支撑物流企业海量规模业务的是多套高度复杂的IT系统，涵盖终端准入、面单信息采集、信息传输、数据集中、支付系统打通、物流与仓储调配等数十个主要业务环节，使用这些业务系统的人员身份复杂且流动性大，地域分布广，且超大规模快递量，涉及到用户的敏感信息都是数以亿计。

近年来，物流行业逐渐成为地下黑产锁定的高价值目标，不法分子有针对性的攻击、破坏与窃取等手段推陈出新，已逐步形成一条黑色产业链。从政府监管角度看，日益常态化的攻防演练和国家护网行动也逐步将物流企业纳入到重点盯防对象，在护网期间因业务系统漏洞或安全防护不足导致被攻破而失分的情况时有出现，安全和运维部门承受越来越多的监管压力。

结合物流行业的实际业务场景和监管要求，该企业总结出三方面典型安全风险。

▏  护网期间核心应用被攻破

出于业务可用性和便利性考虑，我们需要将OA、CRM等私有应用暴露在互联网上供用户访问；由于暴露面扩大，护网期间就容易遭到攻击。任何一个有漏洞的私有应用都可能成为整个安全体系中的短板，红队可能此为跳板穿透到整个内网攻破核心应用，导致我们在护网中丢分。

▏  敏感信息泄露

物流行业是一个高度信息化的行业。随着网购和快递的飞速发展，用户的姓名地址等隐私泄露问题愈发凸显。我们亟需新技术对用户访问的内部敏感数据进行分类打标，追踪敏感数据流向情况，整合敏感数据流向记录，向企业管理者绘制个人隐私数据流向，并能够对各种数据泄露行为进行实时阻断。

▏  终端设备缺乏统一管理手段

物流企业的员工及业务相关第三方人员数量庞大，总部、省公司、转运中心、分支网点等总计超50万用户，日常近7万个Windows、MacOS等不同类型终端访问其内部业务系统。由于访问人员数量众多，办公地点分散，BYOD设备类型众多，终端安全已成为安全建设的薄弱环节。对访问终端和用户执行统一的可信认证，不但是保障安全的业务刚需，也是提升协同效率的必要手段。

从2022年开始，分两期项目将虎符网络的零信任方案纳入到安全建设体系中，核心是解决以上三大典型安全风险。通过将内部业务应用收纳于零信任网关之后收敛攻击面，加强应用安全防护，针对Web应用进行敏感数据分析和治理；同时通过“零信任客户端+网关”的形式强化对终端用户身份和设备的管理，也便于后续建立全网统一的终端安全基线。

方案设计方面，零信任方案将传统的基于网络区域边界的安全防护模式，转变为基于可信身份的“先验证后访问”的防护模式，在整个虚拟内网中消除匿名流量；零信任网关将之前暴露在互联网上的应用进行隐藏，有效保护内网业务应用免受来自互联网或非法用户的恶意连接，真正做到攻击面收敛，安全可靠，护网无忧。

实施部署方面 ，系统整体采用管控分离部署架构，控制中心集中化部署于总部生产域中，安全网关集群分布式部署于多云环境及办公网等，实现多云多数据中心统一认证、统一策略和安全基线。

当总部、各省区及网点办公网用户访问受保护的资源时，在控制中心集群域进行统一认证鉴权，鉴权通过后由客户端（或浏览器）与对应的安全网关建立安全加密隧道，后续用户访问授权应用资源时数据流量走该加密隧道，当连接不同物流云业务域时不需要频繁切换网络反复认证，方便快捷；管控分离和集中认证鉴权的设计不仅为集团办公人员提供了随时随地的安全办公方式，还消除了物理逻辑边界的限制，既保障了用户的安全接入，又提升了用户体验。

Web应用的终端授权化，Web应用选择了域名方式接入。与传统方式不同，用户选择访问Web应用时必须安装客户端进行客户端认证，认证成功后才能访问Web应用。这种模式较好地增强了安全的管控能力。

项目实施完成后，企业的所有私有应用通过零信任网关全部收进到基于可信身份构建的“虚拟内网”中，收缩应用的互联网暴露面；对私有应用的访问方式从“先访问后验证”改变为“先验证后访问”，匿名流量无法进入到内网。可信身份网络有效地提升了企业的整体安全水位，个别应用的自身漏洞或缺陷不再是安全短板。

方案在用户对内网应用访问的各个阶段均设计了控制点，从“你是谁”、“你安全么”，到“你可以做什么”、“你在做什么”，端网融合的纵深防御体系让零信任网络中的每一个应用都获得安全赋能，从而安全水位得到整体提升。这是一种面向攻防的新一代安全防御体系，除了解决安全问题，同时也降低了IT运维成本。