火墙

基于区域的ACLIPS防护平台安全

主机安全

资产管理入侵检测漏洞&安全基线安全运营&防御容器安全

镜像安全镜像仓库安全集群安全api安全运行环境安全权限及审计

用户权限设置平台操作日志运维安全

身份管理权限管理访问管理运维日志追溯审计身份安全

多因子认证

动态令牌口令MFA软令牌短信令牌手机app令牌身份管理

内部员工数据源外部员工数据源组织架构分层权限管理账号审计身份验证

人脸核身微信实名认证银行卡二要素、三要素、四要素验证运营商三要素数据安全

敏感数据识别

出生日期姓名身份证号银行卡号电话号码…… 数据脱敏

静态脱敏动态脱敏数据分类分级

1级-业务订购关系等2级-消费信息等3级-自然人身份标识等4级-实体身份证明等…… 数据资产标签

资产发现自动化数据标签风险监控细粒度授权

结构化数据授权非结构化数据授权字段（行、列）授权文件（查看、外发、修改）授权数据策略管控

办公、运维等多场景数据访问区分控制数据安全审计数据加密

敏感数据加密透明加解密信封加密防盗链视频加密内容安全

网页防篡改文件水印文档预览反爬虫数据容灾备份

数据备份文件备份同城双活异地灾备两地三中心场景安全

号码保护

隐藏号码中间号通话隐私合规检测

行为合规检测权限合规检测第三方SDK合规检测小程序安全

促销安全会员安全代码安全交易安全由于方案涉及内容过多，未做完全展开，只分模块拆分核心点

附录：