icon总体设计思路:被动+主动纵深防御的零信任SDP解决方案icon

在夯实“三道防线”的基础上,融合多维度诱饵和原生轻量蜜罐等欺骗诱捕技术,进一步增强实战攻防场景下的信任评估和访问控制运营能力,实现“被动+主动”的一体化纵深防御,对零信任 SDP 解决方案能力进行变革性的升级

icon总体逻辑架构:开放、可扩展的零信任SDP解决方案icon
icon零信任SDP解决方案的基本盘是要夯实围绕账号、
终端、设备所构建的“三道安全防线”icon

部署零信任 SDP 后,业务访问的路径变为:【账号】在【终端】上通过【SDP设备】访问业务资源。业务资源被隐藏在 SDP 之后,其对外暴露面被 SDP 收缩起来。于是,攻击者无法直接探测和攻击业务资源,SDP代替了业务资源承受网络攻击。从攻防对抗的视角看,无论采用 ATT&CK 或是 Cyber-Kill-Chain 模型,核心攻击目标根本上都是账号、终端、设备(系统)。因此,零信任SDP解决方案的基本盘是围绕“账号、终端、设备”构建三道安全防线。守住这三道防线,就能有效避免严重的业务访问安全问题。

icon三道安全防线1/3 :账号安全防线icon

基于攻击视角的渗透和后渗透阶段,通过【口令安全】+【终端认证】+【MFA】+【自适应增强认证】+【权限鉴权】+【动态ACL】,构筑多重维度的账号安全能力

口令安全
弱口令检测,强制口令强度和使用期限,支持自定义弱口令库和口令定义规则,口令爆破j检测与异常锁定,防止口令爆破与慢速口令爆破。
终端认证
多种终端资产录入与审批方式,终端账号的双向绑定与认证,授信终端免认证,保障用户体验,自定义终端绑定条件。
双因素认证
多种认证组合,如口令+短信、口令+令牌、扫码+短信等,标准认证协议对接,如LDAP、Radius、OAuth2、CAS等,企微、钉钉等多种移动APP消息认证。
自适应增强认证
基于上下文环境的异常登录行为检测,如异常地点、异常时间段、账号首次登录、闲置账号登录等,触发增强认证等。
权限鉴权
基于RBAC的权限策略与校验,认证鉴权与访问鉴权逻辑分离,保障权限安全,防止攻击扩散。
动态ACL
基于ABAC和PBAC的动态访问策略,基于身份、环境、行为等多元信任评估因素,动态调整访问权限。明确风险进行阻断或注销会话,疑似风险进行挑战认证和告警。
icon三道安全防线1/3 :账号安全防线(MFA与增强认证)icon
MFA多因素认证
经过实战检验,多因素认证(MFA)是提升身份安全、防止账号被冒用的最有效手段之一。深信服零信任SDP方案的MFA支持如下特点:认证类型丰富,灵活组合选择:如账号密码+短信认证、账号密码+动态令牌认证、扫码+短信认证、账号密码+证书认证等。认证接口丰富,降低对接成本:支持多种常见标准认证接口,如LDAP/Radius/OAuth2/CAS等,降低交付难度。更多低成本和高体验认证方式:支持企微、钉钉等APP消息验证;原生支持TOTP动态验证码,无需部署额外OTP服务。
自适应增强认证
深信服零信任SDP方案能够基于异常登录行为(如异常地点登录、异常时间段登录、账号首次登录、闲置账号登录等),触发自适应增强认证。通过“事前增强认证”+“事中短信通知”+“事后日志审计”实现全方位的认证安全控制。
icon三道安全防线1/3 :账号安全防线(认证鉴权和访问鉴权)icon

认证鉴权:深信服零信任SDP认证鉴权包括账号口令、终端、环境、MFA等,不止账号口令,认证鉴权通过后生成User-Token并下发给用户,后续业务访问均须携带此Token,未通过完整认证链则无法获得User-Token,使用伪造和过期Token无法通过认证鉴权。访问鉴权:即使用户已完整认证鉴权,用户和业务之间默认仍不能访问,还需要进行访问鉴权。用户首次访问时,SDP会对访问请求进行验证,并基于访问请求中的User-Token、进程、目标地址/域名等信息生成APP-Token并下发给用户,后续每次业务访问均须携带User-Token和APP-Token两个Token。访问权限以外的业务无法获得APP-Token,使用伪造和过期Token无法通过认证鉴权。

icon三道安全防线2/3 :终端安全防线icon

应该假设终端已经失陷或必然会失陷,考虑如何建立终端安全防线来保护业务安全,因此主要围绕攻防视角的后渗透阶段,通过【基线核查】+【环境检测】+【进程安全】+【网络隔离】+【终端数据防泄漏】,构筑多重维度的终端安全能力

基线核查
检测终端安全基线配置,确保只有符合要求的终端才能登录访问业务资源,如系统版本过低、存在高危漏洞、未安装正规杀软、安装违规软件等,均无法通过基线检查。
环境检测
检测终端运行环境是否安全,确保只有安全健康的终端才能登录访问业务资源,环境检测可以通过集成或对接EDR等成熟的终端安全能力。
进程安全
检测访问业务资源的进程,仅允许合法进程访问业务资源,避免违规或恶意工具带来的安全风险。
网络隔离
根据策略,隔离终端网络(如办公网络和互联网),实现办公不上网、上网不办公的效果,降低失陷终端被远控给业务带来的入侵风险。
数据防泄漏
通过通信加密、文件隔离、数据透明加解密、外发管控、外设管控、屏幕水印等多项技术,防止数据被有意或无意泄密。与桌面云联动对接,实现高敏数据不落地。
icon三道安全防线2/3 :终端安全防线(环境检测与进程安全)icon
终端基线核查与环境检测
深信服零信任SDP对登录和访问业务的终端环境进行持续检测,不满足安全基线或带病运行时,及时阻断访问和注销登录,确保安全合规终端才能访问业务资源,防止通过存在脆弱性或已失陷终端做为跳板攻击业务资源
可信应用进程检测
任何访问最终都是通过具体进程发起的。当终端失陷后,攻击者通常会通过黑客工具对网络和业务资源发起攻击,这将有别于正常业务访问时采用的进程,SDP需要能够识别和阻断这类异常进程,以确保资源访问的安全
icon三道安全防线2/3 :终端安全防线(网络隔离与数据泄密防护)icon
基于虚拟网络域的终端网络隔离
在针对终端的后渗透阶段,攻击者对已经控制的终端通常会建立反向连接通道,以利用终端作为跳板对业务资源进一步入侵攻击,而反连工具常常利用合法端口,或进行编译改写,实现对终端安全软件的检测逃逸。虚拟网络域,驱动级网络隔离,提升终端网络管控能力,降低失陷终端带来的入侵风险。基于网络过滤驱动,防止被攻击者绕过。基于进程、出入站流向、协议、端口等连接属性的细粒度管控。对已建立连接进行拦截管控,阻断终端在登陆前已被远程控制的风险。基于进程名称、签名、版权、指纹等多维度指标对进程进行标识,防止进程欺骗。体验优化,悬浮窗切换网络,一秒完成网络区域切换。
终端多维度数据泄密防护
对攻击者来说,控制合法终端除了用于完成攻击打点外,通常还会利用CS等攻击工具从终端上搜集信息,以进一步攻击或窃取重要数据,对于组织来说,内部合法人员有意或无意泄密数据的问题愈发严重。终端安全沙箱,打造终端数据安全工作空间,多维安全技术:透明加解密、文件隔离、外发管控、屏幕水印等。文件级加密:基于文件系统驱动的真实数据加密,不惧脱壳,一文一密,业内唯一。驱动级隔离:沙箱内外空间完全隔离,有效防止外部进程对沙箱数据的访问、损毁和窃取。全终端兼容:Windows、Mac、iOS、安卓、鸿蒙以及麒麟和统信系统的各种芯片组合。
icon三道安全防线3/3 :设备安全防线icon

零信任SDP隐藏了业务资源的暴露面,因此攻击者会利用各种方式对SDP发起入侵和攻击,因此SDP自身安全性成为系统整体安全性的基石。SDP通过【SPA单包授权】+【RASP保护】+【防中间人攻击】+【HIPS防护】+【安全开发】,构筑多重维度的SDP设备安全能力

SPA单包授权
通过第四代SPA技术,隐藏设备自身暴露面,防止攻击者对SDP设备的恶意扫描、探测、入侵、攻击
RASP防护
内置基于RASP的防护模块,防止攻击者对设备API接口的扫描、越权调用、注入攻击、参数暴破等攻击行为
中间人攻击
通过防中间人攻击模块,防止攻击者以中间人攻击方式篡改客户端与SDP设备间的通信数据,以实现对SDP设备的控制
HIPS防护
内置主机入侵防护模块,防止对SDP设备的未授权访问、异常进程调用和异常文件读写等
安全开发
专业安全委员会,持续SDL投入,SRC众测悬赏,PSIRT漏洞通报机制与0-Day急速修复,管家群定向通知
icon三道安全防线3/3 :设备安全防线(SPA基本机制)icon

从实战攻防对抗角度来看,系统只要暴露在外就可能成为攻击目标。除了提升系统自身安全性外,隐藏和收缩暴露面极为必要的应对手段。零信任SDP不仅要隐藏业务资源的暴露面,自身的暴露面同样要进行良好的隐藏和收缩,避免自身首先被探测攻击而失陷。零信任系统默认隐藏所有服务端口,仅开放UDP敲门端口。正常用户访问前,零信任客户端首先发送含有身份凭证的UDP SPA敲门包,零信任系统验证通过后会临时打开一个很短的时间窗,窗口期内允许指定源IP访问TCP SPA的敲门端口,并在TLS协商过程中完成TCP敲门。

第三代SPA:UDP+TCP融合敲门
融合前两代的优点,解决前两代的弊端。在UDP敲门阶段解决端口隐藏问题,在TCP阶段进行连接校验,解决敲门放大漏洞问题
第二代SPA:TCP敲门
解决了敲门放大漏洞,并且非法用户都不能连,但是端口对外暴露,大家都能扫到,理论上可以ddos这个端口
第一代SPA:UDP敲门
很好的解决了端口隐藏问题,但存在敲门放大漏洞问题:同一个NAT下面只要有一个用户敲门成功,其他用户都可以发起连接
icon三道安全防线3/3 :设备安全防线(SPA能力持续升级演进)icon

深信服领先推出第四代SPA技术,在“一人一码”基础上,推出“一次一码”,进一步增强SDP设备自身安全性,并保证了SPA技术的可落地性和体验性。持续引领业界SPA演进方向,成为SPA行业事实标准制定者

icon三道安全防线3/3 :设备安全防线(RASP防护)icon

当SPA未开启或被攻击者攻陷,攻击者下一步会通过SDP的服务API接口对SDP设备发起攻击,如接口扫描、越权调用、参数爆破、参数注入、逻辑绕过、重放攻击等常见攻击手段。因此,SDP需要具备除SPA机制之外的进一步服务防护能力

零信任SDP内置RASP安全模块,针对SDP服务接口的攻击进行防护。防接口扫描:对API访问进行监测,识别并阻断API遍历等扫描行为,防止攻击者使用通用扫描工具进行设备API接口进行暴力扫描。防接口越权调用:通过内部接口访问控制、API接口白名单等机制,限制接口的恶意访问,禁止白名单外接口访问、禁止认证成功前对认证后接口进行访问,防止攻击者尝试对需要登录的接口进行越权调用,如用户资源列表查询等。防接口参数爆破:API JSON Schema规则对所有参数都进行严格白名单规则限制,并对用户提交的API参数进行验证,有效防止攻击者尝试通过构造参数对接口进行爆破、注入攻击、拼接Shell执行命令攻击等攻击行为。防重放攻击:通过对敏感接口设计一次请求有效的请求随机码,限制请求的有效性为单次有效,防止请求被攻击者劫持并重放。防CSRF攻击:通过框架层面的全局CSRF-Token机制,对所有接口进行CSRF攻击校验,拒绝不符合CSRF校验规则的恶意请求,从而防止钓鱼请求。
icon三道安全防线3/3 :设备安全防线(RASP防护效果演示)icon
icon零信任SDP解决方案在夯实基础能力的基础上,
强化和升级主动防御和主动预警的能力icon
终端多维诱饵
文件诱饵、浏览器诱饵等多维度诱饵类型,更强的欺骗性
应用诱饵探针
IP级/Port级/URL级多维度应用诱饵探针,攻击流量重定向到原生无交互蜜罐
原生无交互蜜罐
原生于SDP网关,无需额外部署,轻量化运行,无交互机制,相对交互式蜜罐更安全
行为洞察
基于会话标签和跟踪技术,完整还原攻击故事线,实现全链路行为追踪
防线可视
详细展示SDP的设备、账号、终端三道防线的过程和效果
实体调查
基于全身份化的访问日志,对关键实体的账号、IP、终端进行深入调查分析和风险评级、预警和处置
icon主动防御 - 威胁诱捕1/3 :总体设计思路icon

威胁诱捕是零信任SDP主动防御的首要机制。通过客户端多维诱饵+应用诱饵探针+原生无交互蜜罐,主动发现SDP通道内的入侵行为,快速准确发现终端钓鱼、帐号泄露等事件,并快速切断完整攻击链路,有效应对因人的脆弱性带来的传统SDP方案难以避免的安全风险

icon主动防御 - 威胁诱捕2/3 :无交互式蜜罐的特点和优势icon
icon主动预警 - 安全雷达:总体设计思路icon

威胁预警是零信任SDP主动防御的又一重要机制。基于SDP完整的帐号/终端/进程信息、SDP内部检测到的威胁事件(如基于威胁诱捕获取的入侵行为)以及外部输入的辅助信息(如威胁情报、NTA、WAF等发现的源于SDP的攻击事件),还原安全事件相关的完整登录及访问行为轨迹,洞察事件影响范围,对安全事件进行定性分析,以点带面、以面及网,识别和拦截潜在威胁

icon主动预警 - 安全雷达:效果展现(访问行为洞察)icon
icon主动预警 - 安全雷达:效果展现(三道防线可视)icon
icon深信服零信任SDP方案主要应对的业务场景icon
icon场景一:远程接入安全访问icon

随着业务发展,非固定场所办公的接入形式越来越普遍,业务访问者也不再限于传统的内部人员,而传统的VPN方案由于系统架构、安全设计、运维管理等约束,难以支撑大规模并发和足够安全的访问控制要求,VPN自身的安全问题也屡屡被攻击者利用,成为优先攻击对象

关键问题与诉求
安全保护能力不足:传统VPN主要聚焦接入通道的安全,但缺乏身份、终端、应用、权限等多维度的信任评估,难以有效防护攻击者对业务资源的入侵攻击。钓鱼社工难以防御:钓鱼、社工难以杜绝与避免,在攻防演练或APT攻击中,一旦身份或终端失陷,即使实施经典零信任防护,业务资源的安全仍然存在巨大挑战。自身固有安全风险:传统VPN自身缺乏有效的风险抵御能力,往往成为被优先攻击的目标。稳定与大规模并发:随业务发展,远程接入的用户规模和并发访问压力越来越大,需要在基础架构层面支持分布式集群部署和性能保证,传统VPN难以满足。
方案与价值说明
1. 方案组成零信任控制中心、零信任安全网关、零信任客户端软件。2. 主要价值【安全】有效收缩业务资源的暴露面,使攻击者无法探测与攻击到真正的目标。【安全】基于双因素与增强身份认证、环境基线检查、可信应用验证、细粒度授权鉴权等,提供身份、终端、应用、权限的多维度信任评估能力,确保资源安全访问。【安全】基于第四代SPA、RASP等机制,保证零信任系统自身的原生安全性。【安全】基于终端和应用诱饵、原生蜜罐等威胁诱捕机制,有效识别钓鱼社工的行为,即使身份或终端失陷,仍能极大缓解攻击风险。【性能与可靠性】基于X-Tunnel、X-Performance等分布式架构设计和性能优化技术,保障业务大并发、高可靠的接入与运行。
icon场景二:一机多网安全访问(有互联网访问)icon

为了提高工作效率与办公体验,各行各业越来越多的组织的内网终端可以同时访问互联网和内网业务资源,极易成为互联网到内网攻击的入口和跳板,引发业务受损和数据泄密,难以溯源追责,组织也将面临监管部门或单位的通报

关键问题与诉求
多网访问引发安全隐患:业务内网与互联网未严格隔离,同一终端可以跨网访问,极易感染病毒或被远控,将互联网安全威胁引入内网中。钓鱼社工难以防御:钓鱼、社工难以杜绝与避免,在攻防演练或APT攻击中,一旦身份或终端失陷,即使实施经典零信任防护,业务资源的安全仍然存在巨大挑战。终端违规外联难以监管:内网终端私自违规外联接入互联网,缺乏有效手段进行监测和管控,容易引发网络入侵或数据泄密事件,定位追责困难,监管通报压力巨大。敏感数据泄密难以管控:通过跨网终端泄密数据到互联网的事件愈发频繁。
方案与价值说明
1. 方案组成,必选组件:零信任控制中心、零信任安全网关、零信任客户端软件(内置数据沙箱功能)。扩展组件:上网行为管理系统(AC)、泄密分析平台(ITM)、桌面云系统。2. 主要价值【安全】零信任多维信任评估,确保可信的身份、终端、应用才能访问匹配的内网资源。【安全】基于终端和应用诱饵、原生蜜罐等威胁诱捕机制,有效识别钓鱼社工的行为,即使身份或终端失陷,仍能极大缓解攻击风险。【安全】基于虚拟网络域技术实现跨网访问隔离,同一时刻只能访问一张网;基于违规外联实时检测,阻断违规私建的互联网连接。【安全】基于数据安全沙箱技术实现二进制级的数据落盘加密与隔离能力,并可协同AC/ITM进一步优化泄密行为分析,协同桌面云实现数据不落地效果。
icon场景三:一机多专网安全访问(无互联网访问)icon

许多中大型组织内部存在多个隔离的网络区域,如办公网、研发网、生产网,由于业务需要、员工体验、运维成本等因素,未必采用严格的物理隔离和一机一网,一机跨多专网访问成为一种常见的运行模式,迫切需要构建一个平衡安全、监管、体验、成本等各维度诉求的解决方案

关键问题与诉求
安全跨网访问:基于IP ACL传统方式,容易绕过,无法满足细粒度访问控制要求,从而产生越权访问和数据泄密等安全风险。符合监管合规:组织或行业可能存在如跨网访问控制、跨网安全数据提取、监管系统安全接入访问等监管与合规要求,监管通报压力较大。安全数据使用:跨网访问所获取的重要敏感数据(如个人隐私、计算模型、交易数据、生产信息等)价值更高,数据泄露风险越来越高。安全体验平衡:一机一网、数据摆渡、操作审批等方式,体验、成本、效率等不够理想。
方案与价值说明
1. 方案组成,零信任控制中心、零信任安全网关、零信任客户端软件(内置数据沙箱功能)。2. 主要价值【安全】基于身份、细粒度授权鉴权、沙箱进程隔离等技术,实现跨网业务访问安全,防止IP ACL机制下绕过与越权访问等安全风险。【安全】基于数据安全沙箱技术实现二进制级的数据落盘加密与隔离、截屏/拷贝/导出/外发管控、注销一键擦除等能力,实现跨网获取的高密级数据的泄密防护。【合规】满足主管部门监管系统安全接入、数据安全提取等合规要求,降低通报风险。【成本与体验】实现一机多专网下统一的登录和业务访问,相较于一机一网,大幅降低建设和运维成本,改善员工的使用体验。
icon场景四:办公数据泄密防护(专项场景)icon

办公终端分布广泛,形式多样,所处环境各异,访问数据资源的人员和权限设置越来越复杂,办公终端已经成为数据泄密的重灾区。传统DLP、桌管等技术能够一定程度地缓解,但面对越发先进的泄密手段,以及合法人员的“作恶”,需要体系化的建立终端数据泄密防护机制

关键问题与诉求
多网访问引发安全隐患:业务内网与互联网未严格隔离,同一终端可以跨网访问,难以防范内网合法用户将重要数据泄密到互联网。终端违规外联难以监管:内网中可能存在部分终端不允许访问互联网,但私自违规外联情况难以杜绝,缺乏有效手段进行监测和管控,容易成为数据泄密通道,定位追责困难,监管通报压力巨大。缺乏有效泄密防护技术:办公终端是数据泄密主要场所,依靠安全意识和管理规范效果有限,需要平衡安全效果、使用体验、建设成本等因素,建立差异化数据泄密防护机制。
方案与价值说明
1. 方案组成,必选组件:零信任控制中心、零信任安全网关、零信任客户端软件(内置数据沙箱功能)。扩展组件:上网行为管理系统(AC)、泄密分析平台(ITM)、桌面云系统。2. 主要价值【安全】基于虚拟网络域技术实现跨网访问隔离,可实现同一时刻只能访问一张网。【安全】终端违规外联实时检测,阻断违规终端内网访问连接,避免私建互联网出口、私接路由Wifi等行为引入的数据泄密风险。【安全】基于零信任内置数据沙箱技术实现二进制级的数据落盘加密与隔离、截屏/拷贝/导出/外发管控、注销一键擦除等能力,可应用于一般或较为重要数据的泄密防护场景。【协同】与AC/ITM协同,进一步完善基于数据内容的泄密行为分析能力;与桌面云协同,实现数据云端存储,本端不落地,适用于重要或高密级数据的泄密防护场景。
icon场景五:移动办公安全访问(专项场景)icon

随着业务云化和移动生产的发展,移动办公逐渐成为常态。网络环境更加开放和复杂,移动终端的安全能力相对薄弱,传统边界安全效果愈发下降,不断进化的网络威胁和高价值数据驱动,对安全接入、访问控制和数据泄密防护提出了更高的挑战

关键问题与诉求
安全边界防御被打破:移动互联网进一步打破了传统业务网络边界,移动用户的身份、终端环境、APP、传输通道等缺乏统一的安全管控。缺乏统一应用安全机制:移动应用种类繁多,技术路线复杂,底层安全机制不统一,缺乏统一的认证和管控标准,极易出现安全短木板。数据泄密风险在增大:移动办公终端的离散化加大数据监管难度,落地到个人终端上的重要和敏感数据极易发生泄露,难以溯源追责,组织面临监管压力与日俱增。移动安全措施落地难:随移动设备品牌多样,系统类型和版本难以统一,安全适配困难,体验差异大,推广落地困难。
方案与价值说明
1. 方案组成,零信任控制中心、零信任安全网关、零信任客户端软件(原生客户端/SDK/封装等形式)。2. 主要价值【安全】有效收缩业务资源的暴露面,仿制攻击者基于移动互联网探测与攻击真正目标。【安全】与PC办公核心安全能力拉齐,支持多种认证方式、终端和应用安全检测、细粒度授权与动态访问控制、加密隧道传输,确保移动办公安全接入与访问业务资源。【安全】同样支持数据沙箱技术,实现二进制级的数据落盘加密与隔离、截屏/拷贝/导出/外发管控、注销一键擦除等能力。【体验】支持纯H5代理、SDK定制、原生APP、应用封装等多种部署对接方式,在保障安全的基础上,灵活选择,充分考虑使用体验,降低实施和推广难度。
icon零信任安全解决方案规划路径建议icon
阶段一:远程办公场景
核心场景:对远程办公进一步的覆盖与夯实,主要风险:业务资源和安全系统的暴露面,缺乏多维度信任评估,安全保护能力有限,钓鱼社工之下,身份和终端极易失陷,身份认证机制失效,VPN自身不够安全,成为优先攻击目标。建设难点:与身份管理体系的对接和融合,场景扩展的体验与联动(VDI/沙箱/DLA),需要架构级的性能与可靠性保障。
阶段二:内网重点场景
核心场景:有互联网访问的半内网场景,尤其针对高危访问,如半封闭办公网、IT运维特权、第三方驻场、弱管控分支等。主要风险:内外网未严隔离,内网终端被感染和远控;内网终端容易违规外联,监管合规压力大;关键群体办公敏感数据泄密风险大。建设难点:零信任落地对业务连续性影响尽量要小,终端体验性要尽量保障,减少推广阻力,业务访问权限与策略细化梳理。
阶段三:内网场景扩展
核心场景:无互联网访问的一机多专网场景。主要风险:传统IP-ACL易绕过,难以细粒度管控,容易越权访问业务,违规获取数据。跨网获取敏感数据,泄密风险高,监管眼里大。传统通过一机一网、数据摆渡、操作审批等方式,体验、成本、效率不理想。建设难点:零信任落地对业务连续性影响尽量要小,终端体验性要尽量保障,减少推广阻力,业务访问权限与策略细化梳理,审批审计等操作体验涉及更多生态对接。
阶段四:数据中心及其他
核心场景:数据中心或物联网等其他场景。主要风险:工作负载间访问控制较弱,交互灵活,难以阻断攻击的横向传播和大规模爆发,工作负载间交互复杂,难以梳理,往往不敢真正开启访问控制策略,物联网或哑终端的安全基线差异较大,自身防护能力较低,易被控制或仿冒。建设难点:工作负载交互关系与访问控制策略梳理,真正做到业务驱动策略和访问控制,与工作负载保护之间联动能力打造,与物联网安全准入控制之间联动能力打造。
icon优异的基础能力内核icon

高品质的零信任SDP方案需要具备高品质的基础能力内核,其中最关键的基础能力是:连接能力、认证能力、安全能力。

icon创新的主动防御能力icon

传统SDP解决方案的基础能力差异越来越小,但在主动性防御机制和全方位预警能力上普遍存在短板,这也是深信服零信任SDP方案持续升级优化的重点方向

原生零误报鉴黑
在传统鉴白的基础上,以欺骗技术、N-DAY检测为核心,构建原生、高准确率的鉴黑能力,能够主动发现终端钓鱼、账号泄露等入侵行为
全链路攻击预警
基于AI模型,依托全面的身份化访问记录,对明确的恶意攻击实现全链路的的攻击故事线回溯、对风险实体开展关联调查分析
防线可视及预警
展示从设备接入、到帐号登录,再到应用访问的端到端、全链路业务数据流向,直观呈现账号、设备、终端三道线的实际防护效果和外部攻击预警
秒级实时响应
基于内部策略编排,针对明确的恶意攻击进行实时响应处置:注销登录 、锁定帐号,快速切断攻击源头。
iconX-Tunnel 2.0 高性能隧道架构icon
优异吞吐能力 - 媲美原生网卡

原生吞吐:通过自研句柄级连克隆技术实现内核驱动级的数据包高性能抓取,配合底层CPU硬件指令集优化实现SSL加解密性能提升,最终达到接近物理网卡的原生吞吐能力。

优异连接能力 - 协议级弱网加速

通过TCP协议专项优化,让隧道具备抗丢包、抗抖动、平稳发送等优点,实现弱网环境访问加速。抗丢包:通过TCP拥塞控制算法的优化,解决因为丢包导致的发送窗口大幅减少问题,从而加强了SDP系统的抗丢包能力。抗抖动:通过基于反馈的主动控制算法,解决网络事件导致的带宽抖动,从而加强了SDP系统的抗抖动能力。

优异连接能力 - 0-RTT

0-RTT:通过自研Local-HandShake和Early-Data传递技术,在隧道资源鉴权阶段携带业务首包数据,配合预连接及多路复用,实现业务数据包0-RTT发送,大幅降低业务访问网络时延可。

iconX-Performance 2.0 分布式高可靠架构icon
iconX-Performance 2.0 分布式高可靠架构icon
实时配置数据同步

实时多路并发同步:管理员在中心控制单元进行业务配置时,如用户创建、权限变更、策略调整等,通过实时多路并发同步技术,将中心单元数据变更实时、可靠地同步至集群其他分支单元的数据,实现各分布式单元之间的数据同步

会话漫游+授权漂移

会话漫游:当用户发生跨城市移动,基于会话分片技术,实现用户会话在多个集群之间漫游,切换时无需重新登录,大幅提升用户体验;授权漂移:某单元因网络/电力等未知原因退出集群后,剩余单元依旧共享整个集群的授权数,不影响总体用户接入规模,保障用户利益

超高压可靠性

资源智能调度:通过监控和优化系统资源调度算法,优先保障核心服务对API请求、CPU、内存和存储等资源地可用性;消息智能排队:构建多级消息优先级队列,优先保障API交互、数据库存储等核心业务快速运行,非核心业务自适应延后运行;超压智能降级:安全网关和客户端根据控制中心的负载情况,自适应调整本地策略运行,解耦对控制中心的强依赖,实现业务的超压高可靠

icon持续自主创新,国产化双模拉齐,国内零信任第一梯队icon
icon用户广泛认可:全行业落地案例2700+icon
icon总体设计思路:被动+主动纵深防御的零信任SDP解决方案icon

在夯实“三道防线”的基础上,融合多维度诱饵和原生轻量蜜罐等欺骗诱捕技术,进一步增强实战攻防场景下的信任评估和访问控制运营能力,实现“被动+主动”的一体化纵深防御,对零信任 SDP 解决方案能力进行变革性的升级

icon场景一:远程接入安全访问icon

随着业务发展,非固定场所办公的接入形式越来越普遍,业务访问者也不再限于传统的内部人员,而传统的VPN方案由于系统架构、安全设计、运维管理等约束,难以支撑大规模并发和足够安全的访问控制要求,VPN自身的安全问题也屡屡被攻击者利用,成为优先攻击对象

关键问题与诉求
安全保护能力不足:传统VPN主要聚焦接入通道的安全,但缺乏身份、终端、应用、权限等多维度的信任评估,难以有效防护攻击者对业务资源的入侵攻击。钓鱼社工难以防御:钓鱼、社工等APT攻击手段。自身固有安全风险:传统VPN自身缺乏有效的风险抵御能力,在攻防演练和APT攻击中往往成为被优先攻击的目标。稳定与大规模并发:随业务发展,远程接入的用户规模和并发访问压力越来越大,需要在基础架构层面支持分布式集群部署和性能保证,传统VPN难以满足。
方案与价值说明
1. 方案组成,零信任控制中心、零信任安全网关、零信任客户端软件。2. 主要价值【安全】有效收缩业务资源的暴露面,使攻击者无法探测与攻击到真正的目标。【安全】基于双因素与增强身份认证、环境基线检查、可信应用验证、细粒度授权鉴权等,提供身份、终端、应用、权限的多维度信任评估能力,确保资源安全访问。【安全】基于第四代SPA、RASP等机制,保证零信任系统自身的原生安全性。【安全】的【性能与可靠性】基于X-Tunnel、X-Performance等分布式架构设计和性能优化技术,保障业务大并发、高可靠的接入与运行。【开放】基于LDAP、OAuth等标准协议与多种身份和认证系统进行异构对接,提供完整SDK实现用户侧APP的灵活集成。
icon场景二:一机多网安全访问(有互联网访问)icon
关键问题与诉求
多网访问引发安全隐患:业务内网与互联网未严格隔离,同一终端可以跨网访问,极易感染病毒或被远控,将互联网安全威胁引入内网中。钓鱼社工难以防御:钓鱼、社工难以杜绝与避免,一旦身份或终端失陷,即使实施经典零信任多维信任评估策略,业务资源的安全仍然存在巨大挑战。终端违规外联难以监管:内网终端私自违规外联接入互联网,缺乏有效手段进行监测和管控,容易引发网络入侵或数据泄密事件,定位追责困难,监管通报压力巨大。敏感数据泄密难以管控:通过跨网终端将组织数据泄密到互联网的事件越来越多,依靠安全意识和管理规范效果有限,急需针对性的数据泄密防护技术手段。
方案与价值说明
1. 方案组成,必选组件:零信任控制中心、零信任安全网关、零信任客户端软件(内置数据沙箱功能)。扩展组件:上网行为管理系统(AC)、泄密分析平台(ITM)、桌面云系统。2. 主要价值【安全】终端环境安全基线核查,确保安全合规的终端才允许访问内网业务资源。【安全】基于虚拟网络域技术实现跨网访问隔离,可实现同一时刻只能访问一张网。【安全】终端违规外联实时检测,阻断违规终端内网访问连接,避免私建互联网出口、私接路由Wifi等行为引入的安全和泄密风险。【安全】基于数据安全沙箱技术实现二进制级的数据落盘加密与隔离能力,并可协同AC/ITM进一步优化泄密行为分析,协同桌面云实现数据不落地效果。【合规】有效满足主管部门对安全接入、网络隔离、违规外联、审计追溯等合规要求。
产品推荐 查看更多>>
    McAfee完整数据保护-高级

    利用终端加密、访问控制以及用户行为监控,保护您免受数据丢失、被盗和泄露的风险。具备数据丢失防护、全盘加密、设备控制和云存储保护等功能

    高效稳定

    安全可靠

    数据库静态脱敏

    天玥网络安全审计系统V6.0-数据库脱敏系统(DBMasking),是针对用户数据进行流程化管理,对敏感数据进行脱敏的管控平台。集数据抽取、敏感信息自动发现、脱敏、装载于一体,满足用户各种数据使用场景,既遵循了法规要求,又很好的保障了用户信息安全。

    高效稳定

    安全可靠

    网络入侵防御系统

    优炫网络入侵防御系铳是—个深入应用层的网络安全设备,能够实时检测和防御包括拒绝服务、缓冲区溢出、木马蠕虫、CMS、WEBSHELL等多种网络攻击行为。

    安全防护

    使用便捷

    安全可靠