En 400-6655-581
5
返回列表
> 資源中心 > 文章>產(chǎn)品>IAM(身份與訪問控制)> 企業(yè)統(tǒng)一門戶之后，才是真正的安全危機開啟時……

企業(yè)統(tǒng)一門戶之后，才是真正的安全危機開啟時……

文章

2023-08-09瀏覽次數(shù)：427

說到企業(yè)門戶，大家都很熟悉。無論是各大企業(yè)官方網(wǎng)站門戶，還是企業(yè)各系統(tǒng)應(yīng)用的登錄門戶，隨時隨地，你都不可避免的要和門戶打交道。

 

隨著企業(yè)信息化與數(shù)字化發(fā)展的不斷深入演進，企業(yè)系統(tǒng)應(yīng)用越來越多，門戶也隨之越來越多，而你需要記憶的網(wǎng)址、用戶名、密碼也變得越來越多了。

 

 

處理一個業(yè)務(wù)，你需要頻繁切換不同系統(tǒng)門戶；忘記賬號、密碼、網(wǎng)址等現(xiàn)象時有發(fā)生；系統(tǒng)各自獨立，信息孤島叢生，跨部門協(xié)作與知識共享難；IT系統(tǒng)架構(gòu)和操作、運維、管理越來越復(fù)雜……

 

 

這時候，你發(fā)現(xiàn)曾經(jīng)被設(shè)計用來輔助企業(yè)和員工的軟件應(yīng)用，在不斷地新增累積下，逐漸變成了另一種負累。

 

這時候，怎么辦？統(tǒng)一門戶來辦！

這年頭，已經(jīng)很難再找出一家沒有統(tǒng)一辦公門戶的企業(yè)了。如果有，那要么在統(tǒng)一門戶建設(shè)中，要么在計劃中。

 

而往往當企業(yè)統(tǒng)一辦公門戶建成之時，也就是企業(yè)真正的安全危機開啟時。

 

首先，統(tǒng)一門戶對企業(yè)肯定是有利的，甚至就是大勢所趨。但是，如果沒有安全基礎(chǔ)的統(tǒng)一門戶，那就會變成一個“漏洞百出、危機四伏”的集中地，成為企業(yè)安全防護中最大的漏洞之一。比如：

1、統(tǒng)一門戶，卻未做好身份管理

 

很多企業(yè)完成了門戶的統(tǒng)一，但是在身份管理上依然停留在過去的各系統(tǒng)分散管理。

 

也就是說在門戶中有一套身份，在各大業(yè)務(wù)系統(tǒng)應(yīng)用中又各自有一套身份，不同系統(tǒng)身份管理的技術(shù)標準、規(guī)則還不統(tǒng)一。

 

這樣分散的身份管理體系，隨著企業(yè)業(yè)務(wù)系統(tǒng)的不斷增加將會越來越難以有效管控，還會滋生孤兒賬號、弱口令賬號、僵尸賬號、幽靈賬號等高危賬號。

 

而派拉軟件提供的統(tǒng)一身份與訪問控制管理（IAM）平臺可以有效的滿足企業(yè)多重需求。

 

若企業(yè)還未建設(shè)統(tǒng)一門戶，IAM平臺可以為企業(yè)提供統(tǒng)一門戶，基于IAM平臺功能，提供新聞公告、消息待辦、應(yīng)用中心、工作日歷、常用鏈接、BI看板等功能；

 

若企業(yè)已建立了門戶，為不改變用戶習(xí)慣，IAM平臺可以集成企業(yè)已有門戶，為門戶提供身份賬號管理和應(yīng)用系統(tǒng)集成、單點登錄等功能。

 

IAM平臺作為企業(yè)統(tǒng)一認證管理中心，負責所有應(yīng)用認證集成、身份賬號與權(quán)限統(tǒng)一管理等。

 

 

 

2、單點登錄，卻沒有強安全認證

 

當然，很多企業(yè)為了便利性，在統(tǒng)一門戶同時，往往會結(jié)合單點登錄，解決多賬號、多密碼問題。

 

但是，普通專一做門戶的企業(yè)在單點登錄上往往沒有很好的安全認證能力。如果門戶不具備認證安全，那門戶就極易被不法分子攻破。

 

此外，如果有重要系統(tǒng)需要加強保護，風險人員的訪問更需要強管控，此時在安全認證基礎(chǔ)上還需引入二次認證，加強關(guān)鍵系統(tǒng)與訪問人員的安全認證。

 

甚至結(jié)合UEBA能力，通過收集大量用戶和實體登錄行為數(shù)據(jù)和復(fù)雜的邏輯分析，進行智能化安全認證。

 

而這些安全能力都已經(jīng)在派拉軟件多因素認證平臺上實現(xiàn)。通過采用豐富的API和SDK，快速接入應(yīng)用、系統(tǒng)和設(shè)備，保障企業(yè)單點登錄需求。

 

與此同時，內(nèi)置動態(tài)口令認證、二維碼認證（如微信、釘釘?shù)纫苿佣藪叽a登錄），并集成短信認證、生物識別認證，第三方數(shù)字證書、RSA認證等十幾種認證方式來驗證用戶身份，可根據(jù)不同用戶維度自定義登錄策略、二次認證和風險策略。

 

結(jié)合UEBA能力，對用戶訪問行為進行動態(tài)風險評估，并基于策略與智能化模型快速風險識別，隨需響應(yīng)并匹配相應(yīng)的安全等級認證方式，提高用戶認證的安全性，加強登錄認證的安全性、可靠性。

 

 

 

3、破除孤島，卻未做好權(quán)限管控

 

企業(yè)做好了統(tǒng)一門戶，那也就意味著底層數(shù)據(jù)的打通，過去隔離各部門的信息墻被打破，部門間的協(xié)同變得高效、快速、便捷。但與此同時，安全問題日漸凸顯。

 

以權(quán)限管控為例，統(tǒng)一門戶讓企業(yè)所有業(yè)務(wù)系統(tǒng)暴露在每個身份賬號面前。如果企業(yè)未做好權(quán)限管控，那任意一個賬號被攻破都可能造成所有業(yè)務(wù)數(shù)據(jù)信息被泄露風險。

 

因此，采取最小權(quán)限原則，把每個用戶、身份、賬號的權(quán)限細化到業(yè)務(wù)、到菜單欄、到行列等等，將每個賬號關(guān)聯(lián)到對應(yīng)的身份與對應(yīng)的實體人，結(jié)合視頻、日志等審計能力，讓每一次賬號的訪問全流程都能被控制、被審計。

 

一旦出現(xiàn)異常情況能快速及時的告警，并通過審計追溯到賬號、身份以及實際的責任人。

 

 

4、系統(tǒng)集成，卻缺少統(tǒng)一API安全

 

數(shù)字時代，企業(yè)統(tǒng)一門戶正是希望將越來越多的業(yè)務(wù)系統(tǒng)應(yīng)用統(tǒng)一集成、數(shù)據(jù)互聯(lián)互通，高效協(xié)同共享。然而，隨著企業(yè)在業(yè)務(wù)應(yīng)用需求變得日趨復(fù)雜，企業(yè)的IT基礎(chǔ)設(shè)施也變得復(fù)雜且難以有效管控。

 

如果只顧及不斷地將各系統(tǒng)應(yīng)用集成、信息共享，構(gòu)建統(tǒng)一門戶，而忽略了對各個系統(tǒng)應(yīng)用的及時有效安全管控，勢必會讓這個門戶充滿了安全漏洞。

 

比如，企業(yè)信息化程度不斷提升，越來越多的API被開放給內(nèi)部門戶、C端門戶、合作伙伴門戶等，風險暴露面不斷增加……

 

而對于企業(yè)系統(tǒng)應(yīng)用安全運維而言，沒有統(tǒng)一的安全運維平臺，也會導(dǎo)致系統(tǒng)應(yīng)用管理運維的混亂無序與低效。

 

例如，某集團有上百個業(yè)務(wù)系統(tǒng)應(yīng)用，哪些系統(tǒng)應(yīng)用需要互相連接協(xié)同、有多少API資產(chǎn)、某個系統(tǒng)對外開放了多少接口等等，這些如果沒有一個統(tǒng)一管理平臺是很難掌控管理的。

 

因此，借助類似派拉軟件API安全管理平臺是每個企業(yè)在數(shù)字化轉(zhuǎn)型、云化過程中必須要采取的安全防護手段之一。而實際調(diào)研數(shù)據(jù)也顯示，企業(yè)API安全防護迫在眉睫。

 

據(jù)Gartner的研究，2022年，超過90%web應(yīng)用程序遭到的攻擊來自API。國際權(quán)威調(diào)查顯示，API攻擊流量在一年中增長了 681%，94%的所有失竊數(shù)據(jù)涉及API暴露安全。

 

所以無論是從企業(yè)實際需求還是安全現(xiàn)狀來看，加強企業(yè)API安全都至關(guān)重要。