01

隨著(zhù)越來(lái)越多的業(yè)務(wù)系統發(fā)布到公網(wǎng)上，網(wǎng)站的安全性也越來(lái)越受重視，部分業(yè)務(wù)系統可能長(cháng)期沒(méi)有人維護更新，最新發(fā)現的漏洞也沒(méi)有被及時(shí)修復，容易被不法人士利用，造成不良影響。如wannacry勒索病毒，就需要及時(shí)關(guān)閉不必要的端口防止病毒的進(jìn)一步傳播。發(fā)布在公網(wǎng)的業(yè)務(wù)系統若沒(méi)有及時(shí)關(guān)閉端口，則極易遭受攻擊。

傳統VPN權限管理不精細，容易發(fā)生權限濫用、權限蔓延、賬號密碼泄露等情況。終端獲得內網(wǎng)IP后，就可在外網(wǎng)訪(fǎng)問(wèn)所有內網(wǎng)業(yè)務(wù)，管理人員很難發(fā)現終端操作過(guò)程中的違規行為，難以防范下載機密文件、重要數據這些濫用權限的情況。

傳統VPN缺少完整的日志記錄，當系統發(fā)生安全故障時(shí)，內網(wǎng)訪(fǎng)問(wèn)操作無(wú)日志記錄，外網(wǎng)過(guò)VPN只記錄登錄認證日志，難溯源且無(wú)法復現問(wèn)題場(chǎng)景。

02

針對上述問(wèn)題，我司提出一套能夠增強業(yè)務(wù)系統訪(fǎng)問(wèn)安全性的解決方案。所有業(yè)務(wù)通過(guò)資源發(fā)布系統進(jìn)行發(fā)布，由資源發(fā)布系統進(jìn)行安全等級的判斷，用戶(hù)訪(fǎng)問(wèn)對防護等級要求高的業(yè)務(wù)系統時(shí)，需要先驗證身份，認證通過(guò)后經(jīng)由獨立的訪(fǎng)問(wèn)通道對業(yè)務(wù)進(jìn)行訪(fǎng)問(wèn)，確保業(yè)務(wù)安全。

系統可基于身份及應用的精細化權限控制，不同身份可訪(fǎng)問(wèn)的資源不同，授權粒度可細化到單個(gè)業(yè)務(wù)系統或網(wǎng)站；解決傳統模式下互聯(lián)網(wǎng)用戶(hù)獲取內網(wǎng)IP地址后在網(wǎng)絡(luò )內非法橫向移動(dòng)、越權訪(fǎng)問(wèn)的問(wèn)題，防止威脅擴散。同時(shí)臨時(shí)身份功能可在保證安全的情況下滿(mǎn)足臨時(shí)操作場(chǎng)景需求，例如臨時(shí)財務(wù)報銷(xiāo)、臨時(shí)運維訪(fǎng)問(wèn)等場(chǎng)景，限制臨時(shí)身份可訪(fǎng)問(wèn)范圍以及可用時(shí)間段，避免賬號密碼泄露的安全風(fēng)險。

通過(guò)平臺部署實(shí)現校內業(yè)務(wù)的IPv6以及HTTPS協(xié)議的快速升級發(fā)布，同時(shí)提供多種直接訪(fǎng)問(wèn)、認證訪(fǎng)問(wèn)、鏡像訪(fǎng)問(wèn)、禁止訪(fǎng)問(wèn)多種策略，可基于業(yè)務(wù)系統對象、時(shí)間段、IP組進(jìn)行任意策略組合，應對校內WEB資源發(fā)布全類(lèi)型場(chǎng)景。

系統可進(jìn)行限速防護、網(wǎng)頁(yè)防篡改、動(dòng)態(tài)黑名單、訪(fǎng)問(wèn)環(huán)境監測等，采用WAF防護機制，有效檢測訪(fǎng)問(wèn)異常行為并攔截；支持微信遠程控制WEB資源發(fā)布，異常時(shí)一鍵斷網(wǎng)；實(shí)時(shí)監控資源運行狀態(tài)，異常告警。

系統可構建身份認證體系，避免因人員管理不規范帶來(lái)的安全風(fēng)險；減少因人員身份管理不規范帶來(lái)的信息安全風(fēng)險、隱私風(fēng)險及經(jīng)營(yíng)風(fēng)險；同時(shí)支持對接外部統一認證系統，包括LDAP、RADIUS、CAS、OAuth、企業(yè)微信、釘釘、飛書(shū)、中國科技云、個(gè)人微信等；支持對個(gè)人微信綁定本地賬號以提升認證安全性；支持對接企業(yè)微信的用戶(hù)可以使用微信掃碼登錄；支持提供對第三方提供接口進(jìn)行認證；支持對外部認證系統內賬號進(jìn)行自定義規則匹配。

基于全量訪(fǎng)問(wèn)、操作日志數據，可構建完整用戶(hù)訪(fǎng)問(wèn)行為模型，可精準溯源“誰(shuí)”、“什么時(shí)間”、“用什么終端”、“訪(fǎng)問(wèn)了什么業(yè)務(wù)”、“業(yè)務(wù)響應結果”。同時(shí)可基于訪(fǎng)問(wèn)數據識別惡意攻擊并阻斷，防護業(yè)務(wù)安全?；谌罩緮祿峁┒嗑S度統計報表，可大屏展示。

采用管理端與工作節點(diǎn)分離部署架構，多臺工作節點(diǎn)組建高可靠集群，同一集群通過(guò)浮動(dòng)公網(wǎng)IP對外提供統一服務(wù)，集群內統一調度，多節點(diǎn)Failover模式，支持靈活擴展。支持負載均衡，多集群相互配合實(shí)現最優(yōu)負載方案。管理服務(wù)器存儲所有配置文件，支持一鍵恢復配置至新節點(diǎn)或集群，集群或節點(diǎn)均可快速擴展，避免單點(diǎn)故障保證高可靠。

高性能服務(wù)器，占用內存少、穩定性高、并發(fā)能力強，能夠承載高并發(fā)。同時(shí)采用基于應用層的短連接技術(shù)，即用即連，無(wú)需保持會(huì )話(huà)。