某省市信息安全威胁治理

某省市安全威胁治理汇报人：时间：2021.3.2601智慧园区架构目录02安全威胁治理03建设要点总结04商机与案例智慧园区架构PARTONE三元架构管端云管网：传输网络端：终端/外部访问端云：基础设施（软硬件/平台）找方案&找标准找方案微信（扫第一个码）每日分享各个领域高质量专业的解决方案，内容包括某省市、乡村振兴、智慧城管、智慧园区、智慧公安、智慧水务（水利）、智慧林草、社会综合治理、智慧旅游、智慧工地、智慧环卫、智慧医院、智慧环保、智慧安监等领域，结合数字孪生、人工智能、物联网、大数据、云计算等技术，分享行业售前方案、设计方案、技术方案和项目信息等。找标准微信（扫第二个码）每日分享各个智慧领域国家和地方标准规范，国家和地方政策指导文件，让各个智慧方案有据可依，内容包括找方案中的各个行业的政策和规范，内容在不断的收集和完善中。找方案知识星球（扫第三个码）会员可下载所有资料，并每日上新（注：所有资料均通过互联网等公开渠道获取，个人学习使用，请勿用于商业用途）。找标准知识星球（扫第四个码）会员可下载所有资料，并每日上新（注：所有资料均通过互联网等公开渠道获取，个人学习使用，请勿用于商业用途）。找方案星球优惠券（扫第五个码）扫描69元价格优惠加入，1W+方案任意下载，资源不断的丰富完善中......找方案微信找方标准信业务分层网To

C

个人访客To

B

企业用户ToG

政府与监管部门应用层数据存储数据加工与治理指标敏感特定数据服务类数据基线元数据社区平台地理信息系统分析决策系统综合监控系统问题上报系统展示层应急处置系统加工存储支撑展示交通平台政企平台环保平台公众服务入口综合管理门户政企通报入口公众访问决策处置网络层4G/5G无线WIFI互联网企业通报专网基础支撑层基础设施公众访问企业通报决策处置公众访问企业通报分布式中心云环境云数用政企数据环境数据交通数据硬件设备社区数据软件/系统云边缘计算GPUAI芯片分布式计算中心算上传车载雷达访端的种类端外部接入终端（如摄像头）终端（PC，门禁）外部访问终端（如手机端）算的种类算手机终端（支付宝人脸识别）外部接入终端（环保摄像头）外部PC端（如ETC站）边缘计算服务器（中兴MEC）车载芯片智慧电杆（工控迷你板卡）边缘计算IDC网的种类网3G/4G/5G卫星链路互联网专线WiFi蓝牙ZigBee云的内涵云服务器操作系统虚拟化软件虚拟机节点数据库中间件存储数的类型数生产数据监控数据生产工艺、流程监管要求数据地方/国家经济指标隐私数据其他数据用的范围用PC端应用手机端应用页面端应用来者何人访监管侧用户公众用户关联方安全威胁治理PARTTWO找方案&找标准找方案微信（扫第一个码）每日分享各个领域高质量专业的解决方案，内容包括某省市、乡村振兴、智慧城管、智慧园区、智慧公安、智慧水务（水利）、智慧林草、社会综合治理、智慧旅游、智慧工地、智慧环卫、智慧医院、智慧环保、智慧安监等领域，结合数字孪生、人工智能、物联网、大数据、云计算等技术，分享行业售前方案、设计方案、技术方案和项目信息等。找标准微信（扫第二个码）每日分享各个智慧领域国家和地方标准规范，国家和地方政策指导文件，让各个智慧方案有据可依，内容包括找方案中的各个行业的政策和规范，内容在不断的收集和完善中。找方案知识星球（扫第三个码）会员可下载所有资料，并每日上新（注：所有资料均通过互联网等公开渠道获取，个人学习使用，请勿用于商业用途）。找标准知识星球（扫第四个码）会员可下载所有资料，并每日上新（注：所有资料均通过互联网等公开渠道获取，个人学习使用，请勿用于商业用途）。找方案星球优惠券（扫第五个码）扫描69元价格优惠加入，1W+方案任意下载，资源不断的丰富完善中......找方案微信找方标准信七大方向威胁治理端算网云数用访端安全威胁治理端算网云数用访端的威胁场景端安全外部接入端资产接入混乱漏洞脆弱性恶意访问终端资产接入混乱漏洞脆弱性恶意访问恶意代码行为失控外部访问端见访问安全端安全治理——资产识别资产识别手工登录自动扫描口令安全强密码弱口令检测定期变更端安全治理——弱口令治理接入准入指纹识别PKI-CA终端探针(PC/服务器)KM管理员CA管理员RA管理员最终用户或设备KM

ServerCA

ServerRA

Server/目录服务器HSMKM数据库CA数据库RA数据库OCSP

ServerRootCAHSMHSM端安全治理——接入准入漏洞检测手段漏洞扫描渗透测试代码审计（黑盒、白盒、灰盒等）检测报告评估修复手段1：本地修复，未雨绸缪手段2：前置防御利用安全设备的漏洞利用规则库进行自动化防御端安全治理——漏洞管理访问控制是网络安全的基线。通过五元组、角色授权等手段，对访问进行允止。右图是一个简单的访问控制示意图此外，还需要对流量中的已知和未知的恶意流量进行检测与阻断。入侵检测与防护已知威胁监测（基于特征库）未知威胁监测（基于沙箱的APT检测）入侵防护边界防病毒端安全治理——访问控制、入侵防御检测端安全治理——恶意代码检测恶意代码防护防毒墙终端防病毒沙箱蜜罐端安全治理——行为管控审计内网随意上网下载堡垒机、数据库审计防泄密系统身份认证（4A）高风险运维准入访问控制终端管控私接设备访问控制与权限最小化、电子签章DLP防泄密数据隔离权限扩散终端行为审计/日志审计其他安全防护与检测手段（如IPS/FW/DLP）恶意操作上网行为管理算的安全威胁治理威胁治理端算网云数用访边缘计算类型边缘计算类型终端边缘计算芯片边缘计算主机边缘计算IDC边缘计算“终端型边缘计算”安全治理案例：环保监控摄像头，以RBG色彩基线为基准，判断排污终端边缘计算安全资产识别终端准入增强口令漏洞管理访问控制案例：无人驾驶场景的车载计算芯片芯片边缘计算安全算法安全代码安全交互安全“计算芯片型边缘计算”安全治理“主机型边缘计算”安全治理ETC收费站终端防病毒操作账号多因素认证软件白名单日志留存与上传审计“IDC型边缘计算”安全治理省监控中心区域分中心边缘计算节点运营商运营商运营商基站基站监控点位监控点位监控点位监控点位监控点位监控点位政府IDC或运营商IDC边缘计算节点IDC传统安全拓扑网络层SSLVPN网关

数据集群（基础支撑层）管理区FW边界FWFW/IPS某著名企业堡垒机Web服务器防篡改发布服务器Web防火墙防病毒终端安全准入系统数据库审计感知层感知探针接入终端接入终端IPS/AV防火墙漏洞扫描系统安全管理平台SOC安全管理区核心交换上网行为管理某著名企业某著名企业链路负载专线应用负载应用负载数据隔离交换区域隔离交换区网闸生产网入侵检测4A系统云安全资源池DLP网关边界访问控制云流量清洗与监控应用准入网关数据库脱敏漏洞管理安全审管理与计

应用集群（应用于展示层）边界防护通信安全与网络边界防护边界防护计算环境安全计算环境安全计算环境安全终端安全网的范围威胁治理端算网云数用访网的威胁场景网安全传输威胁流量劫持与监听信息泄密加密算法安全可用性威胁僵尸网络反射攻击已知与未知威胁协议安全（略）传输安全传输安全加密可信的加密算法切片隔离可用性与安全基线可用性安全抗DDoS威胁情报DNSSec供应链安全纽约旧金山芝加哥休斯顿西雅图波士顿费城圣何塞华盛顿怀俄明州迪比克大周期审计社工欺骗信息收集横向摆渡基于攻击链条以及历史长周期的统计关联分析搜集核心资产恶意代码植入数据回传丹麦哥本哈根银行2015年审计5年的日志，发现一起持续5年的慢渗透攻击小周期基线判定反复出现超出基线的行为：需要审计是否为APT攻击特征库检测静态检测AV检测PE搜索YARA规则根据规则检测已知病毒文件灵活定义检测规则，应对突发情况搜索文件里嵌入的可以执行文件优点快速发现文件包含的恶意攻击缺点无法深度解析，无法判断影响关键技术AV检测、YARA规则匹配、PE搜索沙箱与蜜罐/蜜网将文件在虚拟环境中执行，通过记录文件的运行过程，可发现漏洞利用情况、反向链接、隐蔽信道、潜伏病毒等。检测原理优点：可以深度检测。缺点：沙箱检测速度慢。特点威胁情报比对通过集成外部威胁情报，将已知的APT组织特征（如IP、攻击工具、僵尸网络、国家地域）等作为特征库方式集成，提升检测效率与准确性联动协同防御互联网恶意流量防火墙未阻拦IDS/APT检测设备感知反向推送策略自动阻断可以将旁路检测设备与串行防护设备进行智能协同防御。当检测设备检测到攻击行为，但是防护设备未阻断，那么检测设备会反向推送策略给边界网关自动阻断，从而能够在第一时间对攻击行为做出响应。将需要大量人员分析流量与日志的沉重工作中解脱出来，只需要对智能联动防御后的网关处策略，人工排查是否有白名单应用或IP的误拦截，进行放行或督促整改即可。5G流量安全检测GTP流量可视化和安全防护对所有GTP隧道内的接入流量进行全面安全检测，防止来自接入侧的攻击IoT流量可视化和安全防护识别和控制IoT设备流量保护某著名企业网络免受IoT设备引发的网络安全攻击。Gi/SGi流量可视化和安全防护对互联网侧流量实现全面的四七层安全防护。保护4G/5G基础架构免受来自Internet的攻击。漫游流量流量可视化和安全防护对漫游流量实现全面的四七层安全防护。网络切片慢速/高延迟（摄像头）中速/中等延迟快速/低延迟（无人驾驶）分片隔离分片隔离云的安全威胁治理端算网云数用访云环境下的威胁场景云安全主机端点威胁提权泄密恶意代码漏洞网络流量难检测流量难感知入侵防御（见前文）访问安全（见后文）应用安全（见后文）数据安全（见后文）云流量牵引与清洗CoreSWInternetCoreSWAccessSWAccessSWAccessSW……租户1VPCSECSW云安全服务区云安全服务平台控制台租户1vNGFWvWAFvIDSvVPN租户2vNGFWvWAFvIDS主机防护租户NvNGFWvWAF主机防护……安全域1安全域2VMVM有代理主机安全防护系统提供端点防护+微隔离VMVM租户2VPC安全域1安全域2VMVM有代理主机安全防护系统提供端点防护+微隔离VMVM租户NVPC安全域1安全域2VMVM有代理主机安全防护系统提供端点防护+微隔离VMVM……1.云环境中，虚拟机中流量有可能在宿主机中流转，无法被外部安全设备检测，因此，SDN编排，流量牵引与清洗回源2.租户VPC内，除了端点检测以外，还需要进行租户隔离，防止主机失陷后造成的数据泄密、权限扩散等问题3、虚拟机镜像模板编排与分发4、IDC安全参考上文边缘计算IDC场景云安全服务平台——安全资源池数的安全威胁治理端算网云数用访数据面临的威胁数据安全威胁外部入侵违规第三方窃密数据创建场景的安全数据存储数据传输数据使用数据降级数据销毁数据生成在数据生成时就应当对数据定义和定级，并结合行业标准、法律法规等作为参照，定义敏感或涉密数据的依据敏感数据：政府不能或不能提早披露的数据。个人隐私数据等。数据存储期场景下安全数据存储数据传输数据使用数据降级数据销毁数据生成在数据存储时需关注数据的性、完整性和可用性数据存储性：文件加密、磁盘加密（秘钥需妥善保管）或脱敏存储数据存储完整性：校验、备份数据存储可用性：备份验证数据传输场景下的安全在数据传输时需关注数据的性、防泄密监测、交换摆渡以及事后审计加密传输（IPsecVPN/SSLVPN）交换隔离（数据因需隔离，或按需交换）防泄密监测：网络/邮件/发帖等形式的防泄密监测数据传输操作的记录与审计数据存储数据传输数据使用数据降级数据销毁数据生成数据使用场景的安全在数据使用时需关注数据的权限授予与访问控制、隐私合规、拷贝限制、审计数据访问控制（基于IP与基于角色的读写访问）隐私合规（采集最小隐私、知情权、遗忘权）拷贝限制：禁止某著名企业设备拷贝、刻录、水印禁止引用：防盗链、反爬虫数据屏蔽：如在GIS系统中屏蔽敏感区域数据使用记录需保存并审计数据存储数据传输数据使用数据降级数据销毁数据生成数据降级与销毁场景在数据销毁时，应当根据原先存储数据的密级采取不同的销毁措施非密数据磁盘销毁：格式化普密级数据磁盘销毁：加密后删除秘钥，多次低格级数据磁盘销毁：消磁后物理/化学损毁数据存储数据传输数据使用数据降级数据销毁数据生成数据安全全景图数据安全治理云平台关系型数据库大数据平台数据安全防护网关DLP身份认证管理数据防泄漏数据风险态势应用搜索数据服务数据交换比对分析特权账号管理数据安全治理平台隐私保护——匿名化与遮蔽隐私数据定义定级生成敏感数据字典集中管理、集中确认隐私数据字典管理字段名数据类型示例User.PhoneNumberNumber1380000000User.NameVarchar(20)User.IDVarchar(20)110000000000000001AA01.CardNumberChar6225-0000-0000-000AA02.AddressText某省市海淀区西北旺21号匿名化脱敏（数据不可逆）字段名数据类型示例User.PhoneNumberNumber1560000000User.NameVarchar(20)例子User.IDVarchar(20)220000000000000001AA01.CardNumberChar6226-0001-0001-001AA02.AddressText某省市朝阳区大屯路东15号原数据姓名身份证手机号家庭住址张**110103********38271701233****某省市东城区****何**120103********23451331234****某省市红桥区******夏**201110********53421862837****某省市某省市**********周*120102********98431562312****某省市和平区**********遮蔽脱敏（权限足够可看全貌）用的安全威胁治理端算网云数用访应用安全的威胁应用安全威胁可用性性完整性开发安全的规划技术Technology过程Process

人员People开发、测试、安全及安全人员的能力/意识培训建立安全开发保障过程体系、安全开发规范与标准架构设计、安全开发编码、安全测试以及安全部署运维知识库Knowledge安全编码规范代码安全指南问题知识库安全开发过程规范安全审核检查表知识库操作实践Practice人员培训架构安全设计需求安全分析代码检查分析代码风险评估白/黑盒测试事件响应处理威胁建模集成安全分析工具Tools代码检查工具漏洞扫描工具黑盒测试工具网站应用安全加密校验流量清洗安全管理应用层防护架构整改防篡改应用安全防护手段漏洞管理可用性监控安全监控安全评估事件响应大流量DDoS防护防SQL注入防恶意爬虫防跨站攻击……代码混淆与校验防篡改与快速恢复前中后端拆分微服务架构安全加密安全校验双因素验证防重放APP安全APP安全代码安全云环境安全隐私保护合规访的范围威胁治理端算网云数用访访问场景威胁访问场景下的安全威胁身份验证问题终端识别问题数据窃密弱口令（见前文）恶意爬虫身份鉴别认证与赋权帐号管理认证管理授权管理审计管理RA管理内嵌（证书注册）CA中心（证书认证、密钥管理）管控平台可结合短信网关网络设备主机SSO单点登录应用系统数据库权限1权限2权限3权限N敏感信息遮蔽+下载限制身份标识与权限鉴别，作为访问控制的基础，是解决主动攻击威胁的重要防御措施之一。通过SSO单点登录功能：可以实现身份可知，身份可信，权限可控，账号可管！并且针对敏感信息，可以做到遮蔽化屏蔽（例如身份证号用※代替），应用URL访问限制等。并且可以全程访问审计，甚至录屏归档。此外，可以结合短信、令牌环等方式进行双因素认证，并且限制认证事件时间窗，防止重放攻击。终端识别与合规访问控制在远程访问场景下，不仅要识别用户，如有可能，还需对用户接入的设备进行标识，对接入的终端设备进行管理与准入。最终实现对终端的资产识别与登录、防病毒、补丁分发、软件/进程黑白名单、某著名企业防拷贝、终端防泄密网络准入认证正常访问异常拒绝安全合规终端认证服务器无弱口令DLP审计无非法软件资产登录安装杀毒软件补丁更新终端安全保护伞，在哪办公都一样！访问加密传输SSLVPN的场景，可以用于个人远程接入。保障了个人与企业网络间隧道的加密传输，防止被窃密监听。此外，更安全的做法是加强的多因子认证（账户+U盾、账户+短信验证码）。企业应用Internet开放的端口列表HTTPS（443）企业内网远程用户端企业加密机网关SSL认证加密点加密点通信点通信点明文明文密文SSLVPN的组网，只需在企业端有专用加密机设备，而用户端只需软件形式的客户端。适用于PC和手机某著名企业端。恶意爬虫、CC、扫描阻断脚本识别模拟器识别模型识别恶意IP识别恶意行为识别软件特征库识别过滤丢弃锁死放行自定义应用服务器集群建设要点总结PARTTHREE合规第一合规等保政务网安全金融标准隐私保护数据治理识别各个场景风险安全策略（战略）组织信息安全（战略）人力资源安全（贯穿全程）

资产管理（战术）

访问控制（战术）

密码学（战术）物理与环境安全（战术）操作安全（战术）通信安全（战术）信息系统开发、获取和维护（战术）

供应关系（战术）信息安全事件管理（战术）信息安全万面的业务连续性管理（战术）IPDRR模型依旧适用

来自NIST的计算机安全指导政策框架（IPDRR模型）。该框架模型包括风险识（Identify）、安全防（Protect）、安全检（Detect）、安全响（Response）和安全（Recovery）五大能力。该模型覆盖率"事前、事中、事后"的全过程。该模型又称之为自适应安全模型。风险识别安全防御安全响应安全恢复灾难恢复应急预案恢复计划事件响应安全监控数据分析安全检查安全监测人员安全访问控制纵深防护安全运维安全治理架构规划资产管理风险管理重要数据访问结合零信任以身份为中心动态访问控制持续风险评估业务安全访问识别用户识别终端准入机制用户画像行为分析异常联动外部威胁检测防御部威胁检测防御审计与持续监控告警联动协同防御防护业务安全保护数据安全保障主机安全对敏感/隐私数据进行纵深保护与全面监管嵌入四大生命周期管理生命周期管理账户生命周期管理数据生命周期管理漏洞生命周期管理事件生命周期管理漏洞检测漏洞报告漏洞评估漏洞修复事件产生事件研判事件处理事件关闭帐号开通账号变更账号赋权账号注销对新技术场景持有谨慎态度采用虹膜/视网膜识别视网膜脱落/失明声纹识别、光攻击人脸识别与对抗攻击生物特征属于个人隐私，尤其需要注意隐私保护问题！！！商机与案例PARTFOUR商机——智慧政务数据多跑路，群众少跑路！——一某著名企业办电子政务信息化改造商机——新基建新基建、《中共中央国务院关于构建更加完善某省市场化配置体制机制的意见》大数据局IDC数据中心科研平台智慧城镇商机——智慧交通新能源汽车、无人驾驶、无人公交线路、智能轨道交通、智能调度车联网充电桩出行平台信息化铁路轨道交通智慧公交出行APP高速门架智慧物流雪亮工程商机——智慧农业土地流转、人口老龄化、城镇化智慧农业敏感数据保护智慧养殖商机——智慧校园、校企合作教育部：积极推进教育信息化建设。网络安全成为一级学科智慧校园校企合作认证培训商机——智慧社区商机——绿水青山智慧环保、排污检测、应急管理终端准入工控安全应急管理平台可用性保障商机——民生医疗、金融、能源互联网医院智慧金融智慧能源案例——雄安新区车路协同集中管理与展示平台物联网安全管理平台交通管理平台车联网地图服务车