访问安全

规范互联网访问管理,促使员工安全合理地使用互联网资源,防范互联网安全风险。


           零信任:访问安全仅仅是一个不错的开局


零信任:访问安全仅仅是一个不错的开局

网安纪100年

边陲之地,两军交战。

一方主将力主零信任要义,统筹全军。一方主将为保守派,将边防城墙视为安全边界。两方对抗僵持不下,忽有试图坐拥渔翁之利的黑客小国试图袭击……

黑客小国徐徐图之:

保守派阵营,外严内松。边界防线重军驻守,部署狼烟、警哨(防火墙、入侵检测系统)不等,强攻容易引起告警,且对抗不易。然,若以利诱之,策反小将为己(黑客小国)所用,近源攻击、内鬼操作皆是大有可为。亦或是绕过边线潜入或钓鱼以窃取兵将令牌(员工账号信息),顶替冒充,可步步深入,直窃主将机密。

反观零信任阵营,不清虚实。可派小支黑客队伍夜袭,或潜入间谍,尝试里应外合。然步入防线,触发警报,间谍行动受限,四处访问皆需经身份盘问与校验。又以威逼与利诱,试图策反,不想零信任已融于基础设施之中,“最小权限授予、基于身份访问控制”已为军令不可动摇,且终端校验处处可见。看似兵力分散,却固若金汤。

如此,零信任之旗在攻防对抗中得以胜利高举。


2010年,John Kindervag提出了零信任理念,指出了“默认信任是安全的致命弱点”这一事实,然而经过了数年以及多次网络安全危机后才逐渐被企业理解和认可。当前,边界安全模型依旧是主要的网络安全模型,但在契机和革新的推动下,新的安全基础架构被应用也只是时间问题。

访问安全(图2)

2020年,疫情催发的远程办公需求吹起了零信任之风,而后,数据安全合规需求也成为了国内零信任发展的主推力。

在国内零信任的应用实践中,成立于2018年的数篷科技创始团队是第一批吃螃蟹的人。

根据数篷科技CTO杨一飞的回忆,这支创始团队早在10年前就在相关领域沉淀与积累。从腾讯云计算平台基础架构的安全模块研发,到百度全公司底层基础设施的安全建设,让他们清楚地意识到,基于数据驱动的业务和开放性的基础设施将是下一代行业应用、产业发展的基础,而安全是必须要解决的关键问题之一。

信任废墟下,第一需求来自“解决问题”

伴随企业IT架构变化、“默认信任”坍塌,在市场最火热的时候,万物皆可零信任。

根据这几年对中国市场的贴地观察,数篷科技的技术副总裁王柏达发现,部分企业对于零信任还是存在认知偏差、刻板印象或是僵化定义。

一方面,越来越多的厂商“零信任化”,不管是传统厂商的转型,还是创业公司的加入,都让国内零信任市场愈发多元化与活跃;另一方面,很多企业对零信任理解不深,有“跟风”倾向,难免存在将零信任等同于某一类技术的认识偏差,如SDP、IAM等。此外,零信任模型中很重要的“动态授权”和“持续验证”能力,在市场上还没有相对统一的评估机制和标准。这也让企业在选择零信任产品时的评估指标很宽泛。

王柏达深信:零信任理念虽好,终归要围绕着甲方的实际业务场景来落地,解决问题比“噱头”更重要。

在王柏达看来,企业传统的基础设施基于边界信任模型,安全能力往往部署在企业网络边界的范围内。而“安全即基础设施”则意味着在传统基础设施上部署“软件定义”的安全能力,访问和应用在哪里、安全能力就随之覆盖到哪里。“软件定义”也意味着,在成本控制和业务覆盖上对企业更为友好。

由于国内互联网发展快速,大多传统企业在信息化还不是很完善的时候,就被挤进了互联网浪潮。因此,这些企业的IT环境大多是错综且交叠的复合体,简单来说就是兼备了陈旧的基础设施和前沿的技术的一个混合IT架构。对新兴的中小型企业和互联网企业,虽然“历史包袱”比较轻,又采用了开放的互联网环境运转,但由于业务导向很强,同样也存在各类风险。

因此,所有企业仍需根据内部IT及安全建设的不同阶段,采用灵活的零信任落地方式。而企业的零信任安全战略应该基于业务需求、组织建设、技术选型、企业文化和思维方式等方面来制定。

譬如系统重构或公司初创阶段,可以采用全新的零信任整体架构设计;已有系统但希望通过零信任减少风险,可以选择ZTNA或网关式产品;当整体改造比较困难或担心风险时,则可以选择先在某个业务或某个部门或小部分员工进行零信任试点……以循序渐进的方式,从解决具体问题入手,是零信任进入企业的稳妥方式。

正是因为企业的情况和需求不尽相同,因此在选择零信任产品的时候应考虑产品的可配置性、高效运营以及系统对接等能力。比如,可以根据不同的人员及业务类型配置不同的产品形态(基于零信任理念的VPN、应用网关或数据安全沙箱);可以通过自适应策略引擎实现动态权限高效管控;通过软件定义以及开放的API实现业务以及现有基础设施的对接等。

当然,目前国内外对于零信任的部署方向不外乎两种:“网络和安全同步进行”,亦或是强调“零信任先行,网络重构可以略微滞后”,在杨一飞看来,零信任安全产品和整体网络架构的先后问题,无非是根据实际环境,螺旋式上升的发展趋势。不管哪一种,最终指向的都是整体的零信任应用结果。


您有任何想法和需求,请致电:

13556684563