企业数字化转型的过程中，业务的快速迭代和创新给IT基础设施带来了许多挑战，关键业务上云成为许多传统企业的选择。业务上云帮助企业改变了IT资源不集中的状况，同时，数据中心内存储的大量数据信息，也容易受到黑客的攻击，如何保障云上数据安全成为企业考虑的重点。

上海某新势力车企通过在华为云上部署联软SDP，针对移动办公、远程办公等新兴的企业办公场景，实现用户动态按需授权访问，确保内外部员工接入访问云的安全，保障了关键业务系统上云后系统数据安全，有效防止了敏感信息的泄露。

在“移动+云”的时代背景下，传统的安全边界逐渐被打破，终端远程办公逐渐变成一种常态化办公模式。作为一家专注于未来智能交通产业的创新制造企业，该车企数年间形成了上海总部加北京、成都、日本等多个研发中心的布局，销售和服务网络遍布全国主要城市，并逐步拓展至海外市场。

随着组织架构的不断扩大，该车企开启了关键业务系统上云的进程，以满足高速发展的业务对IT架构高性能、高可用、易扩展和高安全等需求。与此同时，由于制造业工艺繁多，业务复杂，不少业务需要经过第三方合作完成，存在数据泄密风险，这也对云平台的安全功能提出了更高的要求。

在业务需求的推动下，该车企亟需引入成熟的SDP解决实现方案对不同设备、不同网络、不同用户的访问权限进行管控，防止敏感数据外泄。

1)提供安全可控的沙箱空间，对沙箱内的数据和网络进行隔离，对进程、数据、网络进行统一管控。通过灵活的管控策略实现沙箱内数据的流转控制和审计，结合数字水印及截屏控制，实现全面的数据安全防护。

基于业务现状，该车企对安全沙箱有着较高的要求，需要完成业务系统的外网权限回收，同时对业务系统下载的文件进行控制。

经过SDP的安全沙箱功能和单点登录测试并在生产环境中验证环节，该车企最终使用联软UEM后台，在正常使用SDP沙箱的基础上，拓展未来适配移动设备的功能。方案采用线性部署，通过负载实现网关、管理服务器、数据库实现高可用性，并搭建软负载，并形成负载集群，用于提供网关和负载之间通信使用。

▲现场实施部署架构图

数据隔离：采用数据重定向方式，对沙箱内保护应用程序的操作请求拦截，沙箱根目录对沙箱以外的程序隐藏，只有受保护的应用进程可以读取指定沙箱区域内的数据，并且可通过策略实现根据用户权限控制沙箱内文件是否允许外发。

剪切板隔离：复制安全沙箱内的受保护数据后，在执行粘贴操作时，客户端对数据粘贴的位置进行判断，通过策略灵活配置是否允许使用剪切板功能，不影响个人应用的正常使用。

网络隔离：安全沙箱客户端对PC上所有应用软件的网络请求进行拦截过滤，最终将符合访问策略的流量通过客户端转发至安全网关，强制只允许沙箱应用访问企业内网系统，避免个人应用通过网络获取企业数据。

加密存储：所有写入安全沙箱数据的操作都会经过加密模块加密处理再到安全沙箱路径的磁盘，实现文件自动加密存储在沙箱环境。

单点登录：联软SDP登录放置于现有OA系统中，实现单点登录门户，提供灵活便捷多因素认证方式，保障安全又注重体验。

为确保在有限的时间内更好的完成项目部署，团队基于总体规划、整体设计和分步实施的指导原则，特别制定施工进度计划，保障工作能合理快速的推进，并针对可能存在的风险制定相应的规避措施和应对方法。

该企业通过对上海地区上千点终端部署SDP客户端，运用动态的细粒度访问控制技术、网关隐身单包授权协议、可靠的终端安全沙箱功能，水印追溯，模块化的平台架构和开放的生态合作体系，实现用户动态按需授权访问，为企业打造统一的终端安全管理中心、统一的安全策略管理中心、统一的应用系统发布中心、统一的端管云安全运维中心。

方案保障了该企业远程办公、分支机构访问总部业务、“一机多用”场景、多云/多数据中心访问、“内外网”终端统一管理等多个场景下的业务安全，隐藏真实地址与端口，缩小暴露面，解决业务系统在外网暴露的风险，相较于传统的VPN访问模式，该方案在收回外网的权限过程中，能对客户的数据做到隔离和控制，有效避免敏感信息泄漏。

此外，项目采用轻量级解决方案，不改变用户使用习惯，不影响沙箱外其它应用的正常使用，同时可兼容常见主流应用软件，包括安卓、鸿蒙、UOS、麒麟等主流国产或非国产操作系统，在确保数据安全的前提下，为用户提供极致的体验。

作为中国企业端点安全领导者，国内率先落地基于“零信任安全”产品的厂商之一，联软SDP经过了行业和客户的实践，在政府、制造、金融、医疗、能源等行业广泛落地应用，解决跨网攻击、数据泄露等安全隐患。未来，联软科技将持续深耕零信任网络安全技术的研发与创新，以全网零信任重塑网络安全边界，助力更多政企用户数字化转型。