企業(yè)的信息安全的邊界在哪里？如何管理企業(yè)網(wǎng)絡(luò)安全的邊界，保護(hù)企業(yè)網(wǎng)絡(luò)安全，防止企業(yè)網(wǎng)絡(luò)安全事件的發(fā)生。

從下面幾點(diǎn)了解一下。

一、零信任網(wǎng)絡(luò)零信任網(wǎng)絡(luò)是近幾年才火起來的一個(gè)安全概念，實(shí)際上這個(gè)概念從出現(xiàn)到今天差不多有十年。

2010年，佛瑞斯特研究所的一個(gè)分析師就指出，傳統(tǒng)的基于邊界的網(wǎng)絡(luò)安全架構(gòu)存在缺陷，通常被認(rèn)為可信的內(nèi)部網(wǎng)絡(luò)實(shí)際上是充滿威脅的，現(xiàn)在被過度濫用的信任是安全的致命弱點(diǎn)。

基于這樣的判斷，該分析師提出了零信任的概念，并對安全架構(gòu)思路提出了一個(gè)新的建議：在默認(rèn)的情況下，不應(yīng)該相信網(wǎng)絡(luò)內(nèi)部和外部的任何設(shè)備系統(tǒng)和應(yīng)用，而是應(yīng)該基于認(rèn)證和授權(quán)來重構(gòu)訪問控制的信任基礎(chǔ)，并且這種授權(quán)和信任不是靜態(tài)的，需要基于對訪問實(shí)體的風(fēng)險(xiǎn)度量進(jìn)行動(dòng)態(tài)的調(diào)整。

這位分析師提出零信任概念后的幾年時(shí)間里，實(shí)際上這個(gè)概念并沒有得到大家的關(guān)注。

但是在2015年前后，隨著全球信息安全形勢不斷惡化，很多企業(yè)安全人員都在尋找能夠更好地解決信息安全問題的方案。

正是在這個(gè)時(shí)候，零信任網(wǎng)絡(luò)的概念才逐漸引起人們的注意。

2017年，谷歌宣布基于零信任網(wǎng)絡(luò)的新一代企業(yè)網(wǎng)絡(luò)安全架構(gòu)BeyondCorp項(xiàng)目成功完成，并通過論文的形式將其實(shí)現(xiàn)方式公之于眾，在這個(gè)時(shí)候，零信任網(wǎng)絡(luò)真正地進(jìn)入了大眾的視野，并迅速成為信息安全圈的一個(gè)熱點(diǎn)。

1、零信任網(wǎng)絡(luò)是個(gè)啥？我覺得零信任網(wǎng)絡(luò)實(shí)際上是一個(gè)理念，也可以說是一種架構(gòu)。

零信任網(wǎng)絡(luò)是架構(gòu)層面的，而不是操作層面的，所以它不是一個(gè)具體的產(chǎn)品，也不是一種具體的技術(shù)，是在一種更高的維度上表達(dá)客體對主體安全訪問的一種模型。

它針對的是目前普遍存在的具有網(wǎng)絡(luò)位置和區(qū)域的默認(rèn)信任模式。

比如內(nèi)網(wǎng)是可信的，互聯(lián)網(wǎng)是不可信的；同一個(gè)區(qū)域內(nèi)的服務(wù)器是可信的，跨區(qū)域是不可信的。

2、實(shí)體是什么，客體是什么？在零信任網(wǎng)絡(luò)中，實(shí)體一般理解為發(fā)起網(wǎng)絡(luò)訪問的一方，客體是被訪問的一方。

實(shí)體可以是用戶、主機(jī)、設(shè)備、系統(tǒng)等，客體也可以是主機(jī)、系統(tǒng)、網(wǎng)絡(luò)服務(wù)接口，甚至是數(shù)據(jù)等。

在零信任網(wǎng)絡(luò)的術(shù)語里面，理論上并沒有限制實(shí)體和客體的形態(tài)，所以只要是在實(shí)際的架構(gòu)中或者實(shí)際的運(yùn)用中，能夠進(jìn)行定義描述和識別的，都可以作為實(shí)體和客體。

3、有什么新的技術(shù)嗎？個(gè)人認(rèn)為真沒有。

現(xiàn)在網(wǎng)絡(luò)使用的基本都是已有的技術(shù)，零信任網(wǎng)絡(luò)并沒有發(fā)明什么新的技術(shù)，只是把已有的技術(shù)如身份認(rèn)證、加密、PKI、大數(shù)據(jù)等整合到一起，形成了一個(gè)全新的、完整的安全架構(gòu)。

4、能解決什么問題？零信任網(wǎng)絡(luò)解決了一個(gè)核心的問題是非許可的訪問。

企業(yè)現(xiàn)在面臨的問題根源，其實(shí)就是因?yàn)楹芏喾窃S可的訪問導(dǎo)致了大量的安全問題。

零信任網(wǎng)絡(luò)解決的問題按照谷歌的說法，能夠訪問什么服務(wù)，取決于我們對你和你的設(shè)備知道多少，而所有的訪問都是應(yīng)該得到認(rèn)證、授權(quán)和加密。

即首先是要認(rèn)證，要確定主體的身份，只有是被認(rèn)可的主體才可以繼續(xù)訪問；其次是授權(quán)，即確定這個(gè)主體是否具有訪問指定客體的權(quán)限。

從這個(gè)角度來看，認(rèn)證是很關(guān)鍵的一個(gè)概念，認(rèn)證是一道看不到的邊界，這個(gè)邊界與傳統(tǒng)的基于網(wǎng)絡(luò)區(qū)域的隔離邊界完全不是一回事，它更偏向于應(yīng)用系統(tǒng)層面，甚至包含了一點(diǎn)業(yè)務(wù)邏輯的味道。

5、現(xiàn)有的安全機(jī)制是什么關(guān)系？零信任網(wǎng)絡(luò)的初衷是以一種身份因素，重新定義一下安全的邊界，增強(qiáng)外部對內(nèi)部訪問的安全性，實(shí)際上它和現(xiàn)有的各種安全機(jī)制是不沖突的，沒有相互取代關(guān)系。

傳統(tǒng)的安全機(jī)制和架構(gòu)，如縱深防御、區(qū)域隔離、權(quán)限最小化原則等，仍然是信息安全的基礎(chǔ)性、成熟的架構(gòu)，對于保護(hù)企業(yè)內(nèi)部的各種資源仍是必須的。

零信任網(wǎng)絡(luò)基于身份認(rèn)證的思路，只是進(jìn)一步用來加強(qiáng)對網(wǎng)絡(luò)資源的保護(hù)。

6、對信息安全還有什么價(jià)值？按照《零信任網(wǎng)絡(luò)》一書序言中的說法，零信任網(wǎng)絡(luò)對信息安全的價(jià)值體現(xiàn)在：第一，在傳統(tǒng)網(wǎng)絡(luò)安全邊界失效、攻擊面難以窮盡的情況下，零信任引導(dǎo)人員更加關(guān)注保護(hù)面，而不是攻擊面，由于有可信網(wǎng)關(guān)的存在，資源全是躲在網(wǎng)關(guān)后面的，攻擊者并不能直接訪問到后臺的資源。

反過來，只有通過網(wǎng)關(guān)識別、配置和保護(hù)的資源才會(huì)被前端間接訪問到。

第二，在實(shí)踐機(jī)制上擁抱灰度哲學(xué)，以安全與易用性平衡的持續(xù)認(rèn)證改進(jìn)固化的一次強(qiáng)認(rèn)證（彈性認(rèn)證），以基于風(fēng)險(xiǎn)和信任持續(xù)度量的動(dòng)態(tài)授權(quán)機(jī)制替代簡單的二元判定的靜態(tài)授權(quán)，以開放智能的身份治理優(yōu)化封閉僵化的身份管理。

。

7、聽著不錯(cuò)，馬上干起來？聽起來確實(shí)很美很好，但真要干的話還得考慮，關(guān)鍵的是看目標(biāo)是什么？如果照著谷歌或者書中描述的場景一套全干起來，我覺得一時(shí)半會(huì)基本沒戲。

第一，零信任是一個(gè)架構(gòu)，不是單一的產(chǎn)品或者技術(shù)，要進(jìn)行推廣勢必要對it技術(shù)架構(gòu)和應(yīng)用系統(tǒng)進(jìn)行大的調(diào)整和改造。

投入大，見效慢，如果沒有來自高層領(lǐng)導(dǎo)的鼎力支持，幾乎是推不動(dòng)的。

第二，目前有一部分企業(yè)的it的能力還保持在“能用”這樣一個(gè)水平，標(biāo)準(zhǔn)化程度不高能否進(jìn)行改造本身就是一個(gè)比較大的問題。

第三，零信任網(wǎng)絡(luò)是一個(gè)理念，要落地必須跟企業(yè)的實(shí)際結(jié)合起來，但目前比較難買到很適合的成套的產(chǎn)品。

當(dāng)然企業(yè)也可以自己開發(fā)，但一般安全團(tuán)隊(duì)的工程化能力不一定能夠把開發(fā)工作真正做起。

8、有什么建議？完全復(fù)制別人的模式有難度，但可以吸收零信任的精華，從基礎(chǔ)做起。

個(gè)人認(rèn)為零信任網(wǎng)絡(luò)整體的框架重有兩點(diǎn)非常重要：一是建立身份管理中心，二是設(shè)立支持身份識別的網(wǎng)關(guān)。

身份管理是零信任網(wǎng)絡(luò)的必備的條件，如果沒有統(tǒng)一的身份管理中心，身份認(rèn)證根本無從談起。

我們還要保護(hù)好身份管理中心，確保這個(gè)系統(tǒng)不會(huì)被攻破。

設(shè)立網(wǎng)關(guān)的目的在于將原先能直連的主體和客體斷開，讓他們不能直接互通，同時(shí)利用網(wǎng)關(guān)支持身份識別的特性可以進(jìn)行授權(quán)。

做到這兩點(diǎn)就可以算是一個(gè)輕量級的、局部的零信任網(wǎng)絡(luò)的實(shí)踐了。

有了這樣的基礎(chǔ)，我們以后再逐漸增加新的組件，添加新的功能，不斷積累和完善零信任網(wǎng)絡(luò)。

9、身邊的零信任實(shí)際上大部分安全人員應(yīng)該都實(shí)際過零信任網(wǎng)絡(luò)，并且可能做的還不錯(cuò)，舉兩個(gè)例子。

第一是運(yùn)維堡壘機(jī)。

堡壘機(jī)中都會(huì)有用戶管理，不管他是自己建的賬號，還是說跟外部的數(shù)據(jù)源對接，其實(shí)都可以理解為一種身份管理。

堡壘機(jī)事實(shí)上起到一個(gè)作用，即阻斷了運(yùn)維人員的終端和運(yùn)維目標(biāo)的直接連接，用戶必須通過堡壘機(jī)才能對運(yùn)營目標(biāo)進(jìn)行維護(hù)，因此我們可以認(rèn)為堡壘機(jī)是一種支持身份識別、應(yīng)用協(xié)議識別和訪問授權(quán)的網(wǎng)關(guān)。

第二是上網(wǎng)行為管理軟件設(shè)備。

現(xiàn)在大部分公司員工從內(nèi)網(wǎng)訪問互聯(lián)網(wǎng)時(shí)都要通過上網(wǎng)行為管理軟件設(shè)備，不管它串接的網(wǎng)關(guān)，還是代理的，上網(wǎng)行為管理軟件設(shè)備都起到了一個(gè)作用，內(nèi)網(wǎng)的電腦不能直接跟互聯(lián)網(wǎng)相連。

我們訪問一個(gè)外面的網(wǎng)站，肯定要經(jīng)過上網(wǎng)行為管理設(shè)備的轉(zhuǎn)接，并且上網(wǎng)行為管理設(shè)備一般都具有身份識別的能力，還可以配用戶的訪問的權(quán)限。

上網(wǎng)行為管理設(shè)備與堡壘機(jī)不同的是，一般情況下上網(wǎng)行為管理設(shè)備采用的黑名單機(jī)制，默認(rèn)允許訪問各種外部資源，但會(huì)屏蔽掉一些不適合的。

假如把上網(wǎng)行為管理設(shè)備部在內(nèi)網(wǎng)，采用白名單機(jī)制，用戶能夠訪問哪個(gè)內(nèi)部資源要在上網(wǎng)行為管理設(shè)備上進(jìn)行授權(quán)，這就跟零信任網(wǎng)絡(luò)比較像了。

10、控制平面和數(shù)據(jù)平面前面在介紹典型的架構(gòu)圖時(shí)講到零信任網(wǎng)絡(luò)將整體的架構(gòu)分為控制平面和數(shù)據(jù)平面。

我個(gè)人認(rèn)為這個(gè)提法非常好，控制平面的職責(zé)是用來控制和指揮數(shù)據(jù)平面，數(shù)據(jù)平面實(shí)際上是暴露在邊界上的，控制平面是隱藏在內(nèi)部的。

這種方式和網(wǎng)絡(luò)管理中常用的帶外管理有非常大的相似之處，但這樣的一個(gè)提法適用性會(huì)更廣泛一些。

從安全的角度來看，我覺得現(xiàn)在很多信息化過程中的對象，如數(shù)據(jù)中心、網(wǎng)絡(luò)，一臺主機(jī)或者一個(gè)系統(tǒng)，其實(shí)都是可以按照這種邏輯來進(jìn)行相應(yīng)的切分。

二、設(shè)備邊界安全零信任網(wǎng)絡(luò)其實(shí)有考慮接入設(shè)備自身的安全性，但認(rèn)為要持續(xù)地評估接入設(shè)備的完全狀態(tài)，并且在有問題的情況下要立刻進(jìn)行調(diào)整。

但從目前零信任網(wǎng)絡(luò)所涉及的情形來看，并沒有涉及到如何防止數(shù)據(jù)在接入設(shè)備上被泄露。

在遠(yuǎn)程辦公的模式下，企業(yè)網(wǎng)絡(luò)的邊界已經(jīng)延伸至遠(yuǎn)程辦公的接入設(shè)備上，所以企業(yè)在遠(yuǎn)程辦公時(shí)，一定要考慮接入設(shè)備的邊界，否則很可能引起像數(shù)據(jù)泄露等相關(guān)安全問題。

在接入設(shè)備上設(shè)立邊界，我個(gè)人認(rèn)為有以下幾種可能性：一是對設(shè)備進(jìn)行完全的控制，如規(guī)定它只能跟企業(yè)的網(wǎng)絡(luò)進(jìn)行交互；二是對設(shè)備進(jìn)行部分控制，他可以在不同的區(qū)域內(nèi)同時(shí)跟企業(yè)網(wǎng)絡(luò)和其他網(wǎng)絡(luò)交互；三是對設(shè)備完全不做控制。

對設(shè)備進(jìn)行完全控制應(yīng)該不是一個(gè)特別好的方案，哪怕設(shè)備是企業(yè)所有的，也一定會(huì)遭到用戶的反對。

反過來，對設(shè)備不做任何的控制，估計(jì)咱們安全人員都不太好意思把方案交上去。

所以我比較推薦第二種方式，對接入設(shè)備進(jìn)行部分控制，那么企業(yè)在實(shí)踐中該如何做呢？我也只能根據(jù)自身的經(jīng)歷給一些個(gè)人建議。

對于移動(dòng)設(shè)備來說，按照現(xiàn)在市場上能夠提供的技術(shù)，推薦使用沙箱或者沙盒的技術(shù)，在移動(dòng)設(shè)備上劃出一塊虛擬空間，用來處理和存放跟企業(yè)有關(guān)的數(shù)據(jù)，虛擬空間與設(shè)備本身的自身空間在邏輯上是保持隔離的，就是說它雖然存在設(shè)備自身，但它是一個(gè)獨(dú)立的存在，從外面是沒辦法去訪問到這個(gè)虛擬空間里面的信息。

和移動(dòng)設(shè)備相對應(yīng)的，針對電腦設(shè)備，我個(gè)人首選是虛擬化，簡單粗暴，安全效果好，不過投入比較大，要舍得花錢。

當(dāng)然目前國內(nèi)也有公司在桌面操作系統(tǒng)做沙箱產(chǎn)品，也是一個(gè)不錯(cuò)的、值得跟蹤的思路。

如果桌面操作系統(tǒng)能夠把沙箱的產(chǎn)品做得非常好，達(dá)到和移動(dòng)設(shè)備相同的水平，我覺得這樣的解決方案應(yīng)該會(huì)更輕盈，也更有效。

安全是個(gè)系統(tǒng)性的一種架構(gòu)，企業(yè)安全性的強(qiáng)弱，取決于最短的那個(gè)木條 標(biāo)簽: 網(wǎng)絡(luò)安全