動態(tài)按需授權，聯軟SDP為上海某新勢力車企業(yè)務上云安全護航
企業(yè)數字化轉型的過程中，業(yè)務的快速迭代和創(chuàng)新給IT基礎設施帶來了許多挑戰(zhàn)，關鍵業(yè)務上云成為許多傳統(tǒng)企業(yè)的選擇。業(yè)務上云幫助企業(yè)改變了IT資源不集中的狀況，同時，數據中心內存儲的大量數據信息，也容易受到黑客的攻擊，如何保障云上數據安全成為企業(yè)考慮的重點。
上海某新勢力車企通過在華為云上部署聯軟SDP，針對移動辦公、遠程辦公等新興的企業(yè)辦公場景，實現用戶動態(tài)按需授權訪問，確保內外部員工接入訪問云的安全，保障了關鍵業(yè)務系統(tǒng)上云后系統(tǒng)數據安全，有效防止了敏感信息的泄露。
業(yè)務需求
在“移動+云”的時代背景下，傳統(tǒng)的安全邊界逐漸被打破，終端遠程辦公逐漸變成一種常態(tài)化辦公模式。作為一家專注于未來智能交通產業(yè)的創(chuàng)新制造企業(yè)，該車企數年間形成了上?？偛考颖本⒊啥?、日本等多個研發(fā)中心的布局，銷售和服務網絡遍布全國主要城市，并逐步拓展至海外市場。
隨著組織架構的不斷擴大，該車企開啟了關鍵業(yè)務系統(tǒng)上云的進程，以滿足高速發(fā)展的業(yè)務對IT架構高性能、高可用、易擴展和高安全等需求。與此同時，由于制造業(yè)工藝繁多，業(yè)務復雜，不少業(yè)務需要經過第三方合作完成，存在數據泄密風險，這也對云平臺的安全功能提出了更高的要求。
在業(yè)務需求的推動下，該車企亟需引入成熟的SDP解決實現方案對不同設備、不同網絡、不同用戶的訪問權限進行管控，防止敏感數據外泄。
1)提供安全可控的沙箱空間，對沙箱內的數據和網絡進行隔離，對進程、數據、網絡進行統(tǒng)一管控。通過靈活的管控策略實現沙箱內數據的流轉控制和審計，結合數字水印及截屏控制，實現全面的數據安全防護。
2)通過SDP保障接入安全，替換傳統(tǒng)的VPN接入能力。
3)對接現有OA系統(tǒng)，用戶無需多次輸入賬號密碼，終端統(tǒng)一可視化管理，保障用戶體驗。
解決方案
基于業(yè)務現狀，該車企對安全沙箱有著較高的要求，需要完成業(yè)務系統(tǒng)的外網權限回收，同時對業(yè)務系統(tǒng)下載的文件進行控制。
經過SDP的安全沙箱功能和單點登錄測試并在生產環(huán)境中驗證環(huán)節(jié)，該車企最終使用聯軟UEM后臺，在正常使用SDP沙箱的基礎上，拓展未來適配移動設備的功能。方案采用線性部署，通過負載實現網關、管理服務器、數據庫實現高可用性，并搭建軟負載，并形成負載集群，用于提供網關和負載之間通信使用。
▲現場實施部署架構圖
數據隔離：采用數據重定向方式，對沙箱內保護應用程序的操作請求攔截，沙箱根目錄對沙箱以外的程序隱藏，只有受保護的應用進程可以讀取指定沙箱區(qū)域內的數據，并且可通過策略實現根據用戶權限控制沙箱內文件是否允許外發(fā)。
剪切板隔離：復制安全沙箱內的受保護數據后，在執(zhí)行粘貼操作時，客戶端對數據粘貼的位置進行判斷，通過策略靈活配置是否允許使用剪切板功能，不影響個人應用的正常使用。
網絡隔離：安全沙箱客戶端對PC上所有應用軟件的網絡請求進行攔截過濾，最終將符合訪問策略的流量通過客戶端轉發(fā)至安全網關，強制只允許沙箱應用訪問企業(yè)內網系統(tǒng)，避免個人應用通過網絡獲取企業(yè)數據。
加密存儲：所有寫入安全沙箱數據的操作都會經過加密模塊加密處理再到安全沙箱路徑的磁盤，實現文件自動加密存儲在沙箱環(huán)境。
單點登錄：聯軟SDP登錄放置于現有OA系統(tǒng)中，實現單點登錄門戶，提供靈活便捷多因素認證方式，保障安全又注重體驗。
為確保在有限的時間內更好的完成項目部署，團隊基于總體規(guī)劃、整體設計和分步實施的指導原則，特別制定施工進度計劃，保障工作能合理快速的推進，并針對可能存在的風險制定相應的規(guī)避措施和應對方法。
效果及價值
該企業(yè)通過對上海地區(qū)上千點終端部署SDP客戶端，運用動態(tài)的細粒度訪問控制技術、網關隱身單包授權協(xié)議、可靠的終端安全沙箱功能，水印追溯，模塊化的平臺架構和開放的生態(tài)合作體系，實現用戶動態(tài)按需授權訪問，為企業(yè)打造統(tǒng)一的終端安全管理中心、統(tǒng)一的安全策略管理中心、統(tǒng)一的應用系統(tǒng)發(fā)布中心、統(tǒng)一的端管云安全運維中心。
方案保障了該企業(yè)遠程辦公、分支機構訪問總部業(yè)務、“一機多用”場景、多云/多數據中心訪問、“內外網”終端統(tǒng)一管理等多個場景下的業(yè)務安全，隱藏真實地址與端口，縮小暴露面，解決業(yè)務系統(tǒng)在外網暴露的風險，相較于傳統(tǒng)的VPN訪問模式，該方案在收回外網的權限過程中，能對客戶的數據做到隔離和控制，有效避免敏感信息泄漏。
此外，項目采用輕量級解決方案，不改變用戶使用習慣，不影響沙箱外其它應用的正常使用，同時可兼容常見主流應用軟件，包括安卓、鴻蒙、UOS、麒麟等主流國產或非國產操作系統(tǒng)，在確保數據安全的前提下，為用戶提供極致的體驗。
目前，聯軟SDP產品已在華為云商店上架，通過華為云的認證測試，歸屬于華為云商店的聯營商品。聯軟SDP零信任安全產品與華為云上的云服務（如云服務器ECS、負載均衡ELB等）聯動處置，形成華為云&聯軟零信任聯合解決方案，雙方聯合運營，強強聯合，為客戶帶來上線部署簡單、按需開通資源、提高運維效率等價值。
除了聯軟SDP產品以外，還有聯軟終端安全產品EPP也已上架到華為云商店的聯營商品中，通過與華為云的云服務聯動，提供終端軟件管理、終端外設管理、終端數據保護等安全能力，云上部署更加快捷，為客戶的終端安全保駕護航。
作為中國企業(yè)端點安全領導者，國內率先落地基于“零信任安全”產品的廠商之一，聯軟SDP經過了行業(yè)和客戶的實踐，在政府、制造、金融、醫(yī)療、能源等行業(yè)廣泛落地應用，解決跨網攻擊、數據泄露等安全隱患。未來，聯軟科技將持續(xù)深耕零信任網絡安全技術的研發(fā)與創(chuàng)新，以全網零信任重塑網絡安全邊界，助力更多政企用戶數字化轉型。