陳本峰，霍海濤，冀托，楊鑫冰

[紅芯時(shí)代（北京）科技有限公司，北京100089]

1 引言

隨著信息化的不斷深入，基于互聯(lián)網(wǎng)及各種專網(wǎng)部署的業(yè)務(wù)應(yīng)用系統(tǒng)已非常普及，如何確保這些應(yīng)用和數(shù)據(jù)的可信可控訪問(wèn)是當(dāng)前網(wǎng)絡(luò)安全的基礎(chǔ)性問(wèn)題之一。但現(xiàn)有網(wǎng)絡(luò)條件下難以避免的各種先天缺陷和日趨復(fù)雜的應(yīng)用場(chǎng)景，網(wǎng)絡(luò)協(xié)議自身的廣泛脆弱性以及安全策略配置不嚴(yán)謹(jǐn)所帶來(lái)的安全隱患成為常態(tài)。而一味地堵漏洞、打補(bǔ)丁、防病毒等被動(dòng)式防御和局部式治理、增量式修復(fù)的防護(hù)策略，已不能適應(yīng)多變的網(wǎng)絡(luò)安全形勢(shì)?；趥鹘y(tǒng)網(wǎng)絡(luò)安全模型、以邊界防護(hù)為核心的防護(hù)理念和措施已不能滿足應(yīng)用和數(shù)據(jù)保護(hù)的需求，需要建立強(qiáng)信任、強(qiáng)可控、強(qiáng)防護(hù)的全域安全。由此，紅芯提出業(yè)務(wù)應(yīng)用可信可控訪問(wèn)解決方案。

2 方案概述

業(yè)務(wù)應(yīng)用可信可控訪問(wèn)解決方案是一個(gè)基于零信任網(wǎng)絡(luò)安全理念和軟件定義邊界（SDP）網(wǎng)絡(luò)安全模型[1]的安全可控業(yè)務(wù)系統(tǒng)安全訪問(wèn)解決方案。該方案包含企業(yè)安全瀏覽器、應(yīng)用網(wǎng)關(guān)、管控平臺(tái)三大組件，可以基于互聯(lián)網(wǎng)或各類專網(wǎng)分別建立以授權(quán)終端為邊界針對(duì)特定應(yīng)用的虛擬網(wǎng)絡(luò)安全邊界，基于用戶身份提供特定應(yīng)用的最小訪問(wèn)權(quán)限；應(yīng)用網(wǎng)關(guān)、管控平臺(tái)具備網(wǎng)絡(luò)隱身功能，特定應(yīng)用對(duì)虛擬邊界以外的用戶屏蔽網(wǎng)絡(luò)連接；此外，建議在傳統(tǒng)網(wǎng)絡(luò)安全設(shè)備上最大化設(shè)置嚴(yán)謹(jǐn)?shù)陌踩呗砸詼p少隱患、最小化開(kāi)放網(wǎng)絡(luò)端口以減少因?yàn)榫W(wǎng)絡(luò)協(xié)議自身漏洞造成的攻擊，有效縮小網(wǎng)絡(luò)攻擊面，提高全域網(wǎng)絡(luò)安全，具有極強(qiáng)的主動(dòng)安全防護(hù)能力。

該方案以企業(yè)安全瀏覽器為邊界，結(jié)合應(yīng)用網(wǎng)關(guān)建立起一塊虛擬安全域，同時(shí)結(jié)合應(yīng)用網(wǎng)關(guān)基于端口動(dòng)態(tài)授權(quán)的網(wǎng)絡(luò)隱身技術(shù)構(gòu)建起一張隱形的互聯(lián)網(wǎng)（或者在專網(wǎng)中構(gòu)建起一張隱形的虛擬邊界小專網(wǎng)，以下僅以互聯(lián)網(wǎng)應(yīng)用為例說(shuō)明），即互聯(lián)網(wǎng)應(yīng)用只對(duì)“特定的用戶+特定的設(shè)備”可見(jiàn)，且該用戶訪問(wèn)應(yīng)用的行為可以進(jìn)行嚴(yán)格控制和記錄。這種模式很好地解決了政府部門(mén)/企業(yè)移動(dòng)辦公、上云帶來(lái)的應(yīng)用暴露在公網(wǎng)的問(wèn)題，同時(shí)也可以增強(qiáng)現(xiàn)有內(nèi)網(wǎng)辦公的安全性，即該方案幫助政府部門(mén)/企業(yè)構(gòu)建起了一座外界看不見(jiàn)的數(shù)字“地下城”,如圖1所示。此方案和傳統(tǒng)攻防安全并不矛盾，可以疊加使用。

本方案所參考的規(guī)范是國(guó)際云安全聯(lián)盟CSA提出的SDP（軟件定義邊界）模型，該安全模型已經(jīng)在國(guó)外有較多成功案例并發(fā)展迅速，在RSA Conference上已經(jīng)連續(xù)4年懸賞破解但至今無(wú)人成功[2]。國(guó)外產(chǎn)商目前普遍使用云端代理服務(wù)器或者客戶端代理服務(wù)器方式來(lái)實(shí)現(xiàn)，該方案的創(chuàng)新在于直接把SDP隱身技術(shù)做進(jìn)瀏覽器內(nèi)核里面，避免中間過(guò)程數(shù)據(jù)被盜。SDP以預(yù)認(rèn)證和預(yù)授權(quán)作為它的兩個(gè)基本支柱。通過(guò)在單數(shù)據(jù)包到達(dá)目標(biāo)服務(wù)器之前對(duì)用戶和設(shè)備進(jìn)行身份驗(yàn)證和授權(quán)，SDP可以在網(wǎng)絡(luò)層上執(zhí)行最小權(quán)限原則，顯著縮小攻擊面。軟件定義邊界（SDP）架構(gòu)由三個(gè)主要組件組成，如圖2所示。

圖1 看不見(jiàn)的數(shù)字“地下城”

國(guó)際云安全聯(lián)盟CSA統(tǒng)計(jì)的十二大安全威脅（來(lái)自《十二大網(wǎng)絡(luò)安全威脅》白皮書(shū)）[3]顯示SDP方案對(duì)于解決常見(jiàn)的安全威脅都能起到抵御作用?；赟DP模型的方案可有效減少攻擊面，緩解或者徹底消除安全報(bào)告中提到的威脅、風(fēng)險(xiǎn)和漏洞，從而幫助政府部門(mén)/企業(yè)能夠集中資源于其他領(lǐng)域。

3 方案架構(gòu)

業(yè)務(wù)應(yīng)用可信可控訪問(wèn)解決方案由三部分組成，一是企業(yè)瀏覽器，用來(lái)做各種的身份驗(yàn)證，包括硬件身份，軟件身份，生物身份等；二是管控后臺(tái)，用來(lái)對(duì)所有的企業(yè)瀏覽器進(jìn)行管理，制定安全策略；三是應(yīng)用網(wǎng)關(guān)，所有對(duì)業(yè)務(wù)系統(tǒng)的訪問(wèn)都要經(jīng)過(guò)應(yīng)用網(wǎng)關(guān)的驗(yàn)證和過(guò)濾。三大組件的部署架構(gòu)如圖3所示。

3.1 應(yīng)用網(wǎng)關(guān)

應(yīng)用網(wǎng)關(guān)能有效保護(hù)用戶業(yè)務(wù)系統(tǒng)端口不在網(wǎng)絡(luò)上暴露，對(duì)sniffer端口掃描免疫，可從源頭降低攻擊的來(lái)源，達(dá)到應(yīng)用隱身效果。

應(yīng)用網(wǎng)關(guān)作為新的安全邊界可以部署在內(nèi)網(wǎng)、DMZ、外部機(jī)房或者云端，而管控平臺(tái)向?yàn)g覽器客戶端進(jìn)行用戶授權(quán)，完成認(rèn)證的客戶端才能通過(guò)私有域名解析機(jī)制找到網(wǎng)關(guān)保護(hù)的業(yè)務(wù)應(yīng)用系統(tǒng)，而這個(gè)業(yè)務(wù)應(yīng)用對(duì)于外部是不可見(jiàn)的?？蛻舳说玫綉?yīng)用地址后，會(huì)通過(guò)私密通訊協(xié)議鏈接到設(shè)備身份驗(yàn)證網(wǎng)關(guān)做驗(yàn)證，通過(guò)后才可以與業(yè)務(wù)系統(tǒng)基于安全信道進(jìn)行交互。

需要特別說(shuō)明的是，這里的應(yīng)用網(wǎng)關(guān)采用了最新的SPA單數(shù)據(jù)包授權(quán)技術(shù)，簡(jiǎn)單的說(shuō)，就是網(wǎng)關(guān)服務(wù)器默認(rèn)情況下是拒絕任何網(wǎng)絡(luò)連接的，就像防火墻設(shè)備的deny all策略一樣。只有在接受到某個(gè)終端按照特定數(shù)據(jù)序列發(fā)送的特定UDP數(shù)據(jù)包的情況下，才會(huì)針對(duì)這個(gè)特定的終端打開(kāi)安全信道，而對(duì)于不符合特定規(guī)則的數(shù)據(jù)序列，不進(jìn)行任何回復(fù)，所以一般的掃描工具是掃描不到網(wǎng)關(guān)服務(wù)器的，從根本上避免攻擊的發(fā)生。

3.2 管控平臺(tái)

管控平臺(tái)是整個(gè)平臺(tái)的控制中心，用于幫助管理員了解用戶使用產(chǎn)品的整體概貌，以及統(tǒng)一配置安全辦公平臺(tái)相關(guān)的應(yīng)用、用戶及組織結(jié)構(gòu)、設(shè)備、策略以及各類安全項(xiàng)，并將各項(xiàng)功能配置通過(guò)策略下發(fā)到企業(yè)安全瀏覽器。

3.3 企業(yè)安全瀏覽器

圖2 數(shù)字聯(lián)盟可信ID平臺(tái)架構(gòu)

圖3 部署架構(gòu)

企業(yè)安全瀏覽器是辦公平臺(tái)的主要入口，最終用戶通過(guò)該瀏覽器進(jìn)行用戶及設(shè)備登錄驗(yàn)證，并獲取該用戶對(duì)應(yīng)配置信息及各類參數(shù)后，通過(guò)用戶登錄驗(yàn)證后的企業(yè)安全瀏覽器具有應(yīng)用匯聚，S WA智能We b認(rèn)證、兼容性自動(dòng)處理以及安全保護(hù)等功能。支持多種操作系統(tǒng)，如：Windows、MacOS、Linux、Android、iOS，以及國(guó)產(chǎn)操作系統(tǒng)，如：銀河麒麟，支持多種硬件平臺(tái)，包括Intel、AMD、ARM、國(guó)產(chǎn)飛騰等。

4 方案價(jià)值

4.1 統(tǒng)一化工作入口

無(wú)邊界時(shí)代，只有在所有用戶終端上建立統(tǒng)一的應(yīng)用入口，才能實(shí)施統(tǒng)一高效的安全措施。本方案可以幫助用戶解決不同時(shí)期開(kāi)發(fā)的應(yīng)用需使用不同瀏覽器的兼容性問(wèn)題，實(shí)現(xiàn)統(tǒng)一登錄，并構(gòu)建統(tǒng)一的工作入口，實(shí)現(xiàn)跨設(shè)備的統(tǒng)一管理，保障數(shù)據(jù)與應(yīng)用安全，大幅提升用戶體驗(yàn)。企業(yè)瀏覽器與常規(guī)瀏覽器使用方式相同，用戶“零 ”學(xué)習(xí)，只需登陸一次瀏覽器，訪問(wèn)政府部門(mén)/企業(yè)內(nèi)部各個(gè)業(yè)務(wù)系統(tǒng)時(shí)無(wú)需再單獨(dú)認(rèn)證登陸，大大減少重復(fù)工作量，并且可以做到更細(xì)粒度的安全，幫助做好安全的最后一公里。

4.2 網(wǎng)絡(luò)隱身

基于私密通訊協(xié)議，通過(guò)身份接入驗(yàn)證、設(shè)備接入驗(yàn)證、應(yīng)用訪問(wèn)權(quán)限控制等，幫助保護(hù)業(yè)務(wù)應(yīng)用，讓?xiě)?yīng)用對(duì)外完全不可見(jiàn)，用戶只能通過(guò)企業(yè)安全瀏覽器進(jìn)行授權(quán)后訪問(wèn)。通過(guò)私有DNS、端口動(dòng)態(tài)授權(quán)、應(yīng)用級(jí)訪問(wèn)、按需授權(quán)四大功能實(shí)現(xiàn)業(yè)務(wù)應(yīng)用網(wǎng)絡(luò)隱身效果。

私有DNS：私有DNS功能隱藏業(yè)務(wù)系統(tǒng)的DNS、IP信息，管控平臺(tái)只給合法用戶下發(fā)業(yè)務(wù)系統(tǒng)的地址。

端口動(dòng)態(tài)授權(quán)：應(yīng)用網(wǎng)關(guān)默認(rèn)拒絕一切連接，只對(duì)合法設(shè)備上的合法用戶動(dòng)態(tài)開(kāi)關(guān)端口，達(dá)到隱身能力。

應(yīng)用級(jí)訪問(wèn)：與V P N訪問(wèn)不同，只允許B/S架構(gòu)的應(yīng)用訪問(wèn)，不會(huì)把內(nèi)網(wǎng)完全暴露。即使員工電腦上被安裝了惡意軟件也無(wú)法攻擊內(nèi)網(wǎng)。

按需授權(quán)：管理員可以在后臺(tái)合理限制用戶授權(quán)。例如，只允許財(cái)務(wù)部的員工訪問(wèn)財(cái)務(wù)系統(tǒng)，不允許訪問(wèn)HR系統(tǒng)。避免用戶被攻陷之后攻擊其他系統(tǒng)和資源。

4.3 瀏覽器管理

企業(yè)瀏覽器作為日常辦公入口，由于員工IT水平不足，使用行為不當(dāng)，經(jīng)常出現(xiàn)各種問(wèn)題，給企業(yè)運(yùn)維人員帶來(lái)困擾。該方案中管理員可以對(duì)企業(yè)瀏覽器進(jìn)行統(tǒng)一參數(shù)配置、插件管理、雙內(nèi)核切換、行為管控等設(shè)置，從而降低運(yùn)維壓力，節(jié)省運(yùn)維成本。

配置管理：瀏覽器的技術(shù)參數(shù)由管理員在安全管控平臺(tái)上統(tǒng)一進(jìn)行配置，然后下發(fā)到用戶的企業(yè)瀏覽器客戶端，實(shí)現(xiàn)一次配置，全員生效，讓用戶專注于自己的工作內(nèi)容。

插件管理：可以通過(guò)管控平臺(tái)統(tǒng)一進(jìn)行下發(fā)，用戶無(wú)需自行下載，打開(kāi)瀏覽器就會(huì)自動(dòng)提示安裝插件，極大地降低了用戶使用的復(fù)雜度以及運(yùn)維成本。

雙內(nèi)核切換：支持從I E（6～1 1）和Chromium雙內(nèi)核，可以有效解決業(yè)務(wù)系統(tǒng)的兼容性問(wèn)題，可以讓用戶使用企業(yè)安全瀏覽器就能訪問(wèn)不同時(shí)期開(kāi)發(fā)的所有業(yè)務(wù)系統(tǒng)，而無(wú)需來(lái)回切換，提高使用體驗(yàn)，降低使用成本。

行為管控：管理員可以統(tǒng)一管理用戶能使用的瀏覽器操作。例如禁止復(fù)制、禁止另存為、禁止打印、禁用開(kāi)發(fā)者工具、禁用地址欄、禁用鼠標(biāo)右鍵、禁用狀態(tài)欄、文件黑白名單、網(wǎng)站黑白名單等。

4.4 數(shù)據(jù)安全

該方案支持國(guó)際通用加密算法，以及國(guó)密算法，能夠大幅度提升網(wǎng)絡(luò)傳輸過(guò)程中的安全性，并通過(guò)數(shù)字水印、數(shù)據(jù)加密、文檔不落地等多種安全機(jī)制保護(hù)政府部門(mén)/企業(yè)核心數(shù)據(jù)和機(jī)密文檔安全，保障客戶端與云端的數(shù)據(jù)存儲(chǔ)及數(shù)據(jù)傳輸安全，解決最后一公里的安全問(wèn)題，助力政府部門(mén)/企業(yè)安全上云。

數(shù)字水印：企業(yè)瀏覽器可以將員工的姓名、手機(jī)號(hào)、郵箱等個(gè)人信息作為數(shù)字水印覆蓋在瀏覽器的目標(biāo)頁(yè)上，以達(dá)到拍照及截屏泄密方式的震懾及溯源目的。

數(shù)據(jù)加密：企業(yè)瀏覽器對(duì)緩存到本地的數(shù)據(jù)、緩存、Cookie信息分別進(jìn)行了加密存取處理，即使數(shù)據(jù)被惡意竊取，也無(wú)法得到明文內(nèi)容。

文檔不落地：將文檔內(nèi)容通過(guò)格式轉(zhuǎn)換服務(wù)轉(zhuǎn)變?yōu)镠TML頁(yè)面，讓內(nèi)容通過(guò)瀏覽器顯示出來(lái)而不是將文檔下載到本地，達(dá)到機(jī)密文檔不落地的效果。

5 關(guān)鍵技術(shù)

5.1 軟件定義邊界（SDP）安全模型

SDP，即軟件定義邊界（Software Defined Perimeter，SDP），是美國(guó)國(guó)防信息系統(tǒng)局“全球信息網(wǎng)格黑核網(wǎng)絡(luò)”項(xiàng)目成果的基礎(chǔ)上發(fā)展起來(lái)的一種新的安全方法。國(guó)際云安全聯(lián)盟（CSA）于2013年成立SDP工作組，定義了SDP網(wǎng)絡(luò)安全模型的國(guó)際標(biāo)準(zhǔn)。這種模型是基于“零”信任基礎(chǔ)構(gòu)建安全架構(gòu)，即對(duì)網(wǎng)絡(luò)、IP地址不可信，只有在身份和設(shè)備認(rèn)證之后，SDP才允許對(duì)業(yè)務(wù)系統(tǒng)的訪問(wèn)，即用可控的邏輯組件取代了物理設(shè)備。

Google的BeyondCorp以及美國(guó)國(guó)防部、中情局都已經(jīng)采用SDP軟件實(shí)現(xiàn)了安全辦公；Zscaler是2018年3月上市的獨(dú)角獸公司，專注于S D P產(chǎn)品，同時(shí)老牌安全公司C i s c o和Symantec等都有相應(yīng)的SDP安全產(chǎn)品。

5.2 移動(dòng)適配技術(shù)

移動(dòng)適配技術(shù)可以在零接口支持，零代碼改造的情況下實(shí)現(xiàn)B/S架構(gòu)應(yīng)用的移動(dòng)化適配。移動(dòng)適配技術(shù)基于瀏覽器底層擴(kuò)展開(kāi)發(fā)實(shí)現(xiàn)的雙層智能渲染引擎，整個(gè)解決方案完全在移動(dòng)設(shè)備端部署運(yùn)行。該技術(shù)不需要原系統(tǒng)提供API支持，整個(gè)實(shí)施過(guò)程中也不需要對(duì)原系統(tǒng)進(jìn)行改造，在客戶系統(tǒng)正常運(yùn)行過(guò)程中就完成了移動(dòng)化。達(dá)到客戶已有系統(tǒng)的重復(fù)使用，避免了信息化建設(shè)的浪費(fèi)；更是從根本上杜絕了業(yè)務(wù)系統(tǒng)在實(shí)施過(guò)程中的安全隱患；也避免了對(duì)正常業(yè)務(wù)和生產(chǎn)的影響。

5.3 多瀏覽器內(nèi)核數(shù)據(jù)共享

在瀏覽器中內(nèi)置多種瀏覽器內(nèi)核，并將用戶在不同瀏覽器內(nèi)核中的緩存、Cookie以及其他共享數(shù)據(jù)經(jīng)過(guò)內(nèi)置格式轉(zhuǎn)換為標(biāo)準(zhǔn)數(shù)據(jù)格式并存儲(chǔ)至內(nèi)置共享數(shù)據(jù)庫(kù)，在任意瀏覽器內(nèi)核進(jìn)行數(shù)據(jù)讀取時(shí)，再將標(biāo)準(zhǔn)數(shù)據(jù)格式轉(zhuǎn)化為相應(yīng)瀏覽器內(nèi)核可以讀取的數(shù)據(jù)格式，從而實(shí)現(xiàn)任意瀏覽器內(nèi)核都可以從統(tǒng)一數(shù)據(jù)庫(kù)中獲取到用戶在任意瀏覽器內(nèi)核中輸入的數(shù)據(jù)。

5.4 cookie和緩存加密

從外網(wǎng)訪問(wèn)內(nèi)網(wǎng)的過(guò)程中，訪問(wèn)內(nèi)部業(yè)務(wù)系統(tǒng)，會(huì)產(chǎn)生Cookie數(shù)據(jù)和緩存數(shù)據(jù)。Cookie數(shù)據(jù)中有登錄信息、登錄狀態(tài)，如果在不加密的情況下，只要獲取Cookie數(shù)據(jù)，在無(wú)需輸入登錄賬號(hào)和密碼的情況下，即可進(jìn)行操作。緩存數(shù)據(jù)中有一些用戶訪問(wèn)過(guò)的頁(yè)面信息，如果在不加密的情況下，只要獲取緩存數(shù)據(jù)，在無(wú)需輸入登錄賬號(hào)和密碼的情況下，也可查看用戶訪問(wèn)過(guò)的信息。

一般情況下，外網(wǎng)訪問(wèn)內(nèi)網(wǎng)的訪問(wèn)過(guò)程中產(chǎn)生的Cookie和緩存，并未進(jìn)行加密，大部分情況是僅僅隱藏。不加密僅隱藏的后果就是，在網(wǎng)上很容易查到Cookie和緩存存放的隱藏路徑，這樣很容導(dǎo)致政府/企業(yè)信息泄露，造成很大的安全隱患。加密效果如圖4所示。

5.5 遠(yuǎn)程擦除/刪除設(shè)備

在移動(dòng)辦公的前提下，人員會(huì)有設(shè)備丟失的可能，一旦遇到這種情況，移動(dòng)設(shè)備被不法分子拿到，只要聯(lián)網(wǎng)的情況，點(diǎn)擊辦公軟件客戶端，即可自動(dòng)登錄，很容易就能看到各種辦公信息甚至政府部門(mén)/企業(yè)機(jī)密信息。該方案可解決設(shè)備丟失后的辦公信息泄露問(wèn)題。具體步驟如下：

第一步：管理員可針對(duì)特定設(shè)備進(jìn)行遠(yuǎn)程擦除或者刪除。

第二步：企業(yè)安全瀏覽器接到擦除指令后，會(huì)將之前使用產(chǎn)品生成的所有數(shù)據(jù)文件進(jìn)行隨機(jī)數(shù)據(jù)寫(xiě)入，如緩存、Cookie等信息進(jìn)行隨機(jī)數(shù)據(jù)寫(xiě)入，然后再將寫(xiě)入后的文件進(jìn)行刪除。

第三步：隨機(jī)寫(xiě)入是為防止不法分子通過(guò)恢復(fù)文件的形式來(lái)竊取信息，這樣的話，即使對(duì)方恢復(fù)文件，打開(kāi)的也都只是隨機(jī)寫(xiě)入的數(shù)據(jù)。

遠(yuǎn)程擦除效果如圖5所示。

5.6 URL及文件類型過(guò)濾

利用用戶訪問(wèn)釣魚(yú)網(wǎng)站是一種常見(jiàn)的攻擊手段，黑客通過(guò)偽裝網(wǎng)站將腳本植入用戶的操作系統(tǒng)，從而將威脅帶入政府部門(mén)/企業(yè)內(nèi)部。針對(duì)這種情況，該方案提供了URL和文件類型過(guò)濾的功能，可以幫助政府部門(mén)/企業(yè)將攻擊阻擋在業(yè)務(wù)系統(tǒng)外部，也就是常說(shuō)的黑名單和白名單機(jī)制。

圖4 未加密加密效果對(duì)比

以黑名單舉例來(lái)說(shuō)，管理員可以通過(guò)管控平臺(tái)將有可能存在安全隱患的網(wǎng)站統(tǒng)一配置并發(fā)送給用戶，當(dāng)用戶使用瀏覽器進(jìn)行訪問(wèn)的時(shí)候，相應(yīng)的U R L會(huì)通過(guò)界面?zhèn)鬟f給瀏覽器內(nèi)核準(zhǔn)備頁(yè)面的請(qǐng)求工作，瀏覽器會(huì)在發(fā)起頁(yè)面請(qǐng)求前檢查該網(wǎng)址是否符合設(shè)置的過(guò)濾條件，當(dāng)符合過(guò)濾條件時(shí)瀏覽器將終止打開(kāi)網(wǎng)頁(yè)的操作，將威脅阻擋在外。并且，瀏覽器還可以對(duì)網(wǎng)站的反饋內(nèi)容進(jìn)行檢查，自動(dòng)分析下載內(nèi)容中是否有被政府部門(mén)/企業(yè)禁止的文件類型，比如exe，js等可執(zhí)行文件，當(dāng)發(fā)現(xiàn)這些文件的時(shí)候，禁止文件的下載，防止惡意代碼進(jìn)入用戶的電腦。

5.7 私有DNS

業(yè)務(wù)應(yīng)用暴露在公網(wǎng)，通過(guò)公網(wǎng)DNS服務(wù)器進(jìn)行域名解析，這樣黑客通過(guò)公網(wǎng)域名解析服務(wù)就可以輕松拿到企業(yè)業(yè)務(wù)應(yīng)用IP地址，進(jìn)而對(duì)IP展開(kāi)端口掃描、漏洞掃描、漏洞利用等滲透操作。

業(yè)務(wù)應(yīng)用可信可控訪問(wèn)解決方案可以為企業(yè)構(gòu)建一個(gè)私有DNS解析平臺(tái)，對(duì)于已經(jīng)設(shè)置過(guò)私有DNS解析的域名，企業(yè)管理員可以在傳統(tǒng)DNS Server中取消對(duì)該域名的解析，也就不會(huì)將域名及公網(wǎng)IP暴露在企業(yè)員工之外,從而達(dá)到隱藏業(yè)務(wù)應(yīng)用訪問(wèn)域名的目的。

通過(guò)管控平臺(tái)可以設(shè)定企業(yè)應(yīng)用內(nèi)部域名與IP地址的對(duì)應(yīng)關(guān)系，并將映射結(jié)果保存至數(shù)據(jù)庫(kù)，當(dāng)企業(yè)安全瀏覽器通過(guò)用戶及設(shè)備校驗(yàn)后，管控平臺(tái)將域名關(guān)系映射表下發(fā)至企業(yè)安全瀏覽器，并加載到內(nèi)存中，當(dāng)用戶通過(guò)企業(yè)安全瀏覽器訪問(wèn)某個(gè)url地址時(shí)，會(huì)先在本地內(nèi)存中查詢?cè)撃繕?biāo)url是否有對(duì)應(yīng)的私有DNS解析記錄，如果匹配成功則使用從匹配結(jié)果中所獲取到的目標(biāo)I P進(jìn)行訪問(wèn)，如沒(méi)有匹配成功，則認(rèn)為目標(biāo)url中所包含的域名未啟用私有域名解析，既而采用傳統(tǒng)DNS服務(wù)查詢機(jī)制獲取結(jié)果。

6 結(jié)束語(yǔ)

本方案是一個(gè)基于零信任網(wǎng)絡(luò)安全理念和軟件定義邊界（SDP）網(wǎng)絡(luò)安全模型構(gòu)建的安全訪問(wèn)解決方案，已經(jīng)應(yīng)用于多個(gè)行業(yè)、多個(gè)領(lǐng)域，取得了非常好的實(shí)踐效果，為企業(yè)建立強(qiáng)信任、強(qiáng)可控、強(qiáng)防護(hù)的全域安全。

圖5 設(shè)備遠(yuǎn)程擦除