基于 iOA 构建一体化办公安全平台打造终端安全新范式

主讲人：腾讯 iOA 产品负责人 刘登峰

来源：2024 腾讯全球数字生态大会

一、 产品定位与核心亮点

腾讯 iOA（iOA） 是基于零信任思想构建的一体化终端安全办公平台。该平台整合了零信任接入、终端检测与响应（EDR）、终端防护（EPP）、终端管控（UEM）及数据防泄漏（DLP）等核心模块，旨在通过单一客户端实现终端安全能力的统一。

核心差异化卖点：

• 架构融合： 将零信任访问控制与终端安全能力（EPP/EDR/UEM/DLP）深度融合，解决传统多客户端分装带来的管理负担与用户排斥问题。
• 无边界接入： 针对业务上云、BYOD、移动互联网带来的边界模糊问题，提供不依赖传统网络边界的安全接入服务。
• 轻量化部署： 提供 iOA mini-EDR 方案，安装包大小仅为 25MB（相较于标准版 120M 缩小了 80%），支持无感知静默安装，与现有 EPP 产品零冲突共存。

二、 产品应用场景

三、 应用框架和功能介绍

1. 功能框架

• 零信任接入（核心）： 基于身份、终端环境、用户行为构建动态信任评估体系。
• 终端可信： 涵盖终端运行环境评估、EDR 联动检测、可信应用检测。
• 连接可信（企微网关）： 针对企业微信工作台的业务保护，实现业务“零暴露”。
• 行为可信： 基于用户与终端行为进行自适应访问控制。
• 统一终端管理（UEM）： 资产可视、合规检测、软件管控、运维工具。
• 终端防病毒（EPP）： 应用入口防护、文件系统防护、病毒查杀（TAV+云引擎）。
• 终端检测与响应（EDR）： 威胁狩猎、告警溯源、事件调查、自动响应。
• 终端托管与检测响应服务（EMDR）： 原厂专家提供的规则运营、钓鱼演练、7*24h监控与溯源服务。

2. 硬核指标

• 终端环境评估： 支持超过 30种 终端安全判定条件（包括病毒扫描时长、风险因子、行为等级、异地访问、非常用设备等）。
• EDR 客户端轻量化： 极简客户端体积为 25MB，内存占用率 ≤ 1%。
• EDR 数据采集： 单端每天平均上报 1.5万条 日志，大小约 6MB；支持进程、文件、注册表、网络等 10大维度 采集。
• EDR 规则能力： 内置 2000+ 专业用户自定义告警规则；支持 1400+ 日志字段用于威胁狩猎。
• 企微网关兼容性： 支持 Windows、Mac OS、Linux、信创 OS、Android、iOS 等全平台。

3. 产品优势

• 终端准入控制： 收集终端安全状态，阻止存在风险隐患的终端接入，防止弱性或已失陷终端作为跳板。
• EDR 联动： 可联动 EDR 进行终端安全事件分级分类，并基于威胁等级自动配置策略。
• 可信应用检测： 基于腾讯安全大数据积累，对运行的应用和进程进行安全判定，提前感知威胁。
• 企微无感访问： 不改变用户使用习惯，提供极致访问体验；支持企微原生管理界面，配置简单，无需域名备案。
• 国密合规： 数据由客户端加密，支持国密算法，满足金融行业商密算法要求。
• 认证体系复用： 与企业微信认证能力紧密集成，实现无感知鉴权。
• 精细化权限： 支持按用户、终端、接入节点、业务类型授予最小权限；支持 IP 黑白名单。
• 自适应行为控制： 提供超用户风险行为管控手段，包括隔离控制（阻止访问/锁定账户）、告警提示（弹窗/邮件）、挑战认证（病毒扫描/二次认证）、加强管控（关闭高危端口/开启防火墙/数据水印）。
• 全网资产可视： 支持全平台 Agent 资产发现（PC/Mobile/信创），采集硬件、系统、软件清单及变更记录。
• 轻量级高兼容： iOA mini-EDR 可与现有 EPP 软件零冲突共存，通过传统 EPP 即可分发，无需额外推广。

4. 荣誉背书

• 腾讯安全积淀： 依托腾讯电脑管家 14年 C端情报积累，保护 6亿 用户。
• 引擎能力： 拥有三大自主防病毒引擎（云查杀、TAV反病毒、系统修复）。
• 国际认证： 获得 七大国际认证，评测中连续 26次 100% 通过，检出率 100%，获得 13分满分（0误报）。
• 全球排名： 全球杀软横评排名第一。
• 标准主导：
  • 2019年，主导 ITU-T 国际标准立项。
  • 2020年，联合发布《零信任实战白皮书》。
  • 2024年，牵头编制的国内首个零信任技术标准《零信任安全技术参考框架》获工信部批准发布。

四、 典型案例

案例一：某世界五百强企业——实现 100% 钓鱼攻击拦截

1. 背景： 客户为世界 500 强企业，每年参与攻防演练。2022 年曾因钓鱼攻击丢失敏感分数，因此对 2023 年攻防演练期间的社工钓鱼防护极为重视。
2. 解决方案： 部署腾讯 iOA，重点在社工钓鱼场景进行布防，利用网络防护功能对黑域名链接、黑文件落地进行拦截，并结合全链路溯源能力进行攻击路径还原。
3. 成效：
   • 整体防护： 攻防演练期间未发现有效击穿的攻击。
   • 钓鱼防护： 合计发生 24起 攻防演练钓鱼攻击案件，设备防护检出率达到 100%。
   • 阻断能力： 成功拦截恶意域名链接，有效阻止攻击文件落盘。
   • 具体案例： 成功触发“求职类微信钓鱼”（2例）的外联防护告警及“伪装互联网大厂类钓鱼”（1例）的横移端口扫描告警。

案例二：某制造业上市公司——EMDR 助力客户处置顽固犇牛病毒

1. 背景： 客户为国际制造业上市公司，在多地设有研发中心和大量终端。部分终端缺乏有效管控，内网中潜伏大量顽固病毒（如犇牛病毒），通过 DLL 劫持、压缩包伪装等方式在研发网扩散。
2. 解决方案： 安装 iOA EDR 进行全网监测，利用 EDR 精准溯源病毒文件（usp10.dll）的释放路线和攻击手法。结合 EMDR 服务（原厂专家支持），通过控制台拉黑、规则优化及专项处置进行清除。
3. 成效：
   • 识别能力： 发现内网存在大量潜伏的顽固病毒，识别出感染次数最多的病毒为 Win32.Trojan.Fakems.Zchl（感染 135508 次）。
   • 处置效率： 告警合并功能将同类型病毒告警聚合，便于统一分析处置。
   • 清除结果： 通过 EMDR 服务协助，病毒主机数量大幅减少。根据监测数据，病毒活跃主机占比从 75%（2024年4月25日）逐步降低至清零。

五、 实战对抗安全能力建设路径

腾讯 iOA 提供分阶段成熟度建设方案（当前文档展示均为 ★★★ 成熟度）：

六、 增值服务：EMDR（终端托管与检测响应服务）

腾讯提供基于原厂专家的托管式服务，涵盖事前、事中、事后全生命周期：

• 事前-精益运营：
  • 规则巡检及运营优化： 基于腾讯攻防实战经验与 C 端样本积累，优化检测库与策略。
  • 办公网钓鱼演练服务： 提供基于数千种剧本的定制化钓鱼演练（1年/次）。
• 事中-及时响应：
  • 威胁检测与监控： 腾讯安全专家提供 7*24h 威胁监控。
  • 威胁研判与处置： 针对重大威胁进行样本分析、清除及攻击溯源。
• 事后-复盘：
  • 高级威胁狩猎： 结合 APT 情报按周期搜索未发现的高级威胁。
  • 事件及定期运营总结： 基于采集数据输出季度企业安全分析报告。