2022中國(guó)網(wǎng)安強(qiáng)星直播回顧 聊聊零信任大家最關(guān)心的那些事兒
聯(lián)軟科技
2022年11月26日
作為2022中國(guó)網(wǎng)安強(qiáng)星50強(qiáng)，近日，聯(lián)軟科技聯(lián)合創(chuàng)始人張建耀先生代表聯(lián)軟，受邀做客“解碼2022中國(guó)網(wǎng)安強(qiáng)星”直播間，多角度探討零信任熱點(diǎn)話(huà)題，帶來(lái)了一場(chǎng)精彩的“零信任安全”深度訪談。
?
?
?
圖：直播掠影
?
今天聯(lián)軟科技就來(lái)和大家一起回顧直播間的精彩瞬間，聊聊零信任大家最關(guān)心的那些事。
?
?
Q：零信任適用于哪些場(chǎng)景？
?
A：零信任適用于需要打破原有的辦公外網(wǎng)和互聯(lián)網(wǎng)混合的任意場(chǎng)景。比如從內(nèi)網(wǎng)到外網(wǎng)，從外網(wǎng)到互聯(lián)網(wǎng)，從互聯(lián)網(wǎng)到內(nèi)網(wǎng)，或者是多云之間的場(chǎng)景。所以，零信任并不局限于某些行業(yè)。比如在聯(lián)軟的零信任案例中，在政府、金融、制造業(yè)、醫(yī)療、運(yùn)營(yíng)商等行業(yè)都有大量的應(yīng)用。
?
目前，零信任主要的應(yīng)用場(chǎng)景包括四大類(lèi)：遠(yuǎn)程場(chǎng)景（遠(yuǎn)程辦公、遠(yuǎn)程運(yùn)維、遠(yuǎn)程開(kāi)發(fā)等）；全網(wǎng)零信任場(chǎng)景（解決外網(wǎng)到內(nèi)網(wǎng)的直接訪問(wèn)，同時(shí)在內(nèi)網(wǎng)部署零信任接入來(lái)滿(mǎn)足從外網(wǎng)到內(nèi)網(wǎng)的無(wú)縫安全切換）；多云訪問(wèn)場(chǎng)景（公有云、私有云、混合云）；安全防御與合規(guī)場(chǎng)景。
?
Q：一個(gè)好的零信任方案應(yīng)該具備哪些能力？
?
A：從NIST（美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院）模型來(lái)看，主要應(yīng)具備如下能力：
?
核心組件（可理解成零信任網(wǎng)關(guān)能力）：策略引擎、策略管理器和策略執(zhí)行；
?
端點(diǎn)安全能力：能適應(yīng)端點(diǎn)的多樣性、復(fù)雜性；
?
數(shù)據(jù)安全能力：據(jù)統(tǒng)計(jì)，企業(yè)80%的數(shù)據(jù)會(huì)到終端上來(lái)處理。數(shù)據(jù)到了端點(diǎn)，數(shù)據(jù)安全保護(hù)至關(guān)重要；
?
身份與訪問(wèn)管理能力：實(shí)現(xiàn)身份識(shí)別，精細(xì)化管控，與業(yè)務(wù)系統(tǒng)做對(duì)接；
?
安全分析能力：通過(guò)大數(shù)據(jù)平臺(tái)對(duì)數(shù)據(jù)和威脅情報(bào)進(jìn)行分析研判，通過(guò)屬性來(lái)判斷當(dāng)前終端能夠訪問(wèn)的業(yè)務(wù)資源。
?
Q：目前國(guó)內(nèi)客戶(hù)對(duì)零信任的接受度如何？政企機(jī)構(gòu)在落地零信任時(shí)會(huì)有哪些擔(dān)憂(yōu)？
?
A：零信任理念其實(shí)在2010年就已經(jīng)提出來(lái)了，經(jīng)過(guò)12年的發(fā)展，已經(jīng)有大量成功的落地案例，從Gartner的成熟曲線(xiàn)來(lái)看，ZTNA正處于由過(guò)熱到跌入谷底的階段，而中國(guó)的情況一般會(huì)比美國(guó)滯后2~3年，所以目前國(guó)內(nèi)對(duì)零信任整體還是屬于過(guò)熱的階段。
?
客戶(hù)對(duì)零信任已經(jīng)從陌生到理解，再到逐漸接受的階段。
?
政企機(jī)構(gòu)對(duì)落地零信任最主要的擔(dān)憂(yōu)包括以下幾點(diǎn)：
?
打破邊界。零信任的架構(gòu)中，講的是軟件定義邊界，也就是邊界模糊化了，這個(gè)跟傳統(tǒng)的網(wǎng)絡(luò)架構(gòu)是相悖的，很多客戶(hù)還不敢把邊界撤離，因?yàn)槲锢戆踩壳翱催€是最好的防御手段。
?
終端多樣化帶來(lái)的落地困難。現(xiàn)在的終端類(lèi)型較多，PC有windows、mac、linux、國(guó)產(chǎn)麒麟、統(tǒng)信等；移動(dòng)有安卓、ios、鴻蒙等系統(tǒng)，所有的終端都需要做適配，這個(gè)很少有廠商能夠做好。
?
數(shù)據(jù)安全。在零信任架構(gòu)中，所有的終端通過(guò)規(guī)則可以訪問(wèn)不同的業(yè)務(wù)系統(tǒng)，那業(yè)務(wù)系統(tǒng)的數(shù)據(jù)就會(huì)在終端上進(jìn)行處理、加工、流轉(zhuǎn)，如何保障這部分?jǐn)?shù)據(jù)的安全，也成為客戶(hù)比較關(guān)注的問(wèn)題。
?
Q：零信任的建設(shè)周期多長(zhǎng)？
?
A：零信任在落地的過(guò)程中，如果只是簡(jiǎn)單的去替換VPN的場(chǎng)景，聯(lián)軟最快實(shí)現(xiàn)兩天上線(xiàn)。
?
但是如果客戶(hù)涉及到比較復(fù)雜的訪問(wèn)權(quán)限的控制，這就會(huì)涉及到IAM系統(tǒng)的對(duì)接，需要做定制開(kāi)發(fā)，這種實(shí)施周期就會(huì)長(zhǎng)點(diǎn)，一般為3~6個(gè)月。
?
Q：聯(lián)軟為什么會(huì)進(jìn)入零信任領(lǐng)域？
?
A：我們從Gartner的定義來(lái)說(shuō)起，網(wǎng)絡(luò)準(zhǔn)入控制，英文是Network Access Control，簡(jiǎn)稱(chēng)NAC；零信任安全，英文是Zero Trust Network Access，簡(jiǎn)稱(chēng)ZTNA。
?
零信任只是網(wǎng)絡(luò)準(zhǔn)入控制加了一個(gè)前綴而已，可以理解為零信任安全就是在新的網(wǎng)絡(luò)架構(gòu)和云計(jì)算的環(huán)境下，新的一種準(zhǔn)入控制技術(shù)。所以聯(lián)軟做零信任并不跟風(fēng)，是很自然的切換到這個(gè)賽道上來(lái)，而且聯(lián)軟擁有巨大的先發(fā)優(yōu)勢(shì)。
?
?
聯(lián)軟科技早在2004年就開(kāi)始做網(wǎng)絡(luò)準(zhǔn)入控制，NAC產(chǎn)品的動(dòng)態(tài)訪問(wèn)控制思想，和零信任的核心思想是一致的。如聯(lián)軟UniEMM企業(yè)移動(dòng)安全支撐平臺(tái)的架構(gòu)采用APN網(wǎng)關(guān)，強(qiáng)調(diào)服務(wù)隱身和應(yīng)用層安全隧道；2019年聯(lián)軟推出SDP產(chǎn)品；2020年推出UEM的ZTNA零信任網(wǎng)絡(luò)訪問(wèn)產(chǎn)品和方案。聯(lián)軟一直提供領(lǐng)先的數(shù)據(jù)防泄露、數(shù)字水印、多網(wǎng)文件安全傳輸?shù)确桨缚梢匀嫒诤系叫碌牧阈湃畏桨?，為企業(yè)提供更強(qiáng)大的縱深防御體系。
?
Q：能否介紹一下聯(lián)軟零信任方案的構(gòu)成？
?
A：All in one，一套平臺(tái)，解決所有的管控難題。
?
聯(lián)軟的方案非常的簡(jiǎn)單高效，是業(yè)界唯一一個(gè)All in one零信任方案，后臺(tái)全部打通，連接在一起，通過(guò)單個(gè)客戶(hù)端來(lái)實(shí)現(xiàn)所有的能力，幫助客戶(hù)縮短建設(shè)周期和降低成本，提高客戶(hù)的管理效率。
?
聯(lián)軟把零信任安全整合到UEM（也就是統(tǒng)一終端管理）平臺(tái)中，在UEM平臺(tái)中，我們有SDP、EMM、準(zhǔn)入、終端安全、DLP、EDR等子系統(tǒng)，而這些子系統(tǒng)組成All in one的方案，來(lái)應(yīng)對(duì)各種不同的場(chǎng)景。
?
比如針對(duì)遠(yuǎn)程辦公的場(chǎng)景，如果是PC設(shè)備，可采用SDP子系統(tǒng)，如果涉及到移動(dòng)設(shè)備，可選用EMM子系統(tǒng)。如果客戶(hù)需要做全網(wǎng)的零信任，可將內(nèi)網(wǎng)的準(zhǔn)入和終端安全子系統(tǒng)也加進(jìn)來(lái)。
?
并且，這幾種模式都可以靈活地部署和切換。比如聯(lián)軟一些已經(jīng)合作的客戶(hù)，如果之前使用了聯(lián)軟的接入系統(tǒng)，就可以像插件一樣，把聯(lián)軟SDP產(chǎn)品再升級(jí)或者部署，就能具備管控外網(wǎng)能力。
?
?
Q：對(duì)于零信任的落地問(wèn)題，擁有一定基礎(chǔ)的企業(yè)建立零信任，需要替換原來(lái)的系統(tǒng)或拋棄現(xiàn)有的設(shè)備嗎？
?
A：實(shí)現(xiàn)零信任的過(guò)程中，不少客戶(hù)已經(jīng)擁有了準(zhǔn)入、防火墻等安全措施和能力。在實(shí)施零信任的時(shí)候，除了會(huì)替換傳統(tǒng)安全設(shè)備VPN以外，其他的系統(tǒng)都是可以和原本的系統(tǒng)做無(wú)縫的銜接和聯(lián)動(dòng)。
?
比如聯(lián)軟的UEM平臺(tái)，它涵蓋了一系列的子系統(tǒng)，包括SDP、EMM、準(zhǔn)入、終端安全環(huán)境感知、DLP、EDR等等。聯(lián)軟的方案落地其實(shí)很簡(jiǎn)單，根據(jù)客戶(hù)的需求，漸進(jìn)式的來(lái)實(shí)施部署，因?yàn)檫@些模塊都可以通過(guò)插件式的方式做增量的部署。
?
例如已經(jīng)實(shí)施了聯(lián)軟準(zhǔn)入控制的客戶(hù)，可以很容易的通過(guò)升級(jí)，切換到全網(wǎng)的零信任方案中，實(shí)現(xiàn)在內(nèi)網(wǎng)和互聯(lián)網(wǎng)通過(guò)一個(gè)Agent來(lái)訪問(wèn)網(wǎng)絡(luò)資源。除了替換掉客戶(hù)原有的VPN設(shè)備外，整個(gè)零信任在實(shí)施中不需要拋棄其他的安全設(shè)備，而且還可以跟原有的準(zhǔn)入控制等系統(tǒng)做聯(lián)動(dòng)。
?
Q：政企機(jī)構(gòu)在落地零信任方案時(shí)，有標(biāo)準(zhǔn)化的流程或者方法論可以遵守嗎？
?
A：對(duì)于零信任的原則、流程和方式，在云安全聯(lián)盟CSA相關(guān)培訓(xùn)中有完整的闡述。事實(shí)上，經(jīng)過(guò)多年的實(shí)踐和摸索，聯(lián)軟目前已經(jīng)形成了一套完整的零信任項(xiàng)目落地的實(shí)施方案，對(duì)此，可以分享以下幾點(diǎn)經(jīng)驗(yàn)：
?
引入零信任安全的最佳時(shí)機(jī)：要與企業(yè)的數(shù)字化轉(zhuǎn)型同步。不要追求時(shí)髦。因?yàn)榱阈湃伟踩脑瓌?dòng)力是云化和移動(dòng)化，如果企業(yè)的云化和移動(dòng)化的還屬于早期階段，可以先把內(nèi)網(wǎng)安全建設(shè)起來(lái)，而不急于部署零信任的方案。
?
建設(shè)零信任方案，要采用漸進(jìn)式來(lái)實(shí)施部署。先做好總體規(guī)劃，然后一步一步遷移，否則可能因?yàn)楦膭?dòng)太大而導(dǎo)致項(xiàng)目失敗。大家都清楚，Google 的BeyondCorp項(xiàng)目花了7年才建設(shè)完成，我們的建議是先從遠(yuǎn)程辦公、遠(yuǎn)程運(yùn)維、遠(yuǎn)程開(kāi)發(fā)做起，然后再逐步進(jìn)行全網(wǎng)的零信任改造。
?
零信任方案的難點(diǎn)以及關(guān)鍵點(diǎn)在于數(shù)據(jù)安全。在建設(shè)零信任的時(shí)候，要重點(diǎn)考察零信任產(chǎn)品及方案是否有數(shù)據(jù)安全的能力，數(shù)據(jù)一旦到了終端上，是否能夠做好保護(hù)，保障數(shù)據(jù)不外泄。
?
Q：實(shí)施零信任，會(huì)給政企機(jī)構(gòu)帶來(lái)哪些價(jià)值？
?
A：聯(lián)軟一直以來(lái)奉行的合作原則是創(chuàng)造價(jià)值，成就伙伴，為客戶(hù)提供最優(yōu)質(zhì)的產(chǎn)品、服務(wù)和支持，讓所有合作伙伴與聯(lián)軟實(shí)現(xiàn)共贏。
?
在零信任領(lǐng)域，我們主要給政企機(jī)構(gòu)帶來(lái)如下價(jià)值：
?
暴露面收斂。以前客戶(hù)的很多業(yè)務(wù)都暴露在公網(wǎng)上，每個(gè)業(yè)務(wù)都要對(duì)外提供服務(wù)端口，有些還甚至不止一個(gè)。有暴露就會(huì)有遭受攻擊的可能性，每次一旦發(fā)布0Day漏洞的時(shí)候，客戶(hù)就寢食難安，加班加單堵漏洞，無(wú)窮無(wú)盡。上了零信任后，很多業(yè)務(wù)端口都隱藏在零信任網(wǎng)關(guān)背后，如果啟用SPA功能的話(huà)，甚至唯一的對(duì)外端口也隱藏了，還防止了DDOS攻擊、外部暴力破解等攻擊。
?
取代VPN，安全性提升一個(gè)量級(jí)。每年護(hù)網(wǎng)客戶(hù)最頭疼的就是VPN，VPN的機(jī)制天然的就易受攻擊，賬號(hào)丟失也是有較大風(fēng)險(xiǎn)。
?
接入安全性大大提升。由于有終端的環(huán)境感知能力，通過(guò)ABAC的機(jī)制，對(duì)終端的安全性進(jìn)行實(shí)時(shí)的檢測(cè)，實(shí)時(shí)的響應(yīng)。
?
數(shù)據(jù)安全得到保障。所有的數(shù)據(jù)，通過(guò)沙箱保護(hù)起來(lái)，對(duì)這些數(shù)據(jù)的處理和外發(fā)進(jìn)行監(jiān)控，保障企業(yè)的業(yè)務(wù)數(shù)據(jù)不會(huì)通過(guò)終端傳播出去。
?
Q：目前國(guó)內(nèi)有大量廠商都進(jìn)入了零信任賽道，聯(lián)軟的競(jìng)爭(zhēng)力和差異化優(yōu)勢(shì)體現(xiàn)在哪些地方？
?
A：零信任現(xiàn)在處于過(guò)熱的階段，有很多廠商進(jìn)入這個(gè)賽道是很正常的，這里面分為幾類(lèi)廠商。第一類(lèi)傳統(tǒng)做防火墻的邊界安全產(chǎn)品的廠商，公安部統(tǒng)計(jì)，當(dāng)前有200多家防火墻廠商，這些廠商都有可能切換到SDP這個(gè)產(chǎn)品上來(lái)；第二類(lèi)是傳統(tǒng)做終端安全的廠商，這類(lèi)廠商因?yàn)橛幸欢ǖ募夹g(shù)壁壘，相對(duì)來(lái)講少一點(diǎn)，大概有十幾家；第三類(lèi)就是傳統(tǒng)做4A和身份安全的廠商，他們重點(diǎn)推出的是IAM的產(chǎn)品；所以會(huì)發(fā)現(xiàn)，目前整個(gè)網(wǎng)絡(luò)安全圈子感覺(jué)上有一半在做零信任的業(yè)務(wù)。
?
分析下來(lái)，最終能夠存活下來(lái)的廠商應(yīng)該是這三類(lèi)廠商中幾個(gè)頭部的廠商。
?
而聯(lián)軟的競(jìng)爭(zhēng)力毋庸置疑，目前我們已經(jīng)是中國(guó)企業(yè)端點(diǎn)安全市場(chǎng)的領(lǐng)導(dǎo)者，我們?cè)陂_(kāi)放型市場(chǎng)，包括金融、制造、運(yùn)營(yíng)商、政府、醫(yī)療等行業(yè)有非常大的競(jìng)爭(zhēng)優(yōu)勢(shì)和客戶(hù)體量。而我們的核心優(yōu)勢(shì)又在訪問(wèn)控制、端點(diǎn)安全、數(shù)據(jù)安全等領(lǐng)域，都是零信任安全技術(shù)的重點(diǎn)和難點(diǎn)。
?
此外，聯(lián)軟在生態(tài)方面也是非常的開(kāi)放和積極的，目前我們已經(jīng)跟華為、安恒、阿里等十多家業(yè)界主流安全廠商建立了生態(tài)合作關(guān)系，輸出我們的零信任相關(guān)的能力，完全能滿(mǎn)足客戶(hù)需求。
?
Q：基于現(xiàn)有的網(wǎng)絡(luò)安全形勢(shì)，未來(lái)還有哪些新的安全技術(shù)趨勢(shì)值得關(guān)注？
?
A：個(gè)人隱私保護(hù)，會(huì)是未來(lái)一個(gè)值得關(guān)注的話(huà)題。對(duì)于企業(yè)客戶(hù)來(lái)說(shuō)，如何保障設(shè)備的安全性和保護(hù)隱私，值得思考。而個(gè)人用戶(hù)，To C 的市場(chǎng)上，也在尋求更好的技術(shù)保障個(gè)人隱私。相信未來(lái)，很多廠商都躍躍欲試，這是一個(gè)發(fā)展?jié)摿艽蟮姆较颉?/span>
?
19 年來(lái)，聯(lián)軟從全球較早的網(wǎng)絡(luò)準(zhǔn)入控制廠商之一，成長(zhǎng)為中國(guó)企業(yè)端點(diǎn)安全領(lǐng)域的領(lǐng)導(dǎo)者、國(guó)產(chǎn)自主可控的網(wǎng)絡(luò)安全新基建領(lǐng)軍廠商、并成為國(guó)內(nèi)率先落地基于“零信任安全”產(chǎn)品的廠商之一。
?
目前，聯(lián)軟科技已經(jīng)在中國(guó)銀行、光大銀行、交通銀行等頭部客戶(hù)成功交付眾多零信任項(xiàng)目；多位專(zhuān)家獲得Forrester零信任認(rèn)證(Forrester ZERO TRUST Certification)、CSA零信任專(zhuān)家認(rèn)證CZTP，擁有多位CSA種子級(jí)別零信任講師，成長(zhǎng)為大中華區(qū)零信任理念實(shí)踐的領(lǐng)航者身份。從網(wǎng)絡(luò)準(zhǔn)入控制的領(lǐng)軍者，到零信任安全的領(lǐng)航者，未來(lái)，聯(lián)軟將加強(qiáng)在零信任領(lǐng)域的不斷創(chuàng)新和發(fā)展，幫助企業(yè)加強(qiáng)網(wǎng)絡(luò)安全保障，重塑安全邊界。
?