是時(shí)候把你的服務(wù)從Internet“大染缸”中分離出來(lái)了！

　　軟件定義邊界安全模型的基礎，正是“零信任（Zero-Trust）”原則，業(yè)界也稱(chēng)之為“零信任網(wǎng)絡(luò )”或“無(wú)邊界網(wǎng)絡(luò )”。

　　早在2010年，時(shí)任Forrester首席分析師的John Kindervag創(chuàng )建了零信任架構。Google在2013年開(kāi)始向零信任架構轉型，帶動(dòng)這種新安全架構流行，逐漸成為主流。Forrester認為，三年內，零信任將成為網(wǎng)絡(luò )安全領(lǐng)域最流行的框架之一。

　　所謂“零信任”你的網(wǎng)絡(luò )，就是說(shuō)，企業(yè)不應自動(dòng)信任內部或外部的任何人/事/物。這種安全概念認為，應在授權前對任何試圖接入企業(yè)系統的人/事/物進(jìn)行驗證。

　　簡(jiǎn)言之，零信任的策略就是不相信任何人，“不放過(guò)一個(gè)壞人”。除非網(wǎng)絡(luò )明確知道接入者的身份，否則任誰(shuí)都別想進(jìn)入。什么IP地址、主機之類(lèi)的，不知道用戶(hù)身份或者不清楚授權途徑的，統統不放進(jìn)來(lái)。用戶(hù)的訪(fǎng)問(wèn)權限將不再受到地理位置的影響，但不同用戶(hù)將因自身權限級別的不同，擁有不同的訪(fǎng)問(wèn)資源。同時(shí)，過(guò)去從外網(wǎng)登陸內網(wǎng)所需的VPN也將被一道廢棄。

　　2017 RSA大會(huì )上，基于零信任架構準則，Google闡述了其“BeyondCorp”安全觀(guān)：

　　簡(jiǎn)單說(shuō)，就是無(wú)邊界設計、上下文感知和動(dòng)態(tài)訪(fǎng)問(wèn)控制三大指導原則。

　　隨著(zhù)網(wǎng)絡(luò )攻擊不斷進(jìn)化，變得更加復雜高端，防護企業(yè)系統及數據安全的壓力越來(lái)越大，傳統的安全方法早已“力不從心”，不能發(fā)揮作用的防火墻變得“形同虛設”。很明顯，企業(yè)不能再指望用VPN防護所有基礎架構。

　　波耐蒙研究所《2017數據泄露研究》發(fā)現，數據泄露事件所致平均損失為362萬(wàn)美元。盡管該數字比上一年有所下降，但數據泄露事件的平均規模卻上升了1.8%，達到了平均每起事件泄露2.4萬(wàn)條記錄之多。

　　看看那些最嚴重的的數據泄露事件，都是因為黑客進(jìn)入公司防火墻后，基本沒(méi)遇到什么阻礙，就能在內部系統中來(lái)去自如。很大程度上，邊界已經(jīng)不存在了，防火墻已經(jīng)逼近到了需要保護的資產(chǎn)身邊。本質(zhì)上，零信任模型就是在和過(guò)去邊界式的防護思維說(shuō)“再見(jiàn)”，是為新世界而生的安全架構。

　　業(yè)務(wù)擴張、移動(dòng)化辦公、BYOD、云轉型……如今企業(yè)員工的工作方式是分布式的，用戶(hù)工作的地點(diǎn)可能是家、酒店、分支機構或任何地方，不僅是公司辦公室。同時(shí)，用戶(hù)使用的應用程序可能來(lái)自?xún)炔浚�也可能通過(guò)SaaS、其他網(wǎng)絡(luò )或云訪(fǎng)問(wèn)。邊界已不再是那個(gè)邊界，IT專(zhuān)業(yè)人員需要以全新的方式思考安全架構。

　　新安全架構中的上下文是：“你是誰(shuí)？是否經(jīng)過(guò)嚴格認證？你使用什么設備？對你設備的了解情況如何？”零信任理念的核心是系統并不需要“證偽”，而是“若無(wú)法證明可被信任，即無(wú)法獲得權限”。

　　零信任網(wǎng)絡(luò )實(shí)質(zhì)上就是一個(gè)SDP，后者也是零信任網(wǎng)絡(luò )的一種具體實(shí)現方式。網(wǎng)絡(luò )邊界并不是一個(gè)確認可信度的有效方式。傳統數據中心基礎設施正在通過(guò)IaaS、PaaS和SaaS等外部云資源進(jìn)行擴展。盡管AWS、Microsoft Azure和VMware等云基礎架構各自擁有自己的網(wǎng)絡(luò )配置和安全模型，但其設計初衷并不是提供細粒度的訪(fǎng)問(wèn)控制，或基于云服務(wù)器實(shí)例更改來(lái)調整用戶(hù)訪(fǎng)問(wèn)。這正是SDP進(jìn)入的地方，為來(lái)自世界各地的、不同的網(wǎng)絡(luò )連接參與者建立安全邊界，無(wú)論在云端、DMZ、私有數據中心還是應用服務(wù)器中。

　　Citrix認為，新安全思維應“以人為中心”，具體原則包括：構建以用戶(hù)為中心的模型；無(wú)邊界的網(wǎng)絡(luò )安全；用戶(hù)不受地域和環(huán)境限制；對網(wǎng)絡(luò )、應用和數據實(shí)現基于上下文的行為感知；智能風(fēng)險探測；數據不落地。

　　實(shí)現動(dòng)態(tài)的、以身份為中心的安全，毫無(wú)疑問(wèn)，這是一大進(jìn)步。Gartner預計，到2021年，不少于25％的企業(yè)數據流量將繞過(guò)傳統邊界（目前是10%左右），并直接從移動(dòng)和便攜式設備流向云端。當然，SDP正受益于Citrix這樣市場(chǎng)領(lǐng)導者，讓IT團隊能夠基于NetScaler和XenDesktop工具，輕松創(chuàng )建軟件定義邊界模型，實(shí)現GDPR就緒。

　　摒棄地理位置和內部人員可信的概念，構筑數字安全圍欄，將安全防護從邊界擴展到企業(yè)員工和業(yè)務(wù)任何所到之處。Citrix數字安全圍欄的核心方法包括：通過(guò)數字安全工作空間為訪(fǎng)問(wèn)者提供設備獨立性、應用兼容性、位置靈活性。實(shí)現安全、高質(zhì)量和一致性的訪(fǎng)問(wèn)體驗；統一供給和管理應用和數據，適應各種混雜的私有和公有云基礎架構；為應用和數據提供安全、高效和可視化的交付網(wǎng)絡(luò )。

　　通過(guò)識別安全風(fēng)險來(lái)源與目標，作為隔離元素，Citrix可幫助企業(yè)有針對性地輕松構建安全隔離解決方案，已成為大量企業(yè)事實(shí)上的安全標準：Citrix HDX協(xié)議僅傳輸屏幕圖像、鍵鼠信息，可以有效隔離數據和應用邏輯；發(fā)布平臺集中在數據中心，有效縮小企業(yè)安全邊界；NetScaler對傳輸數據進(jìn)行加密封裝；屏幕錄像功能可以起到事前威懾、事中監控、事后追查的效果。細分落地方案包括網(wǎng)管資源隔離、數據隔離、生產(chǎn)系統運行環(huán)境隔離、網(wǎng)絡(luò )間隔離（邏輯隔離）、內外網(wǎng)隔離（網(wǎng)閘隔離）和互聯(lián)網(wǎng)隔離，面面俱到。

　　Citrix數字安全圍欄與Google零信任模型具有高度一致的理念，異曲同工。與Google零信任模型相比，Citrix數字安全圍欄無(wú)需對現有應用進(jìn)行任何改造，與企業(yè)現有IT架構無(wú)縫融合，權限管理等手段簡(jiǎn)單、強度中等。同時(shí)，進(jìn)一步隔離了應用邏輯和數據的交互，實(shí)現數據不落地。

　　還以為傳統邊界安全、防火墻能讓你“高枕無(wú)憂(yōu)”？是時(shí)候把服務(wù)從Internet“大染缸”中分離出來(lái)了！當然，過(guò)程和方法絕非簡(jiǎn)單的網(wǎng)絡(luò )隔離所能及。Citrix SDP是個(gè)好思路。