近日,零信任办公安全领域标杆企业,持安科技2023年度产品发布会在北京成功举办,持安科技创始人兼CEO何艺,向现场300多名来宾及线上近8000余名观众,详细介绍了持安科技8年来,在甲乙双方探索零信任落地实践的一系列成果。

大会由安全419创始人张毅主持,赛博英杰创始人谭晓生担任大会致辞嘉宾及圆桌论坛主持人,某度假区信息安全总监陈纲、新东方教育科技集团信息安全负责人杨宁、智联招聘信息安全负责人李欢、方广资本投资副总裁王博分别从甲方企业信息安全部门及投资人的专业角度,对零信任在中国地区的落地之路进行了阐述和分析。

01 到底什么是零信任?

零信任2020年左右开始变为国内安全圈热点话题,持安科技2021年成立,从甲方转变为乙方,但刚创业时我们面对市场有些茫然,仿佛市面上“万物皆可零信任”,那真正的零信任到底是什么?

零信任=帮助企业做远程办公?

零信任=下一代VPN?

零信任=多产品集成方案?

零信任=持续验证,永不信任?那么准入算不算零信任?

持安科技作为一家怀揣梦想,以甲方身份创业的零信任企业,希望零信任为甲方的企业安全做些什么?

我们想带着这些问题,在后面的内容中与大家一起探索以上问题的答案。

02 甲方视角:一切从解决问题的角度出发

零信任之所以出现,是因为已经延续了20、30年的传统安全,已经不能保证企业的安全了。

1. 边界防御失效

传统安全以边界防御思想为主流,但是随着远程办公、移动办公等工作模式的出现,使边界越来越模糊。且在边界防御模型中的“内网”也不是绝对安全的,存在隐形信任,社工、渗透等攻击一旦突破了边界防御,在内网中会很容易横向移动。

2. IT基础架构变化

以前的系统是单一服务化的,但是现在微服务、云原生等新技术的出现,也增加了企业IT架构的复杂度,而此时再以传统糖葫芦串的方式来部署安全产品,会导致每增加一个安全产品,业务的复杂度就会上升,安全产品一旦出了问题,就很可能会导致业务系统中断,安全系统与业务串的越多,系统的复杂性和风险就越高,所以业务不愿意把让安全与业务串联,迫使安全产品只能做旁路分析。

3. 特征对抗防御失效

安全的本质是攻防两侧的对抗,但以前大多数的对抗是基于特征,无法发现所有的漏洞,无法检测出所有的攻击手段,安全部门只有被动防守,无法做主动防御。

基于以上三点,网络安全领域需要一场理念上的变革。

持安对零信任的理解

我们认为,零信任在很多方面改变了传统安全的逻辑:

1. 安全模式

以往业务人员在访问业务系统时,会先接触到业务系统,然后再验证身份,也就是说任何人都可以接触到业务系统。攻击者随时可以对系统展开攻击,防守方只能被动挨打。即使系统一时没有漏洞,也不能保证系统永远没有0day\1day漏洞出现。

零信任将传统的“先访问,再验证”模式,变为“先验证,再访问”,所有的请求都必须先经过可信代理,可信代理把访问请求转给决策引擎,决策引擎判断数据包可信后,再将访问请求转到访问目标上。

2. 对抗方式

改变过去基于特征的对抗方式,真正的零信任是基于可信验证,根据访问者的业务身份构建信任链,只有经过验证满足多种元素可信标准的请求,才可以进入到业务系统。此时,业务系统内即使存在漏洞,到达业务系统的数据也是可信的,因此可以有效抵御未知人员发起的未知攻击。

Google 当年遭遇了严重的APT攻击,攻击者通过多种0day漏洞组合,拿到了权限,而做BeyondCorp 后,显著提高了业务系统的防护能力。

3. 信任关系

零信任可消除隐形信任,隐形信任是指一次验证后,后续的访问动作不再做验证。而零信任会将访问者每一个对业务的访问请求做可信验证,以保证在信任关系发生变化时及时阻断。

4. 防护对象

基于网络边界隔离做防护很容易被攻破,而零信任将防护边界转移到业务前面,真正的防护对象是业务,不再根据内外网来判定访问者是否安全,而是基于业务身份、行为、可信状态等。

零信任带来的改变是什么

1. 攻防态势的转移

传统的防守方在和攻击者做对抗时,攻击者处于优势地位,攻击者可以随时伪造、构建数据包展开攻击,攻击成本很低。零信任将攻防态势变为主动防御,所有请求先到零信任网关做身份、设备等元素的可信验证,攻击者的攻击成本会非常高,所以会使攻击者处于劣势地位,而防御方处于优势地位。

2. 运营能力变化

传统安全更多地是在做事中、事后分析,而零信任是主动防御的系统,对所有的请求默认拒绝,可以利用这种能力做主动对抗。

3. 业务价值体现

传统安全离业务很远,很难证明自身的业务价值,但是零信任是基于业务来构建,可以帮助业务解决问题,使安全价值最大化。

03 持安坚持做应用层零信任

持安科技创始人兼CEO何艺

何艺在创业之前,是大型互联网企业完美世界集团的信息安全负责人,所以持安的产品从一开始就自带甲方企业落地的基因和视角,最重要的目标就是给企业的安全部门带来实实在在的价值。

持安科技想做什么

持安零信任产品的整体思路,是在传统的IT基础设施之上建立零信任体系,以业务身份为中心,在网络-主机-应用-数据层全部贯彻零信任能力,承载业务,基于分层防护思想,覆盖甲方全场景、全行业的办公场景。

基于应用层零信任能力的产品:持安远望办公安全平台4.0

在持安零信任产品的设计之初,就充分考虑到了以下三个原则:

1. 平台化

零信任作为企业安全基础设施,需要承载业务,本身的可靠性、性能、持续动态扩容的能力十分重要。因此,持安以平台化的方式构建零信任架构,所有组件微服务化,可动态拔插,组件分布式部署,组件调用十分高效,可以做弹性扩容,而传统的产品组装的方式,无法实现零信任的最佳实践。

2. 效率优先

零信任能够在甲方快速落地,就需要效率至上,用户无感知、0学习成本,业务不需要改代码、接入成本低,可一体化管理,提高效率。

3. 贴合业务

不单单做网络层,我们站在业务的角度,帮助业务解决问题。

持安远望办公安全平台V4.0架构

在持安远望办公安全平台4.0架构中,包含多个功能组件。

在网关层面,平台包含网络、主机、应用层等多种类型网关,来解决分层访问的问题,用户的访问请求会先到达决策引擎,决策引擎会通过访问者的身份、设备、数据、行为等多种维度,判定该次访问是否可信。

在端点侧,持安提供有端、无端两种方案,或与企业已有的终端打通,满足甲方不同场景下的访问需求。

此外,产品可以与企业原有的安全能力做融合,联防联控,实现真正的安全一体化。

持安零信任产品在网络层、主机层、应用层、数据层,分别做了不同的能力,以应用层能力为主,每个层级都做动态访问管控。

持安在做产品设计与落地时,最开始考虑的问题就是如何在企业全网落地零信任,而不是在某一个接入场景,比如远程办公场景,零信任天然适用于远程办公,但不以远程办公场景为主来设计产品,这两者有很大区别。

比如基于VPN开发的SDP,底层传输还是建立隧道,多个网关或POP节点,但同一时间同一个客户,只能链接到同一个接入点,所有请求都通过这个接入点进行转发,这种形态在大型企业内网中,会导致网络延迟、风险过于集中、单点等问题。

持安在每一个层级都施行分布式访问,每一个接入点都部署在业务前面,用户在任一地方访问,零信任会做任务调度,走最近的路线,一个端点可以同时访问多个地方,这个特性看似和安全没关系,实际上会影响零信任最终的落地效果。

持安为什么要做应用层零信任?

传统安全vsSDP零信任vs持安零信任

在传统安全产品中,VPN在网络与传输层上面,能够控制IP与端口的维度。

SDP也是在控制网络,在控制域名时会翻译成IP与端口,但是网络层无法看到上层的数据,所以SDP对接收到的数据包没有控制能力,如果数据包内包含对业务攻击的数据,也无法拦截。

基于Google BeyondCorp 模式下的应用层做零信任,即便网络层建立了通道,在应用层会基于访问请求,基于业务身份的信任链做可信验证,将不可信的数据包拒之门外,可天然防护业务应用。

应用层零信任在国外已经获得诸多认可,美国联邦零信任战略里提到“零信任要基于应用层去构建”,零信任之父 John Kindervag 也在2022年CSA的采访中提到,零信任要基于7层(即应用层)来构建。

场景演示

① 远程办公场景下的入侵演示

潜在风险:被动防御设备容易被绕过,无法隔离风险,业务存在风险。

攻击路径:钓鱼感染远程终端->控制员工家庭终端->复用SDP通道->攻击内网业务。

传统防护缺点:网络层控制无法防护,而以端上特征检测的方式来对抗,虽然有一定价值,但成本很高。

②零信任拦截远程接入风险

防守思路:在业务前加入应用层零信任能力,攻击者的请求无法通过零信任可信验证,不能接近业务系统,从根源拦截攻击者的非法请求。

安全价值:对于内网攻击、钓鱼等场景,零信任可通过收敛攻击面,基于可信验证,阻断一切未知人员的访问请求,拦截未知风险。

③零信任动态防御的效果

防守思路:基于“人”请求行为过程,以业务的身份建立信任链,来进行持续可信验证,动态感知终端风险变化,对非可信终端访问,终端的异常变化,异常网络等情况主动拦截。

安全价值:持续验证,发现请求者的环境异常变化,信任链条中断后,访问过程无法继续。

目前,持安可提供一体化办公安全解决方案,同时也可在应用安全防护、远程办公安全、数据安全管控、移动办公安全、实网攻防、业务暴露面收敛等多个具体场景提供安全解决方案,具有应用未知漏洞防护、快速应急响应、兼顾安全与效率、可在全网落地等特色。

04 持安8年甲方零信任落地之路

作为一家拥有20年甲方企业安全建设经验,8年甲方企业零信任落地经验,并最终以甲方身份创业的零信任公司来说,持安希望成为中国最懂甲方的零信任安全专家。

2015年

何艺作为完美世界集团安全负责人,在完美内部开启了零信任实践与落地工作,深度研究了Google BeyondCorp 应用层架构,历经四年使该架构在完美世界全面落地。零信任架构在完美世界对抗APT攻击、防御勒索攻击的过程中发挥了极大地安全价值。

2020年疫情爆发,何艺主导部署的零信任架构,让完美世界在远程办公、混合办公期间发挥了重要作用,保障了企业复工复产的有序开展。

2021年

何艺与孙维伯、张广迪共同成立持安科技,从一开始,就坚定了基于业务做应用层零信任的产品方向。

持安科技深刻地理解到,一旦安全与业务深度融合,就意味着我们的责任非常重大,我们希望通过持续做“难而正确的事”,让甲方企业安全部门的工作价值能够被看见和认可。

2022年

获得IDC资本、方广资本、金沙江创投、完美世界两轮融资过亿元融资,解决方案已在互联网、金融、能源、科技、地产、高端制造、新零售等众多领域落地,累计接入业务系统超5000+,用户数量50万+,单体客户用户规模10万+。

获得中国信通院、数说安全、安全牛、FreeBuf、嘶吼、安全喵喵站等多个专业机构的认可,累计获得奖项50+,完美适配国产化系统。

团队积极参与零信任领域的观点输出及标准研制,先后参与零信任产业标准工作组《T/CESA1165-2021零信任系统技术规范》《零信任接口应用白皮书》《零信任实战白皮书》、中国信通院《零信任发展与评估洞察报告》等多个零信任相关标准与报告撰写。

2023年

持安科技发布中国零信任领域的平台级重磅产品:持安远望办公安全平台V4.0,。面对未来,拥抱变化,我们做好了准备。

最后,再次感谢大家对持安科技的支持和认可!