攻破不了，虎符网络零信任真安全

本次大赛共分为两天，两个阶段。

第一阶段，给到攻击者们客户端、公网IP和端口，攻击者需访问到OA应用中FLAG。10点比赛正式开始，12点07分攻击者发起了第一次攻击，至15点之后无任何攻击行为，总共发起157次攻击。攻击者们内心OS：这真心是搞不动了。

第二阶段中，需要提供8个普通账号密码给攻击者，其中共有20多位攻击者通过IP访问了OA应用，但是仍未攻破我们的访问控制策略越权访问到Web应用。

比较有意思的是，我们看到有攻击者故意让其中两个账号连续多次出现密码错误的情况，导致账号被冻结；虎符网络零信任方案的冻结策略是：账号冻结30分钟后再解冻。

第二个有意思的是我们设置了持续策略，会将疑似发动攻击的IP自动踢出下线，因此攻击者们来不及通过虎盾访问靶标系统。攻击者反馈到组委会，“投诉”我们有风控策略，导致他们在攻击时多次掉线，要求我们关闭。好吧，虎符网络的技术支持人员再次做了安全策略降级。

此次参赛的虎盾零信任访问安全系统，是零信任架构下更安全的应用访问解决方案。虎盾主要由零信任客户端、零信任控制中心、零信任安全网关等组件组成，通过“端+网关”的形式在应用层上构建虚拟的私有可信身份网络，集中统一实现应用风险暴露面收敛、应用资源管控、实名身份流量、可信设备管控等功能。

在网络攻防实战中，虎盾针对攻击选手访问接入的受保护应用系统的全过程，设计了多层防线：

身份认证

零信任强调的是流量身份化，以身份为基础构建安全防护边界。虎盾将传统“先访问后验证”的应用访问方式转变为“先验证后访问”，登录页面统一对接转换为客户端上的扫码认证，避免在登录页面输入用户名、密码的风险环节，并可在原有的认证基础上增加强化二次身份认证机制，阻断弱口令暴破等攻击手段。对于已认证用户，全部基于最小化原则按需授权，每个用户只能被授予所需的最低访问权限，将特权账号的高危操作风险降至最低。

可信设备准入

通过虎盾客户端，能够实时有效的对接入终端设备执行管控，可信的终端才允许接入到零信任网关，其他终端自动拒绝；同时异常访问行为能被感知并预警，以方便应急响应事件。