微隔離作為網(wǎng)絡(luò)安全行業(yè)的當(dāng)紅技術(shù)，早已被業(yè)界所熟知。但是大家可能不知道，早在兩年前，國際知名智庫Gartner就把微隔離(Microsegmentation)的名字給改了。Gartner為什么這么做?微隔離的新名字又叫什么?今天咱們就來念叨念叨。
說起改名這事，其實(shí)這已經(jīng)是微隔離的第三個(gè)名字了!在最一開始(還沒有防火墻的年代)，網(wǎng)絡(luò)在邏輯上就是一條線，網(wǎng)絡(luò)上的主機(jī)彼此自由通信。
這樣的網(wǎng)絡(luò)是沒有內(nèi)部結(jié)構(gòu)的，他看起來高效，但是有兩個(gè)大的問題。第一是不安全，好人壞人都在一起，正常流量和惡意代碼相互混淆。第二個(gè)問題是擁擠，各種流量都在一起，讓網(wǎng)絡(luò)變得很低效，無法有效管理和運(yùn)維。這個(gè)時(shí)候，網(wǎng)安領(lǐng)域上一代扛把子——防火墻，閃亮登場。防火墻這個(gè)產(chǎn)品一直以來都是網(wǎng)安、數(shù)通跨界大紅人。他把網(wǎng)絡(luò)分成了不同的網(wǎng)段(segment)，從而把特定的流量限制在特定網(wǎng)段上，這讓網(wǎng)絡(luò)比過去安全和高效得多。就靠這么個(gè)簡單功能，防火墻搶下了全球網(wǎng)安市場的半壁江山。
首次提名：軟件定義的隔離
故事就這樣波瀾不驚的發(fā)展了二十多年，一直到云計(jì)算時(shí)代的到來。云計(jì)算是對防火墻的致命打擊。云計(jì)算網(wǎng)絡(luò)是在物理網(wǎng)絡(luò)之上構(gòu)建起來的虛擬化網(wǎng)絡(luò)，真正負(fù)責(zé)業(yè)務(wù)處理的網(wǎng)絡(luò)是這個(gè)虛擬化網(wǎng)絡(luò)，而底層的物理網(wǎng)絡(luò)上跑的都是封裝之后的無意義的數(shù)據(jù)報(bào)文。云內(nèi)的虛擬化網(wǎng)絡(luò)不但是虛擬的，而且還非常動(dòng)態(tài)，這是他與傳統(tǒng)網(wǎng)絡(luò)最大的不同，這個(gè)網(wǎng)絡(luò)可以根據(jù)需要隨意的構(gòu)建，靈活程度前所未有。防火墻作為一種硬件產(chǎn)品，被云計(jì)算阻擋在真實(shí)的業(yè)務(wù)網(wǎng)絡(luò)之外，而他的變種——虛擬防火墻，也因?yàn)槔^承了防火墻僵硬笨拙的體系架構(gòu)，很難適應(yīng)靈活多變的軟件定義網(wǎng)絡(luò)。這位老同志只能站在大地上看著天上的白云漠然嘆息。此刻網(wǎng)絡(luò)安全迎來了史上第一次大危機(jī)。
正是在這樣的背景下，微隔離這個(gè)技術(shù)在2015年第一次被Gartner正式提出來，只不過這個(gè)時(shí)候，他還不叫微隔離，而是叫軟件定義的隔離(軟件定義的分段，software-defined segmentation)，跟微隔離一起閃亮登場的，還有之后的日子里微隔離形影不離的小伙伴SDP(軟件定義邊界)。此時(shí)此刻，微隔離的價(jià)值正如其名，他是軟件定義的，在云計(jì)算的環(huán)境中可以按需部署。從而為云計(jì)算網(wǎng)絡(luò)帶來了安全性和可管理性，這也是微隔離第一次拯救網(wǎng)絡(luò)安全。
二次更名：微隔離(微分段)
但沒多久，Gartner就把software-definedsegmentation 更名為Microsegmentation，也就是我們現(xiàn)在所熟知的微隔離(微分段)。這次更名，事實(shí)上也反映出Gartner對微隔離的定位發(fā)生了微妙的調(diào)整。微服務(wù)時(shí)代的到來讓本來就極為復(fù)雜的數(shù)據(jù)中心網(wǎng)絡(luò)變得更加復(fù)雜，大量的東西向訪問縱橫交錯(cuò)。你還不能放任不管，APT和勒索病毒此時(shí)也正是肆虐之時(shí)，人們對“東西向安全前所未有的關(guān)注。而防火墻本來是用來做大網(wǎng)段隔離的(MacroSegmentation)，它的架構(gòu)非常重，一般來說只能用來看大門和在內(nèi)部分幾個(gè)大區(qū)。要利用防火墻做細(xì)粒度訪問控制，從部署難度到部署成本上都是不可接受的。這個(gè)時(shí)候，微隔離的那種極為輕量級的技術(shù)結(jié)構(gòu)，細(xì)粒度到容器級，可以隨需構(gòu)建隨需部署的訪問控制能力就變得彌足珍貴。所以這個(gè)時(shí)候，微隔離的軟件定義能力已經(jīng)不是最核心的價(jià)值了，要的就是他的微細(xì)控制水平。所以，微隔離就成為了這項(xiàng)技術(shù)真正被業(yè)界所熟知的名字，并且一直沿用至今。薔薇靈動(dòng)也就是在這個(gè)時(shí)候開始微隔離的技術(shù)研究工作，從那時(shí)開始中國有了微隔離市場。
三次改名：基于身份的隔離
那么，微隔離2020年的更名又是個(gè)什么背景呢?要說明白這件事，我們就得談?wù)劻阈湃瘟?。網(wǎng)絡(luò)安全一直以來是兩個(gè)流派，管控派和攻防派。攻防派的目標(biāo)就是認(rèn)出壞人，抓住壞人。但是壞人實(shí)在太狡猾，你剛研究明白他長什么樣，他馬上就變個(gè)樣子，在安全人員了解這個(gè)新變種之前他又可以干好多壞事，而研究一種惡意代碼特征所需要的時(shí)間和資源相較創(chuàng)造一種惡意代碼要高出無數(shù)個(gè)數(shù)量級。攻防之間的這種不對稱，事實(shí)上讓防御者一直處于一種非常被動(dòng)的地位。事情到了今天，網(wǎng)安界痛定思痛，徹底倒向了管控派(至少主流意見是這樣)。我不管壞人長什么樣，我只管好人長什么樣，我只研究好人該干什么，然后只要不是我充分認(rèn)知的好人和好的行為我就統(tǒng)統(tǒng)干掉。那么問題來了，我要如何來表達(dá)“好人”這個(gè)概念呢。在網(wǎng)絡(luò)安全領(lǐng)域，一直以來我們用的都是五元組，也就是源和目的的IP地址和端口以及傳輸協(xié)議。但是IP地址本質(zhì)上只是個(gè)通信參數(shù)，他無法描述業(yè)務(wù)屬性和身份信息。在過去，網(wǎng)絡(luò)相對靜態(tài)的時(shí)候，我們還可以用IP近似替代身份(而這恰恰是很多網(wǎng)絡(luò)攻擊所利用的點(diǎn))，但是隨著網(wǎng)絡(luò)日益靈活多變，遠(yuǎn)程互聯(lián)，公有云，物聯(lián)網(wǎng)等基礎(chǔ)設(shè)施的廣泛部署，IP地址已經(jīng)完全失去了身份意義。我們必須把隔離和分段這種網(wǎng)絡(luò)安全最核心的動(dòng)作構(gòu)建在一種新的參數(shù)之上，而這就是ID。所以，微隔離的新名字就是ID-BASED SEGMENTATION，可以稱之為基于身份的隔離(基于身份的網(wǎng)絡(luò)分段)。
所謂基于身份的分段，顧名思義，就是說過去的網(wǎng)絡(luò)分段是面向IP的，現(xiàn)在的網(wǎng)絡(luò)分段是ID的。看起來是一個(gè)字母的區(qū)別，但是背后代表的技術(shù)內(nèi)涵有著本質(zhì)的不同。我們能進(jìn)行基于IP地址的分段，事實(shí)上有個(gè)默認(rèn)假設(shè)，那就是我們所要進(jìn)行訪問控制的資源一定有著網(wǎng)絡(luò)位置上的確定性。也就是說，服務(wù)器就應(yīng)該在總部數(shù)據(jù)中心，財(cái)務(wù)小張的地址就應(yīng)該在10.200.2.147，自己人應(yīng)該都在內(nèi)網(wǎng)，壞人應(yīng)該都來自互聯(lián)網(wǎng)。但是在今天，隨著公有云的廣泛使用，服務(wù)器真的不一定在哪，而隨著遠(yuǎn)程辦公和BYOD的盛行，財(cái)務(wù)小張的地址也不一定是啥。自己人可能來自互聯(lián)網(wǎng)，壞人也可能早就混進(jìn)了內(nèi)網(wǎng)。在這樣的背景下，IP已經(jīng)逐漸變得只有通信價(jià)值而基本沒有什么安全價(jià)值了，網(wǎng)絡(luò)安全在這個(gè)時(shí)候又面臨著一場史無前例的顛覆性危機(jī)。而這個(gè)時(shí)候，微隔離再一次挺身而出。我們發(fā)現(xiàn)，微隔離這個(gè)技術(shù)是在云計(jì)算時(shí)代出現(xiàn)的，它從誕生之日起就是在軟件定義網(wǎng)絡(luò)(SDN)環(huán)境下工作的。微隔離從來就認(rèn)為網(wǎng)絡(luò)地址是個(gè)不穩(wěn)定參數(shù)，所以微隔離技術(shù)(真正的微隔離技術(shù))都是面向ID的而不是IP。這個(gè)本來為應(yīng)對SDN而設(shè)計(jì)的技術(shù)特征，在零信任時(shí)代，忽然煥發(fā)出了始料未及的光彩(是的，始料未及，薔薇靈動(dòng)在剛創(chuàng)業(yè)的時(shí)候從來沒想過零信任的事情)。安全人員發(fā)現(xiàn)，微隔離可以完美地解決當(dāng)下基于IP的網(wǎng)絡(luò)安全技術(shù)所面臨的的所有困境。于是，微隔離也就成為了大家所熟知的零信任三個(gè)核心技術(shù)基石之一。換言之，在今天，軟件定義也好，微細(xì)的控制能力也好，都已經(jīng)不再是微隔離為網(wǎng)絡(luò)安全能做的最大貢獻(xiàn)了，能夠面向身份去定義網(wǎng)絡(luò)，去進(jìn)行訪問控制，才是微隔離最大的價(jià)值，所以，才有了這次更名，Gartner的意思很明確，微不微的不重要，面向ID才是王道!
從軟件定義的隔離，到微隔離，再到基于身份的隔離，微隔離的三次更名，事實(shí)上代表了最近十年網(wǎng)絡(luò)安全發(fā)展的歷史，代表了技術(shù)進(jìn)步的方向。網(wǎng)絡(luò)安全先后面臨了虛擬化，APT，以及數(shù)字化時(shí)代的幾輪沖擊，在幾次風(fēng)雨飄搖中，都是微隔離技術(shù)挺身而出。而最有意思的地方在于，微隔離本身沒有變，這個(gè)技術(shù)從誕生之日到今天，他的核心能力和技術(shù)結(jié)構(gòu)就一直是這樣，只不過人們越來越發(fā)現(xiàn)這個(gè)技術(shù)簡直是天選之子，這種新的技術(shù)能給我們帶來的東西比我們想象的要多得多。三次更名，其實(shí)代表了我們對微隔離這項(xiàng)技術(shù)的三次認(rèn)知深入，也表現(xiàn)出了微隔離這項(xiàng)技術(shù)工作范圍的三次根本擴(kuò)展。他早就不是虛擬化環(huán)境下的補(bǔ)充技術(shù)了，今天的微隔離，是整個(gè)零信任體系的基石，是網(wǎng)絡(luò)安全的未來!
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請進(jìn)一步核實(shí)，并對任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。
任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。 ）
