歲末年關(guān)，網(wǎng)絡安全領域再次展示了它“不安全”的一面。

　　近日，美國網(wǎng)絡安全公司FireEye 發(fā)布分析報告稱，SolarWinds 旗下的Orion 基礎設施管理平臺的發(fā)布環(huán)境遭到攻擊者入侵，產(chǎn)品被攻擊者植入后門，受到了嚴重的供應鏈攻擊。所謂的“供應鏈攻擊”，是攻擊者將惡意代碼隱藏在第三方提供的合法軟件的一種攻擊方式，通過這種供應鏈隱藏，其可以獲取目標系統(tǒng)的訪問權(quán)限，從而竊取系統(tǒng)和平臺上的敏感數(shù)據(jù)。

　　把此次“Solarwinds供應鏈攻擊事件”列為2020年十大網(wǎng)絡安全事件之一一點都不為過。要知道連美軍五大部隊、美國國務院、NASA、NSA、美國總統(tǒng)辦公室等等都是Solarwinds的客戶，其波及范圍可想而知。

　　實際上，SolarWinds自己本身就是一家主營網(wǎng)絡安全管理軟件產(chǎn)品的公司?？v使是這樣，仍舊發(fā)生了“網(wǎng)絡安全公司”自己被攻擊的事件，這種“黑色幽默”也讓人充分意識到了，當今網(wǎng)絡世界絲毫都不安全的現(xiàn)實。

　　當前，隨著云服務、邊緣終端、便攜設備、移動辦公等新技術(shù)的普及，企業(yè)內(nèi)外網(wǎng)的邊界逐漸模糊。傳統(tǒng)基于邊界的安全防護邏輯開始逐步失效。網(wǎng)絡安全行業(yè)亟需一種“永遠信任，始終要驗證”的零信任安全架構(gòu)。

　　可以預測，從“有邊界防護”到“無邊界管控”，零信任安全的這種全新邏輯，將給整個網(wǎng)絡安全行業(yè)帶來極大的顛覆，其或?qū)⒅貥?gòu)整個網(wǎng)絡安全的格局。那些能夠敏捷轉(zhuǎn)身、順勢而為者，很有可能會在全球越發(fā)重視網(wǎng)絡安全的當下，快速地崛起。

　　全球安全事件頻發(fā)，傳統(tǒng)網(wǎng)絡安全架構(gòu)錯在“太老了”

　　從委內(nèi)瑞拉國家電網(wǎng)干線受攻擊，造成全國大面積停電，到丹麥126萬公民的納稅人身份證號碼被意外曝光；從美國天然氣管道商遭攻擊，被迫關(guān)閉壓縮設施，到葡萄牙能源巨頭EDP遭網(wǎng)絡攻擊，被勒索近1,000萬歐元……即將結(jié)束的2020年，依舊是網(wǎng)絡安全事件頻頻發(fā)生的一年。

　　相比于上述大部分案例，此次Solarwinds供應鏈攻擊事件，無論從波及面還是影響程度來說，都要嚴重得多。消息顯示，此次事件的受害者遍及北美、歐洲、亞洲和中東地區(qū)的政府、科技公司和電信公司，覆蓋軍工、能源等多個涉及國家安全的行業(yè)。

　　SolarWinds此前曾坦誠，“有‘少于18,000 家’企業(yè)受到了影響。”話音剛落，在這18,000家企業(yè)里面，越來越多的企業(yè)就被“確定”，這其中不乏思科、英特爾、英偉達、VMware等知名企業(yè)。

　　美國聯(lián)邦政府已宣布旗下所有機構(gòu)，都要立即放棄SolarWinds 的 IT 管理系統(tǒng)。

　　馬化騰曾經(jīng)說過一句非常扎心的話，“你什么都沒錯，錯就錯在太老了”。其實，把這句話嫁接到網(wǎng)絡安全行業(yè)，也同樣非常適合。傳統(tǒng)網(wǎng)絡安全行業(yè)經(jīng)過這么多年的發(fā)展和迭代，向前邁出的每一步，都存在著嚴重的“路徑依賴”。具體來說，傳統(tǒng)網(wǎng)絡安全架構(gòu)的“老”，主要體現(xiàn)在以下四個弊端上：

　　第一，是邏輯弊端。相比于“零信任”，某種角度上，傳統(tǒng)網(wǎng)絡安全架構(gòu)的邏輯可看成是“全信任”——我信任你們，但是我要全方位、一層一層地檢查。殊不知，但凡信任之后再檢查，就始終有疏忽的地方。

　　第二，是邊界弊端。傳統(tǒng)網(wǎng)絡安全架構(gòu)有內(nèi)外網(wǎng)的邊界概念。潛意識里認為內(nèi)網(wǎng)的就是安全的，外網(wǎng)的就是要防護的。然而就像前面所說，內(nèi)外網(wǎng)的邊界如今已經(jīng)變得極為模糊，在這種背景下，何談后續(xù)的防護？而且，即使是內(nèi)網(wǎng)，也經(jīng)常存在各種非法、間諜的情況。

　　第三，是場景兼容的弊端。近年來隨著5G、云計算、大數(shù)據(jù)的飛速發(fā)展，加之今年新冠疫情的催化，出現(xiàn)了企業(yè)核心應用“云化”、業(yè)務節(jié)點“邊緣化”、辦公場地“多樣化”、服務形式的“網(wǎng)絡化”、內(nèi)部流程的“數(shù)字化”等等各種“新態(tài)勢”，傳統(tǒng)網(wǎng)絡安全架構(gòu)，在兼容性和擴展性上滿足不了新的需求。

　　第四，是管控顆粒度的弊端。傳統(tǒng)網(wǎng)絡安全架構(gòu)，顆粒度比較粗糙，“內(nèi)外網(wǎng)”成了最重要的分界線。然而，現(xiàn)如今的攻擊，以此SolarWinds 供應鏈攻擊為例，攻擊者通過獲取正規(guī)廠商的證書并利用其對自身進行簽名，導致了所有信任該證書的企業(yè)、機構(gòu)都存在遭受入侵的風險。可見，“內(nèi)外網(wǎng)”這種極為粗糙的顆粒度管控方式，是遠遠跟不上時代發(fā)展的。

　　所以，從以上四大弊端來看，在全球范圍內(nèi)，用零信任安全架構(gòu)對傳統(tǒng)網(wǎng)絡安全架構(gòu)進行迭代升級，既是迫在眉睫也是大勢所趨。就像【奇安信(688561)、股吧】的齊向東所言，“網(wǎng)絡被徹底打開，傳統(tǒng)邊界屬性改變，傳統(tǒng)的IT安全架構(gòu)已經(jīng)跟不上時代發(fā)展，需要探索全新的安全解決方案。”

　　網(wǎng)絡安全的破局者，為什么是零信任安全？

　　自從Forrester Research的分析師John Kindervag在2010年正式提出“零信任”這一概念后，零信任就持續(xù)獲得了業(yè)務的關(guān)注和認可。根據(jù)美國國家標準與技術(shù)研究院（NIST）在《零信任架構(gòu)標準》中的定義：“零信任（Zero Trust，ZT）提供了一系列概念和思想，旨在面對被視為受損的網(wǎng)絡時，減少在信息系統(tǒng)和服務中執(zhí)行準確的、權(quán)限最小的按請求訪問的決策時的不確定性?！?/p>

　　這一翻譯過來的定義，其實說白了就是，不信任內(nèi)部或外部的任何人員/設備/應用/等，必須在授權(quán)前對任何試圖接入企業(yè)系統(tǒng)的人員/設備/應用/等進行驗證，對數(shù)據(jù)、資源、應用、接口、服務等的訪問，遵循“只有必要，方才授予”的原則。

　　John Kindervag最初在提出“零信任”概念時，提到的三個原則：一是不應該區(qū)分網(wǎng)絡位置；二是所有的訪問控制都應該是最小權(quán)限且嚴格限制的；三是所有的訪問都應當被記錄和跟蹤。這三大原則一方面既保證了數(shù)字資產(chǎn)、數(shù)字業(yè)務最小程度地暴露給網(wǎng)絡，從根源上降低被攻擊的風險；另一方面，又提高了訪問的靈活性、敏捷性、易用性、夠用性、以及可溯源性、可擴展性。

　　更具體點來講，零信任安全架構(gòu)之所以能夠在近年來快速崛起，有三大優(yōu)勢不可忽視，這三大特點也契合了數(shù)學的三種思想。這種“思想”層面的領先型，或許才是零信任安全架構(gòu)終將顛覆傳統(tǒng)網(wǎng)絡安全架構(gòu)的最堅實底座。

　　首先，是極限思想。零信任安全“不相信任何人/事/物”，不管其是什么級別、所處何種網(wǎng)絡。零信任的企業(yè)業(yè)務應用系統(tǒng)默認關(guān)閉所有端口，拒絕內(nèi)外部一切訪問，只對合法客戶端的IP定向動態(tài)開放端口，由此就可以直接避免任何非法的掃描和攻擊。

　　其次，是連續(xù)思想。零信任對外部的訪問，不是一次性驗證的，而是持續(xù)性驗證的，而且還會根據(jù)驗證、監(jiān)控的結(jié)果，對訪問進行信任評估和權(quán)限調(diào)整。這種“連續(xù)性的響應”，可以全程保證訪問都在管控之下。

　　再次，是最小化思想。最小化思想或者說最小化原則，在保證訪問“夠用”的同時，也極大地縮小了被攻擊的攻擊面；在此基礎上加之微隔離的手段，就可以最大程度地避免攻擊的范圍，以及阻斷攻擊的傳染性。

　　市場研究公司Markets and Markets預計，到2024年，全球零信任安全的市場規(guī)模將達到386.3億美元（約合人民幣 2585.6億元），年均復合增長率為19.9%。

　　龐大的市場空間和快速的增長潛力，也讓一眾參與零信任市場角逐的公司，在今年的二級資本市場上，取得了一個豐收年。從2019年12月31日至2020年12月23日，Zscaler上漲了346.2%，Okta上漲了136.2%，CrowdStrike則大漲了348.2%。

　　美國投行Wedbush的分析師丹尼爾艾夫斯認為，“Zscaler將在未來10年的云網(wǎng)絡安全轉(zhuǎn)型中占據(jù)主導地位?！逼鋵?，比這句話更嚴謹?shù)膽撌牵阈湃螌⒃谖磥?0年的云網(wǎng)絡安全轉(zhuǎn)型中占據(jù)主導地位。

　　群雄逐鹿零信任安全，網(wǎng)絡安全迎來劇變期

　　在移動互聯(lián)網(wǎng)、云計算、大數(shù)據(jù)、人工智能背景下，零信任顯然是不是網(wǎng)絡安全迭代的終點。當前，零信任的高維高階概念“SASE”就已經(jīng)被推向了前臺。

　　按照Gartner的定義，SASE（Security Access Service Edge，安全訪問服務邊緣），指的是集下一代廣域網(wǎng)、網(wǎng)絡安全服務以及邊緣計算于一體的云交付網(wǎng)絡。Gartner的預計，到2024年，至少40％的企業(yè)將有明確的策略采用SASE。

　　顯而易見，各路IT廠商如果想通往未來的星辰大海SASE，當下零信任安全的一戰(zhàn)就不可避免。這也是為什么對零信任安全，各路諸侯都開始群雄逐鹿的原因所在。

　　在國外，Google、思科、Akamai等廠商最為積極。以谷歌為例，其大名鼎鼎的BeyondCorp已廣為人知。經(jīng)過多年的迭代升級，BeyondCorp已融入大部分谷歌員工的日常工作，讓每位谷歌員工都可以在不借助VPN的情況下，通過不受信任的網(wǎng)絡順利開展工作。不僅如此，在BeyondCorp基礎上，成功開發(fā)出來的基于身份識別的訪問代理 IAP，已經(jīng)成為谷歌云平臺上新增加的服務。這也意味著谷歌在零信任安全的商業(yè)化方面，已經(jīng)取得了不小的進展。

　　而在國內(nèi)，更是有奇安信、深信服、網(wǎng)宿科技等一眾企業(yè)開始了對零信任安全的角逐。比如，奇安信就推出了奇安信TrustAccess動態(tài)可信訪問控制平臺、奇安信TrustID智能可信身份平臺、奇安信ID智能手機令牌以及各種終端Agent等。

　　網(wǎng)宿科技今年也推出了零信任企業(yè)安全接入ESA（Enterprise Secure Access）這一新產(chǎn)品。網(wǎng)宿ESA不僅采用了零信任訪問的框架，而且還集成了網(wǎng)宿科技在云安全和企業(yè)應用加速方面的領先技術(shù)能力，讓用戶可以實現(xiàn)隨時、隨地、在任何終端或邊緣安全的連接和訪問。網(wǎng)宿ESA這樣的整體使用體驗效果，已經(jīng)接近了前面Gartner所極力倡導的SASE模型了。

　　實際上，零信任安全不僅是中外領先的IT廠商在競爭；國家層面的競爭，同樣在激烈的進行著。美國方面，如今已經(jīng)把零信任安全上升到了國家網(wǎng)絡安全的戰(zhàn)略高度，比如美國國防部就已經(jīng)明確將零信任安全實施列為最高優(yōu)先事項之一。

　　中國方面，工信部發(fā)布的《關(guān)于促進網(wǎng)絡安全產(chǎn)業(yè)發(fā)展的指導意見(征求意見稿)》中,零信任安全首次被列入網(wǎng)絡安全需要突破的關(guān)鍵技術(shù);中國信息通信研究院發(fā)布的《中國網(wǎng)絡安全產(chǎn)業(yè)白皮書(2019年)》中,也將零信任安全提升到了我國網(wǎng)絡安全的重點細分領域這一地位。

　　可以預見，零信任讓網(wǎng)絡安全、網(wǎng)絡交付乃至整個IT行業(yè)，都有了新的“興奮點”。各種頻發(fā)的網(wǎng)絡安全事件，也會讓各行各業(yè)在信息化、網(wǎng)絡化、數(shù)字化、智能化的過程中，越發(fā)重視網(wǎng)絡安全的重要性，一場由零信任安全引發(fā)的網(wǎng)絡安全領域的劇變，即將來臨。

　　寫在最后

　　不信任任何人，是為了讓被信任的任何人值得信任；打破傳統(tǒng)內(nèi)外網(wǎng)的網(wǎng)絡邊界，是為了重構(gòu)真正的無邊界安全?？傊恍湃谓K究是為了“信任”，無邊界到底是為了“有邊界”。