搜索

[15225] 2020-04-07_完美世界何艺：零信任架构的开发和落地

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-04-07_完美世界何艺：零信任架构的开发和落地 完 美 世 界 何 艺 ： 零 信 任 架 构 的 开 发 和 落 地 S a n d r a 1 4 3 2   F r e e B u f   2 0 2 0 - 0 4 - 0 7 “ 在 这 个 过 程 中 会 遇 到 很 多 你 想 不 到 的 问 题 ， 或 者 你 以 为 的 小 问 题 ， 对 公 司 上 万 台 终 端 来 说 ， 哪 怕 在 这 个 过 程 中 会 遇 到 很 多 你 想 不 到 的 问 题 ， 或 者 你 以 为 的 小 问 题 ， 对 公 司 上 万 台 终 端 来 说 ， 哪 怕 1 % 的 概 率 也 的 概 率 也 要 花 很 大 的 成 本 来 解 决 这 个 问 题 。 要 花 很 大 的 成 本 来 解 决 这 个 问 题 。 ” 何 艺 ， 十 六 年 甲 方 安 全 经 验 ， 现 任 完 美 世 界 高 级 安 全 总 监 ， 负 责 集 团 的 安 全 工 作 ， 专 注 企 业 安 全 建 设 ， 安 全 平 台 设 计 ， 安 全 分 析 与 检 测 ， 自 1 5 年 开 始 研 究 零 信 任 架 构 ， 并 以 自 研 方 式 在 集 团 内 落 地 和 闭 环 。 在 各 大 安 全 会 议 上 有 过 多 次 议 题 分 享 经 历 ， 有 个 人 公 众 号 “ 小 议 安 全 ” ， 也 欢 迎 大 家 搜 索 关 注 。 近 几 年 ， “ 传 统 安 全 边 界 逐 渐 失 效 ” 的 论 调 不 绝 于 耳 ， 随 着 攻 击 手 段 的 复 杂 化 、 多 样 化 ， 边 界 防 护 日 渐 衰 微 。 此 次 邀 请
完 美 集 团 高 级 安 全 总 监 何 艺 来 分 享 在 传 统 安 全 架 构 逐 渐 失 效 的 背 景 下 ， 利 用 零 信 任 架 构 建 设 企 业 安 全 的 实 践 经 验 。 传 统 的 安 全 架 构 ， 主 要 思 想 在 于 边 界 安 全 防 护 ， 将 资 源 投 入 到 边 界 上 去 。 而 如 今 的 边 界 正 在 “ 模 糊 化 ” ， 不 像 传 统 边 界 那 样 清 晰 ， 比 如 B Y O D 自 带 设 备 、 业 务 上 云 、 远 程 办 公 等 等 。 过 去 ， 传 统 边 界 模 型 对 于 以 往 一 些 传 统 的 安 全 事 件 来 说 是 很 有 效 的 ， 比 如 蠕 虫 ， 阻 断 端 口 即 可 将 其 防 御 在 外 。 但 是 ， 随 着 现 在 攻 击 方 式 的 进 步 ， 比 如 A P T 攻 击 、 网 络 钓 鱼 、 社 会 工 程 学 等 方 式 ， 往 往 就 可 以 进 入 企 业 内 部 ， 而 内 部 的 检 测 和 防 护 能 力 较 弱 ， 这 就 导 致 了 传 统 边 界 安 全 的 失 效 。 因 此 ， 再 在 边 界 上 下 功 夫 ， 那 么 企 业 的 安 全 防 护 自 然 也 难 以 应 对 新 的 安 全 问 题 。 2 0 1 4 年 ， 谷 歌 的 一 篇 论 文 彻 底 打 破 了 内 外 网 之 别 ， 其 “ 不 再 区 分 内 外 网 ” 的 做 法 震 惊 世 界 ， 那 时 推 出 的 B e y o n d c o r p 项 目 将 “ 零 信 任 架 构 ” 推 入 人 们 的 视 线 中 。 我 们 当 时 1 5 年 的 时 候 ， 其 实 之 前 很 多 精 力 是 放 在 检 测 这 个 方 面 ， 但 是 当 时 已 经 觉 得 检 测 越 来 越 不 能 够 应 对 当 前 的 一 些 问 题 ， 正 在 设 计 主 动 防 护 方 案 ， 这 个 时 候 看 到 谷 歌 这 条 新 闻 被 国 内 报 道 ， 当 时 很 多 朋 友 圈 其 实 都 在 转 发 ， 那 个 时 候 很 多 人 觉 得 挺 不 可 思 议 ， 太 超 前 了 。 在 企 业 安 全 实 践 之 路 上 ， 零 信 任 架 构 又 或 者 说 零 信 任 理 念 ， 这 是 大 胆 的 一 步 。 回 看 国 内 零 信 任 架 构 建 设 ， 完 美 集 团 的 零 信 任 架 构 搭 建 和 落 地 具 有 一 定 的 参 考 和 借 鉴 意 义 。 而 何 艺 对 零 信 任 架 构 具 有 多 年 的 研 究 经 验 ， 深 耕 安 全 行 业 多 年 ， 带 领 安 全 团 队 从 一 开 始 只 是 启 发 到 后 面 的 落 地 闭 环 ， 一 步 一 步 结 合 业 务 分 阶 段 地 构 建 企 业 的 网 络 安 全 架 构 。 在 何 艺 看 来 ， 企 业 搭 建 网 络 安 全 架 构 往 往 要 根 据 企 业 的 业 务 现 状 来 决 定 ， 比 如 传 统 企 业 ， 业 务 大 部 分 都 处 在 线 下 ， 未 来 也 没 有 往 线 上 发 展 的 打 算 ， 那 么 网 络 威 胁 和 挑 战 对 这 类 企 业 则 没 有 太 大 的 影 响 。 然 而 ， 现 实 情 况 是 在 第 四 次 工 业 革 命 的 大 背 景 环 境 下 ， 传 统 企 业 逐 渐 转 型 、 逐 渐 上 云 ， 将 自 身 业 务 转 向 线 上 ， 比 如 制 造 业 或 者 是 基 于 网 络 化 的 智 能 型 产 业 。 在 这 种 情 况 下 ， 网 络 安 全 架 构 则 十 分 重 要 。 一 个 好 的 架 构 不 仅 是 企 业 安 全 保 障 的 基 础 ， 而 且 可 以 起 到 事 半 功 倍 的 作 用 ， 以 较 小 的 投 资 得 到 较 大 的 收 益 。 此 外 ， 好 的 安 全 架 构 是 能 够 适 应 未 来 发 展 的 ， 比 如 遇 到 新 的 问 题 、 新 的 威 胁 ， 能 不 能 在 这 个 架 构 之 上 快 速 增 加 一 些 新 的 模 块 ， 或 者 是 做 一 些 变 化 和 调 整 来 应 对 威 胁 ， 这 个 问 题 对 于 好 的 安 全 架 构 来 说 ， 至 关 重 要 。 从 各 自 为 政 到 安 全 一 体 化 从 各 自 为 政 到 安 全 一 体 化 企 业 安 全 建 设 离 不 开 安 全 理 念 的 支 撑 。 何 艺 在 采 访 中 提 及 ， 在 安 全 行 业 这 些 年 中 ， 不 断 学 习 和 成 长 ， 逐 渐 形 成 了 “ 安 全 一 体 化 ” 的 思 想 。 在 2 0 0 4 年 ， 当 时 何 艺 还 在 C E R T 任 职 ， 担 任 网 络 安 全 组 组 长 ， 当 时 应 用 的 还 是 传 统 的 安 全 解 决 方 法 ， 很 多 是 依 赖 于 乙 方 及 其 提 供 的 安 全 解 决 方 案 和 安 全 产 品 ， 基 本 上 也 都 偏 向 合 规 类 。 这 种 传 统 的 安 全 解 决 方 案 ， 包 括 一 些 安 全 场 景 ， 可 能 主 要 还 是 以 合 规 为 主 ， 而 不 是 真 正 去 关 心 是 否 能 够 解 决 企 业 的 安 全 问 题 。 2 0 1 1 年 ， 在 进 入 完 美 世 界 之 后 ， 何 艺 企 业 建 设 安 全 理 念 的 种 子 开 始 发 芽 。 在 过 去 的 传 统 安 全 中 ， 安 全 产 品 之 间 往 往 都 是 各 自 为 政 ， 系 统 中 的 某 一 个 地 方 遭 受 攻 击 之 后 ， 其 他 地 方 或 者 其 他 系 统 并 不 能 感 知 到 此 次 攻 击 。 然 而 ， 对 于 黑 客 来 说 ， 他 们 背 后 的 这 些 力 量 、 资 源 或 者 是 产 业 ， 都 是 互 通 的 。 黑 客 之 间 进 行 一 些 利 益 交 换 ， 共 享 是 很 容 易 的 ， 他 们 是 集 中 优 势 力 量 来 发 动 进 攻 。 这 种 情 况 下 ， 对 于 企 业 而 言 ， 传 统 的 安 全 方 案 就 会 特 别 被 动 ， 所 以 说 那 时 候 就 萌 生 了 要 做 这 种 一 体 化 安 全 平 台 的 想 法 。 出 于 早 期 资 源 有 限 以 及 方 便 切 入 ， 何 艺 及 其 安 全 团 队 一 开 始 用 开 源 系 统 去 搭 建 集 中 化 的 安 全 分 析 平 台 ， 用 开 源 的 方 式 去 做 分 析 的 平 台 ， 收 到 了 好 的 效 果 但 还 远 远 不 够 。 因 为 这 种 分 析 平 台 是 基 于 事 中 和 事 后 ， 缺 乏 主 动 防 御 ， 依 然 是 无 法
解 决 安 全 问 题 的 ， 比 如 在 A P T 对 抗 中 ， 仅 仅 只 是 这 样 一 种 分 析 类 的 一 体 化 平 台 ， 永 远 是 滞 后 的 、 无 法 有 效 地 进 行 自 我 保 护 。 我 们 后 来 开 始 做 零 信 任 架 构 ， 从 1 5 年 开 始 研 究 ， 以 分 层 分 模 块 方 式 ， 一 边 开 放 一 边 落 地 ， 同 时 进 行 修 正 和 迭 代 ， 一 直 到 现 在 零 信 任 架 构 闭 环 落 地 ， 然 后 推 广 到 各 个 业 务 中 。 一 体 化 安 全 平 台 理 念 是 搭 建 零 信 任 架 构 的 一 部 分 ， 在 未 来 ， 这 种 理 念 还 将 和 业 务 更 加 紧 密 地 结 合 ， 比 如 像 服 务 器 之 间 的 最 小 化 权 限 ， 业 务 之 间 A P I 的 一 些 调 用 等 ， 将 这 些 延 伸 到 业 务 中 去 ， 才 能 切 实 验 证 和 发 挥 理 念 优 势 。 零 信 任 架 构 搭 建 及 难 点 零 信 任 架 构 搭 建 及 难 点 零 信 任 架 构 是 一 种 典 型 的 主 动 防 护 性 质 的 架 构 ， 可 以 和 以 前 的 企 业 架 构 结 合 在 一 起 ， 既 有 防 护 又 有 检 测 。 结 合 一 体 平 台 化 思 想 搭 建 零 信 任 架 构 ， 当 平 台 一 方 遭 受 攻 击 之 后 ， 其 他 系 统 也 可 以 感 应 得 到 ， 平 台 所 有 数 据 相 通 ， 可 以 互 相 联 动 。 安 全 解 决 方 案 往 往 是 就 是 一 个 新 的 方 案 去 解 决 一 个 安 全 风 险 的 时 候 ， 可 能 会 带 来 另 外 一 些 新 的 风 险 ， 这 里 面 其 实 也 是 一 个 取 舍 问 题 。 在 集 中 化 的 这 个 过 程 中 会 产 生 一 些 结 构 化 风 险 ， 比 如 当 核 心 节 点 被 攻 击 时 ， 影 响 的 面 积 会 比 之 前 大 。 所 以 其 实 又 回 到 了 安 全 投 入 产 出 比 的 问 题 上 ， 因 为 集 中 化 ， 可 以 以 较 少 的 资 源 投 入 到 这 些 集 中 的 地 方 进 行 防 护 ， 因 此 也 会 更 加 有 效 。 安 全 方 案 在 解 决 一 些 风 险 时 往 往 也 会 带 来 一 些 新 的 风 险 ， 而 方 案 优 良 与 否 、 适 合 与 否 ， 有 个 大 的 考 量 在 于 能 否 接 受 这 个 新 的 风 险 ， 或 者 是 ， 权 衡 之 下 ， 能 否 防 控 住 这 种 新 的 风 险 。 从 一 开 始 从 谷 歌 得 到 启 发 ， 经 过 多 个 阶 段 的 摸 索 和 尝 试 ， 到 最 后 架 构 的 闭 环 、 落 地 ， 完 美 世 界 集 团 的 零 信 任 架 构 在 安 全 防 护 和 应 用 上 已 经 颇 见 成 效 。 我 觉 得 零 信 任 架 构 内 部 其 实 并 没 有 黑 科 技 ， 这 不 是 一 个 完 全 全 新 的 东 西 ， 相 反 ， 这 更 像 是 一 个 多 种 技 术 集 成 的 事 物 。 基 于 此 ， 何 艺 将 零 信 任 架 构 的 构 建 拆 分 为 三 个 阶 段 。 第 一 阶 段 第 一 阶 段 基 于 统 一 认 证 的 实 现 ， 比 如 开 发 O T P 这 样 的 一 个 动 态 口 令 认 证 系 统 ， 所 有 业 务 可 以 应 用 这 种 系 统 进 行 认 证 ， 这 是 一 个 基 础 的 技 术 系 统 。 其 次 ， w e b 网 关 的 实 现 ， 即 将 w e b 应 用 一 一 放 到 网 关 去 进 行 保 护 、 认 证 和 授 权 。 通 过 认 证 之 后 的 用 户 才 能 够 看 到 页 面 和 具 体 的 业 务 。 同 时 ， 系 统 还 带 有 一 些 可 共 同 监 督 的 功 能 。 这 是 零 信 任 架 构 比 较 核 心 的 系 统 模 块 。 第 二 阶 段 第 二 阶 段 构 建 零 信 任 需 要 的 终 端 、 网 络 、 分 析 环 境 ， 比 如 S A D B 系 统 、 S O C 统 计 分 析 中 心 的 构 建 和 完 善 。 在 做 终 端 a g e n t 之 前 ， 先 做 了 移 动 端 的 a p p ， 利 用 零 信 任 架 构 支 撑 公 司 的 移 动 化 办 公 ， 比 如 移 动 端 的 审 批 、 应 用 等 都 可 以 进 行 快 速 集 成 。 所 以 构 建 了 这 样 的 技 术 平 台 之 后 ， 也 帮 助 了 公 司 移 动 化 办 公 。 而 终 端 P C   a g e n t 的 构 建 ， 由 于 时 间 较 长 、 成 本 较 高 、 难 度 较 大 ， 则 放 在 了 第 三 个 阶 段 去 部 署 和 完 成 。
完 美 世 界 零 信 任 整 体 架 构 图 第 三 阶 段 第 三 阶 段 基 于 前 两 个 阶 段 的 准 备 ， 开 始 开 发 终 端 a g e n t 、 网 络 安 全 管 理 系 统 。 最 后 ， 将 三 套 系 统 整 合 起 来 ， 其 中 包 括 主 机 安 全 管 理 系 统 （ 涵 盖 终 端 a g e n t ） 、 网 络 安 全 管 理 系 统 、 应 用 安 全 管 理 系 统 ， 并 且 开 始 做 三 者 之 间 的 联 动 ， 并 打 通 数 据 共 享 。 谷 歌 核 心 的 理 念 ， 从 终 端 到 人 ， 再 到 权 （ 应 用 权 限 ） 三 者 之 间 的 信 任 关 系 便 建 立 起 来 了 。 同 时 ， 在 这 个 过 程 中 ， 不 断 地 优 化 以 及 将 数 据 转 到 S O C 中 并 进 行 集 中 和 联 动 ， 之 后 再 进 行 全 局 的 安 全 分 析 工 作 响 应 ， 最 后 才 能 够 将 零 信 任 架 构 落 实 到 业 务 上 去 。 虽 说 零 信 任 架 构 不 是 完 全 陌 生 的 事 物 ， 但 是 这 个 探 索 的 过 程 依 然 是 极 其 不 容 易 的 。 架 构 构 建 、 开 发 、 和 业 务 相 结 合 的 实 施 过 程 中 就 会 产 生 各 种 各 样 的 问 题 ， 需 要 整 个 安 全 团 队 一 步 一 步 地 去 解 决 。 谈 及 这 整 个 过 程 中 印 象 深 刻 的 “ 难 关 ” ， 何 艺 认 为 其 实 有 很 多 ， 比 如 终 端 的 准 入 开 发 遇 到 设 备 兼 容 性 问 题 ， 应 用 安 全 网 关 拦 截 不 跳 转 的 问 题 ， 后 台 的 业 务 配 合 认 证 ， 配 合 这 种 认 证 规 范 和 集 成 化 ， 用 户 端 那 边 ， 较 老 的 商 业 应 用 可 能 就 需 要 比 较 低 的 I E 版 本 ， 导 致 一 些 不 兼 容 的 问 题 等 等 。 其 实 在 开 发 、 实 施 阶 段 ， 你 之 前 很 难 预 料 到 所 有 的 问 题 ， 可 能 就 是 等 到 要 开 始 去 做 的 时 候 ， 甚 至 说 有 时 候 你 真 正 开 始 应 用 的 时 候 ， 才 发 现 以 前 的 方 案 可 能 会 走 不 通 。 这 些 看 似 微 小 的 问 题 ， 却 会 影 响 到 整 个 架 构 的 落 地 ， 但 好 在 整 个 团 队 非 常 齐 心 ， 遇 到 问 题 大 家 一 起 来 解 决 来 克 服 。 企 业 安 全 团 队 管 理 企 业 安 全 团 队 管 理 很 多 东 西 对 我 们 而 言 未 知 的 ， 我 们 之 前 也 比 较 缺 乏 这 样 的 一 些 经 验 ， 但 是 好 的 一 点 ， 就 是 说 我 们 的 小 伙 伴 ， 团 队 其 实 还 不 错 。 对 于 整 个 企 业 的 安 全 建 设 ， 技 术 或 许 起 到 决 定 性 作 用 。 然 而 ， 何 艺 却 认 为 ， 安 全 技 术 最 终 还 是 依 赖 于 人 来 实 现 ， 而 不 同 的 人 有 不 同 的 分 工 ， 不 同 阶 段 有 各 自 的 压 力 和 挑 战 。 比 如 在 项 目 开 发 阶 段 ， 开 发 人 员 就 十 分 重 要 ， 新 的 业 务 一 旦 遇 到 b u g ， 就 要 快 速 地 响 应 和 修 复 。 而 在 项 目 实 施 的 阶 段 ， 安 全 运 维 的 人 要 大 规 模 推 动 上 线 ， 充 当 热 线 解 决 用 户 问 题 、 之 后 的 运 营 过 程 中 ， 安 全 测 试 、 分 析 人 员 要 不 断 主 动 去 找 问 题 ， 发 现 问 题 ， 那 么 他 们 的 重 要 性 和 挑 战 也 就 突 显 出 来 了 。 其 实 就 对 于 安 全 管 理 来 说 的 话 ， 你 可 能 就 要 考 虑 到 说 去 怎 么 样 让 大 家 在 不 同 的 阶 段 中 ， 然 后 都 能 够 体 现 出 自 己 的 价 值 来 。
换 句 话 说 ， 安 全 管 理 需 要 让 不 同 的 人 在 不 同 的 阶 段 和 岗 位 中 充 分 发 挥 自 己 的 价 值 。 对 于 人 员 本 身 而 言 ， 也 有 所 收 获 和 成 长 ， 平 衡 人 员 个 体 和 公 司 的 双 向 动 态 发 展 。 安 全 管 理 不 应 该 是 过 于 管 制 或 者 过 于 强 制 的 ， 应 该 是 一 种 带 领 性 的 作 用 ， 给 安 全 团 队 一 个 明 确 的 方 向 ， 在 这 个 过 程 中 ， 不 断 调 整 、 不 断 进 步 。 提 到 完 美 世 界 集 团 的 安 全 部 门 管 理 ， 何 艺 分 享 了 他 的 一 个 理 念 ， 将 人 的 经 验 积 累 起 来 转 换 成 系 统 或 者 是 平 台 的 能 力 ， 这 可 能 是 一 些 功 能 模 块 也 有 可 能 是 一 些 系 统 规 则 。 经 验 的 不 断 累 积 和 转 换 ， 这 是 有 利 于 安 全 技 术 人 员 从 重 复 的 劳 动 中 解 放 出 来 ， 去 做 其 他 更 有 价 值 的 事 ， 以 此 往 复 ， 系 统 平 台 的 能 力 就 会 不 断 沉 淀 、 不 断 加 强 ， 对 于 新 兴 的 风 险 和 威 胁 防 御 能 力 也 会 不 断 增 长 ， 而 团 队 人 员 可 以 把 精 力 放 在 发 现 新 的 问 题 ， 解 决 新 的 问 题 上 ， 会 有 更 多 成 长 。 完 美 世 界 在 这 个 成 长 过 程 中 也 在 不 断 调 整 ， 比 如 从 过 去 的 攻 防 体 系 到 如 今 的 攻 击 、 防 御 、 检 测 的 分 层 体 系 。 总 而 言 之 ， 结 合 这 种 一 体 平 台 化 的 理 念 ， 完 美 世 界 的 零 信 任 架 构 安 全 建 设 一 直 在 路 上 。 所 有 的 产 出 都 是 依 赖 团 队 的 力 量 ， 每 一 个 人 都 是 幕 后 功 臣 。 最 后 ， 何 艺 表 示 ， 现 在 的 安 全 团 队 也 还 需 要 注 入 新 鲜 血 液 ， 希 望 能 有 更 多 的 小 伙 伴 加 入 进 来 ， 将 这 套 体 系 完 善 下 去 ， 共 同 成 长 。 结 语 结 语 零 信 任 架 构 作 为 网 络 安 全 行 业 的 “ 新 宠 ” ， 尽 管 早 期 面 临 许 多 质 疑 ， 比 如 是 否 是 “ 新 瓶 装 旧 酒 ” 、 能 否 发 挥 其 安 全 防 护 效 用 等 问 题 ， 但 是 面 对 这 些 质 疑 ， 完 美 世 界 架 构 的 落 地 闭 环 提 交 了 一 份 还 不 错 的 答 卷 。 从 一 开 始 尝 试 、 质 疑 、 再 尝 试 ， 到 闭 环 、 落 地 ， 零 信 任 架 构 搭 建 过 程 是 不 易 的 ， 以 业 务 为 导 向 ， 结 合 独 特 的 企 业 安 全 理 念 ， 面 对 未 来 复 杂 多 变 的 网 络 威 胁 ， 企 业 安 全 防 护 才 能 真 正 有 效 。 * 本 文 作 者 ： 本 文 作 者 ： S a n d r a 1 4 3 2 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理