最全安全方案架构设计

导语：

随着各项安全法规的相继落地，安全体系建设对于企业显得尤为重要，本文将从终端层、网络层、云平台、数据、身份、特殊场景的安全角度出发整体进行安全体系架构的设计。

安全环境大背景：

木马
网络攻击
勒索病毒
log4j
企业数据泄露
企业境外上市数据安全违规

……

近几年安全事件频发，且攻击手段不断创新，各类安全法规也相继不断出台，安全成为企业IT建设中不可或缺且极为重要的部分；安全事件的发生，可能带来企业资产、业务发展、品牌形象等不同程度的损失，因为针对安全部分的建设，必须进行整体全面的考虑与规划，只有将安全防护体系建设的更全面才能将攻击拦在墙外。

整体方案架构设计：

全面考虑现有安全场景及法律法规相关要求，从多个维度整体考虑安全防护方案，整体分为三横三纵6大模块，部分模块可能在安全设计上存在一定重叠。

终端安全：终端安全是安全防护的最前端，特点是数量多，分布散，公网面接触大，个人行为个性化可控性差。整体以下几个角度进行终端安全建设：终端设备防护、终端行为管控、零信任体系、移动端安全以及云桌面的桌面托管方案。

网络安全：网络安全涉及业务的公网入口，攻击的第一道入口。进行网络安全的防护主要从以下几个角度考虑：链路安全、传输层进行加密、DDos防护、云防火墙、web防火墙、混合云网络边界安全防护。

云平台安全：如果网络层被攻破，云平台会面临直接威胁，云平台层的安全防护将会作为最后一道防线。云平台的安全主要从以下几个维度进行建设：主机安全、容器安全、平台审计、运维安全。

纵向维度安全：

身份安全：通过身份安全实现对整个平台及链路访问人员及管理人员的认证与管理，身份安全主要有以下几个维度：多因子认证、身份管理、身份验证

数据安全：《数安法》及《个保法》的颁布实施进一步加强了数据安全的重要性，数据安全从以下几个方面进行考虑：敏感数据识别、数据脱敏、数据加密、数据分类分级、数据资产标签等

场景安全：除了通用的平台及技术安全考虑之外，还有其他一些特殊场景的安全需要进行额外考虑，比如外卖、电商场景下的个人信息保护，可以考虑使用号码保护的方案；个保法要求之下，app等需要通过隐私合规的检测才能上架，不符合隐私合规要求的app会面临下架、通报、整改等风险；除此之外，小程序已经成为企业主流的前端选择，关于小程序安全的建设也同样不可忽略

以下针对各部分安全建设进行一定展开

终端安全

终端设备防护

病毒查杀
主动防御和拦截
专业漏洞修复
异常登录检测
访问习惯、关系异常检测
系统加固
文件、数据管理/水印
外设管控
终端应用安全

终端行为管控

数据防泄漏
高危行为识别
员工违规操作可追溯

零信任

无流量是默认“可信任”
基于用户的身份和行为动态授权

移动端安全：

设备注册
设备策略设置
设备信息随时获取
设备运行监控
远程控制
设备回收安全
安全工作空间

云桌面

本地操作，运行与云端
数据全部存储在云端，无法下载本地

网络安全：

传输加密

https/ssl证书
私有协议加密

混合云网络安全

V**
专线
SDWAN

DDos防护

流量清洗

云防火墙

基于区域的ACL
IPS防护

平台安全

主机安全

资产管理
入侵检测
漏洞&安全基线
安全运营&防御

容器安全

镜像安全
镜像仓库安全
集群安全
api安全
运行环境安全

权限及审计

用户权限设置
平台操作日志

运维安全

身份管理
权限管理
访问管理
运维日志追溯审计

身份安全

多因子认证

动态令牌口令
MFA软令牌
短信令牌
手机app令牌

身份管理

内部员工数据源
外部员工数据源
组织架构分层
权限管理
账号审计

身份验证

人脸核身
微信实名认证
银行卡二要素、三要素、四要素验证
运营商三要素

数据安全

敏感数据识别

出生日期
姓名
身份证号
银行卡号
电话号码
……

数据脱敏

静态脱敏
动态脱敏

数据分类分级

1级-业务订购关系等
2级-消费信息等
3级-自然人身份标识等
4级-实体身份证明等
……

数据资产标签

资产发现
自动化数据标签
风险监控

细粒度授权

结构化数据授权
非结构化数据授权
字段（行、列）授权
文件（查看、外发、修改）授权

数据策略管控

办公、运维等多场景数据访问区分控制
数据安全审计

数据加密

敏感数据加密
透明加解密
信封加密
防盗链
视频加密

内容安全

网页防篡改
文件水印
文档预览
反爬虫

数据容灾备份

数据备份
文件备份
同城双活
异地灾备
两地三中心

场景安全

号码保护

隐藏号码
中间号通话

隐私合规检测

行为合规检测
权限合规检测
第三方SDK合规检测

小程序安全

促销安全
会员安全
代码安全
交易安全

由于方案涉及内容过多，未做完全展开，只分模块拆分核心点

附录：