在上一期的内容中，企业网d1net专访北汽福田汽车集团基础设施和安全负责人张志强，围绕数字化转型背景下信息安全面临的挑战，应用安全、平台安全、网络安全、数据安全四大维度的信息安全实践进行了深入分享。本期内容，企业网d1net将围绕福田汽车的安全运营实践、核心数据的安全防护，勒索病毒的防御，零信任安全框架的应用以及福田汽车2022年的信息安全规划深入展开。
北汽福田汽车集团基础设施和安全负责人 张志强
修炼安全内功 安全运营成为防护新常态
在2019年以前，福田汽车一直采用纵深防御的洋葱式安全模型。
2019年，福田汽车发生了一次安全事件，这次事件成为整个集团增强安全重视程度的重要转折点，自此福田汽车不但重视安全建设，更将安全运营机制纳入到信息安全管理体系之中，着重修炼安全内功，逐渐从对外的安全纵深防御阶段过渡到对内的安全运营阶段。
俗话说：“三分建设，七分运营”，张志强认为在信息安全领域更是如此。
福田汽车选择与信息安全领域专业的服务商深信服合作，由深信服派团队常驻福田汽车，而信息安全部则负责公司内部资源的协调和跨部门的调动，双方融为一体共同负责集团的信息安全运营。福田汽车的日常安全运营工作围绕7大类、24项内容展开，要求在安全事件发生当日必须处理完成，并且每周进行安全扫描。
针对“云、网、端、应用、数据”几大层级，张志强分别列举了一些重要的运营内容。
在云端的安全运营方面，福田汽车信息安全部协同华为云和深信服，共同进行安全排查，解决云安全方面的诸多问题。
首先在公有云方面，福田汽车选择华为云的公有云服务，同时购买了华为云的安全服务包，包含了设备 人员的凯发在线的服务支持。为此，华为云每周会向福田汽车提交安全运营报告，报告内容包括发生了哪些信息安全事件，以攻击日志的方式来呈现。例如哪些地方受到了攻击，攻击的行为是如何产生的，攻击的目的是什么等等。
其次，在私有云方面，通过深信服的安全云脑，抽取现有信息安全设备中的日志信息，进行智能分析，能够及时发现潜藏的问题，准确定位到设备和账号，便于快速进行安全排查。
在网络的安全运营方面，福田汽车依靠网络安全设备主动探测和发现内部风险，针对脆弱性风险、漏洞扫描以及零日攻击，通过舆情分析系统和态势感知系统进行分析，以可视化的方式识别攻击事件，然后交给专业的信息安全团队和网络团队进行处理。
在端侧的安全运营方面，福田汽车对现有的文件级杀毒软件进行了全面升级，统一更换成edr(endpoint detection and response，端点检测与响应)。“我们认为edr是下一代的杀毒软件，不仅能查杀传统的文件型病毒，其本身具有轻量级、智能化、响应快的特性，真正的以终端资产为核心，通过预防、防御、检测、响应全面赋予终端威胁防御能力，使其达到洞见威胁本质，迅捷灵动处置效果，准确快速的定位和处置终端一系列安全问题。此外，edr特有的下一代轻补丁漏洞免疫技术，能够减少被漏洞攻击利用的风险。”张志强提到。
此外，福田汽车将edr与态势感知系统进行联动，以挖矿病毒为例，当edr在终端发现问题时，会直接向态势感知系统反馈，而后者会将机器识别到的挖矿链接上传给上网行为及waf防火墙，从而进行自动拦截。
实际上，安全事件无时无刻不在发生，要想7*24小时实时监测，必然要通过人工智能技术与信息安全设备之间进行联动。张志强透露，起初具备ai能力的安全系统上线时会存在一些误差，这是由于不同企业、不同系统之间的传输和代码编写习惯不同造成的，系统经过半年的自动学习后，目前已有两个月未有误报的情况发生。
在应用层的运营安全层面，福田汽车采用基于云的cwpp平台，以saas的方式进行对外网站的7*24小时篡改监测，可以在网页被篡改的十分钟之内接到告警，从而及时将系统或网页做下线处理，避免给国家和企业带来舆论或经济等方面的不良影响。
此外，在系统内部，除了安装杀毒软件之外，还进行主机安全配置监控，包括系统开了哪些端口、有多少用户、密码复杂度如何、核心配置文件是否被篡改等一系列内容，从而从外到内确保应用层的安全。
在数据的安全运营层面，福田汽车根据系统和数据的不同安全等级，分时断进行备份，并将备份结果向上级汇报。在此基础上，由业务部门的领导负责，定时进行核心系统的恢复演练。此外，福田汽车设有专门的评审委员会，对系统架构和数据安全进行评审，从安全的角度辅助集团进行数字化转型。
在张志强看来，虽然是一家传统企业，福田汽车的领导层非常具有前瞻性，也非常开放，正在积极拥抱云，其人力资源系统已向公有云的saas应用转型，学习系统也放到了saas应用上。saas应用牵扯到了数据流转过程中的脱敏问题，为此，评审委员会对数据安全与否进行评审，然后针对身份证、电话、荣誉等各类敏感信息进行脱敏处理。
构筑六道安全防线 确保核心数据安全
针对那些重要的核心数据，张志强表示，福田汽车通过六道防线进行安全防护。
第一道防护：物理隔离。从外部并非所有人都能进入核心数据存储所在的硬件环境。
第二道防护：权限管控。即使是机房的管理员，也没有服务器的访问权限。
第三道防护：系统层面的3a管理制度。在核心系统中，管理员、操作员和审计员三者必须存在，而且严格按照等保要求，操作日志保留半年以上。
第四道防护：缩小接触核心系统人员的范围。通过堡垒机等技术手段将系统权限进行回收，只有福田汽车正式员工才可以登录系统，外包人员需要经过层层授权，且必须在正式员工在场的情况下才可登录系统。
第五道防护：核心系统备份。根据系统和数据的重要程度，按实时、半天、一天、一周等不同的周期进行统一备份。
第六道防护：审计。由信息安全部每周对有系统管控权限的核心人员进行信息安全审计(包括技术审计)，出具每周审计报告向领导汇报。
据悉，福田汽车严格禁止员工通过22、3389等敏感端口登录系统，为了防止跳转带来的安全风险，无论是一般系统、重要系统还是核心系统，员工必须先进入堡垒机进行审计，在所有操作都被记录的情况下才可以登录系统，目前堡垒机已纳管4000余台设备。
针对勒索病毒的三项防护措施
勒索病毒是近年来企业遇到的最大安全威胁，福田汽车早已意识到了勒索病毒的风险，从2019年开始斥巨资进行安全改造，提高应对勒索病毒的防御等级。
针对勒索病毒的重点防御措施包括三个方面：
一、围绕对外的网络安全和对内的运营安全两个层面提高安全防御等级。
二、缩小管理员的权限，提高权限的把控能力。勒索病毒往往需要获得相关的管理权限才能运行，为此，福田汽车将权限管理作为重中之重。
福田汽车在操作系统层面将权限全部回收，通过idm统一身份认证系统对账号权限进行统一派发、审核，通过ad系统(微软目录服务)与其他系统进行集成，实现统一认证，形成逻辑上的安全边界。张志强强调，缩小权限后，即使是dba也只能对数据库本身的配置进行增删改查操作，对于数据表层级则没有任何权限。
三、备份。通过磁带机的离线备份，保证数据的安全性，不会被在线攻击所波及。
基于零信任架构的vpn系统应用实践
由于疫情原因，远程办公需求越来越高，如何让员工安全、便捷地通过手机、pad和电脑等多种终端访问系统，对于所有企业而言都是一个非常大的挑战。传统vpn的认证模式比较单一，无法对数据流进行管控，给企业带来了极大的安全风险。
零信任的理念是永不信任，持续认证。张志强提到，零信任可以分为sdp(软件定义边界)、iam(增强身份认证)、msg(微隔离)三种不同的架构，目前零信任应用最多的是sdp。
张志强将福田汽车的第一套零信任技术和框架应用到vpn系统中，起到了两个方面的作用：
1、对每次请求进行重新认证、建立新的通道，可以将token的定义细化到七层协议，从而使权限最小化。
2、实现数据层和控制流的分离，通过与idm和ad集成形成统一的认证中心。这样做的好处在于虽然用户的每次访问都会进行重新认证，但是对于实际的访问体验几乎毫无影响，在提高安全等级的前提下，可以让员工便利的使用系统。
“传统的安全管理是粗颗粒度的管理模式，通过零信任的框架，能够助力企业实现对安全的精细化管理和数字化运营，能够带来明显可见的安全效益，这一点是以往的安全管理方式和技术手段很难实现的。”张志强强调。
vpn只是零信任架构应用的第一步，接下来，张志强希望能够将零信任架构应用到idm、soc平台、终端准入等多个领域，彻底将非授权人员拒之门外，从而提高福田汽车在同行业之间的信息安全能力水平。
福田汽车2022年安全规划
最后，张志强表示，虽然福田汽车在安全方面取得了一些阶段性成果，但是仍然存在诸多不足。2022年，福田汽车将从五个方面进一步加强安全防御能力。
一、在数据安全方面，尤其在数据流转方面，针对文档加密存在的便利性和安全性不足的问题，将采用数据泄露防护(dlp)平台保证终端上的数据安全。
二、在网络安全方面，将对态势感知的应用范围从总部、核心系统扩大到全集团，将所有数据统一纳入态势感知平台进行分析和处理，实现集团网络安全的可视化。
三、在私有云安全防御方面，不再采用自建私有云的方式，而是采用类似托管或融资租赁的方式，向云厂商租赁设备，部署在福田汽车的数据中心，由云厂商的安全团队与福田汽车的安全团队共同进行运营。采用这种方式，福田汽车拥有使用权，但没有所有权，既能降低成本，又能让更专业的人做专业的事，还能增强安全防御能力。
四、在网页防篡改方面，伴随数字化转型，面向用户的系统应用将会越来越多，为此福田汽车将增加网页防篡改方面的防御措施。
五、在终端准入方面，将管辖范围从总部扩展到分公司，只有符合准入标准配置的终端才能访问福田汽车内网，否则只能访问互联网。