CN116032533A - 基于零信任的远程办公访问方法及系统 - Google Patents
基于零信任的远程办公访问方法及系统 Download PDFInfo
- Publication number
- CN116032533A CN116032533A CN202211508853.7A CN202211508853A CN116032533A CN 116032533 A CN116032533 A CN 116032533A CN 202211508853 A CN202211508853 A CN 202211508853A CN 116032533 A CN116032533 A CN 116032533A
- Authority
- CN
- China
- Prior art keywords
- zero
- trust
- terminal
- gateway
- management
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 27
- 230000002457 bidirectional effect Effects 0.000 claims abstract description 22
- 238000013475 authorization Methods 0.000 claims description 36
- 238000012795 verification Methods 0.000 claims description 15
- 230000004044 response Effects 0.000 claims description 12
- 238000011156 evaluation Methods 0.000 claims description 10
- 244000035744 Hura crepitans Species 0.000 claims description 9
- 230000008569 process Effects 0.000 claims description 5
- 206010000117 Abnormal behaviour Diseases 0.000 claims description 4
- 230000007812 deficiency Effects 0.000 claims description 4
- 238000005538 encapsulation Methods 0.000 claims description 4
- 230000000977 initiatory effect Effects 0.000 claims description 4
- 238000004806 packaging method and process Methods 0.000 claims description 4
- 230000007246 mechanism Effects 0.000 claims description 2
- 230000035515 penetration Effects 0.000 description 4
- 230000002265 prevention Effects 0.000 description 4
- 230000005540 biological transmission Effects 0.000 description 3
- 238000009434 installation Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 230000008520 organization Effects 0.000 description 2
- 230000001960 triggered effect Effects 0.000 description 2
- 238000013459 approach Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000000739 chaotic effect Effects 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 238000010586 diagram Methods 0.000 description 1
Images
Landscapes
- Computer And Data Communications (AREA)
Abstract
本发明提供了一种基于零信任的远程办公访问方法及系统，包括零信任终端、零信任管控中心、零信任网关、应用接入网关。零信任终端对终端环境进行检查，生成SPA请求进行设备认证，零信任管控中心和零信任终端建立mTLS双向连接，根据用户输入信息发起用户登录请求，对网关发起资源访问请求；零信任管控中心对设备和用户身份进行验证；根据用户权限及终端环境等动态调整用户访问权限；零信任网关对用户及设备身份进行校验，过滤不合法访问，对流量进行卸载、封装等；应用接入网关完成后台服务访问定位、代理。本发明提高了用户登录的安全性，解决了VPN弱密码、权限控制粒度差的问题。
Description
技术领域
本发明涉及通信技术领域，具体地，涉及一种基于零信任的远程办公访问方法及系统。
背景技术
远程办公是指企业中比较流行的通过虚拟专用网(VPN)，在公用网络(通常是因特网)中建立一个临时的、安全的连接，形成一条穿过混乱的公用网络的安全、稳定的隧道，帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。一般来讲，这种方式能够支持用户全方位的日常办公需求，包括获取公司内部邮件、访问局域网中的文件服务器、内部数据库、CRM、ERP等等，而不仅仅是远程控制。
SPA单包授权(外文名：Single Packet Authorization)是一种轻量级的安全协议，只使用单个数据包进行访问申请，通过将所有必要信息集成在单个数据包内来简化敲门流程，在允许访网络前，先验证设备和用户身份，以此达到“网络隐身”，使攻击者无法找到服务地址和端口。
当前，企业远程办公需求井喷。VPN作为最常用的远程安全连接手段，虽然能帮助企业解远程办公燃眉之急。但是，VPN由于存在访问速度慢、易受攻击、权限控制力度差等问题，也给企业带来了极大的安全风险。
因此，市场上需要一种基于零信任的远程办公访问方法及系统。
发明内容
针对现有技术中的缺陷，本发明的目的是提供一种基于零信任的远程办公访问方法及系统。
根据本发明提供的一种基于零信任的远程办公访问方法，包括：
设备认证步骤：零信任终端对终端环境进行检查，生成SPA单包授权请求进行设备认证，进而零信任管控中心与零信任终端建立双向连接；
身份认证步骤：通过所述双向连接，零信任终端向零信任管控中心发送用户登录请求，零信任管控中心结合设备认证对用户身份进行验证并动态调整用户访问权限；
访问业务资源步骤：零信任网关对用户身份及设备进行校验，过滤不合法访问，对流量进行卸载、封装，进而应用接入网关完成后台服务访问定位及代理。
优选地，所述零信任终端包括集成安全沙箱、本地威胁引擎和单包验证访问模块；
零信任终端在安装时向零信任管控中心进行备案，并在所述终端中导入CA根证书；
在用户启动所述零信任终端时，所述集成安全沙箱即启动相关安全功能以及所述本地威胁引擎检查当前零信任终端系统状态、网络环境和异常行为。
优选地，设备认证步骤包括：
步骤S1.1：零信任终端中本地威胁引擎扫描终端运行环境，根据预置的安全规则判定是否满足安全运行条件，若否，则提示用户需要关闭风险进程；若是，则执行步骤S1.2；
步骤S1.2；零信任终端通过设备唯一标识符、时间戳和预置的密钥种子生成预共享密钥，进而生成SPA单包授权请求消息发送给零信任管控中心；
步骤S1.3：零信任管控中心对所述SPA单包授权请求消息进行检查并验证所述SPA单包授权消息的内容是否有效，若是，则向零信任终端返回SPA应答消息，并设置防火墙在指定时间内对目标IP打开特定端口；若否，则不响应；
步骤S1.4：零信任终端接收所述SPA应答消息，并通过CA根证书，判断零信任管控中心的CA机构是否可信，若是，则执行执行步骤S1.5；若否，则认证终止；
步骤S1.5：零信任终端生成密钥和证书签名请求文件，并向零信任管控中心提交数字证书的申请；
步骤S1.6：零信任管控中心响应所述申请并审核，审核通过后将数字证书返回零信任终端，进而零信任终端与零信任管控中心通过交换数字证书建立双向连接。
优选地，身份认证步骤包括：
步骤S2.1：零信任终端向零信任管控中心发送用户登录请求；
步骤S2.2：零信任管控中心验证所述登录请求，验证通过后对零信任网关下发设备及用户相关信息，对零信任终端下发Session ID、服务和网关列表；
步骤S2.3：零信任终端携带Session ID向零信任管控中心上报信息；
步骤S2.4：零信任管控中心判断所述上报信息中是否有Session ID，若是，则执行步骤S2.5；若否，则将终端重定向到登录页面，重新执行登录流程；
步骤S2.5：零信任管控中心对所述上报信息进行分析，通过分析结果确定当前用户的信任分值，同时根据所述信任分值调整用户的访问权限，向零信任网关下发用户访问权限更新指令，向零信任终端更新用户访问服务列表信息。
优选地，当用户退出登录时，零信任终端向零信任管控中心发送退出登录请求，零信任管控中心向零信任网关发送当前用户信息清除指令，零信任网关和零信任管控中心断开与零信任终端的连接。
优选地，访问业务资源步骤包括：
步骤S3.1：零信任终端向零信任网关发送发起SPA敲门请求；
步骤S3.2：零信任网关响应所述请求并验证，验证通过后设置防火墙规则并向指定终端开放端口；
步骤S3.3：零信任终端与目标零信任网关建立双向连接，并携带Session ID向零信任网关发起资源访问请求；
步骤S3.4：所述零信任网关响应所述请求，进行解析和校验，校验通过后判断当前用户应用是否在访问权限列表中，若否，则拒绝本次访问，并向零信任终端返回权限不足提示；若是，则执行步骤S3.5；
步骤S3.5：将所述访问请求进行流量卸载、封装后发送给应用接入网关；
步骤S3.6：所述应用接入网关对所述访问请求进行解密，定位待获取的业务资源位置并将请求重定向到具体的服务器；
步骤S3.7：应用接入网关接收到服务器的资源信息反馈后，通过加密封装后发送给零信任网关；
步骤S3.8：零信任网关解密后发送给零信任终端。
优选地，所述零信任管控中心包括身份及设备管理引擎、信任评估引擎、策略下发引擎、行为分析引擎和密钥管理引擎。
优选地，步骤S1.3中对SPA单包授权请求消息进行检查步骤包括：
步骤S1.3.1：所述身份及设备管理引擎检查SPA单包授权请求消息中设备唯一标识符是否在授信列表中，若是，则执行步骤S1.3.2；若否，则认证结束；
步骤S1.3.2：所述密钥管理引擎通过CA私钥加密生成CA信息，零信任管控中心发送SPA单包授权请求响应消息给零信任终端，携带CA信息。
根据本发明提供的一种基于零信任的远程办公访问系统，包括：
设备认证模块：零信任终端对终端环境进行检查，生成SPA单包授权请求进行设备认证，进而零信任管控中心与零信任终端建立双向连接；
身份认证模块：通过所述双向连接，零信任终端向零信任管控中心发送用户登录请求，零信任管控中心结合设备认证对用户身份进行验证并动态调整用户访问权限；
访问业务资源模块：零信任网关对用户身份及设备进行校验，过滤不合法访问，对流量进行卸载、封装，进而应用接入网关完成后台服务访问定位及代理。
优选地，包括零信任终端、零信任管控中心、零信任网关和应用接入网关；
所述零信任管控中心包括身份及设备管理引擎、信任评估引擎、策略下发引擎、行为分析引擎和密钥管理引擎；
所述身份及设备管理引擎用于对用户和设备进行身份验证；
所述行为分析引擎用于对零信任终端发送的上报信息进行分析；所述信任评估引擎根据行为分析引擎的分析结果确定当前用户的信任分值；所述策略下发引擎根据信任分值调整用户的访问权限，并向目标网关下发用户访问权限更新指令；
所述密钥管理引擎用于生成数字证书。
与现有技术相比，本发明具有如下的有益效果：
1、本发明通过多因素认证、行为评估、动态访问控制等方式，提高了用户登录的安全性，对终端环境、用户行为进行实时监控，根据用户信用评分及时收缩用户应用访问权限，解决了VPN弱密码、权限控制粒度差的问题。
2、本发明通过短连接方式的TLS双向数据传输加密，提高数据传输的流畅性并通过终端的安全管控手段，降低了敏感数据外泄的风险。
3、本发明通过业务隐藏减少了攻击暴露面，降低了被攻击的风险。
附图说明
通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：
图1为本发明的系统架构示意图。
具体实施方式
下面结合具体实施例对本发明进行详细说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应当指出的是，对本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变化和改进。这些都属于本发明的保护范围。
本发明包括零信任终端、零信任管控中心、零信任网关和应用接入网关。其中，零信任管控中心包括身份及设备管理引擎、信任评估引擎、策略下发引擎、行为分析引擎和密钥管理引擎。零信任终端包括集成安全沙箱、本地威胁引擎和单包验证访问模块。零信任网关包括网络隐身、网络访问接入、流量安全加/解密、访问日志记录和应用访问转发。应用接入网关包括防火墙及代理穿透、应用访问定位和流量安全加/解密。
实施例一
根据本发明提供的一种基于零信任的远程办公访问方法，如图1所示，包括：
设备认证步骤：零信任终端对终端环境进行检查，生成SPA单包授权请求进行设备认证，进而零信任管控中心与零信任终端建立双向连接。具体地，设备认证步骤包括：
步骤S1.1：零信任终端中本地威胁引擎扫描终端运行环境，根据预置的安全规则判定是否满足安全运行条件，若否，则提示用户需要关闭风险进程；若是，则通过设备唯一标识符、时间戳和预置的密钥种子生成预共享密钥，进而生成SPA单包授权请求消息发送给零信任管控中心。
步骤S1.2：零信任管控中心对所述SPA单包授权请求消息进行检查并验证所述SPA单包授权消息的内容是否有效，若是，则向零信任终端返回SPA应答消息，并设置防火墙在指定时间内对目标IP打开特定端口；若否，则不响应。
进一步地，优选地，对SPA单包授权请求消息进行检查步骤包括步骤S1.3.1：零信任管控中心首先检查SPA是否被篡改、过期等，若SPA信息有效，则身份及设备管理引擎检查SPA单包授权请求消息中设备唯一标识符是否在授信列表中，验证HOTP、HMAC是否正确，若是，则所述密钥管理引擎通过CA私钥加密生成CA信息，零信任管控中心发送SPA单包授权请求响应消息给零信任终端，携带CA信息，同时零信任管控中心设置防火墙规则，在指定时间内对目标IP打开特定端口；若否，则认证结束。
步骤S1.3：零信任终端接收所述SPA应答消息，并通过CA根证书判断零信任管控中心的CA机构是否可信，若否，则认证终止；若是，则生成密钥和证书签名请求文件，并向零信任管控中心提交数字证书的申请；零信任管控中心响应所述申请并审核，审核通过后将数字证书返回零信任终端，进而零信任终端与零信任管控中心通过交换数字证书建立双向连接。所述双向连接包括mTLS(Mutual Transport Layer Security)双向连接。
身份认证步骤：通过所述双向连接，零信任终端向零信任管控中心发送用户登录请求，零信任管控中心结合设备认证对用户身份进行验证并动态调整用户访问权限。具体地，身份认证步骤包括：
步骤S2.1：零信任终端向零信任管控中心发送用户登录请求。
步骤S2.2：零信任管控中心验证所述登录请求，验证通过后对零信任网关下发设备及用户相关信息，对零信任终端下发Session ID、服务和网关列表。其中，设备及用户相关信息包括设备唯一标识符、可访问服务列表、用户身份等信息。
步骤S2.3：零信任终端携带Session ID向零信任管控中心上报信息。其中，上报信息包括终端环境感知信息和用户操作信息。
步骤S2.4：零信任管控中心判断所述上报信息中是否有Session ID，若是，则零信任管控中心对所述上报信息进行分析，通过分析结果确定当前用户的信任分值，同时根据所述信任分值调整用户的访问权限，向零信任网关下发用户访问权限更新指令，向零信任终端更新用户访问服务列表信息；若否，则将终端重定向到登录页面，重新执行登录流程。
当用户请求退出登录时，零信任终端向零信任管控中心发送退出登录请求，零信任管控中心向零信任网关发送当前用户信息清除指令，零信任网关和零信任管控中心断开与零信任终端的连接。
访问业务资源步骤：零信任网关对用户身份及设备进行校验，过滤不合法访问，对流量进行卸载、封装，进而应用接入网关完成后台服务访问定位及代理。具体地，访问业务资源步骤包括：
步骤S3.1：零信任终端向零信任网关发送发起SPA敲门请求。
步骤S3.2：零信任网关响应所述请求并验证，验证通过后设置防火墙规则并向指定终端开放端口。
步骤S3.3：零信任终端与目标零信任网关建立双向连接，并携带Session ID向零信任网关发起资源访问请求。
步骤S3.4：所述零信任网关响应所述请求，进行解析和校验，校验通过后判断当前用户应用是否在访问权限列表中，若否，则拒绝本次访问，并向零信任终端返回权限不足提示；若是，则将所述访问请求进行流量卸载、封装后发送给应用接入网关；
步骤S3.5：所述应用接入网关对所述访问请求进行解密，定位待获取的业务资源位置并将请求重定向到具体的服务器；
步骤S3.6：应用接入网关接收到服务器的资源信息反馈后，通过加密封装后发送给零信任网关；零信任网关解密后发送给零信任终端。
另外，本发明零信任终端再认证前应用接入网关与零信任网关建立连接，具体地，应用接入网关发起网络穿透代理连接零信任网关，建立零信任网关与应用接入网关之间的网络通道。也就是说，零信任网关和应用接入网关通过网络穿透通道连接。并且，零信任终端在安装时向零信任管控中心进行备案，并在所述终端中导入CA根证书。在用户启动所述零信任终端时，集成安全沙箱即启动相关安全功能以及所述本地威胁引擎检查当前零信任终端系统状态、网络环境和异常行为。其中，相关安全功能包括防复制、防截屏、防打印、透明水印等，禁止沙箱内一切复制、打印行为，通过防截屏模块实时追踪用户潜在的截图/录屏行为，并立即显示黑屏；通过窗口的透明水印，可以实现由于屏幕拍照造成资料泄密的追踪。
实施例二
本发明还提供了一种基于零信任的远程办公访问系统，本领域技术人员可以通过执行所述基于零信任的远程办公访问方法的步骤流程实现所述基于零信任的远程办公访问系统，即可以将所述基于零信任的远程办公访问方法理解为所述基于零信任的远程办公访问系统的优选实施方式。
根据本发明提供的一种基于零信任的远程办公访问系统，如图1所示，包括：
设备认证模块：零信任终端对终端环境进行检查，生成SPA单包授权请求进行设备认证，进而零信任管控中心与零信任终端建立双向连接。具体地，设备认证步骤包括：
模块M1.1：零信任终端中本地威胁引擎扫描终端运行环境，根据预置的安全规则判定是否满足安全运行条件，若否，则提示用户需要关闭风险进程；若是，则零信任终端通过设备唯一标识符、时间戳和预置的密钥种子生成预共享密钥，进而生成SPA单包授权请求消息发送给零信任管控中心。
模块M1.2：零信任管控中心对所述SPA单包授权请求消息进行检查并验证所述SPA单包授权消息的内容是否有效，若是，则向零信任终端返回SPA应答消息，并设置防火墙在指定时间内对目标IP打开特定端口；若否，则不响应。模块M1.2中对SPA单包授权请求消息进行检查步骤包括：模块M1.2.1：所述身份及设备管理引擎检查SPA单包授权请求消息中设备唯一标识符是否在授信列表中，若是，则触发模块M1.2.2；若否，则认证结束。模块M1.2.3：所述密钥管理引擎通过CA私钥加密生成CA信息，零信任管控中心发送SPA单包授权请求响应消息给零信任终端，携带CA信息。
模块M1.3：零信任终端接收所述SPA应答消息，并通过CA根证书，判断零信任管控中心的CA机构是否可信，若是，则零信任终端生成密钥和证书签名请求文件，并向零信任管控中心提交数字证书的申请；若否，则认证终止。
模块M1.4：零信任管控中心响应所述申请并审核，审核通过后将数字证书返回零信任终端，进而零信任终端与零信任管控中心通过交换数字证书建立双向连接。
身份认证模块：通过所述双向连接，零信任终端向零信任管控中心发送用户登录请求，零信任管控中心结合设备认证对用户身份进行验证并动态调整用户访问权限。身份认证步骤包括：
模块M2.1：零信任终端向零信任管控中心发送用户登录请求。模块M2.2：零信任管控中心验证所述登录请求，验证通过后对零信任网关下发设备及用户相关信息，对零信任终端下发Session ID、服务和网关列表。模块M2.2：零信任终端携带Session ID向零信任管控中心上报信息。模块M2.4：零信任管控中心判断所述上报信息中是否有Session ID，若是，则零信任管控中心对所述上报信息进行分析，通过分析结果确定当前用户的信任分值，同时根据所述信任分值调整用户的访问权限，向零信任网关下发用户访问权限更新指令，向零信任终端更新用户访问服务列表信息；若否，则将终端重定向到登录页面，重新触发登录流程。
当用户退出登录时，零信任终端向零信任管控中心发送退出登录请求，零信任管控中心向零信任网关发送当前用户信息清除指令，零信任网关和零信任管控中心断开与零信任终端的连接。
访问业务资源模块：零信任网关对用户身份及设备进行校验，过滤不合法访问，对流量进行卸载、封装，进而应用接入网关完成后台服务访问定位及代理。访问业务资源步骤包括：模块M2.1：零信任终端向零信任网关发送发起SPA敲门请求。模块M2.2：零信任网关响应所述请求并验证，验证通过后设置防火墙规则并向指定终端开放端口。模块M2.2：零信任终端与目标零信任网关建立双向连接，并携带Session ID向零信任网关发起资源访问请求。模块M2.4：所述零信任网关响应所述请求，进行解析和校验，校验通过后判断当前用户应用是否在访问权限列表中，若否，则拒绝本次访问，并向零信任终端返回权限不足提示；若是，则将所述访问请求进行流量卸载、封装后发送给应用接入网关；模块M2.5：所述应用接入网关对所述访问请求进行解密，定位待获取的业务资源位置并将请求重定向到具体的服务器；模块M2.6：应用接入网关接收到服务器的资源信息反馈后，通过加密封装后发送给零信任网关；模块M2.7：零信任网关解密后发送给零信任终端。
另外，本系统包括零信任终端、零信任管控中心、零信任网关和应用接入网关。所述零信任管控中心包括身份及设备管理引擎、信任评估引擎、策略下发引擎、行为分析引擎和密钥管理引擎。其中，身份及设备管理引擎用于对用户和设备进行身份验证。行为分析引擎用于对零信任终端发送的上报信息进行分析；信任评估引擎根据行为分析引擎的分析结果确定当前用户的信任分值；策略下发引擎根据信任分值调整用户的访问权限，并向目标网关下发用户访问权限更新指令；所述密钥管理引擎用于生成数字证书。
零信任终端包括集成安全沙箱、本地威胁引擎和单包验证访问模块。零信任终端在安装时向零信任管控中心进行备案，并在所述终端中导入CA根证书。在用户启动所述零信任终端时，所述集成安全沙箱即启动相关安全功能以及所述本地威胁引擎检查当前零信任终端系统状态、网络环境和异常行为。
本领域技术人员知道，除了以纯计算机可读程序代码方式实现本发明提供的系统、装置及其各个模块以外，完全可以通过将方法步骤进行逻辑编程来使得本发明提供的系统、装置及其各个模块以逻辑门、开关、专用集成电路、可编程逻辑控制器以及嵌入式微控制器等的形式来实现相同程序。所以，本发明提供的系统、装置及其各个模块可以被认为是一种硬件部件，而对其内包括的用于实现各种程序的模块也可以视为硬件部件内的结构；也可以将用于实现各种功能的模块视为既可以是实现方法的软件程序又可以是硬件部件内的结构。
以上对本发明的具体实施例进行了描述。需要理解的是，本发明并不局限于上述特定实施方式，本领域技术人员可以在权利要求的范围内做出各种变化或修改，这并不影响本发明的实质内容。在不冲突的情况下，本申请的实施例和实施例中的特征可以任意相互组合。
Claims (10)
1.一种基于零信任的远程办公访问方法，其特征在于，包括：
设备认证步骤：零信任终端对终端环境进行检查，生成SPA单包授权请求进行设备认证，进而零信任管控中心与零信任终端建立双向连接；
身份认证步骤：通过所述双向连接，零信任终端向零信任管控中心发送用户登录请求，零信任管控中心结合设备认证对用户身份进行验证并动态调整用户访问权限；
访问业务资源步骤：零信任网关对用户身份及设备进行校验，过滤不合法访问，对流量进行卸载、封装，进而应用接入网关完成后台服务访问定位及代理。
2.根据权利要求1所述的基于零信任的远程办公访问方法，其特征在于，所述零信任终端包括集成安全沙箱、本地威胁引擎和单包验证访问模块；
零信任终端在安装时向零信任管控中心进行备案，并在所述终端中导入CA根证书；
在用户启动所述零信任终端时，所述集成安全沙箱即启动相关安全功能以及所述本地威胁引擎检查当前零信任终端系统状态、网络环境和异常行为。
3.根据权利要求2所述的基于零信任的远程办公访问方法，其特征在于，设备认证步骤包括：
步骤S1.1：零信任终端中本地威胁引擎扫描终端运行环境，根据预置的安全规则判定是否满足安全运行条件，若否，则提示用户需要关闭风险进程；若是，则执行步骤S1.2；
步骤S1.2；零信任终端通过设备唯一标识符、时间戳和预置的密钥种子生成预共享密钥，进而生成SPA单包授权请求消息发送给零信任管控中心；
步骤S1.3：零信任管控中心对所述SPA单包授权请求消息进行检查并验证所述SPA单包授权消息的内容是否有效，若是，则向零信任终端返回SPA应答消息，并设置防火墙在指定时间内对目标IP打开特定端口；若否，则不响应；
步骤S1.4：零信任终端接收所述SPA应答消息，并通过CA根证书，判断零信任管控中心的CA机构是否可信，若是，则执行步骤S1.5；若否，则认证终止；
步骤S1.5：零信任终端生成密钥和证书签名请求文件，并向零信任管控中心提交数字证书的申请；
步骤S1.6：零信任管控中心响应所述申请并审核，审核通过后将数字证书返回零信任终端，进而零信任终端与零信任管控中心通过交换数字证书建立双向连接。
4.根据权利要求2所述的基于零信任的远程办公访问方法，其特征在于，身份认证步骤包括：
步骤S2.1：零信任终端向零信任管控中心发送用户登录请求；
步骤S2.2：零信任管控中心验证所述登录请求，验证通过后对零信任网关下发设备及用户相关信息，对零信任终端下发Session ID、服务和网关列表；
步骤S2.3：零信任终端携带Session ID向零信任管控中心上报信息；
步骤S2.4：零信任管控中心判断所述上报信息中是否有SessionID，若是，则执行步骤S2.5；若否，则将终端重定向到登录页面，重新执行登录流程；
步骤S2.5：零信任管控中心对所述上报信息进行分析，通过分析结果确定当前用户的信任分值，同时根据所述信任分值调整用户的访问权限，向零信任网关下发用户访问权限更新指令，向零信任终端更新用户访问服务列表信息。
5.根据权利要求4所述的基于零信任的远程办公访问方法，其特征在于，当用户退出登录时，零信任终端向零信任管控中心发送退出登录请求，零信任管控中心向零信任网关发送当前用户信息清除指令，零信任网关和零信任管控中心断开与零信任终端的连接。
6.根据权利要求1所述的基于零信任的远程办公访问方法，其特征在于，访问业务资源步骤包括：
步骤S3.1：零信任终端向零信任网关发送发起SPA敲门请求；
步骤S3.2：零信任网关响应所述请求并验证，验证通过后设置防火墙规则并向指定终端开放端口；
步骤S3.3：零信任终端与目标零信任网关建立双向连接，并携带Session ID向零信任网关发起资源访问请求；
步骤S3.4：所述零信任网关响应所述请求，进行解析和校验，校验通过后判断当前用户应用是否在访问权限列表中，若否，则拒绝本次访问，并向零信任终端返回权限不足提示；若是，则执行步骤S3.5；
步骤S3.5：将所述访问请求进行流量卸载、封装后发送给应用接入网关；
步骤S3.6：所述应用接入网关对所述访问请求进行解密，定位待获取的业务资源位置并将请求重定向到具体的服务器；
步骤S3.7：应用接入网关接收到服务器的资源信息反馈后，通过加密封装后发送给零信任网关；
步骤S3.8：零信任网关解密后发送给零信任终端。
7.根据权利要求1所述的基于零信任的远程办公访问方法，其特征在于，所述零信任管控中心包括身份及设备管理引擎、信任评估引擎、策略下发引擎、行为分析引擎和密钥管理引擎。
8.根据权利要求7所述的基于零信任的远程办公访问方法，其特征在于，步骤S1.3中对SPA单包授权请求消息进行检查步骤包括：
步骤S1.3.1：所述身份及设备管理引擎检查SPA单包授权请求消息中设备唯一标识符是否在授信列表中，若是，则执行步骤S1.3.2；若否，则认证结束；
步骤S1.3.2：所述密钥管理引擎通过CA私钥加密生成CA信息，零信任管控中心发送SPA单包授权请求响应消息给零信任终端，携带CA信息。
9.一种基于零信任的远程办公访问系统，其特征在于，包括：
设备认证模块：零信任终端对终端环境进行检查，生成SPA单包授权请求进行设备认证，进而零信任管控中心与零信任终端建立双向连接；
身份认证模块：通过所述双向连接，零信任终端向零信任管控中心发送用户登录请求，零信任管控中心结合设备认证对用户身份进行验证并动态调整用户访问权限；
访问业务资源模块：零信任网关对用户身份及设备进行校验，过滤不合法访问，对流量进行卸载、封装，进而应用接入网关完成后台服务访问定位及代理。
10.根据权利要求9所述的基于零信任的远程办公访问系统，其特征在于，包括零信任终端、零信任管控中心、零信任网关和应用接入网关；
所述零信任管控中心包括身份及设备管理引擎、信任评估引擎、策略下发引擎、行为分析引擎和密钥管理引擎；
所述身份及设备管理引擎用于对用户和设备进行身份验证；
所述行为分析引擎用于对零信任终端发送的上报信息进行分析；所述信任评估引擎根据行为分析引擎的分析结果确定当前用户的信任分值；所述策略下发引擎根据信任分值调整用户的访问权限，并向目标网关下发用户访问权限更新指令；
所述密钥管理引擎用于生成数字证书。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202211508853.7A CN116032533A (zh) | 2022-11-29 | 2022-11-29 | 基于零信任的远程办公访问方法及系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202211508853.7A CN116032533A (zh) | 2022-11-29 | 2022-11-29 | 基于零信任的远程办公访问方法及系统 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN116032533A true CN116032533A (zh) | 2023-04-28 |
Family
ID=86074947
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202211508853.7A Pending CN116032533A (zh) | 2022-11-29 | 2022-11-29 | 基于零信任的远程办公访问方法及系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN116032533A (zh) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116228167A (zh) * | 2023-05-04 | 2023-06-06 | 南京瑞拷得智慧信息科技有限公司 | 一种基于零信任权鉴的智慧档案借阅利用平台 |
| CN116346505A (zh) * | 2023-05-30 | 2023-06-27 | 浙江鹏信信息科技股份有限公司 | 物联网数据安全通信方法、系统及计算机可读存储介质 |
| CN116707807A (zh) * | 2023-08-09 | 2023-09-05 | 中电信量子科技有限公司 | 分布式零信任微隔离访问控制方法及系统 |
| CN117061243A (zh) * | 2023-10-11 | 2023-11-14 | 国网信息通信产业集团有限公司 | 一种面向终端的边缘零信任引擎、认证防护系统及方法 |
| CN117614752A (zh) * | 2024-01-24 | 2024-02-27 | 明阳点时科技(沈阳)有限公司 | 一种双层零信任企业生产网安全自组网方法及系统 |
| CN117792797A (zh) * | 2024-02-26 | 2024-03-29 | 中国信息通信研究院 | 基于工业互联网标识解析的数据权限管理方法和装置 |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20210185018A1 (en) * | 2019-12-16 | 2021-06-17 | Vmware, Inc. | Concealing internal applications that are accessed over a network |
| CN113422768A (zh) * | 2021-06-21 | 2021-09-21 | 深圳竹云科技有限公司 | 零信任中的应用接入方法、装置及计算设备 |
| CN114553568A (zh) * | 2022-02-25 | 2022-05-27 | 重庆邮电大学 | 一种基于零信任单包认证与授权的资源访问控制方法 |
| CN114615328A (zh) * | 2022-01-26 | 2022-06-10 | 北京美亚柏科网络安全科技有限公司 | 一种安全访问控制系统和方法 |
-
2022
- 2022-11-29 CN CN202211508853.7A patent/CN116032533A/zh active Pending
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20210185018A1 (en) * | 2019-12-16 | 2021-06-17 | Vmware, Inc. | Concealing internal applications that are accessed over a network |
| CN113422768A (zh) * | 2021-06-21 | 2021-09-21 | 深圳竹云科技有限公司 | 零信任中的应用接入方法、装置及计算设备 |
| CN114615328A (zh) * | 2022-01-26 | 2022-06-10 | 北京美亚柏科网络安全科技有限公司 | 一种安全访问控制系统和方法 |
| CN114553568A (zh) * | 2022-02-25 | 2022-05-27 | 重庆邮电大学 | 一种基于零信任单包认证与授权的资源访问控制方法 |
Non-Patent Citations (1)
| Title |
|---|
| 于欣越 等: "基于零信任的软件定义边界网络隐身技术研究", 《通信技术》, vol. 54, no. 5, 31 May 2021 (2021-05-31), pages 1229 - 1234 * |
Cited By (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116228167A (zh) * | 2023-05-04 | 2023-06-06 | 南京瑞拷得智慧信息科技有限公司 | 一种基于零信任权鉴的智慧档案借阅利用平台 |
| CN116346505A (zh) * | 2023-05-30 | 2023-06-27 | 浙江鹏信信息科技股份有限公司 | 物联网数据安全通信方法、系统及计算机可读存储介质 |
| CN116346505B (zh) * | 2023-05-30 | 2023-07-21 | 浙江鹏信信息科技股份有限公司 | 物联网数据安全通信方法、系统及计算机可读存储介质 |
| CN116707807A (zh) * | 2023-08-09 | 2023-09-05 | 中电信量子科技有限公司 | 分布式零信任微隔离访问控制方法及系统 |
| CN116707807B (zh) * | 2023-08-09 | 2023-10-31 | 中电信量子科技有限公司 | 分布式零信任微隔离访问控制方法及系统 |
| CN117061243A (zh) * | 2023-10-11 | 2023-11-14 | 国网信息通信产业集团有限公司 | 一种面向终端的边缘零信任引擎、认证防护系统及方法 |
| CN117061243B (zh) * | 2023-10-11 | 2024-02-06 | 国网信息通信产业集团有限公司 | 一种面向终端的边缘零信任引擎、认证防护系统及方法 |
| CN117614752A (zh) * | 2024-01-24 | 2024-02-27 | 明阳点时科技(沈阳)有限公司 | 一种双层零信任企业生产网安全自组网方法及系统 |
| CN117614752B (zh) * | 2024-01-24 | 2024-03-22 | 明阳点时科技(沈阳)有限公司 | 一种双层零信任企业生产网安全自组网方法及系统 |
| CN117792797A (zh) * | 2024-02-26 | 2024-03-29 | 中国信息通信研究院 | 基于工业互联网标识解析的数据权限管理方法和装置 |
| CN117792797B (zh) * | 2024-02-26 | 2024-05-14 | 中国信息通信研究院 | 基于工业互联网标识解析的数据权限管理方法和装置 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN114553568B (zh) | 一种基于零信任单包认证与授权的资源访问控制方法 | |
| CN114615328B (zh) | 一种安全访问控制系统和方法 | |
| CN116032533A (zh) | 基于零信任的远程办公访问方法及系统 | |
| US9781114B2 (en) | Computer security system | |
| US7627896B2 (en) | Security system providing methodology for cooperative enforcement of security policies during SSL sessions | |
| Ertaul et al. | Security Challenges in Cloud Computing. | |
| US6490679B1 (en) | Seamless integration of application programs with security key infrastructure | |
| US20040199768A1 (en) | System and method for enabling enterprise application security | |
| US20080276309A1 (en) | System and Method for Securing Software Applications | |
| US20050108575A1 (en) | Apparatus, system, and method for faciliating authenticated communication between authentication realms | |
| JP2004509398A (ja) | ネットワークにわたって配布されるオブジェクトの保護のために監査証跡を確立するためのシステム | |
| EP1814255A1 (en) | System and method for realizing the security management in 3g mobile communication network | |
| US10848489B2 (en) | Timestamp-based authentication with redirection | |
| CN110933078B (zh) | 一种h5未登录用户会话跟踪方法 | |
| Chuan et al. | An implementation method of zero-trust architecture | |
| JP7309880B2 (ja) | リダイレクションを含むタイムスタンプベースの認証 | |
| CN114598540A (zh) | 访问控制系统、方法、装置及存储介质 | |
| MXPA06002182A (es) | Prevencion del acceso no autorizado de recursos de red de computadora. | |
| CN112016073B (zh) | 一种服务器零信任连接架构的构建方法 | |
| US20230370430A1 (en) | Personalized secure communication session management | |
| US11451517B2 (en) | Secure and auditable proxy technology using trusted execution environments | |
| CN114499976B (zh) | 一种实现跨网交换的数据交换方法 | |
| CN111526150A (zh) | 关于单集群或多集群云电脑远程运维端口零信任自动化规则放行平台及放行方法 | |
| CA3102920A1 (en) | A secure method to replicate on-premise secrets in a computing environment | |
| CN117834218A (zh) | 一种基于零信任架构的统一身份认证方法及平台 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |