金融行業(yè)遠程辦公安全風險分析及解決方案

1、金融行業(yè)遠程辦公安全風險分析及解決方案2020年以來，各金融機構認真執(zhí)行人民銀行、銀保監(jiān)會等監(jiān)管機構關于加強金融服務和強化金融支持防控新冠肺炎疫情的要求，紛紛開啟遠程辦公的工作模式，在減少聚集接觸的同時推動復工復產，保障基本金融服務暢通。在實踐中發(fā)現(xiàn)，遠程辦公雖然便利，但也暴露了諸多安全問題，如某企業(yè)員工通過VPN進入企業(yè)內網的跳板機,在權限管控精細度不足和運維安全審計缺失的情況下，大肆刪除或篡改企業(yè)的重要業(yè)務數(shù)據(jù)庫。如何在滿足遠程辦公基本需求的基礎上，強化金融機構網絡安全和數(shù)據(jù)安全保護能力，保障遠程辦公安全和金融數(shù)據(jù)流動安全，成為當前亟待解決的問題。一、金融行業(yè)遠程辦公主要安全風險遠程辦公模

2、式下，金融企業(yè)用戶使用電腦、手機、PAD等遠程終端設備從公用互聯(lián)網絡分散接入企業(yè)內部網絡進行日常辦公、遠程應用研發(fā)、運行維護或客戶服務等，這意味著辦公終端難以統(tǒng)一和受控，企業(yè)的網絡邊界得到無限延伸，互聯(lián)網暴露面相對于本地辦公模式顯著增加，由此帶來弱口令攻擊、客戶信息泄露、網站被攻擊或篡改、應用漏洞導致資金損失、釣魚攻擊導致勒索事件、惡意代碼攻擊導致病毒在內部網絡擴散等諸多網絡安全風險隱患。具體而言，金融行業(yè)遠程辦公主要由遠程終端、通信網絡、遠程接入區(qū)和服務端四部分構成，其面臨的主要安全風險如下：1.終端安全風險遠程終端安全風險主要有兩類，一是準入安全風險。用戶使用家用電腦或個人手機等設備，因為

3、缺乏企業(yè)端統(tǒng)一的終端準入管控，可能導致病毒、木馬、蠕蟲、網絡釣魚以及黑客程序等向內網傳播擴散，進而存在入侵企業(yè)內網核心資產的安全風險。二是數(shù)據(jù)共享風險。在未明確區(qū)分個人與企業(yè)應用和數(shù)據(jù)的情況下，個人或個人應用可能存在能夠隨意訪問、獲取企業(yè)數(shù)據(jù)及代碼，進而可能造成企業(yè)數(shù)據(jù)及代碼被個人或個人應用非法上傳、共享和外泄的安全風險。2.傳輸安全風險通信網絡方面，企業(yè)總部及分支部用戶通過公共通信網絡分散接入，不安全的公共通信網絡可能存在諸多安全隱患。近年來，利用此類安全隱患實施攻擊表現(xiàn)出工具化和自動化趨勢，實施攻擊的門檻大幅降低，導致傳輸數(shù)據(jù)可能被泄露、篡改或惡意破壞的安全風險顯著增加。3.接入安全風險遠

4、程接入方面，一是可能缺乏企業(yè)級互聯(lián)網絡邊界安全防護設備的威脅持續(xù)監(jiān)測及實時防護能力，比如對病毒、木馬、蠕蟲、惡意代碼的檢測和阻斷能力；二是可能存在對接入用戶身份的真實性驗證不足、訪問權限控制精細度不夠、操作行為監(jiān)測機制不健全等問題，可能引發(fā)仿冒用戶身份非法訪問，未授權用戶越權訪問，遠程運維用戶對重要業(yè)務數(shù)據(jù)的誤修改、誤刪除等操作不能被及時發(fā)現(xiàn)，進而導致企業(yè)重要數(shù)據(jù)面臨被泄露以及被無意或蓄意破壞的安全風險。4.服務端安全風險服務端安全風險主要有兩類，一是服務端應用種類繁多，接入渠道多樣，不同信息系統(tǒng)、不同渠道的安全防護策略和建設標準可能不統(tǒng)一，部分遠程辦公場景安全策略缺失，導致企業(yè)整體安全防護能

5、力降低。二是網絡邊界延伸，互聯(lián)網暴露面增加，底層安全機制缺失。原本僅限于內網訪問的部分信息系統(tǒng)或服務開放給互聯(lián)網接入和訪問，意味著企業(yè)的網絡邊界發(fā)生了變化,使內網信息系統(tǒng)及服務暴露在不受控的風險范圍內，且與原本設計為互聯(lián)網訪問的系統(tǒng)或服務在安全設計、安全漏洞掃描、滲透測試、備份與災難恢復機制建設、安全審計和管控投入力度等方面相比，內網信息系統(tǒng)及服務內生的安全脆弱性更增加了受攻擊的可能，短期內難以提升至可接受的安全風險水平。二、金融行業(yè)遠程辦公主流解決方案當前，主流的遠程辦公解決方案主要有以下六種：1.終端安全防護方案終端安全防護方案是通過策略遵從的準入控制確保終端盡可能安全或依托終端隔離及加密

6、技術構建企業(yè)安全桌面的方式實現(xiàn)遠程辦公，將企業(yè)的網絡邊界擴展至終端和用戶，規(guī)范用戶接入網絡的行為，支持員工隨時隨地安全訪問企業(yè)內網，確保員工從企業(yè)內網獲取的數(shù)據(jù)、代碼不被轉發(fā)和泄露，從源頭鏟除網絡威脅?；诓呗宰駨牡臏嗜肟刂品绞剑菍尤刖W絡的終端進行終端安全及合規(guī)檢查，屏蔽不符合策略的終端接入,并對符合策略的接入終端實施終端檢測與服務器專項保護，實時檢測來自遠程辦公的攻擊或病毒，及時防范惡意攻擊?；诮K端隔離及加密技術構建遠程辦公安全桌面，是以對設備不信任為前提，終端設備上的安全桌面內所有應用程序可通過加密隧道訪問企業(yè)內網，一方面支持企業(yè)的數(shù)據(jù)及應用與個人的數(shù)據(jù)及數(shù)據(jù)分離，設備上的個人數(shù)據(jù)和

7、個人行為不受企業(yè)策略影響；另一方面企業(yè)數(shù)據(jù)可在安全桌面內正常編輯使用，但無法進行拷貝、剪切等操作，防范企業(yè)數(shù)據(jù)泄露。此種遠程辦公方式下，企業(yè)內網信息系統(tǒng)或服務需開放給互聯(lián)網接入和訪問，企業(yè)數(shù)據(jù)駐留遠程終端，多個遠程終端分散接入，統(tǒng)一管控和運行維護工作量大，且在傳輸安全、接入安全及服務端安全方面需增補相對應安全防護措施。2.VPN方案VPN方案是通過在公用互聯(lián)網上建立遠程終端與VPN網關之間虛擬專用網絡，對傳輸數(shù)據(jù)包進行發(fā)送端加密及接收端解密轉換來實現(xiàn)遠程訪問。此種遠程辦公方式具有投入少、建設周期短等特點，可保護遠程終端和VPN網關之間的遠程訪問安全，有效防范傳輸安全風險，但與此同時，該方案也存

8、在缺少終端準入控制、企業(yè)應用及數(shù)據(jù)駐留遠程終端、個人及企業(yè)應用及數(shù)據(jù)未隔離、無數(shù)據(jù)防泄露措施、服務端安全風險難以規(guī)避、擴容困難、并發(fā)使用人數(shù)受限、有安全性漏洞等安全隱患。.遠程桌面訪問方案遠程桌面訪問方案是通過網絡和遠程桌面功能遠程控制位于企業(yè)內部網絡中的計算機，進而實現(xiàn)遠程辦公。遠程桌面訪問方式下，用戶通過在遠程終端上輸入工作站計算機的遠程用戶名/密碼即可連接，并通過鍵盤和鼠標遠程控制內部工作站計算機達到訪問服務端應用及服務的目的，用戶能在遠程終端設備的屏幕上看到內部工作站計算機的屏幕圖像。遠程桌面訪問解決方案可為通信傳輸提供端到端的數(shù)據(jù)機密性和完整性保障能力，并對用戶進行身份驗證,以防范他

9、人非法接入內部工作站。但該種方案下，一方面因為涉及跨企業(yè)網絡邊界的端到端加密，所以通信內容在企業(yè)邊界的網絡安全防護工具（如防火墻、入侵防御系統(tǒng)等）中以密文形式存在，無法實施業(yè)務流量分析和異常行為監(jiān)測；另一方面，因為內部工作站計算機充當遠程接入網關，可直接或間接從互聯(lián)網上被訪問，而其原本僅設計用于內部網絡訪問，企業(yè)很難在短期內將數(shù)量眾多、位置分散的內部工作站計算機的安全性提升至可被互聯(lián)網訪問所需的風險管控水平。.桌面虛擬化方案桌面虛擬化方案是通過部署虛擬主機系統(tǒng)，由虛擬主機系統(tǒng)模擬出多個虛擬桌面操作系統(tǒng)運行所需要的硬件資源（如CPU、內存、網卡、存儲等）。多個虛擬桌面相互獨立地運行在這些虛擬的硬

10、件資源之上，以達到共享物理服務器的硬件資源、提高資源利用率的目的。用戶只需記住賬號密碼及網關信息，即可隨時隨地通過網絡訪問自己的虛擬桌面進行遠程辦公。該方案只需開通外網訪問虛擬主機系統(tǒng)和虛擬主機系統(tǒng)訪問服務端應用的權限，無需將服務端應用直接開放于互聯(lián)網，企業(yè)數(shù)據(jù)僅在遠程終端臨時緩存，支持離線運行，比較理想地解決了服務端安全風險，適用于遠程日常辦公、應用研發(fā)、運行維護等復雜場景，但在終端數(shù)據(jù)安全、傳輸安全方面需增補終端安全防護及VPN等措施。.云桌面方案云桌面方案是指在云上部署性能強勁的云服務器，基于分布式云技術，在云服務器上虛擬出多個云桌面。遠程終端通過云終端和特定的通信協(xié)議連接至云服務器上的

11、云桌面，并將遠程終端的輸入輸出數(shù)據(jù)定向傳輸至云服務器。云桌面方案下，所有用戶桌面的數(shù)據(jù)存儲和運算都集中在云服務器端，用戶桌面接收的僅僅操作系統(tǒng)環(huán)境，沒有業(yè)務數(shù)據(jù)的流動，可內置統(tǒng)一身份認證平臺，能夠根據(jù)部門、應用的安全等級來細分安全區(qū)域，該方案在桌面移動性、服務器架構設計、集中運維及統(tǒng)一管控、數(shù)據(jù)安全性方面都具有很大優(yōu)勢。但與此同時，該方案也存在高度依賴網絡環(huán)境，沒有網絡則無法使用，以及需配置云終端等問題，同時，集中存儲、集中運算的特點決定了該方案需要配置高性能的云服務器，投資成本較高，在傳輸安全方面需要增補VPN等安全防控措施。6.SDP方案軟件定義邊界(Software-DefinedPer

12、imeter,SDP)是由云安全聯(lián)盟開發(fā)的一種安全訪問框架，通過強身份認證和“臨時并單、的訪問策略來控制終端對資源的訪問，旨在提供按需、動態(tài)配置的安全隔離網絡，以解決網絡邊界延伸和拓展，內外網界限日漸模糊所帶來的訪問控制粒度粗、有效性差等問題。與基于傳統(tǒng)網絡邊界的遠程辦公解決方案不同，SDP方案基于零信任的軟件定義邊界的網絡安全新架構理念，遵循永不信任且持續(xù)驗證的原則，通過網絡隱身技術將受保護的資源隱身，只有被授權的終端才能看到和訪問，以構建企業(yè)應用的統(tǒng)一安全管控門戶。結合細粒度的訪問控制手段、可視化的策略管理能力和不落地的數(shù)據(jù)防泄露技術，提供按需、動態(tài)的可信訪問。SDP方案不再區(qū)分內外網，可

13、實現(xiàn)單點登錄，在認證通過之前，所有資源均不可見，且僅開放SDP網關的訪問入口，最小化網絡攻擊暴露面。另外，該方案實現(xiàn)了統(tǒng)一身份管理、統(tǒng)一應用、微服務管理，只需瀏覽器和Internet即可輕松遠程辦公，降低了運維人員的工作負擔，提高了安全運營效率。但就當前而言，國內廠商提供的SDP方案或產品大多只能處理應用層協(xié)議，對于數(shù)據(jù)鏈路層、網絡層協(xié)議的支撐能力不足，需結合VPN使用，網絡和應用架構適配改造工作量大，應用門檻相對較高。三、金融行業(yè)安全遠程辦公方案及應用建議金融行業(yè)安全遠程辦公解決方案應涵蓋終端安全、傳輸安全、接入安全和服務端安全四個部分。作者基于所在單位遠程辦公安全解決方案的建設歷程，結合金

14、融同業(yè)機構調研情況，對上文中幾種遠程辦公方案從建設成本、建設周期、維護工作量、缺點及不足之處等幾個關鍵考量因素進行對比分析，并給出應用建議（見表1）。表1遠程辦公主流解決方案的應用建議綜上所述，建議各金融機構基于外部環(huán)境包含惡意攻擊或安全威脅的假設，綜合考慮遠程辦公場景需求、建設成本、運行維護工作量、用戶規(guī)模、安全可靠性等因素，在現(xiàn)有安全防護措施的基礎上，從以下兩方面著手進行遠程辦公安全防護整改與加固。1.完善頂層設計各金融機構應全面梳理分析本機構遠程辦公的安全風險及防控舉措，將遠程辦公安全納入企業(yè)級網絡安全體系管理規(guī)范，進一步健全“一個中心（安全管理中心）、三重防護（安全通信網絡、安全區(qū)域邊

15、界、安全計算環(huán)境）”的網絡安全總體框架，促進金融機構實施更為科學的安全方針、政策和總體部署，進一步優(yōu)化各項網絡安全防護資源的合理配置，重點加強遠程辦公模式邊界管控、訪問控制、安全監(jiān)測、安全審計、檢查評估以及應急響應與事件處置等過程中的安全保障，確保整體安全防護機制的有效執(zhí)行和網絡安全事件的及時發(fā)現(xiàn)與妥善處置。2.分期規(guī)劃、逐步實施、漸進安全金融機構內部信息系統(tǒng)數(shù)量眾多，且這些系統(tǒng)的架構和設計參差不齊，權限控制散落在不同的系統(tǒng)、不同的部門分管，管理復雜，理清這些系統(tǒng)之間的關系、建立統(tǒng)一認證和集中化管理是個極其復雜而又不得不做的事情。建議各金融機構釆取分步實施、逐步完善、漸進安全的遠程辦公安全建設策略，具體實施建議如下：一是近期規(guī)劃，建議優(yōu)先實施終端安全防護、VPN接入的遠程辦公基礎安全防護組件或設施。二是中期規(guī)劃，建議結合金融機構實際情況，選擇云桌面或桌面虛