江苏龙网

  1. 首页 > 人文 > >

运营商|“三部曲”解决运营商互联网资产暴露面挑战

运营商|“三部曲”解决运营商互联网资产暴露面挑战

《网络安全法》的颁布进一步明确了关键信息基础设施已成为国家安全战略重点运营商对归属其下的关键信息基础设施具有依法保护的职责 。 鉴于运营商各省级单位的IT资产数量非常庞大且覆盖范围广泛面临着来自互联网的各类安全威胁互联网资产暴露面已成为运营商网络安全精细化管理的一道难题 。
互联网资产暴露面现状分析
运营商的业务系统可大致分为内部业务系统和外部业务系统这两类系统都有暴露在互联网上被黑客攻击的风险下面针对这两类系统进行安全现状分析 。
1、内部业务系统:由内部人员使用数据敏感性高常见的内部系统(APP及Web系统等)如B域中的CRM、计费等核心业务系统M域中的OA、邮件、企业门户等内部办公系统以及O域中的工单、维护系统等网元运维管理系统等 。
随着运营商业务的发展移动化办公成了必然的需求 。 目前运营商的许多内部业务系统已发布在互联网上包括众多内部APP业务系统存在被黑客扫描、篡改、攻击等各类安全风险简单的安全设备不能起到有效防护作用 。
内部缺乏统一访问控制和权限体系无法有效保障内部业务系统安全 。
随着越来越多的系统开始使用个人移动设备接入访问终端数据泄密风险日益突出缺乏有效的终端数据安全保护手段 。
2、外部业务系统:可被互联网用户访问数据敏感性低常见的外部业务系统如掌厅、网厅等 。
存在安全防护能力建设分散、防护效率低下、管理复杂的现象无法对网站进行持续可用性检测和有效防护 。
对SQL注入、跨站脚本、网页篡改、挂马检测等各类攻击无法有效防御在应用层防御的完整性和深度仍然存在缺陷 。
互联网暴露面解决方案之“三部曲”
针对于暴露在互联网上的资产可“分类讨论”对应的安全措施给与不同资产最大程度的保护 。
对于内部业务系统从运营商自身的安全建设出发采取收归至内网的策略建设统一安全接入平台仅对互联网开放443端口最大限度收敛暴露面;而对于外部业务系统由于此类型业务面向互联网用户故无需收归至内网应采取集约防护的策略对互联网资产进行统一监测和防护 。
要实现互联网资产暴露面的收敛与集约防护应从互联网资产的发现与识别、互联网资产暴露面的收敛、互联网资产的集约防护等三方面进行 。
1、互联网资产的发现与识别
通过对网站IP、安全防护设备、操作系统版本、服务和端口、子域信息等进行信息收集和扫描完成目标网站对应的IT资产数据和基线配置的信息的收集过程 。
同时可通过本地化方式对内部网络所有资产进行扫描来发现脆弱性风险 。
可识别服务器资产开放的风险端口及端口被使用情况(如标准端口跑非标准协议)同时结合深信服十余年的应用识别能力积累识别因暴露风险应用访问方式(如RDP、SSH、数据库)被非法连入的情况即使非标准端口亦能识别具体应用 。
2、互联网资产暴露面的收敛
对互联网仅发布443端口对外隐藏APP及Web等各类内部服务器端口减少暴露面 。
不仅仅将内部业务系统从互联网收归至内网(内网≠安全)而且可以实现针对某个业务系统的准入先认证、再连接真正实现内部业务系统的安全 。
【运营商|“三部曲”解决运营商互联网资产暴露面挑战】在PC和手机端划分工作域和个人域在工作空间中运行的应用具备链路安全加密、落地文件加密、网络隔离、剪切板隔离、进程保护、屏幕水印等数据保护功能 。
3、互联网资产的集约防护针对于运营商互联网资产比如网厅/掌厅等业务系统可以提供基础网络安全功能如状态检测、VPN、抗DDoS、NAT等 。
同时还可以实现统一的应用安全防护可以针对一个攻击行为中的各种技术手段进行统一的检测和防护如应用扫描、漏洞利用、Web入侵、非法访问、蠕虫病毒、带宽滥用、恶意代码等 。
“三部曲”方案价值
1、针对于运营商内部业务系统从“终端-网络-服务器端”三个维度构建立体安全体系真正实现端到端安全有效减小互联网暴露面:
终端维度:在移动终端(手机端及PC端等)采用双域隔离技术具备终端防病毒能力可实现链路加密、落地文件加密、网络隔离、剪切板隔离、进程保护、屏幕水印等数据保护功能;通过短信认证、硬件特征码认证等多因素认证增强身份认证安全 。
网络维度:数据在传输过程中使用强加密算法进行加密防止数据被黑客监听、篡改;基于流量可识别服务器资产开放的风险端口及端口被使用情况 。
服务器端维度:对互联网仅发布443端口对外隐藏内部服务器端口将应用服务器收归至内网系统信息和漏洞被隐藏有效降低恶意攻击和入侵的安全风险;通过零信任架构方案实现权限最小化有效减少暴露面 。
2、针对于运营商对外开放网站系统重点实现互联网系统的安全监测与集约防护:
安全监测:对互联网网站进行持续可用性和安全性监测;
集约防护:构建互联网资产统一防护平台对互联网众多业务系统进行集约防护有效感知资产脆弱性并及时告警 。
成功实践案例
某省移动:针对于内部办公类APP通过建设统一安全接入平台实现对外隐藏APP服务器端口减少暴露面采用终端双域隔离仅允许工作域内的APP连入内网支持2.5万终端用户安全接入 。
某省电信:构建互联网暴露面统一防护平台实现互联网200+个业务系统的统一安全防护;针对PC端及移动端移动办公需求建设统一安全接入平台实现链路加密对互联网仅发布443端口缩减风险敞口支持2万+用户同时在线 。
某省电信:针对于内部办公和生产类APP建设统一安全接入平台涵盖30多个原生APP及H5、小程序等内部应用有效收敛暴露面实现终端安全检测与入网控制通过终端沙箱有效防止数据泄露具备PC端及移动端2万+接入能力 。


助力运营商构建新安全架构
随着运营商业务支撑系统云化与中台改造的加速运营商的安全建设正从传统的边界防御向云端安全与终端安全延伸从网络安全向数据安全、应用安全延伸 。 对此深信服凭借深耕运营商行业领域多年经验深度结合行业发展趋势提出了“可信接入、立体防护、全网感知、集中管控”的安全理念以助力运营商构建新一代安全架构为运营商信息化发展保驾护航 。


    推荐阅读


    上一篇：美日法动手了？呼吁减少对中国依赖，外企：我们更愿意留在中国

    下一篇：|9.9的64G内存卡，夏科64G天猫联名款TF卡体验评测