随着信息化飞速发展，企业无纸化办公越来越普遍。为保证办公网的安全，防护技术从最简单的防火墙、杀毒软件的应用，到如今态势感知、威胁情报等防御技术方案的配置，使得定向威胁攻击防护能力得到显著提升。与此同时，零信任技术的提出与广泛应用，为解决传统边界安全防护不足相关问题提出新思路，本文将重点讨论零信任技术在办公系统中的应用。
零信任安全办公管理系统设计
1. 系统总体设计
深度融合零信任与传统防护体系，充分考虑面向用户和办公系统移动化的需求，参考国际通用安全架构，并依据网络安全等级保护要求、信息系统密码应用基本要求，以实际应用场景为导向，结合PKI/CA基础设施及商用密码技术，最终实现身份可信、权限可控、传输加密和动态监测的目标。
（1）用户可信：通过身份、凭证、访问管理和多因子技术，对可信用户身份进行持续验证，并持续监测和验证用户可信度、访问权限，确保用户的登录操作是由本人操作。
（2）设备可信：确保可信用户使用可信设备进行操作，且终端具备基础安全防护能力，满足安全基线要求，对终端发起资源请求程序进行验证，防止恶意程序的伪装。
（3）权限资源可信：保障资源被拥有权限的用户正确获取，而非以被越权或被攻击的方式获取。通过安全控制策略限制访问，仅指定人、应用才能够访问指定的服务资源，减小业务系统安全风险暴露面。
（4）链路传输可信：保障终端访问服务器的流量是加密的，避免被中间人劫持。
（5）动态监测：对访问用户、设备和环境的可信状态实施持续动态监测，保护自身监测能力和第三方的安全状态信息。
（6）动态防护：一旦监测对象的安全状态发生变化，由可信变为不可信状态，应动态进行隔离、阻断、降级等操作，防止进一步的攻击和渗透。
2. 系统组成
（1）密码基础设施
零信任安全办公管理系统由密码基础设施、可信身份管控平台、网关管理平台、智能策略控制中心和终端环境感知中心五大模块组成。密码基础设施依托密码设施为网络平台提供密码密钥管理服务，密码服务平台结合密码设备提供加解密、签名验签、随机数生成等密码服务功能；电子认证基础设施（PKI/CA）基于国产商用密码算法，为办公系统人员、设备、应用、服务等提供数字证书管理服务。
（2）可信身份管控平台
可信身份管控平台依托密码支撑体系，以身份为中心，对不同对象进行规范化统一管理；通过身份认证服务，实现用户、应用、设备等实体身份鉴别、鉴别结果可信传递、单点登录等功能；通过授权管理服务，基于角色、属性等授权模型，实现细粒度的授权管理与鉴权控制等功能；安全审计服务采集应用系统的运行记录、操作日志、性能指标等信息，对各种不同数据进行统一的规范化处理和综合分析，从而帮助安全管理工作真正做到事前及时预警、事中准确定位、事后有据可查。
① 可信身份管控平台。可信身份管控平台为用户提供所有对象的可信身份，是实现零信任办公安全管理系统的关键支撑模块。该平台将可信身份作为访问控制的基础，实现用户对人/设备/系统全面、动态、智能的访问控制。为各应用系统提供基于多种凭证的认证机制、权限管理，实现各种实体的身份化及身份生命周期管理，对授权策略提供细粒度管理和跟踪分析、行为审计，增强安全防护能力，提升管理效率和质量。
② 身份风险服务模块。身份风险服务模块动态监测企业应用及服务访问场景中用户的动态访问行为。该模块主要针对访问控制的实时性要求，采用大数据分析、机器学习、偏离度算法等多项核心技术，集中解决用户在持续访问过程中的行为安全问题，为企业提供行为分析、风险计算、持续监控、数据监测等能力。零信任体系下，身份风险服务模块与智能策略控制中心进行联动，持续收集用户访问过程中的行为轨迹，并与终端环境感知中心联动，通过持续感知用户终端环境健康度，如终端安全状态、终端所在物理位置等，来确定该身份访问客体行为的安全等级。策略中心依据安全等级和安全策略，持续监控该用户身份访问控制权限的变更并进行身份认证。
3. 网关管理平台
网关管理平台支持多因子认证机制，结合动态上下文环境监测，实现不同接入通道下为用户提供细粒度的统一访问控制机制，支持多台分布式部署网关的集中管理和统一调度。构筑各类安全边界，自动编排策略并下发至各执行点，实现动态访问控制。根据授权信息动态构造用户边界实现内部网络隐藏，支持前端（客户端到网关）流量加密、后端（网关到应用）流量加密，提供客户端和服务端事件证书来提升通信安全性。
网关管理平台将零信任软件定义边界理念与PKI密码技术融合，面向现代IT环境，以身份为中心，提供全流量加密和自适应访问控制的零信任服务。
4. 智能策略控制中心
智能策略控制中心负责风险汇聚、信任评估和指令传递下发；根据从环境感知中心、权限管理中心、审计中心和认证中心等风险来源，进行综合信任评估和指令下发；指令接收及执行的中心可以是认证中心、安全防护平台和安全访问平台。策略控制中心支持多租户模式，提供基于角色、基于属性和基于策略的安全访问控制模型和细粒度授权模式，支持多种网关策略分发和统一管理。
智能策略控制中心对应NIST零信任标准SP.800-207中的策略引擎（PE）、策略管理员（PA），增加了策略信息发布管理（PIP）、零信任策略执行点管理（PEP）、会话管理等业务功能，是零信任网络环境下的智能控制器，构建所有认证与访问控制策略的大脑。可对接电子认证基础设施和可信身份管控平台，构造基于角色、属性、策略用于各零信任策略执行点的多模型访问控制策略模型，并可对异构环境下的不同PEP提供统一的策略推送和集中管理。
5. 终端环境感知中心
终端环境感知中心负责对终端身份进行可信标识，对终端环境进行感知和度量，并传递给策略控制中心，协助策略控制中心完成终端的可信环境核查，从而实现动态访问控制的目的。通过用户行为分析中心和环境感知中心，建立信任评估模型和算法，实现基于身份的信任评估能力，同时需要对访问的上下文环境进行风险判定，对访问请求进行异常行为识别并对信任评估结果进行调整。
终端环境感知中心自下而上分为硬件层、内核层、数据平台层、信任平台层和应用层，整体可切分成控制平台和数据平面两部分。当系统运行时，会生成系统环境的数据平台和安全可信环境的控制平台。基于威胁离业务越来越近的现状，通过多维度的终端感知与风险度量，并结合业务访问控制手段，实现对终端唯一身份的识别、风险的动态感知与度量功能，将终端威胁对业务的影响面降到最低。
