伴随着云计算、移动互联网、物联网、5G等新计算等崛起，万物互联的数字经济时代已经到来，各行各业开始数字化智能化转型。业务上云、数据互联互通，给企业带来深刻革命的同时，也让企业IT架构发生了翻天覆地的变化，一场关于网络安全架构的技术革命正在进行。

零信任软件定义边界（SDP）正在迅速普及，其有效性在许多企业和案例中得到了广泛的验证。如今，随着越来越多的企业战略性地拥抱云计算IaaS平台，并且迫切需要云上资源的安全访问，传统的安全防御措施显然力不从心，此时我们相信，致力于保护云上资源的安全架构---SDP的时机已经到来。

IaaS的网络访问存在一个重大的安全挑战，作为云安全责任共享模型的一部分，网络安全直接依赖于企业。仅依赖于身份验证就将私有云资源公开到公共互联网，显然不符合安全和合规要求。因此，企业需要在网络层弥补这一差距。在企业上云的过程中存在两个需要解决的根本问题：

所有的云用户都是远程的，这意味着无论网络连接是公共互联网还是专用的直接连接，与云的通信都是在网络连接上发生。

企业通常通过使用VPN解决这一问题，通过建立点到点的VPN，或者从用户的设备通过VPN集中器直接连到云。或者，结合上述两个方案，将用户从其设备通过VPN连接到企业网络，再通过点到点的VPN进入云端。

使用VPN在技术上解决了安全的远程访问难题，它为用户设备到云网络的网络通信提供了安全、加密的隧道。但这同样存在一些缺点，特别是如果所有的用户流量都需要先到公司网络，然后再去访问云，这将带来额外的延迟，造成单点故障，并可能会增加带宽成本和VPN授权的购买成本。通过VPN直接从每一个用户的设备连接到云有助于解决一些难题，但可能会与用VPN同时进入企业网络的需求发生冲突。

不管用户如何进入IaaS环境，安全团队仍然需要控制在IaaS环境中哪些用户可以访问哪些资源。

IaaS平台提供了内置的工具来管理这一点，例如AWS中的安全组和Azure中的网络安全组，基于IP地址控制对服务器的访问。

企业需要解决用户访问问题是安全访问面临的最基础的挑战，但只被赋予了基于IP地址的访问控制工具，这对迎接这一挑战来说是远远不够的。

在IaaS环境下，安全远程访问控制已经不再是一个特殊场景。所有用户都是“远程的”，因此，网络安全团队需要关心所有用户是如何访问资源的，而不仅仅是用户的一个子集。也就是说，安全的远程访问控制必须成为一个核心关注点，并且是采用IaaS的任何企业的整体策略的一部分。

云安全联盟公布了网络安全威胁报告，来帮助企业对云计算的采用做出明智的风险管理决策。该报告反映了安全专家在CSA社区中最重要的云上安全问题所达成了一致的意见：SDP可有效减少受攻击面，缓解或者彻底消除安全报告中提到的威胁、风险和漏洞，从而帮助企业能够集中资源于其他领域。

下面将针对企业上云的网络威胁和SDP相对应的解决方案一一进行介绍：

1、安全威胁：数据泄露

SDP作用：通过添加预验证和预授权来减少公开暴露主机的攻击面，实现服务器和网络的安全性的“最小访问权限”模型，从而有助于减少数据泄漏的许多攻击方式。

2、安全威胁：弱身份、密码与访问管理。

SDP作用：企业VPN访问密码被盗往往会导致企业数据丢失，这是因为VPN通常允许用户对整个网络进行广泛的访问，从而成为弱身份、密码与访问管理中的薄弱环节。相比之下，SDP不允许广泛的网络访问，并限制对这些主机的访问权限。这使得安全体系结构对弱身份、证书和访问管理有更大的弹性。SDP还可以在用户访问资源之前执行强认证来确认用户的身份。

3、安全威胁：不安全的界面和API。

SDP作用：使用SDP，未经授权的用户无法访问UI，因此无法利用任何漏洞，SDP还可以通过在用户设备上运行的进程来保护API。

4、安全威胁：系统和应用程序漏洞。

SDP作用：SDP显著减少攻击面，通过将系统和应用程序的漏洞隐藏起来，对未授权的用户不可见。

5、安全威胁：账号劫持。

SDP作用：基于会话cookie的账户劫持被SDP完全消除，如果没有预先认证和预先授权，并且携带适当的SPA数据包，应用服务器会默认拒绝来自恶意终端的网络连接请求。因此，即使网络请求中携带被劫持的会话cookie，也不会被SDP网关准入。

6、安全威胁：内部恶意人员威胁。

SDP作用：SDP将限制内部人员造成安全威胁的能力，适当配置的SDP系统将具有限制用户仅能访问执行业务功能所需的资源，而所有其他资源都将被隐藏。

7、安全威胁：高级持续威胁攻击。

SDP作用：SDP通过限制受感染终端寻找网络目标的能力，并且在整个企业中实施多因子认证，有效减少攻击面，从而降低APT存在的可能性和传播。

8、安全风险：数据丢失。

SDP作用：SDP通过执行最小权限原则，并将网络资源对未授权用户隐藏起来，来减少数据丢失的可能性。

9、安全风险：DDOS攻击。

SDP作用：SDP架构中的单包授权技术使得SDP控制器和网关对组织DDOS攻击更有弹性。SPA与典型的TCP握手连接相比可花费更少的资源，使服务器能够大规模处理、丢弃恶意的网络请求数据包。

10、安全风险：共享技术问题。

SDP作用：SDP可以由云服务提供商使用，以确保管理员对硬件和虚拟化基础设施的访问管理。

VPN是一种广泛用于安全远程用户访问控制的普遍技术，但是为什么企业不继续使用这种被验证过的技术呢？

VPN可以很好的为远程用户提供对虚拟局域网或网段的安全访问，这种技术在与多因子身份认证结合时，对于具有传统半边街的企业以及静态用户和服务器资源来说效果很好，但正如Gartner的调研报告所说：“DMZ和传统的VPN是为上世纪90年代的网络设计的，由于缺乏保护数字业务所需的敏捷性，它们已经过时。”

VPN有两个缺点，使它不再满足当今的需求。首先，它对所分配的网络提供非常粗粒度的访问控制。它的目标是让远程用户的行为就像在本地网络上一样，这意味着所有用户都可以对整个虚拟局域网VLAN进行完全的网络访问。尝试配置VPN为不同的用户提供不同级别的访问是不现实的。VPN不能很容易的适应网络或服务器集群的变化，简单来说VPN根本无法跟上当今动态发展的企业的要求。

其次，VPN只是一种控制远程用户的解决方案，它不能有效的保护本地内网中的用户，这意味着组织需要一组完全不同的技术和策略来控制本地用户的访问。这将使协调和匹配这两个解决方案所需要的工作量成倍增加。而且，随着企业采用混合和基于云计算的计算模型，VPN就更难被有效的使用。

SDP可以为企业提供对IaaS环境的安全远程访问，并对用户访问做到细粒度的可见性和控制。

通过使用SDP，企业的云资源对于未经授权的用户完全不可见。这样完全消除了许多攻击方式，包括暴力攻击；网络流量攻击，以及TLS漏洞攻击。SDP通过在企业的服务器周围建立一张“暗网”，帮助企业并为云计算安全负责。

SDP以预验证和预授权作为它的两个基本支柱，通过在单数据包到达目标服务器之前对用户和设备进行身份验证和授权，SDP可以在网络层上执行最小权限原则，可以显著地缩小攻击面。

IaaS与传统的内网相比，有着不同的用户访问需求和安全需求，然而，这些需求并不能安全由传统安全工具或者IaaS供应商提供的安全架构来满足。使用软件定义边界架构，企业用户可以安全地访问他们的IaaS资源，且不妨碍业务用户或IT生产力。SDP可以为企业提供一个集中管控并且策略驱动的网络安全平台，覆盖他们的整个基础设施和他们的整个用户群体。在企业上云的过程中SDP具体的优势是：

与达到特定级别的安全性所需的手工工作相比，SDP的自动化策略执行在运维上体现了显著的好处。从另一个角度来看，一个企业可以通过SDP轻松获得的安全性级别实际上是不可能通过传统的安全工具实现的。

SDP的实施产品通常提供每个用户访问权限和活动的详细记录，这是由于网关对所有客户端网络流量进行日志记录和控制。因此，SDP可以根据这些细节提供自动化的合规性报告。 

而且，由于SDP支持对用户访问的细粒度控制，企业通过将其网络分割成更小的、隔离的部分来获得合规性需要的范围。

SDP可以帮助企业以多种方式降低成本。首先，对访问策略的自动执行减少了为响应用户或服务器更改而手工更新和测试防火墙规则的需求。在较大的企业中，这通常是其IT人员日常工作的一部分，因此这提供了一个减少工作量和人工成本的机会。它还将提高业务和技术人员的生产效率，同时也可以有效降低金钱成本。其次，简化的合规性工作将减少准备和执行审计所需要的时间和精力。最后SDP可以给企业带来一种替代其他技术的方案，从而降低成本。

安全是云计算的基石，针对云安全的防御之战，将是一场持续、持久的战争。企业上云是企业数字化转型的重要途径，切实从企业角度思考打消决策者对于上云的安全顾虑，帮助企业梳理业务系统重构问题，以及降低可能会面临的云服务系统风险，才能跨越企业上云的重重难关。

扫描二维码免费领取：

软件定义边界SDP帮助企业安全迁移上云（白皮书）

识别二维码免费领取

-The End-

签约喜讯

零信任落地案例 | 云深互联成功签约某银行客户

零信任落地案例 | 云深互联成功签约某住房公积金管理中心客户

解决方案

① 场景解决方案

远程办公 | 为什么零信任是远程办公的未来趋势？

② 行业解决方案

金融行业 | 为什么金融行业需要零信任安全的解决方案?

运营商 | 5G浪潮下，零信任如何保障运营商的网络安全？

技术分析

一文了解零信任架构的3大核心技术

浅谈零信任的6大商业和安全益处