零信任案例分享——持安科技超大型互联网科技企业应用实践

根据Gartner此前的预测，到2025年，60%的组织将采用零信任。Gartner前不久发布了2024年及未来中国网络安全的重要趋势预测，其中“零信任采用”更是成为并列的七大趋势之一。这也显示了调研机构眼中对于零信任的态度，其技术逐渐成熟，且在大范围的场景化落地当中。

 

在一场讨论实战攻防的网络安全会议上，安全419发现如今越来越多的甲方企业对于“合规框架只是安全起点”有了更明确的认知，对于新技术上的采用，引入零信任技术正成为当下和未来的重要工作之一。在另外一场会议上，有甲方企业分享指出，实现零信任技术落地，重点需要解决的是如何将零信任融入到当前的整体安全架构当中，以至于没有企业敢一步到位，但阶段性部署案例已十分常见。

 

“零信任正在展现新价值，成为企业参与数字化竞争的核心能力之一。”“零信任已步入落地时代。”有零信任实践厂商也告诉安全419，随着零信任技术成熟度的进步，如系统化的解决了框架性的融合问题，同时作为新型安全基础设施，其技术用例也越来越完善，且能够以场景化的分阶段加以实践部署，将完全打消客户对于业务影响上的担忧。

 

总结而言，零信任已经成为企业强有力的安全运营新范式，大多数甲方用户正从早期的技术关注，到技术了解，已经开始大范围尝试落地零信任。鉴于不同甲方用户存在不同的应用场景，安全419也从各家零信任厂商处征集了一些具有代表性的零信任实践案例，仅供实践需求企业借鉴参考。

 

 

 

 

 

持安科技向我们讲述的是零信任在超大型互联网科技企业下的应用实践，该案例需求客户是一家服务于全球10亿以上互联网用户的，在领域内具有领先地位的大型集团性互联网科技企业。与同类型企业相比，面对网络安全风险不断加剧的现实考量，该企业希望通过引入零信任技术以作为现有安全框架的有力补充，以实现对网络安全和数据的更好管控。

 

持安科技指出，当前大型企业在面对网络安全和数据安全问题时具有以下几大共同痛点，如面对已知和未知的攻击面，如何有效收敛；内网高度开放，内部策略与规则过多，安全部门难以高效管控；对管理访问权限如何做到精细化管理，以避免越权访问等等。由于该企业体量极为庞大，业务需求多样化，持安科技为其搭建零信任技术体系时也进行了量身设计和分阶段落地。

 

其中核心指标主要以满足对海量员工同时访问应用时，零信任产品需要保障其在多种情况下的高稳定性和低延迟。此外，其企业内部体量大需求复杂，存在大量历史业务系统，不同业务部门的沟通与适配难度不同，这也需要帮助其建立业务部门与安全部门之间的信任感，持安科技零信任对于普通员工而言无需任何学习成本，因此不会给安全部门增加额外的工作与沟通负担。

 

 

持安科技分享指出，零信任建设规划在设计项目目标时候需要兼顾安全目标（比如业务覆盖率）、业务体验（比如稳定性）和用户侧的体验（比如访问是否卡顿）。

 

从对象企业现状出发，项目组将办公网零信任最终目标制定为：1、业务功能：提供便捷的、稳定的使用体验，允许在公网使用零信任系统；2、稳定性：办公类业务系统全部发布到零信任网关，能够支撑全员同时在线办公，全年无重大线上安全事故；3、安全能力：已接入的业务系统完成加固，包括HTTPS、最小化访问权限、WAF防护、风控能力等等。

 

针对上述目标，项目组将整体计划分为3个阶段进行落地：
 

该超大型互联网科技企业选择与持安科技合作，共建7层零信任架构，方案基于Google Beyond corp架构逻辑，根据零信任理念将数据安全能力深入至企业应用层。所有访问请求和返回的内容，都与访问者的业务身份和权限关联。基于可信验证的逻辑来判定：什么人，通过什么接口，访问过什么应用与数据，决策中心会基于访问者的上下文行为，综合评估访问者的访问行为是否安全。

 

 

通常情况下，业务将域名CNAME指向7层网关就可以实现接入。网关可以基于OpenResty、APISIX、Envoy等开源组件实现，跟IAM进行打通，实现透明的SSO认证等安全能力。7层代理的主要目标是收敛HTTP(S)业务的安全风险，解决如下安全问题：1、业务低成本实现SSO认证、加密访问、认证鉴权等安全能力；2、统一访问入口、收敛生产网端口开放策略，通过减少生产网攻击面来提升内网的健壮度。

 

 

方案在落地过程中，主要解决了如下几个关键困难：

 

 

落地零信任需要解决如下关键困难，其中最为核心的是考虑业务容灾能力，业务可扩展能力，和业务访问体验。容灾能力的设计原则是支持多机房保活，设计异地灾备、自动降级和熔断措施等能力。同时要求不依赖任何外部服务，要假设服务（MySQL、redis、SSO等等）都会出现故障，比如访问超时、服务挂掉、数据全部丢失，需要设计完善的兜底措施。

 

完善的应急预案同样重要，针对用户侧、业务系统、依赖服务三个部分，对各类故障设计完善的SOP，对每一个动作都要有完成时间预估，确保风险可控；每季度模拟故障演练，确保人员操作熟练、流程成熟运行（核心人员要保持稳定）。

 

考虑到该大型企业内办公流量的不同现实场景，比如可拆分为低延迟、大流量、大文件上传等可能对系统造成压力的场景，针对上述场景，方案设计需要进行全链路的参数调优工作，包括网络层、操作系统层、应用层均需要提前沟通、调优，并进行正确的配置。

 

同时要进行典型压力测试，其标准是既要进行全链路压力测试，也要针对单个组件进行测试。其测试应适情加大周期，以持续观察系统稳定性，从而保证零信任项目稳定落地。另外项目落地还要结合企业自身的不同业务和技术应用情况，兼顾调优了多项其他可干扰稳定性的风险点。

 

 

在具体落地零信任时，考虑到所有办公业务系统都需要接入零信任，因此在产品流程设计上需要对用户透明，尽可能让用户感知不到零信任的存在。甚至方案对于业务管理员，也尽量只提供简单、主要的功能，以提升用户体验并降低后续的运营成本。

 

我们看到持安科技在体验问题方面从用户角度出发，对其进行了详细的拆解，从不同的用户群体的不同需求，以及评价指标和主动提升体验性方面均做了大量工作。其重点关注的还是高频使用场景，以业务系统权限申请和审批为例，其做法是直接与IM系统打通，在IM内部、手机上均可实现操作。

 

 

由于该大型企业内部有较多无负责人或者处于零维护状态的业务系统，一旦出现问题无法及时处理；对于核心的重要业务系统，出现问题将是全员级别的故障。考虑到任何线上的系统都会出现问题，所以落地零信任一定要做好兜底安全措施和风险控制方案。

 

 

 

在具体的客户收益方面，持安零信任产品目前已经在该大型企业内所有员工的所有办公场景落地，合计发布应用近20000个。该大型企业的主要互联网业务承载国内外海量用户全天24小时应用，可视为信息技术关键基础设施，近年来也是连续参与实战演练活动，在其原有完善的安全体系与持安科技零信任技术的助力下，该大型企业在“大考”期间如期取得了零失分的优异成绩。

 

其整体零信任方案带来的其他收益如下：

 

1、业务隐身。通过部署零信任安全网关，在不改变原访问模式的基础上，将企业内部办公期间需要访问的应用全部隐身，无论员工在内网还是外网，需要访问业务访问必须经过网关，经验证扫描不可达，未知人员只可以接触到网关，无法接触业务系统，减少对外暴露带来的风险影响。

 

2、助力业务发展。通过部署零信任动态决策引擎模块，同时与流程自助系统进行打通，普通用户也可自行申请对应用进行创建或者添加权限，将管理分散到具体部门负责人。保障业务数据安全，权限分明，操作简单，接入即安全，接入即合规。同时与企业IM进行融合，可根据申请，配置IM软件用户群组授权。

 

3、主动防御拦截。不依赖特征检测，而是基于访问者的真实业务身份，建立基于构建访问信任链，只有经零信任可信验证通过的访问才可建立连接，从源头拦截恶意访问。

 

4、业务无改造，无感接入。提供三方IAM融合能力，通过与该企业的IAM进行融合，业务无需改造，使用原先认证方式即可，减少业务适配的复杂度。

 

5、数据安全能力。通过部署零信任网关，业务流量由网关统一代理，通过分析网关产生数据，可确定具体部门及应用和访问量等的对应关系，后续用于数据成本分析。

 

6、大规模部署稳定流畅。当前系统采用分布式集群部署，同时加入自动降级机制，任何节点下的任何组件出现故障，均会开启该机制，系统自动Bypass，保证应用访问。

 

 

另一方面，以上案例我们也看到了持安科技对于零信任多年的技术和经验优势，从目标规划到分阶段落地，再到根据客户规模和业务特点对技术落地所遇到的难点一一攻克。据了解，持安科技全网、全行业覆盖的零信任产品和解决方案，接入业务系统数量已达20000+，总接入用户数超100万+，已成为国内落地零信任技术的重要力量。

 

 

北京持安科技有限公司是中国零信任网络安全厂商的代表企业，聚焦办公安全领域，提供面向企业级市场的基于零信任的办公安全产品和解决方案，创始团队来自甲方企业信息安全部门及国内大型网络安全厂商，希望成为国内最懂甲方的零信任安全专家。持安科技致力于将近20年的甲方信息安全部门从业经验，以及9年零信任实际落地经验，转化为高效、低成本的一体化安全能力，让安全为业务提供价值。目前产品覆盖互联网、金融、能源、科技、高端制造、游戏、新零售等领域。