目录
1. 移动接入需求背景
1.1 高价值数据资产
公司命脉 一旦泄露，损失惨重
案例：
塔吉特百货信息泄露事件：
➢黑客盗取 4000万张信用卡、借记卡资料
➢7000万用户数据泄露
➢ 1.1亿用户受到影响。
损失惨重：
➢巨额赔偿：
赔偿visa、MasterCard共计1亿零600 万美元 赔偿1.1亿用户约2亿美元
➢业务受损：集团盈利暴跌，医药业务被迫低 价转让给竞争对手
➢高管离职：集团前CIO 和前CEO 被迫离职
同样的情况，国内也在发生：
1.大量团购网站因信息泄露给对手亏损，导致 行业洗牌
2.大量P2P金融公司因数据被黑客篡改和破坏 而倒闭
1.2重要的业务系统
黑客攻击的首要目标 列举四种重要的业务系统
（1）OA系统
自动化办公系统
涉及日常办公协同、流程审批等；
黑客攻击目标之一；
用于获取更多信息便于入侵。
（2）CRM系统
客户关系管理系统
涉及大量客户联系方式、订单等信息；
黑客主要攻击目标之一；
用于长期窃取客户数据、恶意竞争牟利。
（3）人事、财务系统
人事管理/财务管理系统
涉及员工信息、公司资金管理等；
黑客主要攻击目标之一；
用于在黑产市场交易换取收益。
（4）研发、市场管理
产品研发、市场策略管理系统
涉及新产品和新市场方向等；
黑客主要攻击目标之一；
由竞争对手交易促成定向攻击。
1.3 安全接入描述
安全接入的保证：
合法的用户和终端、合法的权限和行为、数据全程加密传输、 全程记录回溯
安全接入不等于链路加密
1.3.1 主流远程接入方式对比
| 基于互联网接入 | 优势： 灵活便捷， 可随时接入； 劣势： 安全性及用户体验差； |
|---|---|
| 基于专线接入 | 优势： 速度体验好 可靠性佳； 劣势： 价格昂贵 灵活性差； 适用于特定行业； |
| 基于v*n接入 | 优势： 安全、便捷灵活性好，可随时接入； 速度、用户体验好 价格适中 劣势： 单次投入高于其他两种方式 |
v*n技术对比
| SSL v*n | IPSec v*n |
|---|---|
| 技术原理：应用层 | 网络层 |
| 部署方式：集中部署 | 对联部署（多点部署） |
| 终端使用性：易用性强、终端使用浏览器接入 | 易用性较差、终端需要客户端或者安装设备 |
| 管理难度：只需要管理总部 | 总部和分支点都需要管理 |
| 主要应用场景：个人远程接入 | 分支互联 |
基于以上对比：
SSL v*n主要用于终端远程接入公司内部实现移动办公，IPSec v*n主要用于 分支总部多点互联实现总部分支内网互联
安全接入–需要端对端的安全防护
针对上述问题，增加技术手段，提升黑客在各个环节的攻击成本
| 身份认证 | 增加身份认证方式，提高黑客仿冒成本 |
|---|---|
| 终端安全 | 增加终端安全监测及管控机制，提高黑客控制终端跳板成本 |
| 传输安全 | 增加更安全的加密算法，提高黑客**数据成本 |
| 应用权限安全 | 增加细粒度权限管控机制，提升黑客扩大攻击范围的成本 |
| 审计回溯 | 访问行为追溯，提高黑客潜伏攻击成本 |
2. 移动接入安全特性
（1）身份认证
用户名密码
RADIUS
LDAP
CA认证
动态令牌
Ukey认证
口袋助理
短信认证
硬件特征码等 八种身份认证方式随机与或组合
（2）终端安全
终端安全风险和危害
终端安全风险和解决办法
根据场景需求配置
（3）权限安全
更细粒度、更小的影响范围
安全接入系统应具备全面的权限管控功能
用户需要重点关注管控粒度精细程度
(4)传输安全
对最新的加密算法持续支持
用户根据业务重要程度按需配置
(5) 行为追溯
一旦出现安全事件、攻击源是v*n 必须快速定位风险用户
记录接入用户的访问行为 确保用户的访问过程可视、可追溯
对于上述要求，深信服对应的产品为 深信服SSL v*n
3.移动接入典型场景
（1）核心业务系统安全接入
应用场景： 为核心业务系统接入增加安全机制
存在问题： 业务系统身份认证方式易被仿造权限限制不明确，容易被黑客发起跳板攻击
解决方案： 增加用户认证复杂度 严格限定系统访问权限
（2）双网逻辑隔离
应用场景： 多套网络逻辑隔离
存在问题： 同一终端同时处于两套网络， 容易被黑客利用，发起跳板攻击
解决方案： 使用SSL v*n在两张网中间架起“专线”
（3）第三方用户安全接入
应用场景： 第三方合作伙伴/运维人员接入访问/维护业务系统
存在问题： 接入终端系统、浏览器版本多样 接入终端安全状态不可控除运维人员外，接入用户IT水平普遍不高
解决方案： 提供更简单的v*n安装、使用环境对接入终端进行严格安全检查业务系统统一发布、统一运维
典型行业应用： 政府行业统计局企业一套表 运营商第三方合作营业厅接入大企业合作伙伴订货系统
（4）移动办公
应用场景： 出差、在家的用户连入公司 总部办公
存在问题： 网络安全状态不受控 数据传输容易被监听
解决方案： 增加用户认证复杂度 严格限定系统访问权限