“連接創(chuàng)造價(jià)值，安全護(hù)航連接。” 在零信任十周年峰會(huì)上，360集團(tuán)云安全研究院高級(jí)安全總監(jiān)魏小強(qiáng)分享了有關(guān)零信任的身份管理與安全連接架構(gòu)的話題。零信任峰會(huì)由云安全聯(lián)盟大中華區(qū)主辦，聯(lián)合國(guó)UN2020指導(dǎo)，于6月5日?qǐng)A滿召開(kāi)，360為主要承辦單位之一。

數(shù)字化轉(zhuǎn)型的基礎(chǔ)是安全連接

數(shù)字化轉(zhuǎn)型推動(dòng)著企業(yè)上云的數(shù)量持續(xù)激增，不僅使得企業(yè)網(wǎng)絡(luò)高度異構(gòu)，融合了移動(dòng)、物聯(lián)網(wǎng)、公有/混合云和SaaS等，更重要的是使得傳統(tǒng)業(yè)務(wù)和IT運(yùn)營(yíng)模式不斷被顛覆。企業(yè)把越來(lái)越多的關(guān)鍵型和生產(chǎn)級(jí)應(yīng)用逐步遷移到云端并使用云服務(wù)。大量的人工服務(wù)趨向自動(dòng)化技術(shù)代替，單一生產(chǎn)趨向協(xié)同。數(shù)字化轉(zhuǎn)型使得以前沒(méi)有連接的東西都連接起來(lái)了。

連接不斷創(chuàng)造價(jià)值，也帶來(lái)巨大的安全風(fēng)險(xiǎn)。例如，員工可以攜帶自己的電腦在咖啡廳或機(jī)場(chǎng)等公共WiFi環(huán)境訪問(wèn)公司的數(shù)據(jù)中心網(wǎng)絡(luò)，同時(shí)還希望訪問(wèn)公有云或SaaS服務(wù)等。通常來(lái)說(shuō)，在這個(gè)場(chǎng)景下，員工是無(wú)法得到公司的安全棧保護(hù)的。黑客很容易進(jìn)行攻擊，竊取用戶敏感信息，控制用戶設(shè)備，控制用戶賬號(hào)，進(jìn)而入侵公司的數(shù)據(jù)中心等。因此，安全連接是數(shù)字化轉(zhuǎn)型的基礎(chǔ)設(shè)施。

簡(jiǎn)單來(lái)說(shuō)就是，需要有一種技術(shù)能保證用戶可以通過(guò)任何設(shè)備，在任何地點(diǎn)，通過(guò)任何網(wǎng)絡(luò)，安全接入和訪問(wèn)任何服務(wù)和資源。

基于零信任構(gòu)建以身份為中心安全連接

魏小強(qiáng)表示，網(wǎng)絡(luò)的設(shè)計(jì)是為了將用戶與數(shù)據(jù)中心內(nèi)的應(yīng)用連接起來(lái)，我們?cè)诰W(wǎng)絡(luò)周?chē)⒘艘粋€(gè)安全的邊界，以保證這些用戶和應(yīng)用不受外界的影響。但隨著應(yīng)用遷移到云端，用戶從任何地方連接到云端，邊界已經(jīng)消失了?，F(xiàn)在是時(shí)候?qū)踩c網(wǎng)絡(luò)脫鉤，并使用在應(yīng)用駐留的任何地方和用戶連接的任何地方來(lái)執(zhí)行安全策略。

魏小強(qiáng)認(rèn)為零信任是一種方法論，是一種安全范式，旨在通過(guò)建立默認(rèn)拒絕的初始安全態(tài)勢(shì)來(lái)消除企業(yè)中過(guò)度的隱性信任。然而，在某些時(shí)候必須建立信任以允許連接，但與以網(wǎng)絡(luò)為中心的方法不同的是，這種信任必須是動(dòng)態(tài)的，根據(jù)用戶、設(shè)備、位置和應(yīng)用的上下文變化而變化。

零信任策略的目的是消除過(guò)度風(fēng)險(xiǎn)。它首先是永遠(yuǎn)不要默認(rèn)授予信任，它要求信任是上下文的和自適應(yīng)的。特權(quán)或訪問(wèn)的級(jí)別取決于已建立的信任，必須不斷監(jiān)測(cè)和適應(yīng)風(fēng)險(xiǎn)。

零信任也在不斷演進(jìn)

零信任的概念是在10年前創(chuàng)立的。John Kindervag構(gòu)思了這個(gè)想法，以防止企業(yè)團(tuán)隊(duì)給予訪問(wèn)網(wǎng)絡(luò)的用戶和設(shè)備過(guò)多的信任。但是，由于當(dāng)時(shí)的技術(shù)，它僅僅是在以網(wǎng)絡(luò)為中心的安全背景下產(chǎn)生的，這種安全還是以網(wǎng)絡(luò)防護(hù)為中心，存在一定的局限性。

隨著云和移動(dòng)性的采用，IT專業(yè)人士已經(jīng)意識(shí)到，以網(wǎng)絡(luò)為中心的安全策略已經(jīng)變得無(wú)效。網(wǎng)絡(luò)和用戶設(shè)備不再為企業(yè)所擁有，超過(guò)一半的員工正在遠(yuǎn)程訪問(wèn)應(yīng)用。通過(guò)在云優(yōu)先時(shí)代重新思考以網(wǎng)絡(luò)為中心的安全方法，企業(yè)正在打開(kāi)采用真正的零信任的大門(mén)。

進(jìn)入萬(wàn)物互聯(lián)、多云連接以及軟件定義的時(shí)代，連接無(wú)處不在。魏小強(qiáng)表示，我們所說(shuō)的身份可以是任何“東西”，用戶身份化、設(shè)備身份化、應(yīng)用身份化。他們之間的關(guān)系就是連接，所以連接可以涵蓋SaaS、公有云、私有云、數(shù)據(jù)中心以及用戶和物聯(lián)網(wǎng)等等，連接的網(wǎng)絡(luò)會(huì)越來(lái)越復(fù)雜。

魏小強(qiáng)強(qiáng)調(diào)，身份正從單一屬性走向多屬性，從認(rèn)證走向連接。身份管理的本質(zhì)是連接，連接既創(chuàng)造價(jià)值也帶來(lái)風(fēng)險(xiǎn)，安全連接是零信任的基石。 我們應(yīng)該從安全連接的視角去重新思考零信任架構(gòu)，尋找新的解決方案以應(yīng)對(duì)軟件定義時(shí)代的到來(lái)。

基于零信任的360 連接云實(shí)踐

基于對(duì)零信任的理解，360提出了在多云環(huán)境下的基于零信任的連接云平臺(tái)架構(gòu)，如下圖所示：

據(jù)魏小強(qiáng)介紹，360連接云平臺(tái)基于零信任網(wǎng)絡(luò)訪問(wèn)技術(shù)，也被稱為軟件定義邊界(SDP)，在360安全大腦的賦能下打造而成。它圍繞著企業(yè)專有應(yīng)用創(chuàng)建了一個(gè)基于身份和上下文的訪問(wèn)邊界，并實(shí)現(xiàn)了應(yīng)用的隱藏。

360連接云平臺(tái)由安全分析中心模塊、安全運(yùn)營(yíng)中心模塊、基礎(chǔ)云平臺(tái)、零信任身份管理平臺(tái)、SDN調(diào)度管理平臺(tái)等組成。通過(guò)信任代理限制訪問(wèn)模塊，僅對(duì)應(yīng)該訪問(wèn)的一組實(shí)體進(jìn)行授權(quán)。從本質(zhì)上講，基于SDP技術(shù)消除網(wǎng)絡(luò)周?chē)倪吔纾瑖@用戶、設(shè)備和應(yīng)用創(chuàng)建虛擬邊界對(duì)傳統(tǒng)網(wǎng)絡(luò)邊界取而代之，最終實(shí)現(xiàn)了自適應(yīng)和安全的私有應(yīng)用訪問(wèn)。

360連接云平臺(tái)遵循Gartner SASE(安全訪問(wèn)服務(wù)邊緣)模型理論，基于零信任訪問(wèn)網(wǎng)絡(luò)技術(shù)創(chuàng)建，僅在經(jīng)過(guò)認(rèn)證的用戶和企業(yè)的私有應(yīng)用之間進(jìn)行權(quán)限微分段并實(shí)現(xiàn)安全連接。該連接云平臺(tái)可支持私有云、多云或混合云等復(fù)雜環(huán)境。其獨(dú)特價(jià)值還在于基于360安全大腦賦能，整合海量的威脅情報(bào)技術(shù)實(shí)現(xiàn)持續(xù)風(fēng)險(xiǎn)監(jiān)控和評(píng)估。

360連接云平臺(tái)主要應(yīng)用場(chǎng)景包括：1)基于身份的網(wǎng)絡(luò)訪問(wèn)控制：如網(wǎng)絡(luò)微隔離、安全的遠(yuǎn)程訪問(wèn)(可以代替?zhèn)鹘y(tǒng)的vpn)等;2)安全第三方用戶訪問(wèn)：解決特權(quán)用戶安全訪問(wèn)問(wèn)題，實(shí)現(xiàn)高價(jià)值的應(yīng)用安全訪問(wèn);3)托管服務(wù)器的訪問(wèn)安全：如簡(jiǎn)化網(wǎng)絡(luò)集成，安全遷移到IaaS云環(huán)境等;4)強(qiáng)化身份認(rèn)證解決方案：簡(jiǎn)化企業(yè)合規(guī)性控制，防御DDos攻擊等。

最后，魏小強(qiáng)針對(duì)基于零信任的的安全連接技術(shù)提出了自己的思考，他認(rèn)為數(shù)字化轉(zhuǎn)型使得應(yīng)用和業(yè)務(wù)流程之間擁有更高水平的連接，大大提高了業(yè)務(wù)敏捷性，也更容易與客戶和業(yè)務(wù)伙伴聯(lián)系，但是它也帶來(lái)的巨大的安全風(fēng)險(xiǎn)和挑戰(zhàn)，基于零信任的安全連接技術(shù)將為數(shù)字化轉(zhuǎn)型護(hù)航。

“我們都知道連接創(chuàng)造價(jià)值，安全護(hù)航連接。未來(lái)可能對(duì)于身份的隱私性要求會(huì)越來(lái)越高，所以實(shí)現(xiàn)對(duì)等的連接技術(shù)會(huì)出現(xiàn)，從某種程度上這種基于區(qū)塊鏈的自主主權(quán)的一種身份技術(shù)，很大程度上會(huì)改變目前的身份管理模式。”魏小強(qiáng)說(shuō)。