「C位观察」零信任：企业分布式安全管理架构 | C位
欢迎来到「C位」，它是CMC资本团队全新打造的与创业圈、科技产业、学术界分享交流的频道。通过这个窗口，我们关注和记录在当下发生的诸如企业数字化、产业智能化、业务自动化、无人驾驶与智能车、新能源技术、元宇宙等一系列科技领域中的技术前沿、创业实践，以及行业趋势思考，内容形式包括业界对话、行业观察、投资观点等等。我们期望以开放的信息分享和坦诚的观点解构为特色，注重质量，持续输出。
本期「C位观察」由CMC资本合伙人徐晨（Ken Xu）和CMC资本投资经理张哲先（Zinsser Zhang）共同执笔，给大家带来一篇有关数据安全领域的最新观察——「零信任：企业分布式安全管理架构」。
徐晨 Ken Xu
CMC资本 合伙人
人工智能、信息安全、物联网、区块链
张哲先 Zinsser Zhang
CMC资本 投资经理
网络安全、AI场景化落地、Web 3
长文预警：本文超过4500字，
预计阅读时长：12分钟
序
序：疫情冲击下员工办公方式的新常态
2020年开始，新冠疫情的爆发影响了人们的生产生活，也影响了企业员工之间的工作状态。工作地点对于部分工作群体而言变得愈发模糊，其中远程办公、移动办公的概念受到疫情的催化变得愈发常态化。
根据相关机构统计，31%的受访企业受到疫情影响开始允许员工远程办公，而90%的受访者表示在疫情之后希望所在公司可以允许员工远程办公。尽管目前部分地区放松了管控政策以及限制条件，允许员工重返工作岗位，但疫情已对于企业工作模式形成深远的影响。
图：疫情对于远程办公的影响
01
远程办公环境下带来的安全挑战
远程办公的发展改变了员工在工作中的沟通协作模式，而且灵活的工作模式对于网络环境以及交互软件提出更高的要求。疫情期间各种企业软件的使用规模也在快速增长，企业通过自建或外采信息化解决方案的模式来满足员工在文档协作、即时通讯以及审批管理等方面的需求。其中以阿里钉钉、腾讯企业微信为代表的办公协作软件在短期呈现出爆发式增长。根据数据显示，2022年7月，钉钉的日均活跃用户数相比疫情前实现43%的复合增长，企业微信的增长率达到75%。
图：远程办公软件日均活跃用户数
伴随着大面积的软件使用，传统依托于纸质进行信息传递的方式逐步转变为线上的数据传输。而开放的远程办公环境为其中数据传输的安全稳定性引入了外部的攻击风险。
挑战1 自带设备访问的安全隐患
自带设备（BYOD）意味着员工可以使用自有设备访问公司数据信息。受到疫情影响大量员工无法现场操作公司设备，开始使用自有设备进行工作处理。自带设备一定程度上可以降低企业额外的硬件采购成本，为员工提供更灵活的生产模式，但外部设备的接入也为企业网络环境埋下极大的安全隐患。其中每台设备在外部网络环境下会形成一个单一的节点，外部攻击者可以利用恶意软件进行单点攻击进而获取相关的机密数据资料。
挑战2 单点安全产品的局限性
不同的产品本身具备一定的安全防护功能，但不同产品安全功能之间无法进行有效的联动和底层防护。并且不同供应商安全能力并不一致，一旦某一软件出现漏洞攻击将会影响整个体系终端用户的信息安全。
挑战3 安全问题溯源困难
远程分布式办公的模式下，往往数据会在各个部门和小组之间流通，同时不断更新和迭代出不同版本，流转流通的过程可能会导致数据泄露。而多节点的接入访问环境对于数据泄露事件发生后的溯源以及安全审计工作带来了挑战和难度。
02
现有技术架构及相关的问题
数据审计类：DLP
技术定义：DLP的全称为Data Loss Prevention，主要通过既定的算法策略识别数据内容，并且根据其中敏感信息的使用情况进行检测控制。常见的DLP产品包括终端DLP、网络DLP、应用DLP等。
终端DLP：主要部署在PC或服务器端，针对端侧数据交互进行防护。通过对于端侧数据管控检测，生成相关的预警和审计日志。
网络DLP：主要部署在网路出口，针对网络传输数据进行防护。通过针对关键节点上的网络流量识别分析，及时进行阻断和提示。
应用DLP：主要部署在企业邮箱出口，针对邮件收发内容进行识别和监控分析。
技术局限：利用DLP技术进行安全防护需要制定严格的策略来进行数据的检测识别，相关内容的敏感程度和安全性高度依赖业务人员的参与评估，一定程度影响产品交付部署的周期。
数据访问类：VPN产品/远程桌面（VDI）
技术定义：VPN是解决远程办公的传统解决方案之一，主要通过虚拟网络的方式帮助员工进行企业内部访问；VDI则是一种桌面虚拟化解决方案，通过串流的方式将后端服务器虚拟机上运行的虚拟桌面映射到前端设备载体。
技术局限：VPN存在较高安全风险，由于外部接入设备所处网络环境良莠不齐，一旦攻击者入侵一台外部设备，则整个企业内网环境将会面临风险；VDI的使用主要受制于网络环境的稳定性，当外部网络出现延时则会直接影响生产效率。
终端防护类：端点安全
技术定义：端点安全通过在设备终端部署代理进行安全防御，通过后端统一的管控平台执行安全策略，针对攻击行为进行处理响应。目前终端安全产品在面对APT攻击时的效果具备一定的优势，可以进行主动的检测取证以及溯源处理。
技术局限：目前端点安全的产品部署需要跟客户业务系统进行相应的端口适配，兼容性层面无法实现普适化推广；由于目前不同的上游厂商对于数据字段以及数据类型并未制定统一化的标准，实际的产品落地的误报率以及漏报率都存在一定的优化空间。
03
零信任架构的出现以及落地
什么是零信任？
零信任概念于2010年由Forrester提出，旨在遵循最小权限控制原则对资源访问实施控制和检测，默认不授予任何访问信任，而是基于访问动作进行动态评估授权，将资源访问限制在一定范围内进行。其相较于过往方案可以实现多设备、复杂网络环境下的系统性安全防护。
图：零信任发展时间线
传统安全防护多以边界作为核心，默认边界内部都是安全的。系统并不会识别安全目标或防护主体，导致安全目标存在无差异性。零信任的安全方案强调资源的按需分配，同时基于后端引擎灵活地对于访问内容进行动态授权，最大程度地缩小访问范围。
图：传统安全与零信任安全的防护逻辑对比
零信任安全的技术架构与核心
作为一种新的安全解决方案，零信任并非是一套单点技术作为支撑，其背后具备一整套的技术架构指导零信任落地。目前业内普遍认为零信任关键技术分为三部分：身份识别与访问管理（IAM）、软件定义边界（SDP）与微隔离（MSG）。
图：零信任技术架构图
A身份识别管理：保证用户从登陆系统到授权的过程，确保正确的身份在正确的环境下进行访问
B软件定义边界：通过软件的方式建立虚拟边界，隐藏核心资产的服务器地址和端口
C微隔离：针对内部横向流量的访问进行防护，阻止服务器以及容器之间可能存在的安全风险
零信任的核心能力是基于身份进行动态授权，涉及三方面内容：动态授权策略引擎、业务隔离以及终端安全。其中动态授权引擎是零信任体系的核心，业务隔离是信息防护的手段，终端安全防护是落地的载体。
动态授权策略引擎：过往统一的办公环境下可采用统一的策略进行控制，而随着用户设备以及接入环境的多元化，网络访问过程是流动的授权过程。零信任的核心是基于访问身份进行动态的授权控制，需要对于用户实现最小化授权。策略引擎主要基于访问角色或访问属性以及当前外部环境风险计算信任评分，并根据评估结果进行相关的访问授权或拒绝。
业务隔离：主要是借助软件定义边界（SDP）、微隔离（MSG）等技术帮助实现关键业务信息的隐藏，使得攻击者无法扫描目标系统DNS信息以及相关端口。其中微隔离多用于云环境的系统隔离；软件定义边界多用于本地环境以及云环境的系统隔离。
终端安全：对于零信任实际的落地而言，系统会在服务端和客户端分别进行保护。服务端的防护主要使用业务隔离的方式实现，客户端则需要建立终端的隔离环境防止威胁入侵。目前多采用分区隔离的方式建立零信任通道，基于零信任的通道环境实现与服务端的互联互通。
04
零信任技术落地现状及挑战
正如前文提到，远程办公期间大量的软件使用增加了系统对于身份的统一认证管理负荷，且分布式的环境下企业需要放开更多敏感信息供员工访问。而零信任架构中的访问控制、边界隔离、安全审计等功能可以针对性的帮助企业解决远程办公中的安全问题。根据相关机构统计，近年国内零信任落地案例呈现快速的增长，2022年上半年零信任相关项目数量已经达到239个，接近2021年项目总和。其中主要包括政府、金融能源、运营商、互联网等行业客户。
图：国内零信任相关项目数量统计
按照客户所处行业的属性不同，其对于零信任产品建设的诉求也存在差异。其中政府行业客户多以政策需求为导向，定制化需求偏多，往往需要涉及到各个厂家的对接，玩家集中在传统的网络安全厂商；电信运营商客户的采购有较强的地域属性，传统的强渠道安全厂商占据优势；金融/能源客户对于安全产品需求较高，目前城商行、农商行已经开始建设，国有银行也开始有相关的产品建设动作；互联网电商客户对于便利性要求较高，倾向于集成性的即插即用产品，其中头部的互联网公司也会倾向自研产品方案。
图：不同行业对比
虽然国内用户对于零信任产品的接纳度正不断提高且带来市场的快速发展，但相关产品方案在实际落地过程中仍存在部分挑战及问题，其中包括：
业务紧耦合带来的交付周期较长：零信任体系需要根据企业员工角色进行细颗粒度的权限切割，同时需要适配业务系统的相关访问策略。所以供应商往往面临较长周期的产品适配过程，其中不仅涉及科技部门、运维部门，还会涉及到跟业务部门的持续沟通。
作为系统性工程需要进行上下游融合：零信任是一整套的安全体系，除了上文提到的三种核心技术组成，还涉及到跟外部态势感知、端点安全等产品的对接融合以及企业内部网络架构、认证体系的改造。其中数据质量、产品完备度都会影响最终交付的使用体验。
客户心理预期与落地效果的差距：零信任技术作为近年比较热门的安全产品之一获得诸多客户的选择青睐，客户期望借助相关产品的采购给公司安全防护体系带来立竿见影的效果。然而一方面安全产品的投入产出比难以进行定量的衡量，另一方面零信任产品作为嫁接软件和业务人员的工具需要员工的适应与配合。
基于以上的现状以及存在问题，零信任技术的进一步落地仍需要正确的引导及宣传，同时需要时间沉淀来进行市场渗透。网络安全市场的采购端往往存在政策合规以及业务需求两种驱动要素，随着2021年《数据安全法》、《个人信息保护法》等一系列政策出台，客户对于网络安全的采购重视度明显提升，零信任厂商则需要更多思考相关产品与业务的结合，找准落地场景有针对性的解决痛点需求。
05
结语
云计算、物联网等新技术的发展推动安全理念的不断变革，随着企业物理资产的数字化程度逐步提高，传统资产边界的概念也变得模糊，企业需要更先进的网络安全策略进行防护。其中无论是零信任安全、SASE、隐私计算等新型安全技术的出现，还是车联网安全、区块链安全等伴随新场景崛起而产生的安全新需求都将会踏入快速发展的道路。我们期待未来更安全可信的网络环境，同时也将持续关注其中的结构性机会。
「C位对话」Vol.3：RPA如何向超自动化演变？| C位
2022-07-15
「C位观察」自动化：企业服务领域的下一波浪潮 | C位
2022-06-30
「C位观察」智能车专题系列（1）：自动驾驶，未来将至 | C位
2022-06-15
「C位对话」Vol.2：采矿也可以酷起来~ | C位
2022-05-31
