您所在的位置: 首頁 >
新聞資訊 >
技術前沿 >
工業(yè)互聯(lián)網(wǎng)企業(yè)身份與訪問控制課題研究與探索
摘要:工業(yè)互聯(lián)網(wǎng)作為國家重點信息基礎設施的重要組成部分,正在成為全世界最新的地緣政治角逐戰(zhàn)場。工業(yè)控制系統(tǒng)由封閉狀態(tài)直接或者間接的與互聯(lián)網(wǎng)連接,其固有的安全弱點將被暴露在互聯(lián)網(wǎng)上并被無限放大,成為黑客未來攻擊的熱點和重點。如何確保工業(yè)企業(yè)的網(wǎng)絡安全,保障國家和社會經(jīng)濟正常運轉成為國家和企業(yè)的重要研究課題。從用戶身份和訪問控制的角度探討由政府層面統(tǒng)籌規(guī)劃建立的基于云服務模式的身份和訪問控制體系模型的可行性,并描述了相應的建設內(nèi)容,為工業(yè)互聯(lián)網(wǎng)時代的企業(yè)網(wǎng)絡安全建設提供了一個思路。
內(nèi)容目錄:
1 工業(yè)互聯(lián)網(wǎng)安全現(xiàn)狀
1.1 工業(yè)互聯(lián)網(wǎng)安全事件頻發(fā)
1.2 國內(nèi)工業(yè)互聯(lián)網(wǎng)發(fā)展現(xiàn)狀
1.3 國內(nèi)工業(yè)互聯(lián)網(wǎng)常見問題
1.3.1 行業(yè)復雜性帶來需求多樣性的挑戰(zhàn)
1.3.2 缺乏統(tǒng)一接入的安全標準及安全規(guī)范、服務規(guī)范的建設
1.3.3 云服務下用戶身份治理問題分析
1.3.4 工業(yè)企業(yè)安全事件缺少審計
1.3.5 風險診斷和研判能力有待提升
1.3.6 企業(yè)應急機制的補充與完善
2 身份與訪問控制體系建設思路
3 身份與訪問控制體系建設內(nèi)容
3.1 工業(yè)領域各企業(yè)用戶身份治理需求多樣性
3.2 實現(xiàn)多層次安全風險要素的集中分析和處置
3.3 建設云端企業(yè)安全檢測評估服務
3.4 建設風險診斷與研判公共服務
3.5 建設用戶動態(tài)權限保護
3.6 建設應急處置公共服務
3.7 開放性設計抵御主要安全威脅
3.8 可定制性的安全能力建設
3.9 建立安全規(guī)范和服務規(guī)范
4 結 語
隨著信息技術的不斷發(fā)展,傳統(tǒng)封閉的工業(yè)控制系統(tǒng)利用新興互聯(lián)技術實現(xiàn)生產(chǎn)效率的提升,但同時其本身固有的安全漏洞及互聯(lián)網(wǎng)的安全威脅也極大地影響了生產(chǎn)的安全。保障生產(chǎn)安全有多方面措施,本文從用戶身份管理和訪問控制的角度探討了生產(chǎn)安全的保障機制,希望為工業(yè)互聯(lián)時代的企業(yè)網(wǎng)絡安全建設提供一個思路。
1、工業(yè)互聯(lián)網(wǎng)安全現(xiàn)狀
近年來,隨著我國工業(yè)互聯(lián)網(wǎng)的高速發(fā)展,網(wǎng)絡安全威脅正在加速向工業(yè)領域蔓延,傳統(tǒng)的工業(yè)控制系統(tǒng)的安全機制的弱點在互聯(lián)網(wǎng)上暴露無遺。
1.1 工業(yè)互聯(lián)網(wǎng)安全事件頻發(fā)
工業(yè)互聯(lián)網(wǎng)作為國家重點信息基礎設施的重要組成部分,正在成為全世界最新的地緣政治角逐戰(zhàn)場。例如,包括能源、電力等在內(nèi)的關鍵網(wǎng)絡已成為全球攻擊者的首選目標,極具價值。當前,網(wǎng)絡安全威脅正在加速向工業(yè)領域蔓延,工業(yè)互聯(lián)網(wǎng)安全事件頻發(fā)已經(jīng)嚴重影響經(jīng)濟社會正常運行及國家安全,接連發(fā)生的安全事件引發(fā)各國對工業(yè)互聯(lián)網(wǎng)安全高度重視與關注。
2015 年 12 月,烏克蘭約 60 座變電站遭到黑客攻擊,導致烏克蘭 140 萬名居民遭遇了一次長達數(shù)小時的大規(guī)模停電;2017 年 5 月,“永恒之藍“勒索病毒席卷全球,英國、意大利、俄羅斯等歐洲國家以及中國國內(nèi)多個高校內(nèi)網(wǎng)、大型企業(yè)內(nèi)網(wǎng)和政府機構專網(wǎng)中招,被勒索支付高額贖金才能解密恢復文件;2021 年 5 月,美國最大的燃油管道商 Colonial Pipeline 遭到勒索軟件攻擊,導致其業(yè)務受到嚴重影響。
事實證明,沒有得到良好安全保護的工業(yè)互聯(lián)網(wǎng),就像一扇虛掩的大門,根本無法防御任何精心策劃的攻擊行動。
1.2 國內(nèi)工業(yè)互聯(lián)網(wǎng)發(fā)展現(xiàn)狀
當前我國工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展正處在一個關鍵的歷史時刻。2012 年,通用電氣公司(General Electric Company,GE)在全球范圍內(nèi)首次提出工業(yè)互聯(lián)網(wǎng)概念后。我國于 2015 年 5 月正式印發(fā)《中國制造 2025》國家行動綱領,明確了 9項戰(zhàn)略和重點任務,包括推進信息化與工業(yè)化深度融合,通過大力發(fā)展新一代信息技術產(chǎn)業(yè),加快制造業(yè)轉型升級,全面提高發(fā)展質(zhì)量和核心競爭力。
黨的十九大報告全面系統(tǒng)地論述了堅持總體國家安全觀的重要思想,并明確提出“加快建設制造強國、網(wǎng)絡強國、數(shù)字中國、智慧社會,推動互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能和實體經(jīng)濟深度融合”的戰(zhàn)略部署。從圖 1 中可以看到,近幾年我國聯(lián)網(wǎng)工業(yè)控制系統(tǒng)的數(shù)量逐年遞增,2020 年發(fā)展更是成數(shù)倍地增長。而工業(yè)互聯(lián)網(wǎng)領域各類網(wǎng)絡攻擊行為直接破壞或損毀工業(yè)控制系統(tǒng)、設備等關鍵信息基礎設施,對人民生產(chǎn)生活以及經(jīng)濟發(fā)展、社會穩(wěn)定、國家安全構成嚴重威脅。工業(yè)互聯(lián)網(wǎng)安全體系建設已成為國家安全體系建設的重要組成,其重要性不亞于經(jīng)濟安全、科技安全等 。
圖 1 近年中國聯(lián)網(wǎng)工業(yè)控制系統(tǒng)數(shù)量(數(shù)據(jù)來源:國家工業(yè)信息安全發(fā)展研究中心)
伴隨工業(yè)互聯(lián)網(wǎng)化平臺接入,工控網(wǎng)絡將直接或間接與互聯(lián)網(wǎng)連接。此時,其封閉式底層工業(yè)控制網(wǎng)絡安全考慮不充分、安全認證機制和訪問控制的防護能力不足、生產(chǎn)設備和控制系統(tǒng)的控制指令簡單等缺點暴露無遺。如圖 2所示,伴隨著聯(lián)網(wǎng)工業(yè)控制系統(tǒng)的不斷增多,新發(fā)現(xiàn)的工業(yè)控制系統(tǒng)漏洞也隨之增加。一旦聯(lián)網(wǎng)工業(yè)控制系統(tǒng)遭受攻擊,將導致平臺運行環(huán)境被破壞、生產(chǎn)流程中斷,甚至關鍵工業(yè)設施損毀,嚴重威脅工業(yè)生產(chǎn)的穩(wěn)定運行及財產(chǎn)、人身安全,進而影響國家和社會正常穩(wěn)定運行。由此可見,沒有堅實的安全保障,將難以維持工業(yè)生產(chǎn)平臺的正常運行,更談不上工業(yè)互聯(lián)網(wǎng)的穩(wěn)定發(fā)展。
圖 2 近年中國新增工業(yè)控制系統(tǒng)漏洞數(shù)量(數(shù)據(jù)來源:國家工業(yè)信息安全發(fā)展研究中心)
1.3 國內(nèi)工業(yè)互聯(lián)網(wǎng)常見問題
國內(nèi)工業(yè)互聯(lián)網(wǎng)安全體系建設正處于初級階段,尚未形成良性發(fā)展的工業(yè)互聯(lián)網(wǎng)安全生態(tài)體系。存在以下系統(tǒng)性或共性問題。
1.3.1 行業(yè)復雜性帶來需求多樣性的挑戰(zhàn)
在兩化融合基礎上,電子、家電等行業(yè)推動生產(chǎn)向網(wǎng)絡化、智能化階段邁進,各行業(yè)企業(yè)對工業(yè)互聯(lián)網(wǎng)安全需求側重不同。在流程型制造行業(yè),利用信息技術助力企業(yè)提升綜合管控能力。例如,鋼鐵、石化、醫(yī)藥、食品等行業(yè)。在離散型制造行業(yè),側重推動企業(yè)向服務型制造加速轉型。例如,機械制造、消費品生產(chǎn)等行業(yè)。因此,國內(nèi)工業(yè)互聯(lián)網(wǎng)安全體系建設需要根據(jù)行業(yè)視角進行理解、剪裁、取舍和優(yōu)化,逐步形成良性可持續(xù)發(fā)展的工業(yè)互聯(lián)網(wǎng)安全體系,為工業(yè)互聯(lián)網(wǎng)帶來持久穩(wěn)定的安全保障力量。
1.3.2 缺乏統(tǒng)一接入的安全標準及安全規(guī)范、服務規(guī)范的建設
《中國制造 2025》戰(zhàn)略帶來工業(yè)互聯(lián)網(wǎng)的蓬勃發(fā)展,新的工業(yè)互聯(lián)網(wǎng)化平臺不斷涌現(xiàn),數(shù)量眾多,但是基本上處于各自為戰(zhàn)的狀態(tài),安全方案千差萬別,服務能力參差不齊,未形成統(tǒng)一的安全框架模式和安全標準,無法基于標準定義符合各企業(yè)情況的安全接入策略,并獲得可預期的、全面的安全保障,不利于我國工業(yè)互聯(lián)網(wǎng)安全保障體系的可持續(xù)性發(fā)展 。
1.3.3 云服務下用戶身份治理問題分析
在企業(yè)生產(chǎn)經(jīng)營過程中,普遍存在重發(fā)展輕安全的情況,對其工業(yè)互聯(lián)網(wǎng)安全缺乏足夠意識,安全防護投入較低。2021 年 2 月,由國家工業(yè)信息安全發(fā)展研究中心發(fā)布的《2020 年工業(yè)信息安全態(tài)勢報告》中提到,在研判的工業(yè)信息安全風險中,主要存在弱口令漏洞、未授權訪問漏洞、目錄遍歷漏洞、結構化查詢語言(Structured Query Language,SQL)注入漏洞等。由此可見,工業(yè)企業(yè)各類應用普遍在用戶口令、身份認證、權限管理和通信加密等方面均存在大量安全問題 。
2020 年國家工業(yè)信息安全漏洞庫(CICSVD)收錄的漏洞主要類型如圖 3 所示。其中,授權問題、資源管理問題以及權限許可和訪問控制問題都與用戶身份、授權、訪問控制密不可分,三者合計 406 個漏洞,占總體類型 30% 以上。因此,云服務模式下的用戶身份治理與訪問控制需要考慮如下幾個方面。
圖 3 2020 年 CICSVD 收錄漏洞主要類型(數(shù)據(jù)來源:國家工業(yè)信息安全發(fā)展研究中心)
(1)用戶身份治理安全。在信息化時代,各行業(yè)企業(yè)均不同程度涉及上游原料供應商、下游經(jīng)銷商以及企業(yè)自身人員的身份治理問題,包括內(nèi)部員工的入職、離職、轉崗、調(diào)動和外部人員注冊和注銷等變化,由于不同用戶在企業(yè)管理的職責、權限不盡相同,造成企業(yè)各用戶的身份管理、認證以及訪問控制、動態(tài)權限管理的困難。需要構建面向各企業(yè)的統(tǒng)一用戶身份治理與訪問控制公共服務支撐體系,實現(xiàn)云服務模式下用戶全生命周期管理來破解這一難題。
(2)用戶訪問安全。在面臨各企業(yè)內(nèi)部應用時,如何有效做好用戶訪問范圍的定義,包括內(nèi)部員工、外部合作伙伴等不同角色以及在不同業(yè)務場景下的認證安全等級、認證方式、行為審計和追蹤溯源等。還應考慮認證方式和安全手段上的可擴展性,以適應未來發(fā)展需要。
(3)用戶權限管理。在企業(yè)發(fā)展過程中,在面向不同層級海量數(shù)據(jù)匯聚的同時,需確保數(shù)據(jù)的訪問權限的合理性和安全性。應將分散在不同應用系統(tǒng)中的用戶權限進行納管,除了能夠支撐傳統(tǒng)的按角色授權,還可根據(jù)用戶屬性、任務等不同類型授權以滿足應用需要。對各類用戶不同環(huán)境下對應用的訪問情況開展審計追溯,滿足應用權限監(jiān)管與統(tǒng)一審計等合規(guī)要求。
(4)企業(yè)應用安全管理。伴隨遠程辦公、移動辦公等場景需要,越來越多的應用接入工業(yè)互聯(lián)網(wǎng),使應用直接暴露在互聯(lián)網(wǎng)網(wǎng)絡中,同時也意味著工業(yè)控制系統(tǒng)將會暴露大量應用接口,而接口標準化、數(shù)據(jù)安全性、應用接入規(guī)范化、應用程序接口(Application Programming Interface,API)管理也面臨著安全風險。統(tǒng)一的 API 管理規(guī)范建立、API 開發(fā)規(guī)范完善、API分級管理制度建設勢在必行,同時需要對訪問者的身份持續(xù)認證、動態(tài)授權,實現(xiàn)對應用動態(tài)訪問的控制策略。
1.3.4 工業(yè)企業(yè)安全事件缺少審計
工業(yè)企業(yè)需要不斷提升安全態(tài)勢感知和預警處置能力,以確保對安全事件的檢測、數(shù)據(jù)分析、風險預測和自動調(diào)整等環(huán)節(jié)的實施。才能及時發(fā)現(xiàn)各類攻擊威脅與異常,對企業(yè)內(nèi)外部人員的日常登錄操作、訪問操作、輸入 / 輸出操作進行全面詳實記錄,通過歸類、報表、圖形化等方式實現(xiàn)在線的分析審計需要,合規(guī)、可視化的審計行為可幫助企業(yè)及時規(guī)避大范圍的攻擊風險,為企業(yè)安全事件調(diào)查與回溯提供直接證明。
1.3.5 風險診斷和研判能力有待提升
從工業(yè)互聯(lián)網(wǎng)領域以往發(fā)生的信息安全事件不難看出,企業(yè)遭到的網(wǎng)絡安全威脅逐漸從無意識攻擊到有組織的蓄謀攻擊,從個體侵害演變?yōu)閲揖W(wǎng)絡安全的威脅。針對企業(yè)信息安全的攻擊手段也更加多樣化,攻擊手段主要包括口令攻擊、拒絕服務攻擊、欺騙攻擊、劫持攻擊、高級可持續(xù)威脅攻擊和后門程序攻擊等,攻擊方式呈現(xiàn)跨時間、地點、動機等因素限制。
因此,建設國家級安全檢測評估的公共服務成為當前工業(yè)互聯(lián)網(wǎng)企業(yè)保障安全必需的基礎。通過對安全基線和安全風險特征庫定義,利用先進的安全檢測工具進行監(jiān)測,實時更新風險特征庫,并對其開展動態(tài)分析,依據(jù)風險等級進行通告、警告和處置等處理。促進工業(yè)企業(yè)由靜態(tài)防御向動態(tài)防御發(fā)展,提升企業(yè)安全風險診斷和研判能力,為工業(yè)企業(yè)安全提供全面的防御保障。
1.3.6 企業(yè)應急機制的補充與完善
工業(yè)互聯(lián)網(wǎng)身份與訪問控制體系還應建立應急預案管理、定義應急安全處理策略,實現(xiàn)取證和總結等流程,規(guī)避高風險、不可逆、影響范圍廣的信息安全事件的發(fā)生。
基于上述現(xiàn)狀分析可以看到,當前我國工業(yè)企業(yè)面臨用戶身份治理、認證和訪問控制、安全審計可追溯性、風險評估與研判、應急機制建立等方面的管控能力不足,構建基于身份與訪問控制為核心的安全云服務的支撐體系,成為工業(yè)互聯(lián)網(wǎng)安全生態(tài)建設的關鍵。
2、身份與訪問控制體系建設思路
基于經(jīng)過驗證的主流安全技術與規(guī)范,構建可良性發(fā)展的工業(yè)企業(yè)身份與訪問控制安全生態(tài)體系。該體系下支撐平臺將采用高度可擴展的架構,構建一個可擴展的安全服務云平臺,覆蓋基礎設施即服務(Infrastructure as a Service,IaaS)、平臺即服務(Platform as a Service,PaaS)、軟件即服務(Software as a Service,SaaS)、邊緣等各層次的安全分析和處置。將采用開放式可插拔架構,構建云端安全檢測服務,通過插入新的檢測模塊擴展安全檢測能力,保證平臺應對新出現(xiàn)的安全威脅。形成一個可擴展的風險診斷和研判公共服務,通過定義動態(tài)風險策略引入新的風險診斷和研判能力,定義工業(yè)互聯(lián)網(wǎng)安全體系的標準化基準。結合該體系下安全規(guī)范和服務規(guī)范建設,構建良性可持續(xù)發(fā)展的安全生態(tài)體系,以達到覆蓋不同行業(yè)下企業(yè)安全建設的個性化訴求。
3、身份與訪問控制體系建設內(nèi)容
通過對用戶身份和訪問控制體系的建設,在企業(yè)內(nèi)部實現(xiàn)集中統(tǒng)一的用戶身份治理機制,結合安全檢測、風險診斷、動態(tài)權限等服務,為企業(yè)的工業(yè)生產(chǎn)活動提供安全保障。
3.1 工業(yè)領域各企業(yè)用戶身份治理需求多樣性
隨著近年來對工控安全的深入研究,研究人員發(fā)現(xiàn)工業(yè)信息安全漏洞、事件層出不窮,安全形勢日趨嚴峻。2020 年,國家工業(yè)信息安全發(fā)展研究中心抽樣研判工業(yè)信息安全風險近800 個,涉及制造、交通、市政等多個重點行業(yè),如圖 4 所示。研究發(fā)現(xiàn),工業(yè)控制系統(tǒng)和工業(yè)信息系統(tǒng)中存在受攻擊面大、漏洞利用難度低等問題。
圖 4 2020 年中國工業(yè)信息安全風險行業(yè)分布(數(shù)據(jù)來源:國家工業(yè)信息安全發(fā)展研究中心)
面向行業(yè)復雜性帶來的企業(yè)多樣化需求,工業(yè)互聯(lián)網(wǎng)企業(yè)身份與訪問控制支撐體系建設需要覆蓋工業(yè)互聯(lián)網(wǎng)整體安全要求。
(1)貫徹國家關于“自主可控和安全可靠”的要求。深入貫徹國家有關國產(chǎn)化和安可工程的相關規(guī)定,確保密碼算法、硬件設備和軟件應用等關鍵基礎設施在研發(fā)、生產(chǎn)、升級和維護等各環(huán)節(jié)全過程的自主可控。
(2)提供滿足共性和個性化需求的服務化安全保障能力。根據(jù)工業(yè)企業(yè)類型和用戶訪問控制需求不同、訪問者對身份管理和訪問控制的接受程度不同的需求,支持面向企業(yè)提供定制化安全服務。以動態(tài)風險識別為基礎,對應用訪問的行為進行精細化訪問控制,將人、設備、服務和應用的身份統(tǒng)一抽象成實體身份,通過實體身份的屬性進行認證和授權 。
(3)建設覆蓋應用訪問全過程的縱深安全防御體系,包括安全數(shù)據(jù)的多源化采集、流程化處理、異構化存儲、智能化應用等全生命周期的安全防護措施。
(4)建設以大數(shù)據(jù)驅動為核心的安全運行管理體系。利用大數(shù)據(jù)技術,匯聚網(wǎng)絡安全數(shù)據(jù),建立安全數(shù)據(jù)分析中心和安全智慧控制中心,提升內(nèi)外部風險感知能力、協(xié)同安全防護能力、攻擊檢測分析能力、違規(guī)行為發(fā)現(xiàn)能力、應急事件響應能力和態(tài)勢感知預警能力。
3.2 實現(xiàn)多層次安全風險要素的集中分析和處置
實現(xiàn) IaaS 層、PaaS 層、SaaS 層和邊緣層 4層防護建設。在公共服務中心的風險檢測、動態(tài)分析、主客體管理、訪問控制和權限管理等能力的基礎上,增強多層次的安全管理。
(1)定義 IaaS 層包括云主機、云網(wǎng)絡、虛擬化操作系統(tǒng)、物理主機、物理網(wǎng)絡、物理設備和云存儲等安全規(guī)則,通過運行日志、agent、接口方式收集風險相關信息。根據(jù)安全規(guī)則以及安全風險等級,下發(fā)處置指令,如通知、警告、斷開網(wǎng)絡、收回訪問權限和使用權限等。
(2)定義 PaaS 層包括云數(shù)據(jù)庫存儲服務、文件存儲服務、容器服務、API 服務等安全規(guī)則,通過運行日志、agent、接口方式收集風險相關信息。根據(jù)安全規(guī)則以及安全風險等級,下發(fā)處置指令,如通知、警告、收回 API 與數(shù)據(jù)訪問權限和使用權限等。
(3)定義 SaaS 層包括 SaaS 應用、App 等安全規(guī)則,通過運行日志、agent、接口方式收集風險相關信息。根據(jù)安全規(guī)則以及安全風險等級,下發(fā)處置指令,如通知、警告、收回 API與數(shù)據(jù)訪問權限和使用權限等。
(4)定義邊緣層包括智能傳感器與邊緣網(wǎng)關等安全規(guī)則,通過運行日志、agent、接口方式收集風險相關信息。根據(jù)安全規(guī)則以及安全風險等級,下發(fā)計算策略、下發(fā)計算能力、下發(fā)控制指令,如通知、警告、收回設備權限或停用設備等。
3.3 建設云端企業(yè)安全檢測評估服務
建設云端企業(yè)安全檢測評估服務包括安全風險特征庫和情報庫的建設,利用安全檢測工具,實時動態(tài)更新安全風險特征庫,為云端企業(yè)提供風險診斷與研判公共服務。
(1)建立安全風險特征庫。定義安全基線、安全風險特征庫。
(2)建立風險情報庫。根據(jù)安全威脅情報信息,更新風險威脅情報庫,并輸入安全風險特征庫中。
(3)利用安全檢測工具。將檢測結果輸入安全風險特征庫中,如跨站點腳本攻擊、注入式攻擊、失效的訪問控制、緩存溢出問題等工具化服務。
(4)提供風險診斷與研判公共服務。將安全風險收集到安全風險特征庫中,對使用情況進行動態(tài)分析,基于深度機器學習等方式對安全狀態(tài)和安全事件等信息進行實時分析和研判,并依據(jù)風險等級處理規(guī)則,下發(fā)處置指令,如通知、警告、處置等。在出現(xiàn)較大安全風險時,平臺能實現(xiàn)大范圍的自動化處置能力,避免造成損失。
3.4 建設風險診斷與研判公共服務
風險診斷與研判建設在數(shù)據(jù)安全基礎之上,設置用戶及應用對數(shù)據(jù)的使用范圍、使用規(guī)則、控制規(guī)則,并依據(jù)風險指令自動更新網(wǎng)關控制策略。以最小化原則設置應用數(shù)據(jù)和“是否可見”“是否可用”“哪些能用”以及“什么情況下能用”等屬性。根據(jù)不同應用、不同企業(yè)需求,支持從用戶類型、終端類型、網(wǎng)絡類型及訪問資源重要等級等多維度考慮,搭建風險模型。搭建企業(yè)基于身份的持續(xù)信任評估能力,識別異常訪問行為和風險訪問環(huán)境,基于風險評估引擎,通過對用戶認證、用戶操作、終端環(huán)境變化、位置、設備指紋和時間等數(shù)據(jù)序列的采集分析和風險評估,按照風險評估結果,可以進行阻斷、二次增強認證等自動干預,并自動為用戶提示認證警告等抵制風險的措施 。
3.5 建設用戶動態(tài)權限保護
公共服務從用戶的身份管理、訪問控制、權限管理和應用管理等維度進行監(jiān)督與管控,實現(xiàn)用戶使用風險研判結果動態(tài)處置能力。為參與到工業(yè)互聯(lián)網(wǎng)中的人、物、應用、服務等各類訪問主體提供身份管理、訪問控制、權限管理等能力。
(1)用戶身份管理。用戶身份主體定義與特征定義,如用戶管理員、分級管理員、企業(yè)員工等身份定義。
(2)用戶訪問控制。用戶訪問范圍定義,如企業(yè)內(nèi)財務部員工能訪問財務系統(tǒng)、人事系統(tǒng)等訪問規(guī)則,按照不同的員工標簽設置規(guī)則。
(3)用戶權限管理。用戶權限定義,如企業(yè)內(nèi)財務主管能訪問財務系統(tǒng)所有功能模塊和數(shù)據(jù),財務專員只能訪問部分功能模塊和部分數(shù)據(jù)。
(4)用戶應用管理。用戶使用系統(tǒng)范圍定義,如企業(yè)以公司名義購買云服務或設施,設置應用可見范圍,并維護用戶對應用的訪問范圍。①接入網(wǎng)關。設置用戶對云平臺和設施的訪問范圍,并依據(jù)風險指令自動更新網(wǎng)關控制策略。實現(xiàn)用戶在不同網(wǎng)絡環(huán)境、設備環(huán)境下使用應用防護、身份認證防護、傳輸加密防護等功能。② API 服務網(wǎng)關。設置用戶及應用對 API的使用范圍、使用規(guī)則、控制規(guī)則,并依據(jù)風險指令自動更新網(wǎng)關控制策略。以最小化原則設置 API“是否可見”“是否可用”“哪些能用”和“什么情況下能用”等屬性。
(5)使用風險研判結果動態(tài)處置用戶權限與訪問。當用戶訪問和被訪問資源出現(xiàn)安全風險時,根據(jù)風險研判結果,下發(fā)處置指令,如通知、警告、回收權限(包括部分權限)、阻斷訪問等。
3.6 建設應急處置公共服務
為用戶身份管理和認證服務提供應急處理機制、操作取證和總結服務。集中的用戶身份和訪問控制系統(tǒng)提供了統(tǒng)一的管理和認證門戶,也成為所有集成應用的唯一入口,需要做好相應的應急預案和處理措施,以及用戶行為日志記錄,為應用取證和總結提供相應的支持。
(1)構建應急預案。對安全事件定級定策略,根據(jù)不同的安全事件等級設置不同的響應策略,針對緊急安全事件,啟用應急預案。如病毒木馬高發(fā)、重大安全情報發(fā)布、重大安全事故等。
(2)定義應急安全處理策略。支持手動、自動等靈活的處理方式,根據(jù)動態(tài)風險策略下發(fā)的風險評估或通知,啟用應急預案。依據(jù)動態(tài)風險策略配置規(guī)則,完成某些自動化風險的處理。
(3)取證和總結。應急處置后,根據(jù)需要進行安全事件取證、復盤、總結與完善。
3.7 開放性設計抵御主要安全威脅
定義開放性服務方式。通過第三方服務和風險數(shù)據(jù)接入的擴展能力,不斷完善具有針對性的風險識別和檢測服務,完善風險特征庫和抵御能力。包括引入其他殺毒工具、漏洞掃描工具、專殺工具等方式,并將其封裝為新的服務能力,獲取更多風險情報。提供“端”(包括 PC 端和移動端)風險情報收集能力,根據(jù)“端”風險情況執(zhí)行對應的風險處置策略。各類平臺或企業(yè)可按需選用。
3.8 可定制性的安全能力建設
提供可定制化擴展的安全組件建設能力。通過 API 服務網(wǎng)關使企業(yè)內(nèi)外部系統(tǒng)間相互安全調(diào)用得到有效治理,為工業(yè)互聯(lián)網(wǎng)身份與訪問控制系統(tǒng)提供“原子級”(API 接口)安全公共服務能力整合、聚合、分裂、重組等業(yè)務編排的能力。利用負載均衡、限流、降級、熔斷、容錯、審計等統(tǒng)一治理能力,使各企業(yè)信息系統(tǒng)群的健壯性得到有效提升。
(1)API 服務網(wǎng)關。讓服務的消費者(系統(tǒng))將 API 能力便捷地整合到自己的應用中,促進企業(yè)新的服務生態(tài)建設。為服務的消費者提供授權鑒權、API 通用訪問控制、API 敏感數(shù)據(jù)訪問控制、流量控制、熔斷控制、IP 黑白名單控制、時間訪問控制、日志審計等急需的重點功能,合理開放與應用 API 且整體需滿足信創(chuàng)合規(guī)的要求,支撐國產(chǎn)化網(wǎng)關底層和算法的需要。兼容不同應用系統(tǒng)的多種形式的開發(fā)接口,支持應對大規(guī)模并發(fā)流量,對 API 調(diào)用過程進行統(tǒng)計分析,清晰展示各應用系統(tǒng)調(diào)用關系。為不同的消費者配置不同的訪問范圍策略,使 API敏感數(shù)據(jù)訪問得到有效控制。
(2)安全接入網(wǎng)關。從用戶角度出發(fā),無論用戶身在何地、何時訪問、訪問企業(yè)什么資源,都能夠非常靈活的受到保護。通過安全網(wǎng)關提供具有應用防護、身份認證機制、安全防護機制的安全架構支撐,支持隱藏企業(yè)應用系統(tǒng)的真實訪問地址,實現(xiàn)零接觸訪問,杜絕應用暴露帶來的安全風險。安全接入網(wǎng)關對用戶訪問采取“先鑒權(認證和授權)、后連接、再訪問”的方式,實現(xiàn)端到端可信訪問企業(yè)資源,建立設備信任、用戶信任、流量信任、應用信任的“端到端”信任鏈解決方案,通過相互傳輸層安全協(xié)議(Mutual Transport Layer Security,MTLS) 雙向加密應用請求,實現(xiàn)應用級傳輸安全,解決了虛擬專用網(wǎng)絡(Virtual Private Network,VPN) 建立鏈路帶來的網(wǎng)絡資源浪費的問題。為應用級安全接入、遠程辦公提供安全保障。
3.9 建立安全規(guī)范和服務規(guī)范
為保障整個身份與訪問控制體系建設、支撐平臺的平穩(wěn)運行,需建立完整的安全制度,明確平臺安全部門、業(yè)務部門、企業(yè)用戶的職責等。
(1)安全規(guī)范。安全規(guī)范包含政策性依據(jù),明確安全部門、業(yè)務部門、最終用戶的職責權限,包括可見范圍、適應范圍、權利和責任等。出臺支撐平臺的管理標準,如行業(yè)用戶屬性標準、使用規(guī)則、使用內(nèi)容和管理方式等,包括制定云端安全檢測評估服務、基于公共服務的運維管理和考核方法等指導性文件。
(2)服務規(guī)范。應形成與企業(yè)用戶管理系統(tǒng)對應的“應用接入和集成規(guī)范”“賬號管理流程和辦法”“安全標準和接口規(guī)范”和“系統(tǒng)運維管理制度”“組織機構管理規(guī)范”等,保障整個支撐平臺的易用性和安全性。
4、結語
工業(yè)互聯(lián)網(wǎng)用戶身份與訪問控制體系的建設,是建立在政府統(tǒng)籌規(guī)劃、企業(yè)自愿接入的基礎上,配套出臺具體的安全規(guī)范與服務規(guī)范,覆蓋 IaaS 層、PaaS 層、SaaS 層、邊緣層 4 層安全防護體系的支撐平臺。融合新一代應用風險評估技術、用戶動態(tài)權限控制機制、數(shù)據(jù)保護公共服務、各實體全生命周期的身份安全管理、智能風險診斷與研判等功能,為工業(yè)企業(yè)提供全方位、多層次安全防護。同時利用安全接入網(wǎng)關、API 網(wǎng)關等安全組件,在系統(tǒng)入口或功能入口處開展保護措施,針對企業(yè)系統(tǒng)侵入行為,簡單的配置就可以將平臺的安全防護能力賦予到企業(yè)應用系統(tǒng)中。
整個體系建設支持云平臺架構,有效滿足云服務模式,支撐平臺搭建成功,可同時為云上所有企業(yè)提供安全服務,為參與工業(yè)互聯(lián)網(wǎng)的企業(yè)用戶、設備、應用、服務等各訪問主體提供身份與訪問的綜合管控,為企業(yè)生產(chǎn)安全提供保障。在搭建體系過程中,基于威脅信息源的端安全檢測評估技術、多因素的風險診斷與研判等難點值得進一步探索與研究。比如,如何完善除用戶 IP 規(guī)則、密碼規(guī)則、設備規(guī)則、地址規(guī)則等因素外的風險模型;如何開展基于對用戶認證趨勢、訪問趨勢等多維度歷史信息合理輸出評估風險的判定結果;在安全規(guī)范與服務規(guī)范的建設過程中,如何結合工業(yè)領域、行業(yè)特色、企業(yè)實施范圍等因素制定合理的政企職責分工、安全管理制度、運維管理辦法等,基于上述問題可開展進一步課題研究。
原文來源:《信息安全與通信保密》雜志