網安紀100年

　　邊陲之地，兩軍交戰。

　　一方主將力主零信任要義，統籌全軍。一方主將為保守派，將邊防城墻視為安全邊界。兩方對抗僵持不下，忽有試圖坐擁漁翁之利的黑客小國試圖襲擊……

　　黑客小國徐徐圖之：

　　保守派陣營，外嚴內松。邊界防線重軍駐守，部署狼煙、警哨（防火墻、入侵檢測系統）不等，強攻容易引起告警，且對抗不易。然，若以利誘之，策反小將為己（黑客小國）所用，近源攻擊、內鬼操作皆是大有可為。亦或是繞過邊線潛入或釣魚以竊取兵將令牌（員工賬號信息），頂替冒充，可步步深入，直竊主將機密。

　　反觀零信任陣營，不清虛實?？膳尚≈Ш诳完犖橐挂u，或潛入間諜，嘗試里應外合。然步入防線，觸發警報，間諜行動受限，四處訪問皆需經身份盤問與校驗。又以威逼與利誘，試圖策反，不想零信任已融于基礎設施之中，“最小權限授予、基于身份訪問控制”已為軍令不可動搖，且終端校驗處處可見?？此票Ψ稚?，卻固若金湯。

　　如此，零信任之旗在攻防對抗中得以勝利高舉。

　　2010年，John Kindervag提出了零信任理念，指出了“默認信任是安全的致命弱點”這一事實，然而經過了數年以及多次網絡安全危機后才逐漸被企業理解和認可。當前，邊界安全模型依舊是主要的網絡安全模型，相信在契機和革新的推動下，新的安全基礎架構被應用也只是時間問題。

　　2020年，疫情催發的遠程辦公需求吹起了零信任之風，而后，數據安全合規需求也成為了國內零信任發展的主推力。

　　在國內零信任的應用實踐中，成立于2018年的數篷科技創始團隊是第一批吃螃蟹的人。

　　根據數篷科技CTO楊一飛的回憶，這支創始團隊早在10年前就在相關領域沉淀與積累。從騰訊云計算平臺基礎架構的安全模塊研發，到百度全公司底層基礎設施的安全建設，讓他們清楚地意識到，基于數據驅動的業務和開放性的基礎設施將是下一代行業應用、產業發展的基礎，而安全是必須要解決的關鍵問題之一。

　　信任廢墟下，第一需求來自“解決問題”

　　伴隨企業IT架構變化、“默認信任”坍塌，在市場最火熱的時候，萬物皆可零信任。

　　根據這幾年對中國市場的貼地觀察，數篷科技的技術副總裁王柏達發現，部分企業對于零信任還是存在認知偏差、刻板印象或是僵化定義。

　　一方面，越來越多的廠商“零信任化”，不管是傳統廠商的轉型，還是創業公司的加入，都讓國內零信任市場愈發多元化與活躍；另一方面，很多企業對零信任理解不深，有“跟風”傾向，難免存在將零信任等同于某一類技術的認識偏差，如SDP、IAM等。此外，零信任模型中很重要的“動態授權”和“持續驗證”能力，在市場上還沒有相對統一的評估機制和標準。這也讓企業在選擇零信任產品時的評估指標很寬泛。

　　王柏達深信：零信任理念雖好，終歸要圍繞著甲方的實際業務場景來落地，解決問題比“噱頭”更重要。

　　在王柏達看來，企業傳統的基礎設施基于邊界信任模型，安全能力往往部署在企業網絡邊界的范圍內。而“安全即基礎設施”則意味著在傳統基礎設施上部署“軟件定義”的安全能力，訪問和應用在哪里、安全能力就隨之覆蓋到哪里。“軟件定義”也意味著，在成本控制和業務覆蓋上對企業更為友好。

　　由于國內互聯網發展快速，大多傳統企業在信息化還不是很完善的時候，就被擠進了互聯網浪潮。因此，這些企業的IT環境大多是錯綜且交疊的復合體，簡單來說就是兼備了陳舊的基礎設施和前沿的技術的一個混合IT架構。對新興的中小型企業和互聯網企業，雖然“歷史包袱”比較輕，又采用了開放的互聯網環境運轉，但由于業務導向很強，同樣也存在各類風險。

　　因此，所有企業仍需根據內部IT及安全建設的不同階段，采用靈活的零信任落地方式。而企業的零信任安全戰略應該基于業務需求、組織建設、技術選型、企業文化和思維方式等方面來制定。

　　譬如系統重構或公司初創階段，可以采用全新的零信任整體架構設計；已有系統但希望通過零信任減少風險，可以選擇ZTNA或網關式產品；當整體改造比較困難或擔心風險時，則可以選擇先在某個業務或某個部門或小部分員工進行零信任試點……以循序漸進的方式，從解決具體問題入手，是零信任進入企業的穩妥方式。

　　正是因為企業的情況和需求不盡相同，因此在選擇零信任產品的時候應考慮產品的可配置性、高效運營以及系統對接等能力。比如，可以根據不同的人員及業務類型配置不同的產品形態（基于零信任理念的VPN、應用網關或數據安全沙箱）；可以通過自適應策略引擎實現動態權限高效管控；通過軟件定義以及開放的API實現業務以及現有基礎設施的對接等。

　　當然，目前國內外對于零信任的部署方向不外乎兩種：“網絡和安全同步進行”，亦或是強調“零信任先行，網絡重構可以略微滯后”，在楊一飛看來，零信任安全產品和整體網絡架構的先后問題，無非是根據實際環境，螺旋式上升的發展趨勢。不管哪一種，最終指向的都是整體的零信任應用結果。

　　訪問安全是零信任的開局，而數據安全是未來

　　所有應用都是從訪問開始，關注訪問安全是一個很好的開局。但我們也必須承認，訪問僅僅是一個開端。

　　當零信任的訪問安全被市場廣泛應用時，新的安全問題出現了--任何時間、地點訪問企業內部數據資源的便捷下，意味著數據分布更分散，數據在邊緣或是云上面臨新的安全風險。

　　孤陰不長，獨陽不生。零信任的終點一定不是僅解決訪問安全問題，而是一個貫徹于IT和OT的更完整的解決方案。對于零信任的認知概念也在從一個單點（訪問安全）拓展至更大的范疇。

　　數年前，數篷已然做好了準備。自成立之初，當取名為數篷（DataCloak）時，他們就想好了要基于零信任理念為數據包裹上一個“柔性”的斗篷，即讓數據在高度交互和流動下產生價值，同時保障流動數據可用不可拿的安全。在楊一飛看來，數據安全就是零信任進一步發展的關鍵性方向。

　　過去，基于數據安全衍生了無數的安全產品，從加密、脫敏、數據防泄漏到數據庫安全，而隨著數據的分散、高頻流動，基于零信任理念的數據安全解決方案則更基于敏感數據訪問控制而發展。

　　在可預想的未來，數字化轉型將讓企業業務運行在整合計算、存儲和傳輸能力的虛擬化平臺上；從設備、網絡，到應用、數據，實現點對點對等安全。這將成為零信任產品的落地趨勢。

　　零信任、SASE和ZTE

　　零信任、SASE、ZTE（零信任邊緣）……在市場炒作周期內，大量術語在當下網絡安全環境中碰撞與交集，讓一些企業產生了疑問和混淆。事實上，最早是Forrester提出了零信任概念，其后是Gartner提出SASE，最近，Forrester又提出ZTE。

　　通過對這幾個概念的剖解，可以發現其核心都是基于身份的訪問控制來實現應用與數據安全。只是由于理念于不同的IT環境背景下提出，所以在描述上有所不同。如最早的IT環境中，由于大量應用與數據集中于數據中心，因此零信任理念也是基于數據中心的訪問控制而展開。隨著應用廣泛分布，數據流向終端、云端，從邊緣考慮應用與數據的安全訪問開始成為主流，這也催生了SASE、ZTE概念的火熱。

　　相比而言，SASE強調網絡和安全的緊耦合，要求單一提供商提供全套SASE產品，而ZTE強調網絡和安全解耦，可以由多個供應商集成。但是用王柏達的話來說，“殊途同歸”，實現邊緣數據安全將是相關產品的落地方向。

　　有趣的是，盡管SASE或是零信任的方案里常常會談論到SD-WAN，但從數篷科技等國內廠商推出的產品來看，更好的方式還是由安全廠商提供安全能力，由網絡運營商來提供網絡能力，發揮所長。而隨著企業級SaaS應用進程的推進，SASE的市場還將進一步打開。

　　在國內，大家對SASE更多處于探討與探索階段。而DACS AnyCloud?作為提供跨云跨地域的IT基礎設施平臺與安全服務的SASE解決方案，同樣在接受市場的磨合。

　　楊一飛認為，SASE的主要需求來自端到云的訪問中對網絡優化和安全保障能力的需求。當一個企業具備多個（跨地域）分支機構，并且擁有多個自建云和租用云時，實現多云、多業務、多地的互相訪問對于網絡和安全的高需求是顯而易見的。在這個基礎上，數篷科技通過自有安全能力和第三方（萬國數據）骨干網絡能力的疊加，同時解決了多端到多云，以及跨云互聯互通問題，也就是同時提供了終端到服務端，服務端到服務端的網絡優質互聯以及應用與數據安全保護。SASE是數篷科技零信任戰略規劃里的一環，也是數篷科技邁向云的起點。

　　“安全即基礎設施相當于做安全的虛擬化，把底層不同的物理基礎設施的安全特性用軟件定義的方式抽象化?！睏钜伙w提到，“越來越多的安全專家已經在零信任和數據安全、邊緣安全融合的道路上進行研究與探討。”

　　去年，數篷科技發布了名為HyperCloak?（凌界）的增強型零信任安全框架--國內第一個零信任安全框架?；A架構決定安全問題的復雜度，而這種讓零信任安全框架與基礎設施深度融合的方式，更是對以往的IT基礎架構提出了一個跨越性的補充。

　　一年的時間，大量企業通過SDK接入HyperCloak?，將這一安全框架與其內部的一些工作平臺進行融合?？蚣艿膶嵺`又回饋給2.0版本框架，形成正向優化。

　　如今，通往零信任的路，逐漸明朗。下一代的企業安全將基于零信任架構、由軟件定義、融合AI技術，形成橫貫企業辦公、云計算和邊緣計算場景的企業安全空間。

　　縱觀越來越多零信任可行性實踐的輸出，平臺化與生態化的發展，群策群力下形成犄角之勢?？v是車錯轂兮短兵接，應也無懼。