与狼共舞：零信任与SASE如何重新定义网络安全

无论是零信任还是SASE，都是帮助企业迎接一个全新的挑战：下一代企业网络将与互联网“与狼共舞“，让所有流量路由到本地防火墙或数据中心的帝国防御模式已经崩塌。

SASE（安全访问服务边缘）和ZTNA是近年来最具影响力的两个颠覆性的网络安全模型。

在全球性的远程办公大潮中，传统的企业网络 “边界”彻底消失，提供远程访问和安全服务的SASE模型以及零信任可以帮助企业重新定义网络和边界防御。但是，SASE和ZNTA两大架构之间有何关联？如何协同演进？依然是数字化转型企业当下最为关心的问题之一，以下我们尝试从几个方面进行解读：

零信任：身份驱动的安全范型转移

随着网络应用程序和资源迁移到云端，传统网络边界消失，企业数字化转型实施，传统防火墙、安全网关、VPN和代理暴露出很多安全漏洞和短板，零信任已经成为企业用户的关注焦点。

ZTNA（零信任网络架构）是面对数字化转型新业务场景，克服传统基于边界的安全方案弊端的一次重大范型转移，其本质是一次（身份管理）安全范型的转移或者变革。零信任前有多种流派，比如Forrester的ZTX、Google的BeyondCorp、Gartner提出的CARTA，但是无论哪一种方案实现，更细粒度、更可靠和更具新业务适应性的身份管理都是其中最新不变的安全需求。

零信任已被吹捧为未来十年网络安全的大势所趋。但是直到最近，尤其是Google BeyondCorp等零信任方案产品化后，零信任才开始作为可用于生产环境的实用企业安全框架受到关注。

零信任的发展历程 图表来源：联软科技

2020年新冠疫情大流行影响了不少企业的数字化转型计划，但却极大刺激了对零信任的关注和应用。因为随着远程办公成为新常态，企业员工和资产暴露的攻击面快速增长，面临网络攻击的风险飙升。上半年报告的攻击数量飙升已经说明了一切。

零信任提供了一种全面而灵活的方法来保护IT基础架构，应用程序和数据。

将基于零信任策略的安全性应用于用户交互时，企业可以减少其网络攻击面。每个人和系统都经过身份验证，仅能有限地访问他们被授权使用的应用程序，数据和资源。在大多数情况下，零信任的安全决策在端点实施，但在云中定义和管理。访问策略可以细化，以根据IT资源、会话数据、身份验证和许多其他因素在访问边缘做出安全决策。

SASE与零信任不谋而合

SASE是一个相对较新的概念，是Gartner在2019年末的报告《网络安全的未来在云端》中提出的安全模型，其基本思想是将已经建立的网络安全服务堆栈从基于数据中心的中心化架构，转变为将身份管理“下沉”到终端设备的设计，从而使安全架构能够更好地支持边缘计算和混合云等数字化转型新场景中的动态服务、软件即服务（SaaS）以及分布式数据处理等新业务。

零信任安全架构与SASE的基于边缘的安全方法目标完全一致，可以使用SASE框架执行。在这里，我们有必要回顾一下二者的基本概念和原则。

零信任网络访问（ZTNA）是一种安全架构，其核心构想通过权限最小化原则来保护网络免受高级威胁的攻击。

传统网络环境将企业内部网络定义为“可信区域”，这个区域内部的所有计算资源可以互相通信，没有做到权限最小化原则。一旦有外部黑客攻入内网，或是企业内部人员想要恶意破坏，就可以在“可信区域”内“横向移动”，对企业计算资源进行大肆攻击和破坏。

零信任解决方案包括可以添加到现有VPN和网络中的微隔离工具（例如，应用程序隔离）以及其他技术（例如SDP）。这些技术控制网络内部的横向移动，通过将远程和内部应用程序的访范围限制在真正需要的内容来防止攻击。

SASE则代表了企业网络及安全体系结构的融合趋势，它适用于当今不断变化的（分布式远程）云计算工作环境，将安全性和网络融合在一起，适用于任何类型的端点，企业无需在设备上放置代理，连接到VPN并将所有流量重新路由到云端，SASE为每个单独的设备带来安全性，这与零信任的“细粒度“安全控制目标显然是一致的。

例如，零信任Web浏览假定所有网站都不安全，因此不允许它们与用户端点上安装的浏览器软件自由交互。在此情况下，SASE框架着重介绍了一种称为远程浏览器隔离（RBI）的技术。这是一种安全功能，其假设和原则与“零信任”一致：不信任来自Web的任何内容，并且怀疑所有网站代码、活动和下载内容。通过RBI，所有用户的Web浏览都可以在云中的虚拟浏览器中远程进行，只有安全的渲染信息才能从网站发送到设备的浏览器，从而提供安全，完全交互，无缝的用户体验。

零信任是目标，SASE是路径

为了了解SASE如何实现零信任安全模型的方法，需要对Gartner的愿景进行更深入的解读。在对SASE模型的介绍中，Gartner列出了可以构成SASE平台的许多功能和元素-网络即服务技术（例如SD-WAN、CDN和WAN优化）以及网络安全服务（例如云） SWG、VPN、NGFW、ZTNA、云访问安全代理（CASB）和RBI。作为SASE的各个组件，这些组件现已上市，并且在不同程度上已为很多组织所使用。Gartner的SASE愿景是，这些解决方案的发展趋势是整合到一个集成的，易于使用的全球云交付平台中。

通过将网络基础结构功能与网络安全功能集成在一起，SASE可以在所有网络连接点和端点上实施安全控制。SASE解决方案结合了核心连通性和安全策略功能，提供控件，可在请求的用户和IT资源（数据库、应用程序等）之间（无论它们是否位于企业网络中）在线做出访问策略和数据使用决策，这些都与零信任的诉求和目标一致。

SASE极大地提高了网络安全性，而且如果实施正确，对用户的影响也可降至最低。SASE解决方案能为IT员工提供整个组织网络和应用程序中每个用户访问的完全控制权和可见性。集成的，持续的流量检查和分析以及动态的安全策略执行功能，使SASE成为改变数字化转型计划的推动者，同时也是零信任架构的理想载体和路径。

SASE已经启程

Gartner预计，到2024年，至少有40％的企业 将制定SASE应用战略。由于供应商仍在开发其集成的基于云的SASE平台，因此早期采用者需要保持其SASE早期方案或准备工作的灵活性。

首先，您可以从重新评估组织的网络架构开始，并确保网络安全从一开始就融入架构 ，正确的体系结构设计对于建立强大、适应性强的架构至关重要。

其次，SASE和零信任是一种进化，企业可以循序渐进，零信任可以从MFA、SSO等做起，同样地，企业也可以在现有的网络基础架构中添加和补充安全功能来快速获得SASE能力。例如，升级NGFW和VPN以添加“零信任”网络访问功能或者添加RBI以将零信任Web浏览带入您的企业。

最后，您可以通过逐步减少硬件依赖性来向SASE迁徙。云原生应用程序、Web访问和安全解决方案除了可与传统网络一起使用外，还为分布式架构奠定了基础。选择适合的路线图和过渡解决方案，可以帮助你的企业成为真正的“零信任企业“。