遠(yuǎn)程辦公模式下的網(wǎng)絡(luò)安全分析

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了遠(yuǎn)程辦公模式下的網(wǎng)絡(luò)安全分析范文，希望能給你帶來靈感和參考，敬請閱讀。

摘要：2020年病毒疫情在全球的蔓延，催生了各單位遠(yuǎn)程辦公的需求。本文通過針對遠(yuǎn)程辦公常見場景總結(jié)及網(wǎng)絡(luò)安全風(fēng)險深入分析的基礎(chǔ)上，從傳輸安全、數(shù)據(jù)安全、業(yè)務(wù)安全、認(rèn)證授權(quán)、安全審計、終端安全等多個維度，提出了保證遠(yuǎn)程辦公模式下網(wǎng)絡(luò)安全的防護方法和防護體系。

關(guān)鍵詞：遠(yuǎn)程辦公；VPN；堡壘機；EDR；MDM

2020年初一場突如其來的病毒疫情席卷全國，為了貫徹落實疫情期間各項監(jiān)管要求，降低人群聚集帶來的交叉感染風(fēng)險，很多單位的員工無法到達(dá)現(xiàn)場辦公。因此，大多數(shù)企、事業(yè)單位及政府機關(guān)選擇了遠(yuǎn)程辦公模式，采用即時通訊、網(wǎng)絡(luò)會議、電子郵件等新型工具替換了傳統(tǒng)辦公模式，讓員工在家里即可進行遠(yuǎn)程辦公。這種新型遠(yuǎn)程辦公模式打破了地域限制，既能滿足疫情期間的監(jiān)管要求，又能保證業(yè)務(wù)的有序開展。但是，遠(yuǎn)程辦公模式在帶來極大便捷性的同時，也使得單位的數(shù)據(jù)安全、業(yè)務(wù)安全、運維安全、終端安全等方面面臨前所未有的網(wǎng)絡(luò)風(fēng)險和挑戰(zhàn)。

一遠(yuǎn)程辦公場景分析

目前，各單位采用的遠(yuǎn)程辦公場景主要可以歸納為下文所述類別，如圖1所示。

1.遠(yuǎn)程辦公場景

遠(yuǎn)程辦公場景主要包括：遠(yuǎn)程辦公人員使用微信、釘釘?shù)燃磿r通訊工具進行遠(yuǎn)程溝通及工作文檔分享等；使用騰訊會議等互聯(lián)網(wǎng)會議系統(tǒng)召開遠(yuǎn)程工作會議；使用電腦或者手機等接入單位內(nèi)部門戶、OA、財務(wù)等辦公類系統(tǒng)，進行遠(yuǎn)程業(yè)務(wù)處理等。遠(yuǎn)程辦公場景中，為了確保遠(yuǎn)程溝通、視頻會議等場景下的數(shù)據(jù)安全，需要對重要的文字、語音、圖片、文件等數(shù)據(jù)進行加密。為了保證遠(yuǎn)程辦公類系統(tǒng)自身安全，應(yīng)增強應(yīng)用系統(tǒng)的健壯性，保證系統(tǒng)部署架構(gòu)合理、具備統(tǒng)一認(rèn)證和授權(quán)系統(tǒng)，確保人員的可信和權(quán)限的可控。

2.遠(yuǎn)程運維場景

遠(yuǎn)程運維場景主要滿足單位IT運維人員的遠(yuǎn)程運維需求。IT運維人員需要接入單位內(nèi)部IT系統(tǒng)，利用SecureCRT等遠(yuǎn)程運維工具，對單位內(nèi)部的IT系統(tǒng)和設(shè)備進行日常配置、數(shù)據(jù)清理、應(yīng)用更新等運維操作。遠(yuǎn)程運維人員一般都具有很高的權(quán)限，應(yīng)對遠(yuǎn)程運維人員采用雙因素認(rèn)證等增強型認(rèn)證措施，確保人員的可信；采用VPN等加密通道連接后臺系統(tǒng)，確保運維數(shù)據(jù)的安全；同時，采用堡壘機等審計設(shè)施，保證人員的權(quán)限得到嚴(yán)格管控，操作得到全程審計記錄。

3.遠(yuǎn)程開發(fā)場景

遠(yuǎn)程開發(fā)場景主要滿足單位研發(fā)人員的需求，研發(fā)人員需要接入單位內(nèi)部研發(fā)系統(tǒng)，利用研發(fā)工具進行代碼開發(fā)等相關(guān)工作。遠(yuǎn)程開發(fā)場景中源代碼是需要保護的核心資產(chǎn)。此場景存在源代碼泄露、開發(fā)人員越權(quán)訪問、開發(fā)數(shù)據(jù)明文傳輸?shù)蕊L(fēng)險。因此，應(yīng)對開發(fā)人員采用雙因素認(rèn)證等增強型認(rèn)證措施，保證人員的可信；采用VPN等加密通道，保證傳輸數(shù)據(jù)鏈路的安全；采用代碼開發(fā)管理系統(tǒng)或者統(tǒng)一認(rèn)證授權(quán)系統(tǒng)，只賦予開發(fā)人員完成開發(fā)任務(wù)的最小權(quán)限；采用堡壘機、云桌面、數(shù)據(jù)加密等技術(shù)，防止開發(fā)源代碼等重要數(shù)據(jù)在開發(fā)人員本機落地，保證重要源碼數(shù)據(jù)不外泄，確保開發(fā)人員操作行為可審計和可追溯。

二遠(yuǎn)程辦公網(wǎng)絡(luò)安全風(fēng)險分析

1.數(shù)據(jù)安全風(fēng)險

病毒疫情期間，以釘釘、微信、騰訊會議等為代表的智能化、移動化工具越來越廣泛地應(yīng)用，利用這些遠(yuǎn)程辦公工具，可以實現(xiàn)遠(yuǎn)程高效的協(xié)同辦公。但是，通過即時通訊和互聯(lián)網(wǎng)會議系統(tǒng)等工具發(fā)送和傳輸?shù)臄?shù)據(jù)，可能包含大量重要或敏感數(shù)據(jù)，這些數(shù)據(jù)一旦泄漏，將會給單位造成嚴(yán)重影響。另一方面，有些企業(yè)將系統(tǒng)數(shù)據(jù)部署到公有云，實現(xiàn)數(shù)據(jù)托管服務(wù)。針對公有云的外部攻擊、權(quán)限盜用、明文數(shù)據(jù)截獲等均可能造成數(shù)據(jù)丟失、損壞或泄露，給企業(yè)帶來重大損失。

2.遠(yuǎn)程運維安全風(fēng)險

當(dāng)前常見的遠(yuǎn)程運維方式是采用“VPN+Windows遠(yuǎn)程桌面”或者使用“Teamviewer、向日葵”等遠(yuǎn)程運維工具，這些運維方式均存在較高的網(wǎng)絡(luò)安全風(fēng)險，如：內(nèi)外網(wǎng)隔離失效、越權(quán)操作、數(shù)據(jù)泄露、數(shù)據(jù)破壞、運維操作無法審計和追溯等。在疫情期間，由于很多單位IT運維人員無法到達(dá)單位現(xiàn)場工作，單位的重要系統(tǒng)和設(shè)備一旦出現(xiàn)故障，將無法第一時間恢復(fù)，很可能造成業(yè)務(wù)中斷。另一方面，IT系統(tǒng)和設(shè)備通常部署在單位內(nèi)網(wǎng)，運維人員又具有很高的操作權(quán)限，如何保障運維過程的安全性、保密性和合規(guī)性是遠(yuǎn)程運維面臨的主要難題。

3.業(yè)務(wù)系統(tǒng)安全風(fēng)險

需要開通遠(yuǎn)程辦公業(yè)務(wù)的系統(tǒng)，由于有些系統(tǒng)在設(shè)計初期并未考慮遠(yuǎn)程辦公場景，因此業(yè)務(wù)系統(tǒng)架構(gòu)和部署方式均不滿足遠(yuǎn)程辦公的要求。個別系統(tǒng)為了臨時滿足遠(yuǎn)程辦公需要，會將核心應(yīng)用和數(shù)據(jù)庫等關(guān)鍵系統(tǒng)資產(chǎn)直接到互聯(lián)網(wǎng)。這些系統(tǒng)如果應(yīng)用層面存在安全漏洞，將會給黑客乘虛而入的機會，黑客將會以遠(yuǎn)程辦公業(yè)務(wù)為跳板，攻擊單位內(nèi)部其他系統(tǒng)，給單位內(nèi)網(wǎng)業(yè)務(wù)帶來極大的網(wǎng)絡(luò)安全風(fēng)險。

4.終端安全風(fēng)險

遠(yuǎn)程辦公場景下，接入單位內(nèi)部業(yè)務(wù)系統(tǒng)的終端設(shè)備包括臺式機、筆記本電腦、手機、PDA等多種類型，這些終端一旦被置入惡意病毒木馬等感染性和控制性軟件，將給單位內(nèi)部業(yè)務(wù)系統(tǒng)帶來病毒爆發(fā)、數(shù)據(jù)泄露、系統(tǒng)損害、權(quán)限濫用等各類網(wǎng)絡(luò)安全風(fēng)險。

三遠(yuǎn)程辦公模式下的安全網(wǎng)絡(luò)防護

面對疫情期間突發(fā)的遠(yuǎn)程辦公需求，如何在保證遠(yuǎn)程辦公便利性的同時，又能確保遠(yuǎn)程辦公業(yè)務(wù)的網(wǎng)絡(luò)安全是當(dāng)前亟待解決的問題。因此，建設(shè)針對移動辦公模式下的網(wǎng)絡(luò)安全防護體系是一項重要任務(wù)。根據(jù)上述所歸納的遠(yuǎn)程辦公場景，以及所總結(jié)的主要網(wǎng)絡(luò)安全風(fēng)險，遠(yuǎn)程辦公模式下的網(wǎng)絡(luò)安全防護體系建設(shè)主要包括下文所述內(nèi)容。

1.安全傳輸通道及重要數(shù)據(jù)加密

采用VPN等安全傳輸通道技術(shù)，在遠(yuǎn)程辦公人員到單位業(yè)務(wù)系統(tǒng)之間建立起安全的傳輸通道，保證傳輸數(shù)據(jù)的安全性。在即時通訊、會議系統(tǒng)、數(shù)據(jù)存儲等層面，采用數(shù)據(jù)加密和數(shù)字簽名等安全技術(shù)，對運維口令、開發(fā)代碼、財務(wù)數(shù)據(jù)、審批指令等重要和敏感數(shù)據(jù)進行加密傳輸，保證數(shù)據(jù)的保密性和完整性。

2.基于零信任的業(yè)務(wù)系統(tǒng)安全訪問

針對需要開通遠(yuǎn)程訪問的業(yè)務(wù)系統(tǒng)，建議采用零信任安全技術(shù)，實現(xiàn)接入人員、接入設(shè)備、權(quán)限控制、行為審計等全方位的可信驗證。采用WAF防火墻、網(wǎng)頁防竄改等產(chǎn)品，增強應(yīng)用的安全性，防止SQL注入、跨站、越權(quán)等常見開發(fā)漏洞。利用防火墻等設(shè)備，實現(xiàn)內(nèi)、外網(wǎng)隔離，落實細(xì)粒度的訪問控制策略，在保證外網(wǎng)業(yè)務(wù)訪問便利性的同時，確保內(nèi)網(wǎng)核心業(yè)務(wù)的網(wǎng)絡(luò)安全，防止安全攻擊的內(nèi)部橫向擴散。

3.統(tǒng)一的多因子認(rèn)證和權(quán)限控制

針對遠(yuǎn)程辦公人員，需要構(gòu)建統(tǒng)一的認(rèn)證和授權(quán)系統(tǒng)，具備基于數(shù)字證書、動態(tài)口令、人臉識別、指紋識別等多種認(rèn)證方式，根據(jù)業(yè)務(wù)系統(tǒng)的重要性和人員接入場景的可信性等多重因素，靈活選擇認(rèn)證方式，實現(xiàn)接入人員的可信驗證。同時，根據(jù)人員身份，賦予其訪問系統(tǒng)的最小權(quán)限，并能夠?qū)λ性綑?quán)或其他可能危害系統(tǒng)行為進行審計和告警等。

4.重要操作行為可審計、可追溯

針對遠(yuǎn)程運維和遠(yuǎn)程開發(fā)人員，通過部署堡壘機、桌面云等安全技術(shù)設(shè)施，實現(xiàn)IT運維和開發(fā)人員的增強認(rèn)證和細(xì)粒度權(quán)限管理。實現(xiàn)所有操作的可審計、可追溯，對于可能影響業(yè)務(wù)運行的重要的操作，具備多人審核和制約機制，對于不符合權(quán)限的運維操作，進行實時阻斷和告警。對于源代碼等重要數(shù)據(jù)，采用基于加密或者簽名的數(shù)據(jù)安全技術(shù)，防止數(shù)據(jù)的泄露和破壞，實現(xiàn)重要數(shù)據(jù)的全生命周期安全管理。

5.終端設(shè)備的安全

針對遠(yuǎn)程辦公人員使用的各類終端設(shè)備，采用EDR、MDM、準(zhǔn)入控制等終端安全管理手段，對于終端設(shè)備實現(xiàn)病毒防護、軟件黑白名單控制、重要業(yè)務(wù)數(shù)據(jù)水印保護、必要條件下的遠(yuǎn)程擦除以及終端入網(wǎng)的健康檢查等多重安全機制，實現(xiàn)接入終端的可信、可控和可管?？傊?，針對移動辦公模式，需要結(jié)合業(yè)務(wù)場景和各層面可能存在的網(wǎng)絡(luò)安全風(fēng)險，構(gòu)建遠(yuǎn)程辦公模式下的整體網(wǎng)絡(luò)安全防護體系，才有可能保證遠(yuǎn)程辦公模式下的網(wǎng)絡(luò)安全。遠(yuǎn)程辦公模式下的網(wǎng)絡(luò)安全防護技術(shù)體系架構(gòu)如圖2所示。遠(yuǎn)程辦公模式網(wǎng)絡(luò)安全防護體系具備如下特點：從架構(gòu)層面構(gòu)建起從“接入終端——外部邊界防護——DMZ區(qū)零信任業(yè)務(wù)網(wǎng)絡(luò)——內(nèi)部業(yè)務(wù)系統(tǒng)/內(nèi)部研發(fā)內(nèi)網(wǎng)”層層遞進的縱深安全防護體系。在接入終端層面采用EDR、EMM、終端準(zhǔn)入控制等多項技術(shù)手段，確保接入終端設(shè)備的安全可信，從源頭上控制網(wǎng)絡(luò)安全風(fēng)險。在外部防護邊界，部署IPSecVPN或SSLVPN產(chǎn)品、即時通訊加密產(chǎn)品、多因子認(rèn)證和授權(quán)產(chǎn)品等安全產(chǎn)品，確保數(shù)據(jù)傳輸通道安全、重要數(shù)據(jù)保密以及人員的細(xì)粒度權(quán)限控制。在DMZ區(qū)對外業(yè)務(wù)部署區(qū)域，采用基于零信任的安全基礎(chǔ)設(shè)施，部署WAF、業(yè)務(wù)應(yīng)用安全監(jiān)測等多種產(chǎn)品，確保對外提供遠(yuǎn)程服務(wù)的業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)安全。部署堡壘機、云桌面等安全產(chǎn)品，保證開發(fā)和運維人員操作行為可審計、可追溯，保證重要開發(fā)和運維數(shù)據(jù)的安全。在內(nèi)網(wǎng)業(yè)務(wù)系統(tǒng)，采用防火墻等安全措施，實現(xiàn)嚴(yán)格的隔離和訪問控制措施，保證內(nèi)部業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)安全。

四總結(jié)

隨著遠(yuǎn)程辦公模式的大規(guī)模推廣和不斷發(fā)展，將會出現(xiàn)新的網(wǎng)絡(luò)安全威脅和風(fēng)險。因此，網(wǎng)絡(luò)安全防護技術(shù)體系需要根據(jù)遠(yuǎn)程辦公業(yè)務(wù)的發(fā)展模式，不斷地進行創(chuàng)新和發(fā)展。另一方面，需要同步建立遠(yuǎn)程辦公網(wǎng)絡(luò)安全管理、應(yīng)急處置等綜合管理體系，開展網(wǎng)絡(luò)安全培訓(xùn)，提高單位員工遠(yuǎn)程辦公網(wǎng)絡(luò)安全意識等，才能全面保障遠(yuǎn)程辦公業(yè)務(wù)模式的網(wǎng)絡(luò)安全。

作者：陳衛(wèi)平 單位：中央廣播電視總臺