虛擬專用網(wǎng)(VPN)面世二十多年，為我們提供了加密的安全通信信道與數(shù)據(jù)傳輸渠道。雖然VPN類型很多，比如常見(jiàn)的SSL VPN和IPSec，但無(wú)論實(shí)現(xiàn)方式如何，其基本理念都是一樣的：創(chuàng)建安全I(xiàn)P傳輸隧道，以加密訪問(wèn)的方式保障數(shù)據(jù)安全。
軟件定義邊界(SDP)的概念相對(duì)較新，出現(xiàn)于2013年，最初受云安全聯(lián)盟(CSA)指導(dǎo)。SDP模型沒(méi)有默認(rèn)信任假設(shè)，不會(huì)因?yàn)椴捎昧藗鬏攲影踩?TLS)就認(rèn)為加密隧道是安全的，所以很多供應(yīng)商在與SDP相關(guān)的產(chǎn)品上采用了“零信任”這一術(shù)語(yǔ)。
典型SDP架構(gòu)中，每個(gè)連接要經(jīng)過(guò)多點(diǎn)驗(yàn)證和檢查，以幫助保障真實(shí)性和限制風(fēng)險(xiǎn)。通常，SDP模型中設(shè)置有定義資源訪問(wèn)策略的控制器，規(guī)定哪些客戶端可以連接并訪問(wèn)不同資源。網(wǎng)關(guān)組件則幫助導(dǎo)引流量到正確的數(shù)據(jù)中心或云資源。最后，設(shè)備和服務(wù)可使用SDP客戶端通過(guò)控制器連接并請(qǐng)求資源。有些SDP實(shí)現(xiàn)是無(wú)客戶端式的。
SDP vs.VPN
構(gòu)建并部署VPN的基本前提就是存在企業(yè)邊界，表面上受到IDS/IPS和防火墻等邊界安全設(shè)備保護(hù)。遠(yuǎn)程用戶或商業(yè)合作伙伴可通過(guò)VPN隧道穿透企業(yè)網(wǎng)絡(luò)邊界，訪問(wèn)企業(yè)內(nèi)部資源，即使不在企業(yè)內(nèi)部也能享有本地訪問(wèn)權(quán)限。
然而，現(xiàn)代IT企業(yè)的現(xiàn)實(shí)是邊界已不復(fù)存在，員工、承包商和合作伙伴遍布全世界，在本地、遠(yuǎn)程和云端完成作業(yè)。這就是促使SDP誕生的環(huán)境及其將要解決的問(wèn)題。
VPN今天仍廣泛使用，適應(yīng)特定類型的遠(yuǎn)程訪問(wèn)和移動(dòng)員工需求，但這需要某種程度的隱式或顯式信任。企業(yè)網(wǎng)絡(luò)信任擁有正確VPN憑證的人，認(rèn)為擁有這些憑證就應(yīng)賦予訪問(wèn)權(quán)限。但若該VPN用戶恰好是惡意用戶或盜取了憑證的未授權(quán)用戶，那就成問(wèn)題了，而且是VPN無(wú)法妥善解決的固有問(wèn)題。
而SDP或零信任模型可用在現(xiàn)代無(wú)邊界企業(yè)中，幫助守護(hù)遠(yuǎn)程、移動(dòng)和云用戶，以及企業(yè)工作負(fù)載。SDP不僅僅意味著擁有安全通信隧道，而且提供驗(yàn)證與授權(quán)。SDP并沒(méi)有僅僅信任某隧道是安全的，而是設(shè)置了各項(xiàng)檢查以驗(yàn)證身份，用健壯的策略授予權(quán)限，以隔離策略限制訪問(wèn)，并安排了多個(gè)控制點(diǎn)層層保護(hù)。
大中小型企業(yè)紛紛開(kāi)始采用零信任安全技術(shù)，這是一種趨勢(shì)。公司企業(yè)想要減小風(fēng)險(xiǎn)、最小化潛在攻擊界面，擁有更多控制點(diǎn)就成了關(guān)鍵。安全人員也常建議企業(yè)盡量控制特權(quán)用戶數(shù)量，基于最小權(quán)限原則授權(quán)。與其簡(jiǎn)單賦予VPN用戶完全本地訪問(wèn)權(quán)，系統(tǒng)管理員應(yīng)根據(jù)策略和設(shè)備授權(quán)限制訪問(wèn)，這是零信任模型的核心特征。
架構(gòu)良好的零信任解決方案還可提供潛在的開(kāi)銷削減，無(wú)需添置實(shí)體設(shè)備或客戶端代理。
用例
對(duì)商業(yè)用戶而言，VPN是比較熟悉的遠(yuǎn)程訪問(wèn)概念，近期內(nèi)這種情況不太可能發(fā)生很大變化。訪問(wèn)公司內(nèi)本地文件共享，甚或是訪問(wèn)公司打印機(jī)這么簡(jiǎn)單的操作，使用VPN在未來(lái)兩三年內(nèi)仍不失為理想選擇。但隨著越來(lái)越多的業(yè)務(wù)遷至SDP，即便是簡(jiǎn)單的打印機(jī)訪問(wèn)也將納入覆蓋范圍。
在公司內(nèi)部，無(wú)邊界企業(yè)中的內(nèi)部威脅與外部威脅等同，零信任模型是限制內(nèi)部人風(fēng)險(xiǎn)的良好模型。
對(duì)涉及DevOps的開(kāi)發(fā)人員而言，零信任是授權(quán)和訪問(wèn)現(xiàn)場(chǎng)、云及遠(yuǎn)程資源的更優(yōu)雅可控的方式。通過(guò)隧道簡(jiǎn)單連進(jìn)網(wǎng)絡(luò)的分布式開(kāi)發(fā)不如零信任模型驅(qū)動(dòng)的開(kāi)發(fā)強(qiáng)大。
VPN不再是保護(hù)訪問(wèn)安全的終極解決方案。
現(xiàn)代互聯(lián)網(wǎng)上，威脅來(lái)自任意位置，任何設(shè)備或被盜用戶憑證都有可能被用作入侵網(wǎng)絡(luò)的支點(diǎn)。零信任方法不僅僅依賴加密和憑證，能夠最小化風(fēng)險(xiǎn)并改善安全態(tài)勢(shì)。SDP超越了僅僅假裝硬邊界仍存在的虛幻假象。
