如何低成本构建安全、高效、稳定的办公环境——企业高效安全办公实战提升之道

基于办公终端安全实践的思考与分享 为企业创造安全、高效、稳定的办公环境 腾讯云安全⦁刘登峰2025年3月 讲师介绍 刘登峰 安全行业从业多年，负责腾讯零信任iOA产品运营工作，曾参与主导金融、互联网、智能制造等多家头部企业级用户的零信任安全规划及落地建设，熟悉零信任、终端安全、开发安全等安全技术，实践落地经验丰富。 腾讯安全零信任产品负责人 目录Menu •企业办公安全痛点分析•腾讯内部办公安全实践•办公安全解决方案分享•办公安全最佳实践落地 企业办公已经进入智能化时代 2015-至今 2005-2015 1950-1990 1990-2005 智能协同办公时期 网络协同办公时期 电子办公时期 传统办公时期 特点：互联网快速普及，人们开始广泛使用即时聊天工具进行办公交流，办公软件如Office快速普及和应用。开始出现在线协作平台、云盘等办公产品，大量企业开始广泛使用VPN等产品进行远程办公 特点：云计算快速发展，协同办公也拥抱云端，各类文档应用也快速转型成为云文档，企业级通讯软件、会议软件、办公软件开始蓬勃发展，零信任在VPN替换场景得到广泛认可，在AI的驱动下，企业协同办公已经进入智能化时代 特点：在很长一段时间内，办公都是以纸笔为主，员工均在线下进行办公，依赖面对面的会议和交流，大量使用纸质文件进行信息的传递和存档，VPN等技术仍处在萌芽期，没有被广泛应用在办公领域 特点：计算机快速发展，人们开始使用电子邮件进行沟通和交流，逐步取代部分纸质信件，办公媒介也从手写纸质文件开始向电子文档转变（Office），开始出现VPN产品，部分企业开始探索远程办公 代表工具：QQ、微信、Dropbox、GoogleDocs、办公软件（Office、WPS）、SSLVPN 代表工具：E-Mail、办公软件Office、局域网LAN、虚拟专用网VPN 代表工具：会议室、电话、传真机、纸质文件和档案柜等 代表工具：企业微信、钉钉、飞书、腾讯会议、Zoom、微软Teams、ChatGPT、零信任 经历了持续的探索和技术积累，企业协同办公已经逐渐进入智能化协同办公时代 企业办公终端安全的现状和差距 企业办公安全差距 企业办公安全现状 •业务访问权限不够精细，传统的访问控制手段难以匹配业务的快速发展，企业需要动态、灵活的访问控制手段•高级安全威胁层出不穷，终端钓鱼、无文件攻击、Oday漏洞等高级攻击手段层出不穷•数据泄露难管控：大量企业敏感信息在办公软件中扭转，数据泄密事件层出不穷 安全问题 PC办公仍是主要生产力 •内外网接入体验不一致，大量企业内网和外网接入方式有差异，用户需要来回切换访问方式•需要安装多个安全软件，出于安全考虑，大量企业需要安装VPN、杀毒、桌管、防泄密等多种终端安全软件，员工感受不佳•移动端办公体验不佳：移动端访问业务卡慢，影响办公效率 •PC办公仍然是最主要的办公形态，承担着生产力的主要输出职责•在疫情的推动下，远程办公逐渐成为常态化趋势•终端需要安装的办公软件、安全软件越来越多，开始影响办公效率 体验问题 移动办公开始承担更多 •用户开始广泛使用移动端开展业务，会议接入和业务审批是典型场景•移动端天然使用互联网接入，企业较为关注数据安全问题•移动端大多为用户个人资产，大量用户反感打扰，不愿意安装过多企业App 目录Menu •企业办公安全痛点分析•腾讯内部办公安全实践•办公安全解决方案分享•办公安全最佳实践落地 腾讯所需要的办公终端安全架构 腾讯需要全新的安全架构：基于零信任思想构建的一体化终端安全保护平台 传统安全边界防御失效 终端安全产品种类繁多 互联网公司的殊途同归 终端安全产品种类繁多，伴随终端安全产品的持续发展，SSLVPN、杀毒软件、桌管软件、EDR、DLP等多种不同的安全产品为“鹅厂“IT部门带来了极大的管理负担。 谷歌BeyondCorp：当腾讯企业IT部的人正在尝试新的“无边界访问”方法的时候，我们看到了谷歌发布的论文《BeyondCorp：一种新的企业安全方案》坚定方向，一以贯之：从谷歌的实践中，腾讯猜想这条路是正确的，应该坚定的走下去 传统安全边界逐渐模糊，伴随着业务上云、BYOD、移动互联网的持续发展，传统的网络安全边界逐渐模糊，对外业务暴露面逐渐扩大。 内网安全可见度较低，过去的网络安全建设主要聚焦在边界防护上，边界一旦被突破，攻击者在内部几乎可以畅通无阻。 用户较为排斥安装多个客户端，腾讯内部年轻用户较多，大多排斥在电脑上安装多个客户端。 基于腾讯iOA基座扩展零信任能力 2017年，腾讯企业IT部正式启动iOANGN（NextGernerationNetwork）项目，用零信任思想重构iOA产品。他们的目标概括起来是4个A：Anytime、Anywhere、AnyDevice和AnyWork，让员工在任何时候、任何地方、任何设备接入内网完成任何内容的工作。 腾讯iOA的持续运营建设思路 小步快跑敏捷迭代 说干就干，2016年下定决心后，腾讯企业IT团队迅速构建起iOA第一个版本，并热情邀请了一批鹅厂小伙伴进行内测，在无情的批判和打击下不断迭代更新 内部实践商用交付 2019年，腾讯iOA产品基于内部最佳实践，通过内部TEG和CSIG的联合协作，由腾讯电脑管家原班人马接棒打造商用版iOA，正式拥抱产业互联网 腾讯iOA的零信任体系框架 腾讯iOA腾讯iOA（NGN）是iOA的全新版本，结合智能网关，打造腾讯新一代企业网NGN，确保员工在不可信的网络环境下，通过可信的设备、可信的进程，安全访问企业资源。iOANGN为鹅厂员工提供变革型的办公模式和全新的用户体验。 腾讯iOA的零信任架构改造历程 办公安全建设-内外网统一接入架构 快速登录OA站点：登录iOA后，只需鼠标一点，即可免密“快速登录”OA站点。 访问互联网免2小时申请，员工在一台电脑上即可完成代码开发、办公协作和服务器维护工作。 办公安全建设-应用免Token登录 OA应用免Token登录 1、快速登录OA站点：登录iOA后，只需鼠标一点，即可免密“快速登录”OA等各类应用站点。 2、快速登录跳板机：使用腾讯自研的Console工具TenTERM，可免密“快速登录”MNET跳板机和IDC服务器（须安装铁将军）。 办公安全建设-办公/开发两网合一 办公开发两网合一 1、访问互联网免2小时申请，员工在一台电脑上即可完成代码开发、办公协作和服务器维护工作。 远程办公免VPN 在家远程办公，只需打开电脑，登录iOA，秒速建立链接访问公司资源，无需VPN。iOANGN依赖tcp短链接传输方式，对网络兼容性更好，即使在网络抖动、丢包严重等情况下，依然可以稳定的远程办公。 办公安全建设-特色直连访问通道 保障业务高可用 除标准零信任代理模式外，腾讯iOA还可以提供直连访问方式访问业务，针对敏感/核心业务可以优先通过直连方式访问，最大程度保障业务高可用，同时逐步平滑过渡到全网零信任 降低设备性能损耗 企业可灵活设置访问方式，如外网走代理访问，内网走直连访问，通过代理和直连的灵活配合，可有效降低零信任网关的性能损耗，一定程度上保护用户的IT投资 终端访问权限采集 腾讯iOA可通过终端采集直连业务的访问行为，为权限管理提供强有力的分析依据，辅助用户做好权限最小化，不降低安全效果 办公安全建设-全网终端统一管控 终端运行环境评估 支持超过30种终端安全判定条件，可针对终端环境进行安全评估，保证安全合规的终端才允许访问业务，防止通过存在脆弱性或已失陷终端做为跳板攻击业务和数据 联动终端EDR检测 零信任iOA可以联动EDR进行终端安全威胁监测和处理，对安全事件进行分级分类，基于不同的威胁等级，下发不同的处置策略，确保开会终端的安全性。 可信应用检测 基于腾讯安全多年来的大数据积累，可以判断用户电脑上所运行的应用和进程是否安全。提前感知威胁终端，最大程度保障腾讯会议的安全性。 办公安全建设-端到端威胁响应EPP 办公安全建设-终端检测与响应EDR 仅依靠EPP的安全体系无法满足高级威胁对抗场景下的安全需求，需要通过EDR体系来补充EPP体系的不足，让安全威胁无所遁形，让企业IT构建基于端点的安全运营体系 •攻击手段层出不穷，基于威胁的防御规则不得不持续运营更新，时效性差 •“围追堵截”式的安全建设思路在APT面前显得脆弱不堪，安全运营人员不得不处理大量的安全告警，定位安全事件并及时止损，在攻防不对等的现状下安全运营人员持续陷入忙于奔命的救火状态 •iOAEDR提供从证据实体到告警再到威胁事件链条式的威胁追踪与响应，让APT攻击无所遁行。 办公安全建设-IT服务保障iOA推广运行 •AskIT：引导用户按照服务路径优先查阅知识库>使用工具自助>在线联系专家服务 消息订阅 •服务变更、IT公告类消息订阅 弹窗提醒 办公安全建设-方案落地“踩坑”分享 我们是基于现有的架构体系做改良，而不是颠覆 认证对接 业务适配 权限管理 场景选择 •HTTP代理可以解决大部分业务的代理访问，但也无法解决所有业务•业务代理模式是否要增加全局代理？用户如何自行切换？ •用户身份信息如何快速同步？和企微之间要如何对接？•单点登录方案应该如何设计？用户体验是否良好？ •动态权限应该如何配置？•业务权限和网络权限如何划分管理权责？ •一体化办公安全架构应该如何选择落地场景？•从办公网开始做还是开发网开始做？先选择哪些人员灰度上线？ 腾讯零信任架构的落地效果 安全、高效、稳定 连接全球任何位置的人与业务 2020年新冠疫情期间，支撑了全网8W+员工、15W+设备的全负荷工作，日均承载流量20G，峰值35G 日活达15.5万（2020） 多地职场接入日活：111000（72%）远程办公日活：24000（15%）外包接入日活：13000（8%）分/子公司日活：7000（5%） 腾讯零信任架构在关键时期起到了关键作用 公司层面 员工层面 Corporation Staff •疫情期间起到关键作用，办公与开发两网合并，减少IT设备投入成本，简化运维、提升安全性•COVID-19疫情期间开启全员远程办公，极大降低公司在疫情期间生产工作停滞的风险和经济损失。抗疫期间对外大量抗疫支撑的产品持续在迭代，比如对外持续发布免费的腾讯会议版本（eg.联合国疫情期间使用）、防疫码(eg.全国)等产品•COVID-19疫情期间，增加140台网关服务器，疫情期间从1G流量上升至平均20G，高峰期并发75w连接、35G流量•2020年5月13日，腾讯发布2020年第一季度业绩报告，2020年Q1腾讯营收1080.65亿元，同比增长26%，环比增长2%。 2020年疫情期间，腾讯iOA支持了全员远程办公，每天有接近5.9万名员工远程接入公司网络进行全类型工作 •职场内每天有11.1万台设备使用零信任iOA办公，覆盖率99.99%； •远程办公，每天有2.4万台设备使用零信任iOA接入腾讯内网协同工作；•27家子公司，每天有7100台设备使用零信任iOA接入腾讯内网协同工作；•27个外包ODC职场，每天有1.3万台设备使用零信任iOA接入腾讯内网协同工作。 目录Menu •企业办公安全痛点分析•腾讯内部办公安全实践•办公安全解决方案分享•办公安全最佳实践落地 腾讯iOA（商用版）产品形态与使用场景 腾讯iOA（商用版）=下一代VPN+杀毒+桌管+终端检测与响应EDR+防泄密DLP+软件管家+远程桌面/协助软件 腾讯iOA（商用版）是国内最早出现的终端Allinone产品，产品团队为电脑管家原生团队，已经服务于上千家ToB客户，是腾讯内部最具腾讯特色的安全产品之一。模块化的产品设计让企业客户的实施难度更低，推广效率更高 统一数字化办公平台 企