腾讯iOA零信任安全——IT变革下的新一代企业网

导语：2019年5月21日，腾讯全球数字生态大会在春城昆明盛大开幕。大会中TEG作为腾讯的内部技术支撑平台，在展区展出30余个技术应用。共分为资源层，资源管理层，应用支撑层，大数据平台，安全管理体系，以及丰富的技术应用。其中，腾讯iOA零信任安全（Tencent iOA Zero Trust）作为安全管理体系，是腾讯自身十多年的内网安全管理实践与业内前沿的“零信任”安全理念结合推出的新一代网络边界访问管控解决方案，以身份安全 、终端安全和链路安全三大核心能力，为企业移动办公和应用上云打造统一、安全和高效的无边界网络访问入口，构建全方位、一站式的零信任安全体系，加速企业网络安全管理升级，为政企用户在互联网产业化进程中保驾护航。腾讯企业IT部安全运营中心的李健在大会进行主题分享——腾讯iOA零信任安全：IT变革下的新一代企业网，这次分享吸引了大量政府领导，企业架构师，学术专家。他们一同来到展区进行深入探讨互动。下文是当天演讲内容，欢迎大家留言互动。

在开始正题之前，先让大家猜两个数字：一是来自Cybersecurity Ventures的调研预测：2019年，每多少秒就会有一家企业受到勒索病毒攻击？二是来自Forrester的统计：2018年，又有百分之多少的安全事件都与特权账户窃取有关呢？

场下的回答是“30秒”和“85%”，看来大家对此都有共识，实际情况就是：14秒和80%。这两个数字已经表明了我们当前的安全态势是如此急迫，企业无时无刻不在面临密集的攻击，无论是否有感知，都已身在其中，而在所有的安全事件中，身份安全成为一个焦点。

来看一个具体的案例：2009年底，Google的一名员工在即时通讯上收到来自“信任”的人发来的一条网络链接，当他点击之后进入的却是恶意网站，网站上含有shellcode的JavaScript程序码造成了IE浏览器溢出，进而远程下载远控木马致使这名员工的电脑成功被黑客远控。此时，他用户的身份、设备和发起的进程都已不再是可信任的，但在传统的网络安全架构下，还是被被予以放行，造成的结果就是：搜索引擎巨人的网络被长达数月的入侵渗透，大量系统敏感数据被窃取。这就是一次著名的APT攻击——极光行动。

双重挑战

这个故事告诉我们：风险已不只来自于企业外部，甚至更多是来自于内部。而传统的基于网络位置的信任体系，所有策略都是针对边界之外的威胁，在网络内部没有安全控制点，导致边界一旦被攻破之后，既无法应对攻击者在企业内部的横移，也无法有效控制“合法用户”造成的内部威胁。

与此同时，近年来APT攻击、勒索病毒、窃密事件、漏洞攻击层出不穷，日趋泛滥，云化和虚拟化的发展，移动办公、远程访问、云服务形式又突破了企业的物理网络边界，用户、设备、业务和平台的多样化，更使安全战场不断扩大，信任区域日趋复杂。这带来的影响是：一方面，网络管理难度加大、效率降低，另一方面，基于“信任区域”模型的天然缺陷，一旦被渗透就无法有效隔离和保护企业数据资产；军工级攻击工具的平民化，又让风险不断加剧。企业同时面临着安全与效率的双重挑战，边界消失已经成为必然。

当我们已经走入了无边界的时代，当企业不再信任内部或外部的任何人、事、物，该如何来重构一个零信任安全的网络呢？

产品方案

在如此的变革诉求下，腾讯把自身十多年来的网络安全管理实践与“零信任安全”理念结合，形成了”iOA零信任安全“的解决方案。

腾讯iOA Zero Trust是一种新型的网络访问管控系统，它基于用户权限为中心进行访问控制，引导安全体系架构从网络中心化走向身份中心化，它不再依赖网络位置判断是否允许访问，而是持续性评估设备、系统、用户、访问流的安全性和风险状态，以达到细粒度、动态的安全访问控制。

首先，不论是来自职场内外的访问要求，只要想介入企业系统，访问企业资源，都需要进入iOA的零信任安全平台评估，从身份安全认证、到终端安全，再到链路安全进行全程的检测与动态控制，持续判断终端和用户的安全状态，为动态访问控制决策提供依据，确保访问是来自可信的用户、可信的设备和可信的进程，通过权限系统，分配至智能网关访问相匹配的企业资源。

这种新型的访问模式，有我们全面的安全能力作为保障：

首先，身份安全作为“零信任”架构的第一关，有多种认证方式来确保访问是来自可信用户：如企业微信扫码、token双因子认证、本地身份、域身份以及自定义账号体系等适配不同企业组织架构；而在用户体验上，全应用系统单点登录（SSO）让使用更加便捷。

在终端安全上，集成了病毒查杀、合规保护、安全加固、数据防泄露DLP、补丁分发等全方位的终端管控功能模块。其中，杀毒模块中采用了新一代的AI动态杀毒引擎， 海量样本可实时发现最威胁；EDR入侵检测基于腾讯多年来成熟的终端检测与响应技术，预设有300多种检测规则，可秒即发现入侵隐患，并通过云端联动最新威胁情报，实时推送检测规则与专家策略，为用户及时应对热点安全事件提供决策支持。

在链路安全上，独有的访问链路加密/解密网关，可针对终端指定WEB或应用程序流量层层加密，对不稳定网络做网络传输协议优化；同时支持访问控制管理、单链接请求授权，及时阻断违规访问与网络风险。

以上的动态访问控制模块，以身份安全、终端安全、链路安全上的三大核心能力，组成了一个完整的零信任安全解决方案的闭环。

根据不同用户的特点，我们支持公有云、私有云和本地应用的多种部署方式。

应用场景

在应用场景上， 不管是远程办公、审批还是远程开发、运维、非办公场地登录服务器等，都可以第一时间便捷安全地访问企业资源，实现真正无边界化办公。

最佳实践

如之前所说，iOA 零信任安全解决方案是来自于腾讯自身的安全管理实践。

以腾讯公司的规模，现在每天终端设备接入的数量是12W+，其中Windows是6W多，MacOS是8K多；在这些终端之上，每天有6W+的未知进程在跑，且由于办公场景需求无法用白名单规则来禁止使用；同时公司跨区域多地办公、不同的业务组织又存在特殊的安全需求，更不可用一刀切的方法来解决问题。以上情况都很符合之前所讲的安全与效率的挑战。

而当腾讯顺应变革用iOA 率先实施落地了零信任安全架构后，又发生了哪些变化呢？

首先，一张企业网，打破了边界藩篱，简化了网络界面，用户随时随地可以访问企业核心资源，网络扁平化使公司内外一致，海内外访问大幅度优化提升；不用VPN，更胜VPN，在网络速度、稳定性和信道安全上胜过顶尖VPN，用户体验升级。

同时，不再受困于复杂的信任区域，管理颗粒度从区域下沉到设备甚至是进程级，检测能力达到传统系统安全无法检测到的100+活跃黑客组织的数十种主流高级木马；终端与云端实时联动，终端深度监控，分析云端完成，云管云控的模式保证了生产效力和决策精准。如此一来，既提高了管理效率，改善了用户体验，又能有效抵御APT渗透，效率和安全均得到了提升，让腾讯成为国内第一家将“零信任”安全完整落地的标杆，真正把网络管理做到了化繁为简，化整为“零”。

以上就是今天的分享， 希望能与更多的用户和伙伴来共同探讨和推动新一代企业网的演进与发展。也欢迎大家关注我们的官网和公众号，了解更多产品信息。

腾讯iOA零信任安全，让网络更可信任，真正的无边界办公，助力企业安全管理升级。