删除|案例研究?易安联 X 某省级运营商：零信任安全体系建设实践( 四 ) 软件

（2）终端安全：终端管控、病毒查杀，确保终端合规
易安联提供全面的终端安全和运维能力，包括漏洞扫描、安全基线检测、桌面管理、应用商店、远程协助等，其中应用商店和远程协助是两项重要的能力：
? 应用商店：A运营商的终端体量庞大、终端标准化程度低，应用商店能力可以保证软件从下载到应用是安全、可信、标准的；
? 远程协助：管理人员可以远程到使用者的PC上解决问题，减少远程管理的工作量，同时提供分级授权能力，远程协助能力可以下发到全省各地市、各区县不同的管理人员。
针对个人办公终端、营业厅网点终端采取安全状态检测、合规管控、安全基线检查等手段，采集终端各类信息上传至环境感知平台进行大数据分析，分析结果上送至策略控制中心，实现对用户的动态授权。基于人员角色、组织架构的不同，制定不同的安全策略。
（3）应用安全：应用级的智能准入控制
A运营商现有NAC体系基于交换机来进行终端管控，很难响应用户的安全管理诉求和业务敏捷灵活性的要求，易安联零信任解决方案提供了在应用层面的准入控制，通过统一入口，基于用户账号的可信程度、设备健康状况、访问环境等，结合业务系统的敏感度等级进行安全建设，建设范围更加灵活，更加贴近于业务诉求。
（4）动态管控：可自定义的安全策略中心
基于属性的授权机制，用户可自定义扩展属性，可根据不同业务场景，制定出符合业务安全需求的管控策略。

属性可以对接到日志模块，包括风险日志、访问日志、终端日志、动态感知认知等，对日志数据进行清洗，然后根据业务场景的需求进行调整，业务部门和安全管理部门可以自适应调整安全策略，匹配现有的业务场景。从业务梳理、配置到策略启用仅需要一周左右的时间。

（5）数据安全：敏感数据流转管控
依赖于零信任本身的客户端能力提供可信的终端工作环境，支持多域多安全级别工作空间，实现数据可管可控、下载审计等能力。安全工作空间对接现有安全体系，做到与宿主机隔离、工作空间之间隔离，实现文件存储加密、通讯传输加密、数据流转受控等。
安全工作空间主要面向两类客户，一是三方运维人员，在进行日常的平台维护时需要进入到临时性工作平台中访问业务系统，无论是主机访问、业务系统测试、代码开发、升级测试等，都限制在零信任空间内，做到数据不出网、流量不出网；二是办公人员，日常的业务操作都在零信任空间内完成，实现对敏感数据的安全管控。

数据安全能力很好地解决了现有DLP设备的不足， DLP更多是通过正则表达式匹配文件是否有敏感数据，对终端性能消耗大，安全工作空间则提供了一种更轻量化的数据管控能力。同时，安全工作空间还提供离线空间方式，如果用户因为网络质量等原因失去与服务端的交互，会自动切换到离线空间，仍然可以完成文件编译、代码编辑以及基本的办公操作，所有本地化数据都会完好保存，提升用户远程访问的便捷性。
（6）业务安全：应用隐身、收敛暴露面
A运营商资产暴露面多，尤其需要在不影响业务正常访问的前提下做好暴露面收敛和应用安全防护， SDP框架具有SPA单包授权能力，可以解决A运营商的痛点。
A运营商的防火墙上有上万条静态ACL策略，维护成本非常高，无法实现精细化的权限控制， SPA可以创建基于用户账号和设备指纹的动态ACL能力，安全性更高，配置灵活且采用软件定义ACL的方式，按需创建，自动回收，可以避免繁杂的维护工作量，同时， SPA基于应用层面生成，可以契合业务的安全管理。