探索零信任：《零信任安全技术详解与应用实践》读书系列（二）数字化时代的安全挑战

随着党的十九大报告提出的“数字中国”战略目标的深入实施，我们迎来了数字化转型的浪潮。在《中华人民共和国国民经济和社会发展第十四个五年规划和2035年远景目标纲要》的指导下，数字化不仅是一种技术变革，更是一种生产、生活和治理方式的全方位革新。然而，数字化的深入，企业也面临着新的安全挑战。

一、混合办公、业务上云的安全挑战

传统网络安全防护方式：企业网络安全依赖于在网络边界处部署的安全设备，如防火墙、入侵防御系统（IPS）、防病毒网关和Web应用程序防火墙（WAF）。这些措施在物理网络边界清晰、员工活动范围有限的传统办公模式下效果显著。
混合办公模式的安全考量：现在，企业员工不再受限于固定的办公地点，而是公司办公和远程办公并存的混合办公。员工可以使用各种设备，在任何地点、任意网络环境中访问企业的服务和资源来办公。员工的终端设备可能暴露在没有适当安全防护的公共网络环境中，一旦被攻陷，企业内部的服务资源和数据就会面临非法访问、窃取和破坏的风险。
多云战略的安全挑战：企业的数据资产已经从传统的基于数据中心和办公场所的物理网络迁移到云上。一些企业基于业务发展的需要，将业务部署在不同的国家或地区；另一些企业为了避免单一云厂商的服务出现可用性问题，会采购多家厂商的云服务资源来提高服务的可用性，企业的数据资产或访问入口都分布在多个云服务上。传统基于物理位置边界的网络安全防御技术已经难以应对新的安全形势。
目前安全思路：从依赖物理边界防护转向了由软件定义的安全防护范式。

二、移动终端面临的威胁

在万物互联和数字化转型的浪潮中，移动终端已成为企业运营不可或缺的一部分。然而，随着移动办公、远程协作和混合云部署的普及，企业面临着日益严峻的移动终端安全威胁。

便携式背后的风险：移动终端的便携性和灵活性，使个人持有的设备频繁穿透企业网络边界。移动终端存储的大量组织敏感数据一旦泄露，后果将不堪设想。
漏洞与恶意软件的双重威胁：移动终端经常存在一系列漏洞，攻击者可能利用这些漏洞使移动终端成为对组织内部网络发动攻击的跳板。通过感染移动终端设备，攻击者可以悄悄地将恶意软件横向传染给其他设备，给组织网络带来巨大的威胁。
无线传输的加密缺失：移动终端在通信过程中未进行无线传输加密，用户连接不安全的公共wifi也会增加数据泄露和中间人攻击的风险。
目前安全思路：1.在移动终端上开启多因素身份验证，加强访问控制；

2.对移动设备上的数据和无线传输进行加密；确保移动操作系统和应用程序及时更新，修补安全漏洞；

3.制定设备丢失后的应急响应措施，如远程数据擦除；限制移动设备连接不安全的网络，实施网络准入控制。目前，更多企业愿意选择混合云方式部署自己的业务，一方面可以利用公有云的弹性和运维成本低的优势，另一方面，可以进行私有云的强制管控和深度定制。

三、内网边界被突破的威胁

办公网络面临的威胁：传统的企业通过网段或者 VLAN 进行内部网络权限的隔离。内部会划分多个功能网络区域，区域之间通过防火墙或者其他网络设备进行权限的隔离。企业内部设备通过网络准入认证后，会被分配一个网络区域的 IP，而区域内部基本没有进一步的细化隔离。一旦一台设备沦陷，通过这台设备就可以获取此网段的所有设备或者服务资源的访问权限。如果开发网络中的一台机器被植入木马，就可以借助这台机器实现木马病毒在其他设备终端之间的传播，并且对内部开发资源（代码等）进行访问。对此，需要针对内部设备做进一步的持续安全监测，进行精细化的访问权限控制和服务保护。
数据中心内部流量管控的挑战：数据中心集中了大量数据和资源，虽然解决了集中运维、管理的问题和节约资源成本的问题，但一旦数据中心边界被攻破或绕过，攻击者就可以在数据中心内部横向移动，而中心内部基本没有安全控制的手段可以阻止攻击。
目前安全思路：1.实施持续的安全监测，及时发现并响应内网中的异常行为和潜在威胁；

2.目前最常见的方式是通过划分VLAN的方式将数据中心内部的服务器划分为多个网段，网段之间通过防火墙策略隔离。但是，虽然边界关闭了无用端口、过滤了流量，内部服务工作负载部署的应用程序或者系统可能会被攻击者利用漏洞来远程植入恶意代码。因此，数据中心内部建立安全防线，保障工作负载之间的受控访问，防止恶意代码的传播。

四、数据安全的监管合规约束

企业的数据合规是业务发展的生命线。为此，国家和各相关部门出台了众多关于数据安全的法律法规。

数据合规：十三届全国人大常委会第二十九次会议表决通过了《中华人民共和国数据安全法》(以下简称《数据安全法》)。作为我国数据安全领域的基础性法律和国家安全领域的重要法律,《数据安全法》积极回应了当下国内外数据竞争和保护的关键问题，给企业数据经营合规以及进一步的数据资产化治理与发展提供了指引。2022 年 12 月，《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》对外发布，强调数据基础制度建设事关国家发展和安全大局，要以维护国家数据安全，保护个人信息和商业秘密为前提，以促进数据合规高效流通使用、赋能实体经济为主线，以数据产权、流通交易、收益分配、安全治理为重点。数据安全的法律体系完善的同时，企业也面临着新的监管趋势和合规挑战。
数据分级分类访问控制：有效甄别不同数据的敏感度，针对不对敏感度数据实施差分保护并且不降低工作效率的前提下控制访问权限。
企业内部人员泄密防范：企业加强特权账户管理、访问权限控制，增强设备软件、外设管控，加强内部用户的行为分析、回溯能力建设，从终端、流量、应用服务等方面建设预防和检测分析体系。
个人隐私保护：在不同的国家和地区都有对应的法律法规保护，欧盟的《通用数据保护条例》（GDPR）、我国的《中华人民共和国个人信息保护法》
目前安全思路：定期进行合规性审查和风险评估，确保安全措施符合行业标准和法规要求，同时识别和缓解潜在的安全风险。

五、身份安全的治理难点

管理对象复杂：当前的身份安全管理，从传统的只关注“人”身份，走向关注“人”和“物”的身份。
统一管理需求激增：企业分散的系统建设模式，造成每个系统都有自己一套的身份管理和认证机制。企业人员需要在不同的应系统中重复登录，重复认证身份的真实性和有效性，运维人员也因此面临很大的工作量，因此急需把不同的系统身份管理统一起来。
权限治理实时性：企业内部人员变动不可避免，对于不同的人员，需要有一种灵活、及时、便捷的权限管理机制，保障企业资源的安全访问。
目前安全思路：需要有自动化的手段对权限进行精细化管理，及时收回人员的不必要权限。

六、用户访问场景安全的平衡性挑战

不影响业务效率：企业的业务开展需要支持多种访问接入的需求和场景。如果安全设计不合理，会消耗终端CPU和内存等资源，影响员工访问企业资源的体验。
适应业务需求变化，保证安全弹性：针对不同用户的业务访问场景多样性，比如大量员工居家办公时，企业内部资源和服务可能会面临访问量突然爆发的情况。此时为了防止安全机制被突破，企业需要具有快速进行弹性扩充的安全能力。
目前安全思路：制定业务连续性计划和灾难恢复策略。