深信服罗政权 | 承载数字化转型基石，高筑数字化安全保障

在【2021中国“智造”数字化转型峰会】会上，深信服科技上海区副总裁罗政权先生为大家带来了《承载数字化转型基石，高筑数字化安全保障》的主题分享。

以下内容节选自深信服科技上海区副总裁罗政权先生的精彩演讲。

大家好，首先非常感谢鼎捷举办这一数字化盛会并很荣幸受邀来为各位进行分享。我今天分享的题目是《承载数字化转型基石，高筑数字化安全保障》。

当前，数字化转型成为业界关注的焦点，夯实网络安全基础是加快数字化转型的一大要点。网络安全在过去更多是遵循合规标准或发生安全事件后的亡羊补牢，但在近3年，随着国家对网络安全的高度重视，整个网络安全领域已经发生了翻天覆地的变化，我们作为国内专注于网络安全及云计算的领先厂商，近年也和很多制造业客户探讨和共建全新的符合企业智能制造需求的安全体系。

今天我就在现场讲讲我们看到的问题以及我们的解决之道。

01

数字化转型中

业务访问带来的安全挑战

要搞清这一问题，首先我们需要厘清数据安全的风险来源于哪里。因为疫情的推动，我们可以看到有一个趋势不可逆：远程办公，也可以理解成协同性的、不再聚集一个地方的办公形式；同时企业一旦数字化转型之后带来应用变化，也让接入形式复杂多样，业务访问带来诸多的安全挑战，过去“头疼医头”模式不能适应新的模式。

第二是今天提到的云化，这样的形式架构的变化给所有制造业带来同一个问题：多元时代的云安全到底怎么建设，还是按照以前堆烟筒的方式买东西来完成合规？还是真正旨在解决云安全过程当中我们目前应对的实际挑战？

要解答这个问题，我们先看一下当下业务访问背后带来的安全挑战有哪些。首先从云战略的选择上，不同的制造业选择不同，混合多云的模式正在成为趋势。基础设施上云之后，又有另外一个词诞生：应用上云。听到分享的嘉宾不断提到算力，很多制造业已经开始会把数据在IT和OT之间打通，甚至很多的定单数据、产线数据上传到云端，让云端的工具去跑都已成为常态。而从“应用上云”到“应用生于云、长于云”，API成为新的应用形态。在业务过程当中业务访问的场景之间又产生了什么样的关系呢？

首先是网络环境复杂化：越来越多的业务数字化，业务系统不断增多、业务数据愈发重要，系统形式复杂多样，Web、APP、H5、云桌面等形式并存。其次网络环境复杂化：云化、业务规模扩大等因素，让网络环境变得更为复杂，业务多分支、多云、有线网络、无线网络、外部公共网络…与此同时，访问角色复杂化：访问业务的不再仅仅是内部员工，也包括第三方合作方、渠道代维人员等，业务访问的角色多样化。

随着时代的发展，各类新的应用和业务场景也不断涌现，传统边界安全模型的局限性逐渐暴露，对云计算等新技术新应用的适应性不强，传统边界安全模型难以应对。首先内部的网络区域信任过度，2016年，我曾参与一个世界500强的食品制造业企业的安全事件应急处置，最终我们排查下来是由于内部员工的笔记本电脑成为肉鸡后，在厂区通过接入内部WIFI接入的形式，在被攻击之后进入生产内网，从而进一步将生产内网感染导致网络瘫痪。这一事件让我们看到过去的管控方式都是认为是外来不可信，内部一定可信，对内部网络区域的信任过度从而导致安全事件。

第二个挑战则是核心业务的服务（资产、端口等）容易暴露，以前我们说最常用的业务访问方式就是专线或者VPN接入，一旦接入就建立了身份认证，先授权网络访问，IP可达了，这个时候才可能让他扫码或者用短信，或者用KEY的方式，但其实你已经把你的资产暴露了，从而间接扩大了被攻击面，给予黑客可乘之机。这也是为何近年此类安全事件频发的原因。

第三个挑战就是办公网络环境变得越来越复杂，刚才提到终端、应用变得多元化，直接也导致从用户类型演变的多样化，你的身份也会被冒用，同时可以看到我们过去的网络位置只会简单分办公区、研发区、访客区，标记区分身份的仅仅是IP/MAC地址。

这样的控制方式是不是有效的？或者是不是在持续验证的？当他使用的终端感染了病毒再进入内网，是不是缺失了对他持续监控的过程，所以从认证到业务到数据，后台的安全管理难度很大。同时也可以看到，过去一些高精尖制造业企业会采用一些专业的数据防泄密方案（例如DLP），这样的方式又会带来用户的体验不好的问题，在这一模式下，市场部门、供应链部门和生产部门要接入办公区和生产区的权限是不一样的，但是这些人在场外办公权限应是灵活的，终端的兼容性应该是保证的，而不是被局限，直接导致办公环境越来越复杂。

前面3大挑战，相信各位多多少少有自己的感受和体会。

02

破局之道

聚焦业务安全访问的零信任指南

我们提出一个什么样的破局之道呢？就是零信任。这一理念在2010年由美国专家提出，我国业内近三年也在疯狂热炒这一概念，相信大家已经不陌生。

零信任架构是一种新的安全架构理念和思想，它使得安全建设视角从“基于风险”向“基于业务访问过程” 转变；它从理论上构建了一个包含端（用户/设备/应用）到端（业务系统）的最小访问模型。它建立了一个动态的、基于身份和安全上下文的逻辑访问边界，能够实现用户、权限、策略的统一管理和运维，大大降低安全管理复杂度和难度，它最大化落地“最小权限原则”，大大提升安全性同时，也降低了ACL访问管理的投入，它实现全场景的、一致性的用户访问体验，大大提升了用户满意度。

它可以带给我们的价值就是：持续的验证，永不信任，维持最小权限的原则，同时为各位企业数字化转型提供全场景、一致性用户的体验，大大提升用户的满意度。

如果不用IT和技术的语言怎么解释零信任？用各国疫情防控手段就能直观理解。英国在过去一年进行了3次全国性的封城，这样的做法就像传统的零信任控制方式——区域隔离和一刀切，最终效果就是短时间保障了安全性，但是限制了经济生长力，最后还是要尊重经济和民众的意愿，管控放松之后迅速反弹。

印度缺少对疫情的有效防控，短时间保障了经济，但是安全性很低。中国的做法是常态化的防控措施，第一个方式就是健康码，确定以身份(身份证号)为基石，结合细粒度到门牌号的行程轨迹、社区风险等级、核酸检测结果、是否打疫苗等因素综合评估个体的风险状态(红码/黄码/绿码)；针对疫情扩散城市防控，主要在于基于确诊病例/无症状感染者的行程轨迹筛查密接人群、精确到小区的细粒度封锁控制、多轮全员核酸检测、出入口核酸检测等。最终实现最大限度阻断疫情扩散，保障人民群众生命安全的基础上，避免对正常的人员流动及生产经营活动的影响。可以说：零信任可以让安全更简单、更有效，是平衡安全与生产力的最佳安全机制。

当信任已不再是一个陌生的概念，零信任框架构筑了一个信任度评估通道，逐层过滤风险，实现数据和业务系统访问的安全，包括如统一身份认证、默认最小权限分配、业务拓扑隐藏，访问流量加密、接入服务隐身、终端环境/访问行为/历史身份的持续评估等能力，希望能够通过持续的评估与校验，围绕用户、终端、应用、连接、权限和数据六大要素，打造一个端到端、全链路的信任链条。以上的架构就是深信服目前在各行各业数字化转型中的推广的零信任的架构，截止到目前全国落地1000家企业，其中33%都是制造业选择这样全新的方案。

以零信任的架构安全接入每一朵云，提升安全性和用户体验。目前在兼容性和安全性保障上，我们认为这套架构能给用户企业带来真正的价值。

03

数字化转型中

业务云化面临的安全挑战

我们先做个假设：目前把你的业务或者数据放到云上之后到底面临怎样的挑战和威胁？业务云化面临的安全攻防新挑战主要有三个：

01

不当的云配置，据多个机构统计，目前云上安全事件有较大一部分是由于云上的原生配置不当导致的，比如存储桶配置出错导致数据对外公开泄露；

02

云工作负载针对性攻击：现在针对工作负载的攻击变化非常快，比如针对容器的攻击，针对服务器的无文件病毒等等，这些都是比较头疼的问题；

03

基于云API的攻击，云由于开放性需求，大量采用API，通过API来实现对云的管理，随之而来的，也出现了很多关于云APIi的攻击，而且这些攻击的危害一般都是比较大的。这些都是由于新的技术所带来的新的攻击风险。

当然除了威胁之外，云化的演进也给安全管理带来了比较大的困难。首先多个不同的云环境下，由于安全能力不一样，所以策略也是不一样的，其次不同环境下的安全数据是割裂的，没有融合分析，无法有效看清安全全局，最后是不同云环境的合规建设是分开的，效率比较低下。

在座的各位可以在上云之后问一下自己IT部门的运维人员，上云以前都是在可控范围内，现在私有云部署，公有云也部署，导致云的安全策略很难统一，第二就是多云安全数据的分散割裂，我们很多制造业尤其是先进智能制造企业，他们提出的统一诉求想做安全运营，但是安全数据分散各个云上，模型和过程很割裂，合规也较为复杂，效率低下，更加之制造企业有专业安全人员的并不是很多，所以云的合规配置无法统一，未来动态自动化评估都将成为很多制造业追求和完善的方向。

04

构建多云时代下

全栈云安全体系的三点建议

如何构建混合多云时代的有效安全体系？我们给出构建多云时代下全栈云安全体系三点建议：

第一：多云一致，面向多个不同的云提供安全能力，同时能实现云内安全能力一致、多云安全接入及多云统一安全管理。

第二：全栈的保护，面向云上的传统安全问题及云上新增安全风险，构建覆盖云上各类风险的全栈保护的云安全能力。

第三：一定要上移和左移，云基础设施安全水位持续提高，安全重点保护对象需要“上移”，安全能力构建需要“左移”。

那么，深信服云安全核心能力主要有三个方面：

一是多云一致全栈安全能力，适配对接多种形态不同品牌云环境，面向混合多云提供一致且覆盖全场景的安全能力，满足用户不同环境上的安全需求。

二是灵活集成生态开放，多云安全平台本身是一个开放的安全生态，南向能兼容运行不同厂商的安全能力，北向能对接云管、监管平台、大数据分析平台等，同时架构可演进可生长，能力不断叠加。

三是安全能力SDK化应用内嵌，用安全左移的思想，从应用设计开发阶段就讲安全能力以SDK的方式内嵌到应用中，从底层提高应用基线和能力，保护应用安全。

经过多年的沉淀与发展，我们可以带来以上云安全核心能力，守护每一朵云，保护数字化应用的每一个时刻，提供数字世界的安全生产资料！未来我们将更多参与到数字化转型浪潮中去，为更多客户的数字化转型提供稳固的基石保障！

数字经济新时代，技术正颠覆千行万业发展形态。企业只有主动选择进化，迎头赶上当下数字化潮流，利用新技术充分武装自身，才能成为竞争丛林中的超级物种。

与此同时，正是如鼎捷软件、深信服等国产软件行业典范的持续深耕及潜心钻研，国产软件正以蓬勃之势轰然崛起，引领中国制造企业的数字转型之路持续迈进。作为创新与专业的数字转型服务提供商，鼎捷软件软将汇聚行业顶尖资源，构建多方共赢生态，开创互联互通新格局！