以下文章轉(zhuǎn)載自數(shù)說(shuō)安全
新場(chǎng)景下遠(yuǎn)程安全接入正面臨新的挑戰(zhàn)
后疫情時(shí)代，移動(dòng)/遠(yuǎn)程辦公逐漸成為常態(tài)，企業(yè)內(nèi)外部協(xié)作增多，用戶使用的終端設(shè)備日益多樣化，終端設(shè)備的安全風(fēng)險(xiǎn)不斷提升，這導(dǎo)致企業(yè)對(duì)遠(yuǎn)程接入的安全需求也逐漸升級(jí)。與此同時(shí)，云計(jì)算技術(shù)以及混合云架構(gòu)的廣泛采用，逐步瓦解傳統(tǒng)的辦公網(wǎng)絡(luò)邊界，給原本通過(guò)傳統(tǒng)VPN技術(shù)實(shí)現(xiàn)遠(yuǎn)程安全接入的方案帶來(lái)了較大的挑戰(zhàn)，主要體現(xiàn)在以下三個(gè)方面：
- 終端安全風(fēng)險(xiǎn)缺乏有效管控。傳統(tǒng)VPN只針對(duì)用戶做認(rèn)證，缺乏對(duì)終端設(shè)備的認(rèn)證及安全性評(píng)估。終端種類(lèi)和來(lái)源的多樣性帶來(lái)的安全風(fēng)險(xiǎn)大大增加，存在終端被入侵并作為攻擊跳板的可能性。
- 傳統(tǒng)VPN難以適應(yīng)云環(huán)境和多云多數(shù)據(jù)中心應(yīng)用場(chǎng)景出現(xiàn)。傳統(tǒng)VPN通常采用加密隧道劃分安全可信區(qū)域，在云環(huán)境下，尤其是存在多云多數(shù)據(jù)中心的情況下，難以適應(yīng)統(tǒng)一安全接入、統(tǒng)一建立安全邊界的需求。
- VPN接入后的橫向攻擊難以控制。用戶通過(guò)傳統(tǒng)VPN接入內(nèi)網(wǎng)后，缺少更細(xì)粒度、動(dòng)態(tài)的訪問(wèn)和權(quán)限控制，導(dǎo)致關(guān)鍵應(yīng)用可能存在被攻擊滲透的風(fēng)險(xiǎn)。
因此，為解決傳統(tǒng)VPN功能上的局限性，新的解決方案需要在以下三個(gè)方面進(jìn)行提升：
- 除用戶身份認(rèn)證外，對(duì)用戶終端的安全性也要進(jìn)行持續(xù)評(píng)估。動(dòng)態(tài)限制終端安全性不符合要求的用戶對(duì)關(guān)鍵系統(tǒng)的訪問(wèn)，提升系統(tǒng)安全水平。
- 適應(yīng)云計(jì)算環(huán)境下統(tǒng)一接入、統(tǒng)一管控的要求，包括公有云、私有云、混合云環(huán)境。
- 對(duì)內(nèi)網(wǎng)中的橫向攻擊進(jìn)行有效管控。對(duì)用戶可信度的評(píng)估及訪問(wèn)權(quán)限不能只通過(guò)物理位置、靜態(tài)狀態(tài)來(lái)判斷，需要基于用戶身份及角色、當(dāng)前的安全狀態(tài)進(jìn)行更細(xì)粒度的動(dòng)態(tài)授權(quán)，從而進(jìn)一步提升系統(tǒng)安全訪問(wèn)水平。
零信任架構(gòu)的崛起
作為一種全新的安全理念，零信任架構(gòu)從理念提出到應(yīng)用落地，已歷經(jīng)十年時(shí)間。傳統(tǒng)VPN的安全模型是建立在靜態(tài)邊界安全模型基礎(chǔ)之上的，基本假設(shè)是“通過(guò)認(rèn)證接入內(nèi)網(wǎng)即是安全的”。與此相對(duì)照，零信任架構(gòu)的基本假設(shè)是：一是網(wǎng)絡(luò)時(shí)時(shí)刻刻都處于危險(xiǎn)之中；二是始終存在著來(lái)自外部或內(nèi)部的威脅，與網(wǎng)絡(luò)位置無(wú)關(guān)。
基于以上兩項(xiàng)假設(shè)，零信任架構(gòu)的訪問(wèn)控制措施也更加嚴(yán)格：任何訪問(wèn)（設(shè)備、用戶、網(wǎng)絡(luò)流量）都應(yīng)當(dāng)經(jīng)過(guò)認(rèn)證與授權(quán)，無(wú)論來(lái)自內(nèi)網(wǎng)還是外網(wǎng)；安全策略應(yīng)當(dāng)是動(dòng)態(tài)調(diào)整的，這種策略調(diào)整是以保障訪問(wèn)安全性為目標(biāo)，基于盡可能多的信息源做判斷決策。
零信任架構(gòu)可以有效解決傳統(tǒng)VPN方案的局限性，尤其適用于更復(fù)雜、安全性要求更高的場(chǎng)景：
- 引入終端安全性的持續(xù)評(píng)估。對(duì)終端環(huán)境、進(jìn)程進(jìn)行動(dòng)態(tài)檢測(cè)，確保終端可信。
- 無(wú)論是傳統(tǒng)計(jì)算環(huán)境還是多樣化的云計(jì)算環(huán)境，包括公有云、私有云、混合云，零信任架構(gòu)均可以靈活部署，統(tǒng)一管控。
- 零信任架構(gòu)基于最小授權(quán)原則，全訪問(wèn)周期、動(dòng)態(tài)評(píng)估更準(zhǔn)確，訪問(wèn)控制基于當(dāng)前用戶的綜合安全狀態(tài)執(zhí)行，因而可以更好地防御橫向攻擊，保護(hù)核心業(yè)務(wù)。
此外，Gartner也預(yù)測(cè)到2023年，60%的企業(yè)將逐步淘汰大部分VPN，轉(zhuǎn)而使用零信任網(wǎng)絡(luò)訪問(wèn)業(yè)務(wù)。
零信任的輕量落地——零信任“VPN”
近年來(lái)，國(guó)內(nèi)企業(yè)逐步加大對(duì)“零信任架構(gòu)”的研究和布局。深信服憑借自身在遠(yuǎn)程辦公領(lǐng)域的積累與創(chuàng)新，融合零信任思想，推出了基于“以身份為中心，可信訪問(wèn)、智能權(quán)限、極簡(jiǎn)運(yùn)維”理念的輕量級(jí)零信任架構(gòu)遠(yuǎn)程辦公解決方案——零信任“VPN”。
深信服零信任安全架構(gòu)
作為國(guó)內(nèi)最早推出針對(duì)遠(yuǎn)程辦公場(chǎng)景的零信任安全解決方案之一，零信任“VPN”對(duì)于用戶有怎樣特別的價(jià)值呢？
一是，提供更輕量級(jí)、更容易落地的方案。
零信任走進(jìn)企業(yè)是一種趨勢(shì)，但零信任整體架構(gòu)部署落地的龐大工程讓許多企業(yè)望而卻步。而深信服零信任“VPN”可為企業(yè)提供一個(gè)更輕量級(jí)、更容易落地的遠(yuǎn)程辦公安全方案。
- 通過(guò)零信任控制中心、代理網(wǎng)關(guān)兩大核心組件，即可滿足遠(yuǎn)程辦公場(chǎng)景訪問(wèn)全周期的動(dòng)態(tài)訪問(wèn)控制安全訴求。
- 針對(duì)WEB應(yīng)用，零信任“VPN”還可實(shí)現(xiàn)免客戶端訪問(wèn)，用戶使用和管理運(yùn)維上更方便。
二是，基于長(zhǎng)期在遠(yuǎn)程辦公領(lǐng)域的積淀，更可靠、體驗(yàn)更好。
針對(duì)遠(yuǎn)程辦公場(chǎng)景，如果沒(méi)有遠(yuǎn)程辦公領(lǐng)域的積累和沉淀，單純照搬零信任的復(fù)雜體系來(lái)建設(shè)，不注重遠(yuǎn)程辦公特定的體驗(yàn)優(yōu)化、運(yùn)維簡(jiǎn)化需求，容易水土不服，適得其反。
深信服在遠(yuǎn)程辦公解決方案及VPN技術(shù)領(lǐng)域有近20年的技術(shù)積累和經(jīng)驗(yàn)沉淀，將其充分應(yīng)用在零信任方案上，緊貼企業(yè)用戶日益復(fù)雜的遠(yuǎn)程辦公需求，通過(guò)極致的用戶訪問(wèn)體驗(yàn)、極簡(jiǎn)的運(yùn)維特性，為企業(yè)提供更安全、更可靠、體驗(yàn)更好的遠(yuǎn)程辦公方案。
三是，具備前沿的核心技術(shù)優(yōu)勢(shì)，可持續(xù)成長(zhǎng)以應(yīng)對(duì)日益復(fù)雜的安全需求。
深信服零信任“VPN”基于“以身份為中心，可信訪問(wèn)、智能權(quán)限、極簡(jiǎn)運(yùn)維”的理念，實(shí)現(xiàn)了遠(yuǎn)程辦公場(chǎng)景下的身份可信、環(huán)境可信、行為可信，同時(shí)安全能力持續(xù)成長(zhǎng)，幫助用戶應(yīng)對(duì)未來(lái)遠(yuǎn)程辦公的復(fù)雜需求。
1、身份可信：網(wǎng)絡(luò)隱身與自適應(yīng)認(rèn)證，確保身份可信
零信任“VPN”通過(guò)新一代SPA單包授權(quán)機(jī)制，最大程度縮小暴露面，只有特定攜帶安全票據(jù)的客戶端才能訪問(wèn)請(qǐng)求連接，實(shí)現(xiàn)網(wǎng)絡(luò)隱身。在認(rèn)證環(huán)節(jié)中，零信任“VPN”可以基于地理位置、網(wǎng)絡(luò)環(huán)境等因素的變化自動(dòng)調(diào)整認(rèn)證強(qiáng)度，平衡安全與體驗(yàn)。
2、環(huán)境可信：終端環(huán)境安全性進(jìn)行持續(xù)檢測(cè)，全訪問(wèn)周期環(huán)境安全
在用戶登錄時(shí)、登錄后訪問(wèn)業(yè)務(wù)期間進(jìn)行實(shí)時(shí)檢測(cè)，當(dāng)發(fā)現(xiàn)終端安全狀態(tài)不能滿足安全要求時(shí)，限制終端對(duì)系統(tǒng)的訪問(wèn)。與此同時(shí)，還可以針對(duì)不同業(yè)務(wù)系統(tǒng)調(diào)整終端安全狀態(tài)的要求，如訪問(wèn)官網(wǎng)等非敏感業(yè)務(wù)終端不需要安裝殺毒軟件，而訪問(wèn)ERP、財(cái)務(wù)等敏感系統(tǒng)時(shí)，要求終端必須安裝EDR軟件并且更新到最新版本。
3、行為可信：動(dòng)態(tài)訪問(wèn)控制，行為可控，保護(hù)業(yè)務(wù)
零信任“VPN”利用“信任引擎”來(lái)實(shí)現(xiàn)動(dòng)態(tài)權(quán)限控制，當(dāng)發(fā)現(xiàn)終端環(huán)境、身份、行為存在風(fēng)險(xiǎn)時(shí)，通過(guò)收縮用戶的訪問(wèn)權(quán)限，降低被攻擊入侵的風(fēng)險(xiǎn)。
4、安全能力持續(xù)成長(zhǎng)，以應(yīng)對(duì)日益復(fù)雜的業(yè)務(wù)、數(shù)據(jù)保護(hù)需求
零信任“VPN”可以通過(guò)API接口與態(tài)勢(shì)感知、下一代防火墻、終端檢測(cè)與響應(yīng)等多種設(shè)備進(jìn)行安全聯(lián)動(dòng)，并保持安全能力持續(xù)成長(zhǎng)，更準(zhǔn)確地識(shí)別異常行為和未知威脅；同時(shí)，通過(guò)結(jié)合沙箱能力，更好地滿足遠(yuǎn)程辦公場(chǎng)景下的數(shù)據(jù)防泄密需求。
從90年代SUN提出“網(wǎng)絡(luò)就是計(jì)算機(jī)”開(kāi)始，計(jì)算范式從傳統(tǒng)計(jì)算到云計(jì)算的遷移用了將近三十年時(shí)間。云計(jì)算的發(fā)展和普及帶動(dòng)了安全防御理念和產(chǎn)品的推陳出新，而新的安全理念和產(chǎn)品成為市場(chǎng)主流也需要一個(gè)漫長(zhǎng)的培育和發(fā)展過(guò)程。深信服零信任“VPN”產(chǎn)品在江蘇銀行的部署和使用過(guò)程中，取得了預(yù)期中的良好效果。除銀行客戶外，深信服還成功交付了運(yùn)營(yíng)商、互聯(lián)網(wǎng)企業(yè)、大型制造業(yè)、教育、政府科研、企事業(yè)單位等各行各業(yè)遠(yuǎn)程安全辦公的零信任方案，并獲得用戶的一致認(rèn)可。
深信服秉持一貫的理念，為用戶提供更簡(jiǎn)單、更安全、更有價(jià)值的零信任安全方案和產(chǎn)品，助力客戶網(wǎng)絡(luò)安全體系向零信任架構(gòu)遷移，幫助客戶實(shí)現(xiàn)流量身份化、權(quán)限智能化、訪問(wèn)控制動(dòng)態(tài)化、運(yùn)維管理極簡(jiǎn)化的新一代網(wǎng)絡(luò)安全架構(gòu)。來(lái)源：深信服科技
