搜索

[15142] 2020-03-17_肖力：云原生安全下看企业新边界——身份管理

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2020-03-17_肖力：云原生安全下看企业新边界——身份管理 肖 力 ： 云 原 生 安 全 下 看 企 业 新 边 界 — — 身 份 管 理 原 创   k i r a z h o u   F r e e B u f   2 0 2 0 - 0 3 - 1 7 在 在 1 0 0 0 0 多 公 里 之 外 的 旧 金 山 ， 网 络 安 全 盛 会 多 公 里 之 外 的 旧 金 山 ， 网 络 安 全 盛 会 R S A C 2 0 2 0 已 经 落 下 了 帷 幕 。 而 身 处 杭 州 的 肖 力 ， 正 在 谈 起 今 年 已 经 落 下 了 帷 幕 。 而 身 处 杭 州 的 肖 力 ， 正 在 谈 起 今 年 大 会 的 主 题 大 会 的 主 题 — — H u m a n   E l e m e n t 。 。 2 0 2 0 年 ， 从 “ 人 ” 出 发 ， 这 颗 石 子 将 在 国 内 的 安 全 市 场 池 子 里 激 起 怎 样 的 涟 漪 ？ H u m a n   E l e m e n t 的 背 后 隐 藏 着 怎 样 的 安 全 洞 见 ？ 在 G a r t n e r 的 《 2 0 2 0 年 规 划 指 南 ： 身 份 和 访 问 管 理 》 报 告 中 ， 我 们 看 到 了 I T 必 须 推 进 I A M （ 身 份 和 访 问 管 理 ） 计 划 ， 而 身 份 治 理 和 管 理 、 混 合 / 多 云 环 境 作 为 可 预 见 的 趋 势 ， 更 是 已 经 在 风 口 蓄 势 待 发 。 人 、 身 份 和 云 端 ， 这 三 者 之 间 的 角 力 、 千 丝 万 缕 和 无 限 可 能 ， 正 是 此 次 采 访 的 最 大 收 获 。 人 、 身 份 和 云 端 ， 这 三 者 之 间 的 角 力 、 千 丝 万 缕 和 无 限 可 能 ， 正 是 此 次 采 访 的 最 大 收 获 。
肖 力 ， 阿 里 巴 巴 副 总 裁 、 阿 里 云 智 能 安 全 事 业 部 总 经 理 ， 阿 里 巴 巴 集 团 的 第 一 位 安 全 工 程 师 。 深 耕 企 业 安 全 体 系 架 构 建 设 和 云 计 算 安 全 领 域 ， 积 累 了 近 2 0 年 的 实 践 和 管 理 经 验 。 H u m a n   E l e m e n t ： 了 解 人 的 脆 弱 性 ： 了 解 人 的 脆 弱 性 我 们 常 常 谈 起 ， “ 安 全 的 本 质 在 于 人 与 人 之 间 的 对 抗 。 ” 从 攻 防 对 抗 的 视 角 来 看 ， 人 的 因 素 使 得 攻 防 对 抗 成 为 一 个 动 态 的 持 久 过 程 。 攻 击 者 的 手 段 、 工 具 和 策 略 都 在 发 生 变 化 ， 而 防 御 者 的 安 全 防 护 能 力 也 在 提 升 ， 两 者 之 间 持 续 对 抗 ， 安 全 水 位 线 一 直 动 态 变 化 。
在 整 个 攻 防 对 抗 过 程 中 ， 人 ， 既 是 防 御 者 ， 也 可 能 成 为 攻 击 者 ， 而 对 抗 不 仅 会 发 生 在 企 业 与 外 部 的 对 峙 中 ， 很 在 整 个 攻 防 对 抗 过 程 中 ， 人 ， 既 是 防 御 者 ， 也 可 能 成 为 攻 击 者 ， 而 对 抗 不 仅 会 发 生 在 企 业 与 外 部 的 对 峙 中 ， 很 多 时 候 也 发 生 在 企 业 内 部 。 多 时 候 也 发 生 在 企 业 内 部 。 人 ， 是 绝 对 的 安 全 核 心 ， 这 是 今 年 R S A C 大 会 传 递 给 我 们 的 讯 息 。 而 在 关 注 人 的 安 全 技 能 与 能 力 建 设 之 余 ， 也 要 清 晰 地 认 知 ： 人 的 脆 弱 性 使 人 本 身 成 为 安 全 中 薄 弱 的 一 环 。 因 此 ， 企 业 在 应 对 来 自 外 部 的 攻 击 的 同 时 ， 如 何 防 范 来 自 企 业 内 部 人 员 的 威 胁 同 样 关 键 。 2 0 1 7 年 卡 巴 斯 基 的 调 查 报 告 中 提 出 ， 4 6 % 的 I T 安 全 事 故 是 由 企 业 员 工 造 成 的 。 但 现 在 ， 这 个 比 例 已 经 上 升 至 7 0 % ~ 8 0 % ， 譬 如 内 部 开 发 者 由 于 未 遵 守 安 全 规 范 或 自 身 安 全 能 力 不 足 而 导 致 所 研 发 的 应 用 在 设 计 之 初 就 留 下 了 漏 洞 ， 亦 或 是 在 职 / 离 职 员 工 由 于 操 作 不 规 范 或 直 接 的 恶 意 行 为 导 致 企 业 安 全 问 题 。 “ 整 个 安 全 体 系 绝 对 不 仅 是 和 自 动 化 蠕 虫 做 对 抗 ， 这 只 是 冰 山 一 角 ” 。 面 对 “ 人 ” 带 来 的 安 全 影 响 ， 肖 力 认 为 问 题 根 源 在 于 企 业 的 安 全 基 线 做 得 不 到 位 。 目 前 ， 很 多 企 业 更 注 重 于 威 胁 检 测 与 响 应 ， 这 一 部 分 确 实 有 用 ， 但 还 不 够 。 “ 我 们 思 考 的 不 是 出 了 问 题 后 如 何 去 解 决 ， 而 是 如 何 不 出 问 题 。 ” 因 此 ， 事 前 的 安 全 基 线 设 置 比 起 事 后 的 检 测 与 响 应 更 为 关 键 。 企 业 安 全 基 线 包 括 了 ： 1 、 所 有 应 用 系 统 的 统 一 身 份 认 证 与 授 权 2 、 安 全 运 营 ： 设 置 红 线 3 、 建 立 应 用 开 发 安 全 流 程 ： 确 定 开 发 人 员 培 训 、 内 部 安 全 考 试 与 认 证 等 规 范 如 果 说 企 业 的 安 全 基 线 是 走 向 安 全 的 基 础 6 0 分 ， 那 么 ， 只 有 先 做 好 安 全 基 线 再 去 做 事 后 检 测 响 应 能 力 的 提 升 ， 才 能 让 企 业 安 全 体 系 更 为 稳 固 。 其 中 ， “ 身 份 ” 作 为 在 互 联 网 中 的 直 观 映 像 ， 身 份 管 理 对 于 有 效 降 低 内 部 人 员 的 行 为 带 来 的 安 全 威 胁 可 以 说 有 着 重 要 作 用 。 身 份 ： 零 信 任 理 念 下 的 新 旧 边 界 交 替 身 份 ： 零 信 任 理 念 下 的 新 旧 边 界 交 替 网 络 身 份 的 重 要 性 无 需 再 赘 述 ， 而 身 份 如 何 从 安 全 因 素 之 一 转 变 为 企 业 安 全 防 护 的 “ 主 角 ” ， 2 0 1 0 年 是 一 个 隐 形 的 节 点 。 肖 力 指 出 ， 在 过 去 的 I T 环 境 中 ， 尤 其 是 2 0 0 0 ~ 2 0 1 0 年 期 间 ， 边 界 隔 离 是 企 业 安 全 防 护 的 主 要 手 段 。 但 2 0 1 0 年 后 ， I T 整 体 环 境 发 生 了 巨 大 的 变 化 ： 1 、 I T 架 构 根 源 性 的 变 化 ： 随 着 移 动 互 联 、 l O T 设 备 的 普 及 ， 整 个 内 网 、 办 公 网 络 都 受 到 了 巨 大 的 冲 击 ， 大 量 的 设 备 接 入 ， 导 致 原 来 的 边 界 难 以 守 住 。 2 、 企 业 数 据 库 从 I D C 迁 移 到 云 上 ： 随 着 云 计 算 的 浪 潮 ， 越 来 越 多 的 企 业 选 择 全 站 上 云 或 5 0 % 业 务 上 云 ， 导 致 防 护 环 境 发 生 变 化 。 3 、 企 业 S a a S 服 务 发 展 ： 企 业 网 盘 、 钉 钉 等 企 业 S a a S 服 务 的 发 力 ， 意 味 着 越 来 越 多 的 企 业 工 作 流 、 数 据 流 和 身 份 都 到 了 外 部 ， 而 非 固 定 在 原 本 的 隔 离 环 境 中 。 随 着 环 境 因 素 的 变 化 ， 传 统 的 边 界 将 渐 渐 消 亡 ， 仅 依 靠 传 统 的 网 络 隔 离 行 之 无 效 ， 这 时 候 ， 基 于 零 信 任 理 念 的 统 一 身 份 管 理 为 企 业 重 新 筑 造 了 “ 安 全 边 界 ” 。 基 于 零 信 任 理 念 ， 企 业 可 以 构 建 统 一 的 身 份 认 证 与 授 权 系 统 ， 将 所 有 账 号 、 认 证 、 权 限 统 一 管 理 。 譬 如 ， 离 职 员 工 被 视 为 企 业 的 重 要 威 胁 之 一 。 在 整 个 企 业 安 全 体 系 建 设 的 实 践 中 ， 必 须 要 做 到 账 户 对 应 到 应 用 系 统 的 权 限 统 一 ， 实 现 每 天 离 职 员 工 的 所 有 身 份 、 账 号 权 限 可 以 在 企 业 内 部 系 统 中 一 键 删 除 。 包 括 近 一 段 时 间 安 全 圈 内 热 议 的 微 盟 员 工 删 库 事 件 ， 从 身 份 认 证 与 管 理 的 技 术 角 度 来 看 ， 也 是 完 全 可 以 避 免 的 。 肖 力 认 为 ， 一 方 面 ， 企 业 在 实 施 I A M （ 身 份 和 访 问 管 理 ） 时 ， 秉 持 最 小 权 限 原 则 ， 通 过 帐 号 的 权 限 分 级 ， 给 到 员 工 应 有 的 权 限 即 可 ， 而 类 似 “ 删 库 ” 的 特 权 账 号 不 应 该 给 到 任 何 一 个 员 工 。 其 次 ， 哪 怕 员 工 下 发 了 批 量 数 据 删 除 的 指 令 ， 企 业 也 可 以 通 过 内 部 异 常 行 为 检 测 ， 识 别 出 该 类 指 令 基 本 不 会 发 生 在 正 常 的 生 产 环 境 中 ， 从 而 不 执 行 该 指 令 。
除 了 技 术 层 面 的 实 现 ， 身 份 认 证 与 管 理 的 本 质 依 旧 是 安 全 基 线 。 同 时 肖 力 指 出 ， 安 全 团 队 在 企 业 中 的 位 置 与 影 响 力 则 决 定 了 基 线 能 否 被 确 定 、 切 实 地 落 实 到 业 务 中 去 。 判 断 安 全 团 队 在 企 业 、 业 务 中 的 影 响 力 大 小 ， 最 直 观 的 就 是 组 织 架 构 ： 安 全 团 队 是 否 为 独 立 部 门 ， 直 接 汇 报 给 C T O 甚 至 C E O 。 未 来 ， 未 来 ， I A M 应 该 还 会 向 零 信 任 架 构 推 进 ， 并 基 于 零 信 任 理 念 衍 生 出 多 应 用 场 景 下 的 身 份 治 理 方 案 ， 打 通 应 该 还 会 向 零 信 任 架 构 推 进 ， 并 基 于 零 信 任 理 念 衍 生 出 多 应 用 场 景 下 的 身 份 治 理 方 案 ， 打 通 “ 身 份 身 份 认 证 认 证 ” 与 云 安 全 产 品 ， 构 建 云 上 零 信 任 体 系 。 与 云 安 全 产 品 ， 构 建 云 上 零 信 任 体 系 。 基 于 云 原 生 安 全 的 基 于 云 原 生 安 全 的 I A M 身 份 管 理 提 供 商 S a i l P o i n t 的 首 席 执 行 官 兼 联 合 创 始 人 M a r k   M c C l a i n 曾 经 说 过 ： “ 治 理 的 世 界 是 有 关 谁 有 权 限 访 问 什 么 东 西 ， 谁 应 该 访 问 什 么 东 西 ， 以 及 如 何 正 确 使 用 这 些 权 限 的 世 界 。 但 是 现 实 是 ， 大 多 数 消 费 者 距 离 前 两 条 都 差 得 很 远 ， 更 不 用 说 第 三 条 了 。 ” 幸 运 的 是 ， 现 在 的 I A M 工 具 / 服 务 越 来 越 易 用 ， 并 且 加 快 延 伸 至 云 端 环 境 。 肖 力 指 出 ， 云 原 生 的 安 全 红 利 是 可 见 的 。 “ 常 态 化 ” 的 云 几 乎 成 为 了 企 业 操 作 系 统 ， 涉 及 I a a S 层 ， P a a S 层 和 S a a S 层 。 各 个 云 服 务 商 在 安 全 上 注 入 巨 额 投 资 ， 以 规 模 化 的 人 力 物 力 打 磨 云 安 全 产 品 和 技 术 ， 让 企 业 开 始 尝 到 云 原 生 技 术 带 来 的 安 全 红 利 。 普 通 企 业 不 必 重 复 造 轮 子 ， 搭 载 上 阿 里 云 等 云 服 务 厂 商 的 航 母 ， 就 能 在 云 计 算 浪 潮 里 前 行 ， 享 受 高 等 的 安 全 水 位 。 其 次 ， 云 化 带 来 的 6 大 云 原 生 安 全 能 力 ： 全 方 位 网 络 安 全 隔 离 管 控 、 全 网 实 时 情 报 驱 动 自 动 化 响 应 、 基 于 云 的 统 一 身 份 管 理 认 证 、 默 认 底 层 硬 件 安 全 与 可 信 环 境 、 D e v S e c O p s 实 现 上 线 即 安 全 ， 让 企 业 脱 离 原 本 复 杂 的 安 全 管 理 模 式 ， 从 “ 碎 片 化 ” 到 “ 统 一 模 式 ” 。 随 着 企 业 上 云 趋 势 日 益 明 显 。 I T 基 础 设 施 云 化 、 核 心 技 术 互 联 网 化 ， 最 终 让 企 业 架 构 发 生 变 革 。 而 “ 云 化 ” 的 过 程 中 ， 越 来 越 多 的 企 业 开 始 思 考 混 合 和 多 云 环 境 下 的 I A M （ 身 份 和 访 问 管 理 ） 问 题 。 混 合 云 ： 场 内 工 作 + 公 有 云 环 境 服 务 的 使 用 。 多 云 ： 多 个 公 有 云 服 务 商 服 务 的 使 用 。 关 于 混 合 云 ， 基 于 企 业 上 云 后 的 统 一 管 理 模 式 ， 可 以 在 复 杂 的 混 合 云 环 境 下 直 接 实 现 统 一 的 身 份 接 入 ， 将 企 业 云 上 与 云 下 身 份 打 通 ， 并 且 基 于 对 云 端 上 的 用 户 环 境 做 评 估 ， 动 态 地 授 于 不 同 人 以 不 同 权 限 ， 从 而 让 任 何 人 在 任 何 时 间 、 地 点 ， 都 可 以 正 确 地 访 问 内 部 资 源 。 而 多 云 的 环 境 则 可 以 利 用 活 动 目 录 的 工 作 负 载 实 现 身 份 管 理 。 云 上 的 环 境 ， 赋 予 了 统 一 身 份 管 理 更 多 的 可 行 性 ， 而 进 一 步 探 索 混 合 和 多 云 云 上 的 环 境 ， 赋 予 了 统 一 身 份 管 理 更 多 的 可 行 性 ， 而 进 一 步 探 索 混 合 和 多 云 I A M 实 现 方 案 将 成 为 企 业 战 略 的 新 实 现 方 案 将 成 为 企 业 战 略 的 新 方 向 。 方 向 。 最 后 ， 由 身 份 管 理 衍 生 的 数 据 安 全 问 题 ， 同 样 值 得 关 注 。 2 0 1 9 年 ， 数 据 安 全 绝 对 是 最 热 的 话 题 之 一 ， 不 管 是 高 发 的 动 辄 上 亿 级 别 的 数 据 泄 露 ， 或 是 陆 续 出 台 的 数 据 隐 私 法 规 ， 都 在 反 复 强 调 数 据 安 全 的 重 要 性 。 在 采 访 的 尾 声 ， 肖 力 同 样 谈 到 了 今 年 R S A C 的 创 新 沙 盒 冠 军 S e c u r i t i . a i 。 有 意 思 的 是 ， 过 去 3 年 创 新 沙 盒 冠 军 中 有 2 年 都 是 做 数 据 安 全 的 ， 似 乎 给 网 络 安 全 企 业 的 下 一 步 发 展 提 出 了 一 个 非 常 明 确 的 方 向 。 首 先 ， 数 据 安 全 本 身 的 命 题 就 很 大 ， 数 据 的 流 动 性 使 得 数 据 安 全 问 题 横 跨 各 个 安 全 技 术 领 域 ， 并 出 现 在 企 业 的 各 个 环 节 中 ； 其 次 ， 市 场 需 求 大 。 企 业 对 于 如 何 保 障 内 部 数 据 安 全 、 保 障 客 户 的 数 据 隐 私 安 全 有 着 迫 切 的 需 求 。 如 此 看 来 ， “ 说 不 定 明 年 的 冠 军 也 是 做 数 据 安 全 的 呢 。 ” 因 此 ， 在 未 来 的 5 ~ 1 0 年 ， 如 果 安 全 公 司 可 以 通 过 核 心 的 产 品 和 技 术 突 破 帮 助 用 户 解 决 数 据 安 全 问 题 ， 比 如 依 靠 技 术 摸 清 底 盘 ， 了 解 用 户 隐 私 数 据 在 哪 里 有 哪 些 ， 必 然 可 以 在 市 场 分 得 很 大 一 块 蛋 糕 。 肖 力 最 后 指 出 ， 需 求 正 在 倒 逼 技 术 的 发 展 。 数 据 安 全 领 域 亟 需 通 过 技 术 突 破 迎 来 爆 发 。 * 本 文 作 者 ： 本 文 作 者 ： k i r a z h o u ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理