—´ç›¸äº’安全调用得到有效治理,为工业互联网身份与访问控制系统提供“原子级”(API 接口)安全公共服务能力整合、聚合、分裂、重组等业务编排的能力。利用负载均衡、限流、降级、熔断、容错、审计等统一治理能力,使各企业信息系统群的健壮性得到有效提升。(1)API 服务网关。让服务的消费者(系统)将 API 能力便捷地整合到自己的应用中,促进企业新的服务生态建设。为服务的消费者提供授权鉴权、API 通用访问控制、API 敏感数据访问控制、流量控制、熔断控制、IP 黑白名单控制、时间访问控制、日志审计等急需的重点功能,合理开放与应用 API 且整体需满足信创合规的要求,支撑国产化网关底层和算法的需要。兼容不同应用系统的多种形式的开发接口,支持应对大规模并发流量,对 API 调用过程进行统计分析,清晰展示各应用系统调用关系。为不同的消费者配置不同的访问范围策略,使 API敏感数据访问得到有效控制。(2)安全接入网关。从用户角度出发,无论用户身在何地、何时访问、访问企业什么资源,都能够非常灵活的受到保护。通过安全网关提供具有应用防护、身份认证机制、安全防护机制的安全架构支撑,支持隐藏企业应用系统的真实访问地址,实现零接触访问,杜绝应用暴露带来的安全风险。安全接入网关对用户访问采取“先鉴权(认证和授权)、后连接、再访问”的方式,实现端到端可信访问企业资源,建立设备信任、用户信任、流量信任、应用信任的“端到端”信任链解决方案,通过相互传输层安全协议(Mutual Transport Layer Security,MTLS) 双向加密应用请求,实现应用级传输安全,解决了虚拟专用网 络(Virtual Private Network,VPN) 建 立 链 路带来的网络资源浪费的问题。为应用级安全接入、远程办公提供安全保障。

3.9 建立安全规范和服务规范

为保障整个身份与访问控制体系建设、支撑平台的平稳运行,需建立完整的安全制度,明确平台安全部门、业务部门、企业用户的职责等。(1)安全规范。安全规范包含政策性依据,明确安全部门、业务部门、最终用户的职责权限,包括可见范围、适应范围、权利和责任等。出台支撑平台的管理标准,如行业用户属性标准、使用规则、使用内容和管理方式等,包括制定云端安全检测评估服务、基于公共服务的运维管理和考核方法等指导性文件。(2)服务规范。应形成与企业用户管理系统对应的“应用接入和集成规范”“账号管理流程和办法”“安全标准和接口规范”和“系统运维管理制度”“组织机构管理规范”等,保障整个支撑平台的易用性和安全性。

4 结 语

工业互联网用户身份与访问控制体系的建设,是建立在政府统筹规划、企业自愿接入的基础上,配套出台具体的安全规范与服务规范,覆盖 IaaS 层、PaaS 层、SaaS 层、边缘层 4 层安全防护体系的支撑平台。融合新一代应用风险评估技术、用户动态权限控制机制、数据保护公共服务、各实体全生命周期的身份安全管理、智能风险诊断与研判等功能,为工业企业提供全方位、多层次安全防护。同时利用安全接入网关、API 网关等安全组件,在系统入口或功能入口处开展保护措施,针对企业系统侵入行为,简单的配置就可以将平台的安全防护能力赋予到企业应用系统中。

整个体系建设支持云平台架构,有效满足云服务模式,支撑平台搭建成功,可同时为云上所有企业提供安全服务,为参与工业互联网的企业用户、设备、应用、服务等各访问主体提供身份与访问的综合管控,为企业生产安全提供保障。在搭建体系过程中,基于威胁信息源的端安全检测评估技术、多因素的风险诊断与研判等难点值得进一步探索与研究。比如,如何完善除用户 IP 规则、密码规则、设备规则、地址规则等因素外的风险模型;如何开展基于对用户认证趋势、访问趋势等多维度历史信息合理输出评估风险的判定结果;在安全规范与服务规范的建设过程中,如何结合工业领域、行业特色、企业实施范围等因素制定合理的政企职责分工、安全管理制度、运维管理办法等,基于上述问题可开展进一步课题研究。

引用本文:吕波 . 工业互联网企业身份与访问控制课题研究与探索 [J]. 信息安全与通信保密 ,2022(2):99-108.

网络安全 访问控制 信息安全 数据治理
撤稿纠错