零信任太難，不如看看深信服的精益信任！

在被“木馬”侵入之前,特洛伊城擁有銅墻鐵壁般的防御,發(fā)達(dá)的交通、繁榮的商業(yè)、富裕的生活,他們已經(jīng)成功抵御了阿伽門農(nóng)率領(lǐng)的希臘聯(lián)軍,整整十年潮水般密不透風(fēng)的進(jìn)攻,而這個(gè)時(shí)間,本該在史書上被記錄得更久一些。

但一墻之隔的差距,最終釀就了荷馬筆下《伊利亞特》中壯美慘烈的“特洛伊木馬屠城”。

如果特洛伊國(guó)王沒(méi)有聽(tīng)信希臘間諜的哄騙,將“木馬”帶回城中,希臘軍隊(duì)秘密潛入的“詭計(jì)”便不會(huì)成功;如果不是為了讓體積巨大的“木馬”進(jìn)入城內(nèi)而拆毀了一小段城墻,希臘軍隊(duì)也不會(huì)這般輕易地贏得最后的戰(zhàn)爭(zhēng)。

特洛伊城不會(huì)被屠戮,財(cái)富不會(huì)被掠奪一空,繁榮也還將繼續(xù)延續(xù)。

在過(guò)去幾十年里,傳統(tǒng)安全依靠著清晰的邊界和建立在邊界上穩(wěn)固的防護(hù),通過(guò)防火墻的設(shè)置將企業(yè)內(nèi)外阻隔成完全不同的兩個(gè)世界——任憑墻外危機(jī)四伏、戰(zhàn)火連天,只要確保網(wǎng)絡(luò)攻擊無(wú)法擊穿防火墻,企業(yè)內(nèi)部就可以安然無(wú)恙。

就像特洛伊戰(zhàn)爭(zhēng)中,如果不是“木馬計(jì)”實(shí)現(xiàn)了內(nèi)部的滲透,任由墻外船堅(jiān)炮利,特洛伊城仍十年巍峨屹立。

但是,隨著“移動(dòng)化”、“云計(jì)算”、“萬(wàn)物互聯(lián)”等新技術(shù)新場(chǎng)景的來(lái)到與應(yīng)用,網(wǎng)絡(luò)安全的“邊界”正漸漸走向消亡 ,原本我們通過(guò)安全產(chǎn)品壘砌起來(lái)的邏輯“城墻”,終將轟然倒塌。

“邊界消失” 企業(yè)內(nèi)部“不再信任”

在短短二十年的時(shí)間里,我們經(jīng)歷和見(jiàn)證了國(guó)內(nèi)計(jì)算機(jī)網(wǎng)絡(luò)與智能手機(jī)飛速發(fā)展的兩個(gè)時(shí)代,但一直到今天為止,“安全性”依然是拷問(wèn)計(jì)算機(jī)和手機(jī)的主要命題。

“萬(wàn)物互聯(lián)”的到來(lái)伴隨著數(shù)以億計(jì)IoT設(shè)備的涌入,每一臺(tái)IoT設(shè)備,就和曾經(jīng)的計(jì)算機(jī)與智能手機(jī)一樣,也成為了人們橋接網(wǎng)絡(luò)的入口。企業(yè)配置的路由器、智能攝像頭,很有可能成為黑客順著網(wǎng)線滲透內(nèi)部的入口。

隨著數(shù)字化轉(zhuǎn)型的推進(jìn),企業(yè)對(duì)“上云”的需求越來(lái)越高?；旌显坪投嘣萍軜?gòu)使得安全的邊界愈加模糊,每一次云端基礎(chǔ)設(shè)施和應(yīng)用的增加,都會(huì)將安全邊界打開(kāi)一條新的通道,更會(huì)給黑客打開(kāi)一扇新的大門。

而放眼二十年前,當(dāng)人們驚嘆于計(jì)算機(jī)極大地提升了辦公效率的同時(shí),沒(méi)有多少人會(huì)想到,“移動(dòng)化”的出現(xiàn),會(huì)讓我們可以脫離固定場(chǎng)景、終端,隨時(shí)隨地用各種各樣的設(shè)備訪問(wèn)網(wǎng)絡(luò)進(jìn)行辦公。如何確保訪問(wèn)系統(tǒng)的某一個(gè)賬號(hào)由“本人”登錄,而整個(gè)過(guò)程又不會(huì)發(fā)生違規(guī)操作,則正是企業(yè)當(dāng)前面臨的又一巨大難題。

與此同時(shí),越來(lái)越多的未知威脅正繞過(guò)傳統(tǒng)基于邊界的安全設(shè)備,悄悄向企業(yè)內(nèi)部滲透,而企業(yè)內(nèi)部系統(tǒng)又缺乏有效的控制手段,這些問(wèn)題都將迫使企業(yè)必須重新構(gòu)建新的安全邊界。

過(guò)去,企業(yè)聘用“可信的”員工在企業(yè)規(guī)定的“可信”辦公地點(diǎn)使用企業(yè)自己采購(gòu)的“可信”設(shè)備進(jìn)行“可信”的訪問(wèn),這個(gè)過(guò)程自然也是相對(duì)“可信”的;但是今天,隨著“移動(dòng)化”辦公和企業(yè)“云化”的普及,每個(gè)員工都可以在企業(yè)“管轄”范圍以外的“不可信”場(chǎng)景通過(guò)“不可信”的私人手機(jī)或筆記本電腦進(jìn)行系統(tǒng)的登錄。

這樣一來(lái),企業(yè)根本無(wú)法保證,執(zhí)行操作的那個(gè)“賬號(hào)”,是不是由“本人”操作的,而賬號(hào)所使用的那臺(tái)設(shè)備終端,是否又“可信”合規(guī)。

因此,圍繞著“人”和“終端”的驗(yàn)證,企業(yè)恐怕需要采取“不再信任”的態(tài)度,建立一套新的“信任判決”模式。

　　“不再信任”等于“零信任”?

2010年,國(guó)外研究機(jī)構(gòu)Forrester提出了“零信任安全”的概念,將“永不信任,始終驗(yàn)證”作為其指導(dǎo)原則,確保無(wú)論處在任何位置,都要嚴(yán)格執(zhí)行訪問(wèn)控制,檢查所有流量并記錄,保證資源安全的訪問(wèn)。

換句話說(shuō),企業(yè)不再有受信任區(qū)域,所有用戶最初都是不受信任的,即使是來(lái)自內(nèi)網(wǎng)的流量也要被檢查。

在“零信任”的發(fā)展過(guò)程中,國(guó)內(nèi)外各廠商紛紛提出自己的方法和見(jiàn)解,其中最成功的莫過(guò)于Google的BeyondCorp體系。

過(guò)去企業(yè)對(duì)于身份認(rèn)證,往往直接集成在業(yè)務(wù)系統(tǒng)內(nèi)部,使用簡(jiǎn)單的“用戶名+密碼”的形式,也不具備專門的身份認(rèn)證設(shè)備和手段。這會(huì)使得當(dāng)業(yè)務(wù)系統(tǒng)發(fā)生漏洞以及賬號(hào)密碼泄露時(shí),攻擊者可以不受阻攔地輕易進(jìn)出。

因此,采用“零信任”理念的谷歌BeyondCorp體系,將所有認(rèn)證和訪問(wèn)控制進(jìn)行統(tǒng)一前移,并從身份、設(shè)備、行為等多個(gè)角度對(duì)接入行為的信任等級(jí)進(jìn)行判斷,以保證所有訪問(wèn)業(yè)務(wù)系統(tǒng)的流量,都能進(jìn)行有效驗(yàn)證和控制。

然而,正如許多國(guó)外技術(shù)在中國(guó)市場(chǎng)水土不服一樣,盡管“零信任”有著Google這樣的最佳實(shí)踐,但仍然很難在國(guó)內(nèi)實(shí)現(xiàn)落地。

總結(jié)Google BeyondCorp的運(yùn)行方式,首先要對(duì)企業(yè)現(xiàn)有IT部署進(jìn)行大規(guī)模的改造,同時(shí)伴隨著大量的遷移工作,用戶對(duì)于賬號(hào)的管理方式和習(xí)慣也將會(huì)隨之發(fā)生巨大的改變。

這相當(dāng)于為了實(shí)現(xiàn)“零信任”的概念,企業(yè)必須要淘汰掉此前所購(gòu)買的安全設(shè)備,在為“零信任”專門部署新設(shè)備的同時(shí),還需要投入新的管理人員、運(yùn)維人員和資源,來(lái)維護(hù)“零信任”的運(yùn)行。

這是一個(gè)非常“重量化”的方式,要知道,Google可是全球最大的互聯(lián)網(wǎng)公司之一,而國(guó)內(nèi)的企業(yè)無(wú)論是人力、資源還是環(huán)境等方面,都無(wú)法具備與Google同等的條件。這樣一來(lái),類似BeyondCorp的“零信任”體系,便很難被國(guó)內(nèi)企業(yè)所接受和認(rèn)可。

那么,“不再信任”是否就等于“零信任”?拋開(kāi)“零信任”以后,企業(yè)是否沒(méi)有更好的辦法對(duì)“信任判決”進(jìn)行重構(gòu)了呢?

答案顯然是否定的。

精益信任

2017年,Gartner提出了“精益信任”的概念,同時(shí)指出“零信任”只是實(shí)現(xiàn)或者“精益信任”的一個(gè)初始階段。

在Gartner的觀點(diǎn)里,“信任”是業(yè)務(wù)訪問(wèn)的基石,雖然為了對(duì)“身份驗(yàn)證”做到安全的判決,需要在訪問(wèn)初期采取“零信任”的態(tài)度,但隨著業(yè)務(wù)的深入和交互的,主客體之間必然會(huì)建立起“信任”的關(guān)系。

但是,“零信任”所采取的“永不信任,總是驗(yàn)證”的模式顯然與業(yè)務(wù)交互之間存在難以調(diào)和的矛盾。并且風(fēng)險(xiǎn)總是伴隨著信任而產(chǎn)生,“零風(fēng)險(xiǎn)”也就意味著“零業(yè)務(wù)”,為了刻意強(qiáng)調(diào)“信任”而犧牲業(yè)務(wù),這顯然不是平衡安全與業(yè)務(wù)之間的最佳選擇。

同時(shí),雖然“零信任”在原有身份認(rèn)證基礎(chǔ)上額外增加了一層或多層認(rèn)證,但這仍然只是一個(gè)靜態(tài)判斷的方式,要知道,“信任”作為業(yè)務(wù)訪問(wèn)的基石,并不單純只為“身份驗(yàn)證”服務(wù)。

因而,對(duì)于“信任判決”的重構(gòu),企業(yè)也絕不應(yīng)該將目光只放在“身份認(rèn)證”這一件事情上,要更多地從對(duì)風(fēng)險(xiǎn)的觀測(cè)上,對(duì)信任進(jìn)行持續(xù)的、動(dòng)態(tài)的反饋閉環(huán)控制。

所以,企業(yè)需求“零信任”的本質(zhì),并不是要犧牲業(yè)務(wù)尋求絕對(duì)的“零信任”,實(shí)現(xiàn)絕對(duì)的“零風(fēng)險(xiǎn)”,而是要找到安全與業(yè)務(wù)之間的平衡,對(duì)“信任”和“風(fēng)險(xiǎn)”進(jìn)行精益的控制。

因此,Gartner認(rèn)為,相比較“零信任”而言,“準(zhǔn)確而足夠的信任”似乎更加接近網(wǎng)絡(luò)安全的實(shí)質(zhì)。而結(jié)合中國(guó)的網(wǎng)絡(luò)安全環(huán)境和現(xiàn)狀,做到兼容已有網(wǎng)絡(luò)安全投資,減小業(yè)務(wù)系統(tǒng)改造難度,將“準(zhǔn)確而足夠的信任”落地,這便是“精益信任”。

深信服“精益信任”:不止是“零信任”

在8月15日舉行的“2019深信服創(chuàng)新大會(huì)”上,深信服移動(dòng)安全產(chǎn)品研發(fā)總監(jiān)郭炳良首次揭開(kāi)了“深信服精益信任”的面紗。

“深信服精益信任”體系首先通過(guò)對(duì)“人”和“設(shè)備”兩端的信用評(píng)估,在確保其合法性以后,授予訪問(wèn)網(wǎng)絡(luò)和業(yè)務(wù)的權(quán)利。而后在訪問(wèn)環(huán)節(jié)對(duì)行為、流量和日志進(jìn)行持續(xù)的檢測(cè)和分析,判斷“合法的人”是不是在做“合法的事”,一經(jīng)發(fā)現(xiàn)違規(guī)操作,便對(duì)信任進(jìn)行重新評(píng)估,進(jìn)而判斷是否剝奪其繼續(xù)訪問(wèn)的權(quán)利。

通過(guò)將“信任評(píng)估”、“訪問(wèn)授權(quán)”和“持續(xù)監(jiān)測(cè)”三個(gè)環(huán)節(jié)形成閉環(huán),在對(duì)“人”和“設(shè)備”身份的初步認(rèn)證之后,持續(xù)性對(duì)“風(fēng)險(xiǎn)”和“信任”予以管控。

在終端安全評(píng)估方面,“深信服精益信任”體系首先通過(guò)客戶端或?yàn)g覽器對(duì)訪問(wèn)設(shè)備的安全狀況進(jìn)行檢測(cè),而后在“零信任”訪問(wèn)控制系統(tǒng)中根據(jù)設(shè)備所提交的認(rèn)證和環(huán)境信息,判斷可能產(chǎn)生的安全風(fēng)險(xiǎn);最后,控制系統(tǒng)根據(jù)反饋的評(píng)估結(jié)果,按照策略動(dòng)態(tài)地對(duì)訪問(wèn)終端進(jìn)行授權(quán)。

對(duì)于“人”的身份認(rèn)證和管理,“深信服精益信任”采用多因素認(rèn)證的方式,加強(qiáng)認(rèn)證策略;并在身份生命周期內(nèi)做好維護(hù)和更新,避免用戶因重復(fù)認(rèn)證而使得身份認(rèn)證這一程序變得麻煩與繁瑣。

在獲取“人”和“設(shè)備”兩端的信息以后,根據(jù)訪問(wèn)者的身份和所使用設(shè)備的屬性來(lái)判斷其所處的安全等級(jí),映射到應(yīng)用服務(wù)資源的分級(jí)當(dāng)中,最終確定可以授予的訪問(wèn)和控制權(quán)限。

在授予完權(quán)限以后,“深信服精益信任”還會(huì)對(duì)訪問(wèn)者的行為和流量走向進(jìn)行全局實(shí)時(shí)的采集與檢測(cè),根據(jù)行為和流量判斷訪問(wèn)者是否有違規(guī)操作產(chǎn)生,并劃分威脅等級(jí),及時(shí)對(duì)接訪問(wèn)控制系統(tǒng),實(shí)施調(diào)整信任等級(jí)、控制接入和訪問(wèn)權(quán)限,防止惡性事件的發(fā)生。

總的來(lái)說(shuō),“深信服精益信任”是一種對(duì)于“零信任”的延伸。在“零信任”對(duì)“人”和“設(shè)備”建立了初步信任以后,將信任在后續(xù)予以控制,形成基于風(fēng)險(xiǎn)和信任的可持續(xù)的、動(dòng)態(tài)的反饋閉環(huán)控制,在業(yè)務(wù)不斷產(chǎn)生風(fēng)險(xiǎn)的同時(shí),既不打擾業(yè)務(wù),也可以持續(xù)通過(guò)“信任”來(lái)規(guī)避風(fēng)險(xiǎn)。

除此以外,像政務(wù)云、公安數(shù)據(jù)中心這類對(duì)內(nèi)對(duì)外都要提供訪問(wèn)支持且頻繁、復(fù)雜的場(chǎng)景,“深信服精益信任”還能夠在每一個(gè)訪問(wèn)流量中加入身份標(biāo)識(shí),防止針對(duì)應(yīng)用系統(tǒng)和數(shù)據(jù)的內(nèi)外部攻擊;同時(shí)對(duì)身份進(jìn)行更加精細(xì)化、動(dòng)態(tài)化的集中管控和認(rèn)證,讓偽造身份更加困難;

最后,實(shí)現(xiàn)端點(diǎn)、邊界、內(nèi)網(wǎng)的自動(dòng)化聯(lián)動(dòng),讓運(yùn)維更加便捷。

為什么深信服“精益信任”可以落地?

前文說(shuō)到,國(guó)內(nèi)之所以無(wú)法復(fù)制Google BeyondCorp的成功,是因?yàn)镚oogle BeyondCorp需要對(duì)企業(yè)的IT部署進(jìn)行大規(guī)模的改造,甚至需要替換大量已經(jīng)購(gòu)買的安全產(chǎn)品和設(shè)備。

站在用戶的角度來(lái)看,深信服認(rèn)為一款產(chǎn)品能夠成功實(shí)現(xiàn)落地的前提,應(yīng)該是盡可能利用企業(yè)現(xiàn)有的工具、資源和設(shè)備,延續(xù)此前積累的使用習(xí)慣,在不對(duì)用戶習(xí)慣做嚴(yán)重調(diào)整的情況下,使其接受一種新的概念,享受新技術(shù)帶來(lái)的效果。

因此,“深信服精益信任”的出發(fā)點(diǎn),就是在滿足用戶使用習(xí)慣和國(guó)內(nèi)安全產(chǎn)品發(fā)展形勢(shì)的前提下,與企業(yè)現(xiàn)有安全體系進(jìn)行結(jié)合,從而構(gòu)建全新的“信任判決”機(jī)制。在安全邊界漸漸消失的前提下,構(gòu)筑基于“信任”和“風(fēng)險(xiǎn)”為核心的全新邏輯邊界。

就以訪問(wèn)控制為例,如果某一個(gè)賬號(hào)要對(duì)業(yè)務(wù)和系統(tǒng)進(jìn)行訪問(wèn),那么就需要驗(yàn)證“人”和“設(shè)備”的身份。

在“深信服精益信任”體系里,企業(yè)可以通過(guò)原有移動(dòng)設(shè)備上的EMM、移動(dòng)控制終端的插件、PC和服務(wù)器上的EDR插件等傳統(tǒng)設(shè)備,把人和設(shè)備的身份信息接入到信任控制中心里,在進(jìn)行綜合性的評(píng)估以后,將訪問(wèn)策略下發(fā)到網(wǎng)管控制系統(tǒng)里放通。

而在訪問(wèn)過(guò)程中,企業(yè)還可以結(jié)合已有的內(nèi)網(wǎng)流量檢測(cè)等設(shè)備,對(duì)訪問(wèn)過(guò)程中所產(chǎn)生的行為、流量以及發(fā)生的事件和風(fēng)險(xiǎn)進(jìn)行持續(xù)不斷的檢測(cè),通過(guò)閉環(huán)不斷生成全新的訪問(wèn)控制策略。

這樣一來(lái),整個(gè)“深信服精益信任”的體系就包括了內(nèi)網(wǎng)設(shè)備、服務(wù)器資源、內(nèi)網(wǎng)流量檢測(cè)設(shè)備、傳統(tǒng)防火墻、身份管控、CA設(shè)備以及終端管控等設(shè)備的參與,“深信服精益信任”與企業(yè)已有的安全體系完美結(jié)合,共同實(shí)現(xiàn)對(duì)信任和風(fēng)險(xiǎn)的評(píng)估與管控。

在深信服看來(lái),對(duì)于一家企業(yè)來(lái)說(shuō),如果一項(xiàng)新技術(shù)的落地需要企業(yè)將所有模塊重新開(kāi)發(fā),這是完全不現(xiàn)實(shí)也不合理的。因此,深信服通過(guò)解耦“精益信任”和業(yè)務(wù)系統(tǒng)本身的關(guān)系,將企業(yè)已有的成熟產(chǎn)品,經(jīng)過(guò)開(kāi)發(fā)、升級(jí)或是迭代,共同進(jìn)行接口的統(tǒng)一,讓安全人員在不改變習(xí)慣的前提下進(jìn)行一些簡(jiǎn)單的創(chuàng)新,就可以形成合力,完成整個(gè)精益信任的平臺(tái)和架構(gòu)。

就好比不同于一位女士需要更換整套服飾和妝容才能夠增加美貌與氣質(zhì),“深信服精益信任”只需要在女士原有穿著的基礎(chǔ)上,添置一件絲巾,就可以做到改頭換面的修飾。

而對(duì)于企業(yè)來(lái)說(shuō),相對(duì)于更換一整套行頭,一件絲巾的價(jià)格,顯然便宜與容易了很多。

　　寫在最后

站在深信服“讓IT更簡(jiǎn)單、更安全、更有價(jià)值”的理念來(lái)看,一項(xiàng)新技術(shù)的產(chǎn)生,一定是會(huì)為企業(yè)帶去價(jià)值而不是新的問(wèn)題。基于“信任”,我們要把對(duì)它的驗(yàn)證變得更簡(jiǎn)單;基于“風(fēng)險(xiǎn)”,我們要把它控制得更加安全。

因此,深信服提出“精益信任”,用一個(gè)簡(jiǎn)單的、高度工程化的產(chǎn)品,替政府、企業(yè),尤其是中小用戶解決當(dāng)前所面臨的安全邊界消失帶來(lái)的風(fēng)險(xiǎn)與挑戰(zhàn),替用戶控制風(fēng)險(xiǎn)、解決問(wèn)題。

在對(duì)安全趨勢(shì)和技術(shù)的理解上,深信服在全球范圍內(nèi)率先推出IPSec/SSL二合一VPN網(wǎng)關(guān)、定義了上網(wǎng)行為管理品類;在國(guó)內(nèi)率先推出下一代防火墻、云安全資源落地。

根據(jù)IDC和Frost&Sullivan的統(tǒng)計(jì)結(jié)果顯示,深信服的硬件VPN、SSL VPN、上網(wǎng)行為管理、下一代防火墻等多款產(chǎn)品,多年來(lái)位列市場(chǎng)前茅。同時(shí),深信服檢測(cè)技術(shù)創(chuàng)新還得到了Google認(rèn)可,并被邀請(qǐng)加入了全球情報(bào)聯(lián)盟VirusTotal;深信服下一代防火墻更是獲得國(guó)際權(quán)威安全檢測(cè)機(jī)構(gòu)ICSA的認(rèn)證。

每一次超前的眼光,最終都得到了市場(chǎng)的驗(yàn)證。

所以,我們更有理由相信,即便城墻已經(jīng)倒塌,“深信服精益信任”卻能用一種簡(jiǎn)單的、快捷的、可落地的方式,重新構(gòu)建面向未來(lái)有效保護(hù)的安全邊界,讓每個(gè)用戶都可以重新找回“安全感”。(本文轉(zhuǎn)載自安在)

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。