2020年7月，伊朗最重要的核設(shè)施再次遭遇網(wǎng)絡(luò)攻擊，出現(xiàn)被嚴(yán)重破壞的局面；

2020年10月，印度孟買遭遇大范圍斷電，直接導(dǎo)致鐵路、股票交易所、醫(yī)療設(shè)施以及其它大部分關(guān)鍵基礎(chǔ)設(shè)施“癱瘓”；

2021年5月7日，美國最大的煉油產(chǎn)品管道Colonial Pipeline 公司遭到網(wǎng)絡(luò)攻擊，導(dǎo)致其業(yè)務(wù)受到嚴(yán)重影響；

.......

隨著技術(shù)的不斷發(fā)展，圍繞著關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)工具行為也越發(fā)猖狂和復(fù)雜，關(guān)鍵信息基礎(chǔ)設(shè)施（簡稱關(guān)基）是經(jīng)濟社會運行的重要基礎(chǔ)，《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護條例》自2021年9月1日起正式施行?！稐l例》也是我國首部專門針對關(guān)鍵信息基礎(chǔ)設(shè)施安全保護工作的行政法規(guī)。

為推動企業(yè)實現(xiàn)安全、合規(guī)，聯(lián)軟科技提出了基于可信數(shù)字網(wǎng)絡(luò)架構(gòu)的關(guān)鍵信息基礎(chǔ)設(shè)施適配解決方案，針對《條例》中的內(nèi)容，幫助企業(yè)從防御到運維進行全方位加強。

什么是“可信數(shù)字網(wǎng)絡(luò)架構(gòu)TDNA”？

“可信數(shù)字網(wǎng)絡(luò)架構(gòu)TDNA”（Trusted Digital Network Architecture）是聯(lián)軟科技從整體和全局進行系統(tǒng)性思考和頂層設(shè)計，形成了針對大型企業(yè)用戶的理論與方法。

TDNA通過頂層設(shè)計、分步部署的方式，從體系結(jié)構(gòu)的角度設(shè)計和實現(xiàn)了具有內(nèi)生安全防護的網(wǎng)絡(luò)架構(gòu)，以五大安全組件為核心聚合可信資源、安全服務(wù)、數(shù)據(jù)資產(chǎn)實現(xiàn)自動化調(diào)度，解決了網(wǎng)絡(luò)使用者或所有者間由于不信任導(dǎo)致的安全預(yù)算問題，將網(wǎng)絡(luò)安全防護體系覆蓋到更多行業(yè)，實現(xiàn)更智能化、自動化的安全可控體系。

01

加強關(guān)基數(shù)據(jù)安全能力

“

《條例》第三章 運營者責(zé)任義務(wù)  第十八條 關(guān)鍵信息基礎(chǔ)設(shè)施發(fā)生重大網(wǎng)絡(luò)安全事件或者發(fā)現(xiàn)重大網(wǎng)絡(luò)安全威脅時，運營者應(yīng)當(dāng)按照有關(guān)規(guī)定向保護工作部門、公安機關(guān)報告。

發(fā)生關(guān)鍵信息基礎(chǔ)設(shè)施整體中斷運行或者主要功能故障、國家基礎(chǔ)信息以及其他重要數(shù)據(jù)泄露、較大規(guī)模個人信息泄露、造成較大經(jīng)濟損失、違法信息較大范圍傳播等特別重大網(wǎng)絡(luò)安全事件或者發(fā)現(xiàn)特別重大網(wǎng)絡(luò)安全威脅時，保護工作部門應(yīng)當(dāng)在收到報告后，及時向國家網(wǎng)信部門、國務(wù)院公安部門報告。

關(guān)鍵信息基礎(chǔ)保護設(shè)施中的數(shù)據(jù)關(guān)乎到企業(yè)、行業(yè)、社會乃至國家的重要安全。聯(lián)軟科技通過一個管控中心、一個Agent、一個賬號、一個數(shù)據(jù)平臺、一套管理策略、統(tǒng)一權(quán)限管理、統(tǒng)一通信協(xié)議、統(tǒng)一管理流程等全面保護企業(yè)數(shù)據(jù)安全。

●建立數(shù)據(jù)分類分級、數(shù)據(jù)發(fā)現(xiàn)及評估、訪問身份鑒別、實時數(shù)據(jù)防泄露、審計監(jiān)控與數(shù)據(jù)安全可視化等流程組成的數(shù)據(jù)保護管理體系；

●自動識別業(yè)務(wù)敏感數(shù)據(jù)，從源頭進行保護，對外聯(lián)端口、即時通訊工具、郵件、上網(wǎng)行為、FTP等外發(fā)通道進行控制；

●對網(wǎng)間交換數(shù)據(jù)進行病毒查殺、內(nèi)容檢查、審計審批；

●對互聯(lián)網(wǎng)接入的終端設(shè)備（PC、手機等）進行數(shù)據(jù)加密存儲，數(shù)據(jù)傳輸加密，業(yè)務(wù)鑒權(quán)訪問；

●違規(guī)事件自動統(tǒng)計，直觀呈現(xiàn)數(shù)據(jù)泄露風(fēng)險，數(shù)據(jù)安全狀況一目了然。 

02

供應(yīng)鏈安全作為重點

“

《條例》第三章 運營者責(zé)任義務(wù)  第十九條 運營者應(yīng)當(dāng)優(yōu)先采購安全可信的網(wǎng)絡(luò)產(chǎn)品和服務(wù)；采購網(wǎng)絡(luò)產(chǎn)品和服務(wù)可能影響國家安全的，應(yīng)當(dāng)按照國家網(wǎng)絡(luò)安全規(guī)定通過安全審查。

隨著關(guān)鍵信息基礎(chǔ)設(shè)施功能的日益豐富，同時適應(yīng)云計算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制和大數(shù)據(jù)等新技術(shù)、新應(yīng)用情況下，其涉及的相關(guān)信息系統(tǒng)和軟件產(chǎn)品也會越來越多，如APP、開發(fā)等各類工具，開源社區(qū)等，這也在攻擊者的暴露面越來越多。

基于可信數(shù)字網(wǎng)絡(luò)架構(gòu)TDNA，聯(lián)軟推出了企業(yè)級安全保護平臺ESPP，實現(xiàn)了從架構(gòu)走向平臺化的蛻變，一個集網(wǎng)絡(luò)準(zhǔn)入控制、終端安全管理、殺毒管理、數(shù)據(jù)防泄密、威脅檢測等功能于一體的智能化、自動化的大平臺，可覆蓋 PC、移動設(shè)備、云主機、工控設(shè)備、IoT 設(shè)備的安全管控平臺，滿足各行業(yè)用戶的各種場景，從網(wǎng)絡(luò)到終端和服務(wù)器、從桌面PC到移動終端、從系統(tǒng)和設(shè)備層面的管理到敏感業(yè)務(wù)數(shù)據(jù)的防泄露保護等各項需求，通過事前防御、事中監(jiān)控、事后修復(fù)，幫助企業(yè)用戶建立完整的網(wǎng)絡(luò)與信息安全的防護體系，全面做好供應(yīng)鏈防護。

03

資產(chǎn)漏洞掃描、檢測和管理

“

《條例》第四章 保障和促進  第二十三條 國家網(wǎng)信部門統(tǒng)籌協(xié)調(diào)有關(guān)部門建立網(wǎng)絡(luò)安全信息共享機制，及時匯總、研判、共享、發(fā)布網(wǎng)絡(luò)安全威脅、漏洞、事件等信息，促進有關(guān)部門、保護工作部門、運營者以及網(wǎng)絡(luò)安全服務(wù)機構(gòu)等之間的網(wǎng)絡(luò)安全信息共享。

據(jù)想關(guān)報告數(shù)據(jù)顯示，某關(guān)鍵信息基礎(chǔ)設(shè)施，一年中前10個月發(fā)現(xiàn)了10027個漏洞。若關(guān)鍵信息基礎(chǔ)設(shè)施存在的大量漏洞和未知資產(chǎn)，隨著業(yè)務(wù)的發(fā)展，新的漏洞也會可能產(chǎn)生。將會導(dǎo)致網(wǎng)絡(luò)安全風(fēng)險進一步增強。

UniCSM網(wǎng)絡(luò)空間資產(chǎn)測繪系統(tǒng)及SaaS化部署，以攻擊者視角全面覆蓋資產(chǎn)和暴露面:

●訪問控制：可針對互聯(lián)網(wǎng)資產(chǎn)和內(nèi)網(wǎng)資產(chǎn)，執(zhí)行弱口令檢測掃描，識別出操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、數(shù)據(jù)庫、中間件等系統(tǒng)存在的默認(rèn)口令（弱口令賬戶），及時整改。

●入侵檢測：可針對互聯(lián)網(wǎng)資產(chǎn)和內(nèi)網(wǎng)資產(chǎn)，執(zhí)行資產(chǎn)探測、端口服務(wù)識別，發(fā)現(xiàn)目標(biāo)系統(tǒng)開放的不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口。通過漏洞掃描功能，發(fā)現(xiàn)可能存在的已知漏洞，并提供漏洞結(jié)果的POC驗證信息，協(xié)助安全人員確認(rèn)漏洞的真實性，為整改提供幫助。

●審核和檢查：可執(zhí)行周期性掃描檢測任務(wù)，及時發(fā)現(xiàn)互聯(lián)網(wǎng)或內(nèi)網(wǎng)存在的漏洞，并可導(dǎo)出數(shù)據(jù)、生成風(fēng)險掃描報告，留存以備等級保護測評檢查。

●上線前安全測試：在上線前，利用星云的系統(tǒng)掃描功能、集成掃描能力，統(tǒng)一調(diào)度上線前安全性測試的掃描任務(wù)，進行上線前的系統(tǒng)層和Web應(yīng)用層漏洞掃描，并出具安全測試報告。

●漏洞和風(fēng)險管理：通過建立周期性的掃描任務(wù)，完善最新全量資產(chǎn)庫。執(zhí)行常規(guī)漏洞檢測可識別已知安全漏洞，并推動修補整改。在高危漏洞爆發(fā)/重大安全威脅時，可根據(jù)漏洞/安全情報，執(zhí)行快速排查和POC掃描檢測，完成精準(zhǔn)識別，協(xié)助修改。另外，管理員可以通過持續(xù)掃描，跟蹤漏洞修復(fù)進度、更新狀態(tài)，實現(xiàn)閉環(huán)管理。

《條例中》還提出了加強個人隱私和和信息保護，強化網(wǎng)絡(luò)安全演習(xí)等規(guī)定。聯(lián)軟也將助力企業(yè)積極防御，同時滿足云計算、移動互聯(lián)、工控系統(tǒng)、物聯(lián)網(wǎng)下關(guān)鍵信息基礎(chǔ)保護設(shè)置的安全擴展要求，幫助企業(yè)達(dá)到安全、合規(guī)、高效的目標(biāo)。