芯盾時代再度中標中國電信某省公司，增強電子政務外網的安全防線

芯盾時代再度中標中國電信某省公司電子政務外網零信任安全系統，針對客戶面臨的終端安全、訪問控制和網絡暴露面等問題，構建一體化“零信任”動態訪問控制體系，最大限度縮小攻擊暴露面、降低安全管理成本、增強對應用系統的訪問保護。

項目背景

隨著“互聯網+政務服務”的不斷深化和持續推進，政務服務效率得到了有效提升。各級政務部門終端要同時連接政務外網和互聯網（簡稱“一機兩用”），人為的在政務外網與互聯網上搭建了一個傳輸平臺，暴露出了政務外網安全、終端安全和運維管理等方面的問題。

終端威脅：通常政務外網“一機兩用”的終端能夠同時連接政務外網和互聯網，這就意味著用戶在訪問政務外網時，也可以訪問互聯網；政務外網終端極易感染病毒和木馬從而將威脅引入到政務外網中，帶來嚴重的安全隱患

數據泄露：政務外網“一機兩用”終端上互聯網與政務外網是互通的，可能會有政務外網訪問人員將政務網的數據和內容發布到互聯網中帶來數據外泄的風險，因此政府敏感信息外泄的事件也時有發生，造成的損失不可估量。

芯盾時代同中國電信已建立深厚的合作關系，基于以上項目背景，芯盾時代采用零信任業務安全解決方案，為中國電信某省公司構建零信任統一用戶認證平臺。其中由用戶身份與訪問管理（IAM）提供統一身份管理、單點登錄、統一數據管理、數據同步等能力；零信任業務安全平臺（SDP）提供安全傳輸、應用代理、動態訪問控制等能力，并實現業務全流程的實時身份風險防控，滿足客戶不同業務場景、模式下的動態訪問控制。

建設目標

a)終端安全隔離：SDP支持網絡隔離，根據業務應用網絡專線進行劃區域訪問，確保終端獲得準入授權后通過安全隧道訪問政務外網，不能同時訪問其他網絡。同時，芯盾時代采用沙箱技術，對用戶在訪問敏感應用系統下載的數據只能進入沙箱加密隔離存放，控制數據使用和外發行為，進而防止終端數據泄露，沙箱所使用密碼技術滿足國家密碼應用的標準要求。

b)身份認證：從身份、設備、行為等多維感知用戶終端環境，確保接入的終端設備均為可信設備，對接入政務外網的用戶終端生成唯一標識，將用戶身份與終端進行實名綁定，支持多種身份認證方式，用戶終端接入政務外網進行身份認證滿足了等保要求，實現業務系統的單點登錄，讓員工“一次認證，全網通行”。

c)資源訪問控制：基于用戶身份和設備身份對訪問者做應用資源級權限控制，能夠按照重要程度，為不同應用、應用中的不同頁面配置不同的安全策略，從應用側出發，實現訪問權限的精細化管控，減少過度授權帶來的安全風險。

d)終端檢測：SDP采用SPA單包授權技術，默認拒絕一切連接，不響應未經過驗證設備和用戶的訪問請求，使攻擊者無法找到服務地址和端口。SPA單包授權技術與應用訪問代理配合，實現網關自身和應用資源的雙重隱藏，讓企業“網絡隱身”。

目前，該項目已經成功上線，有效提升了電子政務外網的業務安全和數據安全等。未來，芯盾時代持續更新迭代零信任安全體系，將“以人為核心的業務安全理念”與企業業務系統深入融合，不斷提升企業業務系統的可用性和安全性，為客戶提供智能、安全、可信的業務安全防護。