应用安全管控系统解决方案.docx

? ? ? ? ? ? ? 应用安全管控系统解决方案 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?  目录 应用安全管控系统 需求分析 产品简介 功能特点 技术优势 典型应用 用户价值 ?  需求分析 当前，企业信息化进程不断加深，企业的应用系统建设也日益增多，应用系统承载着企业的重要业务，因此应用安全不容忽视。而在企业发展过程中，应用系统的安全建设相对滞后，导致应用系统在实际使用中安全问题较多，具体总结为以下几点： ● 应用安全改造困难，投入成本较高 ●?帐号密码管理分散，容易窃取盗用 ●?访问权限控制粗略，存在越权访问 ●?敏感数据真实呈现，用户一览无余 ●?访问操作日志独立，不便综合分析 ? 产品简介 产品简介 应用安全管控系统（以下简称ASCG），是为应用接入提供全方位安全防护的网络安全产品，可在应用系统零改造的前提下，实现应用系统（远程/本地）集中统一管理，包括：单点登录应用系统（B/S）、应用访问双因强认证、应用帐号密码合规、用户访问操作全管控与审计、敏感信息脱敏等，并支持SSL加密传输，对应用信息传输实现加密保护。 ? 功能特点 应用单点登录： ASCG提供用户访问应用系统统一入口，提供基于标准认证协议（如CAS、SAML、OAuth2、OIDC等）的应用认证统一接入和模拟代填方式的单点登录。 双因强认证与密码管理： 在应用零改造的前提下，引入双因强认证技术，提升应用系统的身份认证强度；并对应用系统的原有帐号和密码统一管理，提升合规性满足度。 页面访问控制： 对用户访问应用系统的权限进行二次定义，禁止用户访问未经授权的页面，避免越权访问发生。 页面实时脱敏： 根据用户访问权限，对应用系统页面展示的敏感数据实现不同层次的模糊化处理，避免敏感数据泄露。 页面背景水印： 支持对应用系统指定的页面强制加入背景水印显示，支持用户自定义水印显示内容及水印样式，为信息溯源提供依据。 行为轨迹记录： 全程记录用户访问应用系统的行为，提供操作过程在线/离线方式的查询和回放。 ? 技术优势 应用零改造 ASCG无需应用系统改造即可为应用接入提供统一单点登录、认证强度提升、细粒度权限管控、敏感信息防护、操作审计等功能。 双因强认证 ASCG支持用户访问应用系统时多种认证方式组合进行强身份认证，包括：动态口令（硬件/手机）、短信、邮件等，也可与外部认证端对接实现如数字证书、人脸识别、指纹识别等方式。 SSL加密传输 ASCG支持SSL加密传输，对应用信息传输实现加密保护，避免在传输过程中的信息泄露。 操作全管控 ASCG可灵活设置用户访问权限，实现用户操作的细粒度控制，避免越权访问操作发生。 ? 典型应用 ASCG为逻辑串行，物理旁路的部署方式，支持单机部署、双机热备和集群部署方式，用户通过ASCG单点登录各已授权应用系统，实现应用访问操作管控和集中审计。 ASCG双机部署方式如下图所示： 用户价值 满足规范要求，引入双因强认证并实现定期密码更新； 无需应用改造实现应用系统集中统一管控，提升管理能力； 加强应用系统数据防护，杜绝敏感数据泄露； 统一设置用户访问操作权限，实现细粒度控制； 全程记录用户访问应用系统行为，为事后追责提供依据。 ? ? ? ? ? ?