項目背景

溫州市大數(shù)據(jù)發(fā)展管理局一直在以大數(shù)據(jù)賦能智慧城市、智慧國企、智慧健康等方面走在前列，已建成的一體化智能化公共數(shù)據(jù)平臺為該市下屬的委辦單位、企業(yè)、公眾提供了良好的大數(shù)據(jù)業(yè)務支撐服務，以數(shù)據(jù)智能賦能數(shù)字經(jīng)濟和民生。十四五規(guī)劃中，數(shù)據(jù)相關產(chǎn)業(yè)將成為未來中國發(fā)展建設的重點部署領域，相關的數(shù)據(jù)安全也變得更加重要。隨著數(shù)據(jù)開放面逐漸擴大、數(shù)據(jù)訪問量不斷增加，溫州市大數(shù)據(jù)發(fā)展管理局預見到了開放共享過程中潛在的數(shù)據(jù)安全防護及溯源問題，例如數(shù)據(jù)訪問無法追溯到最終用戶、API 自身脆弱性帶來的安全配置錯誤及注入風險、API 異常高頻訪問帶來的數(shù)據(jù)暴露風險等，為此溫州市大數(shù)據(jù)局啟動了一體化智能化公共數(shù)據(jù)平臺零 信任安全防護體系的建設任務，并引入安恒信息作為零信任安全供應商。

技術方案

安恒信息基于零信任思想，結合多年在企業(yè)安全運營、安全大數(shù)據(jù)分析、數(shù)據(jù)安全等領域的實踐與技術積累，推出了基于“以身份為基礎、以資源為核心、持續(xù)信任評估、動態(tài)訪問控制”的AiTrust零信任解決方案，在原有物理邊界之上構建動態(tài)身份邊界，從終端、用戶、系統(tǒng)等資源訪問主體的可信身份出發(fā)，向政企提供全新的業(yè)務安全視角，有效支撐應用開放、業(yè)務互通、數(shù)據(jù)共享等場景的安全、高效運轉，助力政企網(wǎng)絡安全體系逐步向自適應安全演進。

溫州市一體化智能化公共數(shù)據(jù)平臺零信任安全防護體系由以下幾個關鍵組件構成：

? 統(tǒng)一控制臺：作為零信任架構中的 PDP，維護用戶清單、應用清單及資源清單，集成 SSO 系統(tǒng)，并負責零信任體系內(nèi)訪問控制策略的制定和 API 安全代理的控制。其中用戶清單來源于浙江省數(shù)字政府 IDaaS、浙政釘?shù)榷嘣从脩羯矸菽夸浀暮喜ⅲ粉櫤透聹刂萑?2萬余用戶信息的變化，所有用戶具有唯一標識，用戶清單為零信任體系中的 UEBA 行為分析引擎提供信息；應用清單維護所有接入零信任體系的應用系統(tǒng)的身份信息，通過與溫州市建設的目錄系統(tǒng)聯(lián)動，實現(xiàn)全網(wǎng)應用身份統(tǒng)一，并為應用生成零信任安全接入工具；資源清單維護所有要保護的客體對象信息（在溫州場景下即 API 接口資源），通過手動配置或從流量中分析的方式建立。

? API 安全代理：作為零信任架構中的 PEP，以“默認拒絕”的模式接管所有面向公共數(shù)據(jù)平臺的訪問請求，針對每條請求進行身份鑒別和權限鑒別，僅放通通過統(tǒng)一控制臺驗證的合法請求，同時輸出其他 API 安全防護能力。

? UEBA 行為分析引擎：負責采集零信任體系中的用戶行為數(shù)據(jù)，并對用戶行為、應用行為進行大數(shù)據(jù)建模匹配分析，為統(tǒng)一控制臺的訪問控制策略指定提供輸入依據(jù)。

項目經(jīng)驗

在項目實施準備階段，交付團隊首先在統(tǒng)一控制臺上拉通多方身份及認證體系、注冊一體化智能化公共數(shù)據(jù)平臺服務，準備好零信任安全防護體系的上線和基礎。在該階段，需要注意對多方身份目錄的梳理，涉及到多方用戶信息整合的，需要提前獲取各方所提供的數(shù)據(jù)同步文檔、接口文檔，確認同步方案，以確保用戶信息能夠及時同步、保持一致。搭建好基礎架構后，統(tǒng)一控制臺即對應用系統(tǒng)開放單點登錄及訪問工具集成能力，優(yōu)先選擇了開發(fā)中的和新上線的業(yè)務系統(tǒng)進行單點登錄對接，并將 SSO 能力形成標準文檔，作為后續(xù)政務外網(wǎng)應用開發(fā)、接入一體化智能化公共數(shù)據(jù)平臺服務前的必選項之一。需要尤其注意的是在現(xiàn)有的訪問體系下，如何向新的安全訪問控制體系遷移。因此項目組在一體化智能化公共數(shù)據(jù)平臺側，對接口的訪問遷移也采用分步驟的方式。

在項目實施前期階段，公共數(shù)據(jù)平臺上已有接口并沒有做強制的訪問策略切換，只針對新上線的接口，在公共數(shù)據(jù)平臺上啟用源 IP 白名單，只接收 API 安全代理轉發(fā)來的請求；同時，由 API 安全代理兼容公共數(shù)據(jù)平臺的認證能力，不再向新上線的應用提供公共數(shù)據(jù)平臺自身的認證憑證，使其必須通過 API 安全管控系統(tǒng)訪問，完成遺留的通道切換后，再處理網(wǎng)絡策略的連通性。另外，在運維流程上實現(xiàn)資源目錄的統(tǒng)一管理運維，對后期維護來說也非常重要，一次項目組通過將溫州市用戶統(tǒng)一登錄中心（統(tǒng)一控制臺）對接溫州市資源目錄系統(tǒng)，打通新應用接入的標準化流程，實現(xiàn)業(yè)務資源的統(tǒng)一運維。在訪問過程中，統(tǒng)一控制臺收集 API 安全代理上報的日志，對 API 的訪問頻度、調(diào)用方分布、異常行為、API 敏感數(shù)據(jù)進行分析和展示，根據(jù)分析結果、API 重要程度逐漸進行白名單策略的切換。