2020-05-22 16:08:18
來源：深信服
一項新技術的應用和推廣，在帶來革新和便捷的同時，也常常會帶來網絡安全的新威脅和新挑戰，移動辦公也不例外。在移動辦公常態化的現在，有哪些新增的安全威脅和挑戰呢？企業又應如何有效應對？
邊界瓦解，暴露面增加，移動辦公安全的信任缺失
深信服安全專家分析，移動辦公的安全威脅和挑戰主要有以下四點：
1. 網絡邊界瓦解帶來的信任缺失
傳統的企業網絡，有著清晰的內外網之分，而傳統安全建設，正是基于清晰的邊界劃分進行防護工作的部署。但是，在移動辦公的大潮下，訪問企業數字化資源的員工，不再是來自同一個園區、大樓，而是從世界各地的任一位置、任一網絡進行訪問接入。因此，這種清晰的邊界，以及依附著邊界的信任關系逐漸瓦解。
這樣的情形下，網絡邊界變得模糊，信任關系瓦解，基于傳統邊界的安全建設思路逐漸失效。移動辦公需要另一種方式，來重新定義新的安全基線，重構移動辦公中的信任關系。
2. 風險暴露面不斷增加的挑戰
為了滿足移動辦公需求，企業需要將原本只對內網用戶開放的業務系統，通過端口映射、業務發布、接口調用，甚至遠程桌面等方式向公網提供訪問。一個個業務系統對應著一個個的訪問接口，同時也意味著一個個面向不可信環境的通道。
因此，在大規模移動辦公時代，需要有更安全、更易用的手段來滿足移動辦公的安全需求。
3. 數據復雜使用場景帶來的數據安全挑戰
移動辦公中，用戶通過移動終端、個人PC，甚至公用PC訪問企業的重要數據和業務。傳統方式中，數據即使在傳輸過程加密，最終仍然會落到用戶的終端上。而用戶后續如何利用這些數據、文件，或者通過各種途徑將數據、文件外發共享，企業無從得知也無從控制。顯而易見，這樣的場景中，企業數據安全面臨極大的數據泄露風險。
因此，如何保證移動辦公中企業數據在訪問、流轉全程的可管可控可追溯，是移動辦公安全的重要訴求。
4. 移動辦公安全運維的挑戰
隨著移動辦公需求的暴增，大量安全性參差不齊的新增設備需要接入內部業務，大量人員需要根據業務要求新增權限策略，大量新增的業務應用需要從向內改為向外發布的業務應用。在這種傳統方式下，運維人員被隨之而來的VPN擴容、IP地址段擴容、邊界訪問控制策略修改等需求淹沒。
同時，疫情期間，運維人員自身也難以直接到現場進行運維，安全高效的遠程運維成為了迫切需求。
二
如何重構邊界，實現端到端保護？
面對移動辦公的安全挑戰，業界提供了一系列思路和建議。美國國家標準與技術研究院（NIST）在今年三月份發布的公告中顯示，針對新冠疫情造成的移動辦公熱潮，應該基于NIST先前發布的移動辦公、遠程接入和移動設備安全管理指南（NIST SP 800-46 revision 2），來針對性地加固移動辦公的安全。NIST給出了10條建議，涵蓋了總體安全策略、多因素的認證和控制策略、應用和服務器的漏洞修補等方面。其中，NIST明確指出，應針對特定的用戶、設備和應用，基于當前風險進行決策，提供適宜的安全訪問方式和訪問權限。這一思路和手段，正與零信任思想不謀而合，也是深信服基于零信任的精益信任解決方案在移動辦公安全的落地宗旨。
零信任的概念最早于2010年被提出，經過不斷的完善和實踐，在近些年受到了業界的廣泛認可。Google、微軟、思科、賽門鐵克等IT和網絡安全廠商不斷推動零信任思想的應用，美國聯邦政府管理與預算辦公室（OMB）、美國國防創新委員會（DIB）等陸續將零信任確立為下一階段的安全建設重點之一。
2018年，國際權威分析機構Gartner基于零信任的思想和應用實踐，提出了精益信任的理念，進一步從風險和信任兩個角度，闡明了網絡安全建設的思路。
深信服基于零信任思想和精益信任理念，在2019年率先發布了精益信任安全解決方案。
深信服精益信任安全解決方案中，以aTrust精益信任平臺為中心，結合統一身份認證、安全態勢感知等外部輸入，通過對訪問用戶的身份、設備、行為等多維信息進行持續采集和評估，得到用戶實時信任等級。進一步依據實時信任等級來持續地動態調整用戶對企業后端資源的訪問權限，以實現基于身份重構信任關系、縮小資源暴露面等目標。
▲深信服精益信任解決方案架構
深信服精益信任解決方案，如何“對癥下藥”？
上文提到，移動辦公場景面臨著傳統邊界模型瓦解、風險暴露面增加、數據泄露風險增加、安全運維難以有效開展等痛點。而深信服基于零信任思想的精益信任解決方案，通過“全面身份化、無邊界動態訪問控制、自適應安全、易落地可成長”四個核心能力，來解決上述痛點問題。
1. 為了重構新的信任關系，深信服精益信任解決方案不依賴于簡單的用戶口令、網絡位置等特征來確定用戶身份和權限，而是基于設備軟硬件、安全狀態信息，用戶多元身份信息，當前和歷史行為信息，綜合判斷當前的用戶信任，進一步確定當前信任等級對應的可訪問資源。在上述信任判斷過程中，支持無客戶端或輕客戶端兩種方式，其中輕客戶端能夠更全面地感知終端安全現狀，并實現終端病毒木馬的輕量級查殺。
綜合來看，精益信任方案通過多源、實時的信任和風險評估，結合后端資源的安全等級，實現了不依賴于傳統網絡邊界，
2. 為了縮小資源的風險暴露面，防止數據泄露的發生，深信服精益信任解決方案對于遠程業務訪問，當且僅當在身份和權限確認通過后，權限內的后端應用和數據才對用戶可見，并隱藏其他資源。同時，該解決方案進一步針對不同的業務應用和數據安全等級，為B/S、C/S架構的系統分別設計了多種訪問接入方式。例如針對一般安全等級的辦公業務系統，通過HTTPS訪問代理或SSL隧道實現精益信任的控制邏輯。
對于高安全等級的生產業務系統，這樣的方式仍然不能防止終端數據落地后的外發和泄露風險。因此，高安全等級系統的接入訪問，采用了遠程瀏覽器或遠程虛擬桌面的方式，保證數據只留存于應用端，在終端側不落地。
同時，精益信任方案還支持桌面添加顯性或隱性水印，對訪問操作進行細粒度過濾，禁用文件拷貝、復制粘貼、覆蓋刪除等危險操作。通過這樣的方式，將移動辦公的數據安全做到終端側，實現了端到端的全程控制。
3. 為了解決安全運維難以有效開展的難題，在落地實施和安全運維層面，精益信任方案支持可成長的部署模式。該模式下，可以通過單一的aTrust精益信任平臺實現用戶、設備、應用的動態控制體系，也可以逐步增加接入安全組件，通過接入云、主機、數據、應用等層面的全局威脅感知，以及將控制策略與各層面安全組件聯動，將精益信任的控制邏輯推廣到全局安全建設。
在零信任實施中一直廣受詬病的資產、權限、策略梳理階段，精益信任方案根據大量實踐部署經驗，提出了“流量身份化、資產發現、權限基線構建、自適應訪問控制、訪問安全可視”的“五步法”實施策略。借助平臺集成的資產和用戶發現、權限采集器、策略編輯器等自動化工具，能夠極大減少用戶權限策略配置的工作量，縮短實施落地周期，降低運維難度。
移動辦公作為一項趨近成熟的技術，在今年得到了長足的推廣和應用。但移動辦公與傳統IT和安全架構融合的過程中，也出現了網絡邊界瓦解、風險暴露面增加、數據安全風險增大等挑戰。在多分支的大型央企、制造業、金融行業、IT科技類企業，上述風險尤其突出。
針對上述挑戰和風險，深信服基于零信任思想，創新性地構建精益信任解決方案，在多個上述類型的企業中進行了實踐，取得了良好反饋。移動化是一個不斷演進的趨勢，深信服將與業界同仁一道，為保證國內外客戶業務移動化的安全、順利開展而持續努力。
