重定义边界网络安全：混合才是未来

2017-12-13 15:45:39 来源：安全牛抢沙发

2017-12-13 15:45:39 来源：安全牛

摘要：边界防御的出现，跟服务器本身一样古老。说出边界防御这词儿，脑海中就会自然浮现这么一幅图景：上锁的房间中，一排排超大型机柜在嗡嗡作响，还有防火墙将机器与外部世界隔离开。
关键词：网络安全

　　随着信息进一步涌向云端，边界安全的角色正在发生改变，逐渐成为网络安全多维解决方案的一部分。

　　边界防御的出现，跟服务器本身一样古老。说出边界防御这词儿，脑海中就会自然浮现这么一幅图景：上锁的房间中，一排排超大型机柜在嗡嗡作响，还有防火墙将机器与外部世界隔离开。但除非你在为CIA干活，否则这场景不太可能是你的日常所见。相反，你保护的数据存于云端，通过笔记本电脑和手机满世界流动。API接入，电子邮件发出。当信息遍布各处，安全也必须无处不在，让那些还记得服务器真身的人疑惑，现在还会有边界防御这种东西吗?

　　一、从边界到授权

　　边界是个非常局限的想法，在一个充满WiFi和云的世界中，这种东西早已七零八落了。情况变了，我们一贯倚赖的边界，不再那么可靠。在以前，IT人员可以说，如果你在我们的网络上——在我们硬线连接的物理网络上，那就有安全协议;如果你跟我们的网络物理连接，我们可以信任你。

　　云时代以前，边界受到杀毒软件扫描或终端防护工具之类内部防御的强化。但时移世易，如今仅靠边界本身已不足够。只要进入内部，简直为所欲为。这就像是因为锁了大门就不再使用保险箱一样。如此看来，最佳实践一直没变：安排“后卫”一向都是个好想法。

　　然而，我们越快摒弃边界这种想法越好，因为它会给人一种虚假的安全感。在一个员工分布各地，用各种设备工作的世界里，边界已经不存在了。如今，是授权而非防火墙，才是防止员工凌晨2点从拉斯维加斯登录公司银行账户的。授权一直以来都被认为是种内部防御。

　　无论捕获从赌城登录行为的是何种安全措施，这种非正常的登录是很明显的。但对于美国肯塔基丹维尔市的私立中心学院来说，凌晨2点从伦敦、上海和斯特拉斯堡登录都是可以的。其85%的学生至少会有一次海外学习经历，可以登录该学院的学习管理系统、电子邮件系统和校园内网，无论他们身处何地。

　　二、基于身份

　　与任何一所学院一样，中心学院的数据链从高中生联系招生办就开始了，贯穿4年大学学习生涯，然后是毕业生的余生。于是，从在校生社会安全号到毕业生捐款银行信息，所有的一切都需要保护好。另外，与所有用人单位一样，雇员信息也在需保护的数据之列。

　　中心学院更依靠边界防御来保护数据，而不是跟着趋势预测走：几年前，所有文章都说“边界已死，不用管防火墙了”。这一理念流行了一段时间后，“哎呀，你真的还需要照看好防火墙哦。千万别忽视了它。”幸运的是，边界安全起起落落，但防火墙、入侵检测系统和入侵预防系统从未在中心学院失去它们的地位：包含雇员及学生个人可识别信息(PII)的企业资源规划(ERP)软件，依然处于传统边界罩护之下。

　　当然不是所有东西都有边界包围，也不应该有。就以学院剧场为例，该剧场的SaaS票务平台，就是来自具备自身安全措施的供应商。学生电子邮件也不再身处边界之后，4年前就已迁移到了微软 Office 365 上。然后还有其间流转的全部信息，比如学院网站centre.edu的代码。

　　反正该网站上没什么东西是真心不想公开的。重要的不是防止数据渗出，而是保护网站不被黑。最后，大多数数据由混合系统防护，托管在学院通过云来访问的物理服务器上。这些服务器有实地边界防御，还有内部防御保护其连接。

　　中心学院的这种操作就是明证，证明边界正在改变。边界和内部安全正演变成为可在内部、云端或二者之上运营的多层防御。边界不仅仅是物理边界，这一概念随着时间推移而发生了改变。

　　回到之前提出的凌晨2点从赌城登录公司银行账户的例子，仅仅基于登录地点的安全措施显然还不够好。安全需要基于你的身份，以及你在特定时间点上想要做的事。

　　三、边界依然存在只是更加层次化

　　因此，安全的未来不在于边界或内部，而是多层面防御。没什么解决方案能覆盖完全，但有很多不同层次的权限会随时间改变。

　　正如原始边界防御表征“通过的一定是良性的”，深度防御能够处理不同用例，并有效创建“安全区”——类似机场。于是，这并不是说用边界阻隔外客，用内部防御避免进入之后的麻烦，而是要在一个更高更细化的层次上评估数据和权限。

　　中心学院向这一新现实的转变速度被人为放缓，IT部门预计要用10到12年。因为他们并非占在新兴技术的前沿，他们也庆幸自己没有处于这个“边缘”位置。该学院的安全方法也反映出了自身理念——不仅仅是为了赢得内部买入预算的时间，也是为了做出最有利于学院的决策。

　　边界确实存在，只是发生了变化，更加层次化了。

　　无论你在哪儿工作，无论环境有多先进，很多地方实际上发现，自己安全方法的迁移，不过是为了把信息再放回到边界之内。不管你是福特汽车公司还是中心学院这种小组织，你做的决定都必须考虑到，什么才是对公司使命真正重要的东西。

第三十八届CIO班招生
国际CIO认证培训
首席数据官（CDO）认证培训

责编：pingxiaoli

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。