网络安全网格概念及其影响

随着组织数字化转型加快以及新冠肺炎疫情的全球大流行，分布在世界各地的机构、资产、员工、客户和合作伙伴推动了业务上云、移动办公的日益普及，用户、设备、应用和数据逐渐离开了工作地点和数据中心。这样的变化导致越来越多的资产存在于传统的安全边界之外，让边界变得支离破碎，如今，无法通过构建单一的安全边界来判断“内好外坏”，让传统边界防护方法变得不再有效。网络安全需要围绕个人或事物的身份重新定义，零信任网络架构逐渐形成共识，身份和上下文将成为分布式环境中的最终控制平面，以支持对分布的资产以及任何地方发起的安全访问。许多组织正在采用多云战略，使用来自多个云提供商的服务以提供满足业务需求的弹性。例如，对于具有复杂IT体系结构的大型组织（如政府组织、金融机构和大型制造企业）来说，使用多个云和数据中心对于保障其业务的安全、可靠运行是非常必要的。但由于各个云提供商都支持一套自身的安全策略（例如，阿里云、亚马逊网络服务和微软Azure等使用不同的方法来保护各自生态系统中的资产），因此，跨云提供商实现一致的安全控制是一项新的挑战，而且组织中庞杂的内部服务更将加剧这样的挑战。虽然新的技术标准和产品正在试图弥补这一问题，但组织更应关注如何找到适应这种复杂环境的统一、灵活、可靠的网络安全控制方法。为达到安全目的，当前的IT系统通常会根据合规要求和业务需要，“一应俱全”地部署多种安全工具。2020年数据安全研究中心PonemonInstitute的统计数据显示，每个组织平均部署了超过45种安全解决方案和技术产品往往还需要使用到多个供应商的产品解决方案。这样的安全系统建设方式导致系统过于庞杂，安全分析与运维管理非常困难，例如，安全事件检测与响应经常需要在多个工具之间进行协调，每个设备升级时都必须不断重新配置复杂的安全策略等；同时多种安全工具存在功能重叠，也带来很多不必要的投资浪费。当用户提出新的安全需求以及引入新的安全工具时，上述问题将愈加严重。许多IT管理者都高度重视这一问题，希望找到更优的集成方法，通过高效地集成当前最好和未来出现的安全工具，整合安全资源，以减少安全工具的品种数量，增强网络安全整体防护效能，减少系统复杂性并降低建设成本。当前网络变得更加复杂和分散，各种孤立部署的安全工具由于没有完全集成（例如，它们可能只是通过支持联合身份验证而实现松散的耦合），难以形成防御合力，从而带来了很多安全问题与风险。例如，不同安全工具之间缺乏互操作性（甚至互操作意识），安全态势语义混乱，造成可见性割裂，且并行使用的安全分析工具很难支持跨域的安全分析，限制了发现和应对威胁的能力；攻击者不会仅在各个孤立的安全区域中去寻找和利用漏洞，他们往往通过横向移动，利用一个区域的弱点来攻击相邻区域，或者从不同安全区域之间的结合部渗透到系统中。因此，完备的安全防御需要从组织角度和技术角度消除安全孤岛。目前，一些安全分析和智能化工具通过使用跨不同安全领域的特定信息来实现统一的安全检测与事件响应，如扩展检测与响应（XDR），但我们还需要一个更加广泛、集成且自动化的安全分析与管理基础设施，让所有安全工具都可以通过这个基础设施实现相互通信并共享信息，提供统一安全管理和可见性，形成整体防御合力，并可自动适应网络部署的演进变化。零信任网络、微服务、高级数据分析、人工智能、区块链等技术的日趋成熟，以及在网络安全领域的不断应用，为找到应对上述挑战的网络安全架构新方法创造了条件。2020年10月，Gartner在2021年重要战略技术趋势报告中第一次提出了“网络安全网格”这个概念，并在2022年重要战略技术趋势报告中再次提及。此外，该概念也进入了Gartner《2021年安全与风险管理重要发展趋势》报告中，并位列首位，由此可见网络安全网格的重要性。但目前Gartner对于网络安全网格概念的定义尚不清晰和具体，这对于一个刚出现的概念来说是常见的现象。本文基于Gartner相关报告中对网络安全网格的描述，解剖其概念、架构以及与其他网络安全概念的关系，展望其带来的影响，提出应用网络安全网格方法的建议，希望能够对深入理解与认识这个网络安全领域的重要发展趋势带来帮助。１概念与特点Gartner发布的《2021年重要战略技术趋势》（TopStrategicTechnologyTrendsfor2021）中描述了网络安全网格的概念：“网络安全网格是一种分布式架构方法，能够实现可扩展、灵活和可靠的网络安全控制。现在许多资产存在于传统安全边界之外，网络安全网格本质上允许围绕人或事物的身份定义安全边界。通过集中策略编排和分布策略执行来实现更加模块化、更加快速响应的安全防护。”在Gartner发布的《2022年重要战略技术趋势》（TopStrategicTechnologyTrendsfor2022）中对网络安全网格概念有了进一步的说明：“数字业务资产分布在云和数据中心，基于边界的传统、分散的安全方法使组织容易遭受攻击。网络安全网格架构提供一种基于身份的可组合安全方法，以创建可扩展和可互操作的服务。通用的集成结构可以保护任务组织的任何资产，对于使用这样的一体化安全工具的组织来说，可将单项安全事件的财务影响平均减少90%。”从上述Gartner报告的描述中可以看出，网络安全网格是一种安全架构方法或者策略，而不是一种定义明确的架构或标准化的技术方法，更不是某种产品，其目的是找到能够应对不断发展的业务系统以及网络环境演变所带来的安全挑战的新方法，提供比传统物理边界防护更强大、更灵活和可扩展的安全能力。网络安全网格主要涉及设计和建设IT安全基础设施，采用“水平”分布式方式将各种安全能力集成到网络中，而不是采用传统的“自上而下”、各种安全设备“一应俱全”的集成方式，致力于构建一个能在庞大的安全生态系统中协同运行，且自动适应网络环境演化的全面覆盖、统一管控、动态协同和快速响应的安全平台。网络安全网格的主要特点如下文所述。（1）通用集成框架。网络安全网格提供一种通用的集成框架和方法，实现类似“乐高”化思维的灵活、可组合、可扩展的安全架构。通过标准化工具支持可互操作的各种安全服务编排和协同，从而实现广泛分布的不同安全服务的高效集成，建立起合作的安全生态系统来保护处于本地、数据中心和云中的数字资产，并基于数据分析、情报支持和策略管理等能力的聚合形成更加强大的整体安全防御和响应处置能力。（2）分布式网络架构。网络安全网格利用了“网格”的去中心化、对等协作、结构灵活、连接可靠、扩展性强等优势，不再侧重于围绕所有设备或节点构建“单一”边界，而是围绕每个接入点创建更小的、单独的边界[5-6]。通过建立与接入点同样多的安全边界，保证物理位置广泛分布的用户能随时随地安全接入，符合零信任网络中的“微分段”要求，使得网络犯罪分子和黑客更难利用整个网络。同时，网络中主客体之间在逻辑上都是点对点直连关系，无须关注具体的物理网络部署，能够简化安全配置且能自动适应网络动态变化。（3）集中管理与分散执行。与传统的网关集中访问控制不同，网络安全网格采用了集中的策略编排和权限管理，基于策略分布式的执行，将网络安全控制能力分布到网络的更多地方，使安全措施更接近需要保护的资产，一方面，有利于消除安全管控盲点，缓解传统集中安全控制存在的性能处理瓶颈，适应用户终端和组织业务分散化发展需要；另一方面，有利于实现全局的安全威胁分析，形成更加一致的安全态势，从而实现更加精准的安全管控和更加快速的响应处置。（4）围绕身份定义安全边界。在当前网络协议中，因缺失身份要素带来了很多安全问题，物理IP地址与人和终端的关联性越来越弱，导致基于地址、流量、日志的安全检测和威胁分析技术难以实现针对人的威胁研判；基于网络协议字段特征检测的传统边界访问控制技术，同样使得基于身份的授权访问成为天方夜谭。由于网络威胁本质上是人带来的威胁，因此难以实现精准高效的安全威胁处置。网络安全网格延续了零信任网络的思想，用身份定义网络边界，让身份成为威胁研判与安全管控的基础。２架构与实现Gartner提出了网络安全网格的具体实现框架，即网络安全网格架构（CyberSecurityMeshArchitecture，CSMA）。这是一种分布式安全服务的协作框架，提供安全分析与情报、统一策略管理、整合操控界面和分布式身份结构等4个安全基础设施（如图1所示）[1]，使不同的安全工具能够基于该基础设施协同工作并实现统一的配置和管理，提高安全工具的可组合性、可扩展性和互操作性，解决多种安全工具在各个孤立体系中运行时所带来的问题，实现各种安全能力的有机聚合，适应业务发展需要并达到“力量倍增”的效果。图1网络安全网格架构概念网络安全网格架构的组成如图2所示，4个基础支撑层之间以及与其他安全系统之间的关系如下文所述。图2网络安全网格架构组成（1）安全分析与情报层。可与来自第三方的安全工具开展联合协同检测，基于丰富的威胁分析手段，结合威胁情报，利用机器学习等技术形成更加准确一致的威胁分析结果。（2）统一策略管理层。主要包括安全策略编排和安全态势管理，将集中的策略转换为各个安全工具的本地配置策略，实现分布式执行，并支持动态策略管理服务。（3）整合操控界面层。实现安全数据可视化，提供安全系统复合视图，主要包括统一的控制面板、告警、审查、指导手册和报告等，使安全团队能够更快速、更有效地响应安全事件。（4）身份架构层。主要提供目录服务、自适应访问以及去中心化的身份管理、身份验证和授权管理等功能，支撑构建适合用户需求的零信任网络架构。网络安全网格是在物理网络之上构建的逻辑层，网络安全架构的应用视图如图3所示，直观展示了在逻辑层中通过对各种安全能力的编排、执行，使得各种安全工具基于4个安全基础层实现互操作，提供统一的安全管控和可见性，而不是在孤岛中运行每个安全工具，从而构建一个能在庞大的安全生态中协同运行，且自动适应网络环境演化的安全平台。图3网络安全架构应用视图３优势及与其他概念关系近年来，网络安全领域的新概念层出不穷、纷繁复杂且相互关联，因此，厘清网络安全网格架构所带来的优势，以及与当前流行的其他安全概念之间的关系是很有必要的。3.1网络安全网格架构优势网络安全网格架构的优势主要体现在下文所述的几个方面。（1）实现更加可靠的安全防御。网络安全网格摒弃了传统的边界防护思想，不仅是围绕网络数据中心、服务中心构建“边界”，还围绕每个接入点创建更小的、独立的边界，并由集中的控制中心进行统一管理，从而将安全控制扩展到广泛分布的资产，在提高威胁应对能力的同时，增强了安全系统的可扩展性、灵活性和弹性。（2）应对复杂环境下的安全需求。通过网络安全策略集中编排但分散执行的方法，在统一的安全策略控制下，提供一种灵活且易于扩展的安全基础架构，可为混合云和多云等复杂环境中的资产保护提供所需的安全能力。（3）实现更加高效的威胁处置。通过安全工具集成，加强了安全数据采集和预测分析之间的协作，可以更加快速、准确地获取安全态势，及时发现并应对安全威胁，可大幅度增强对违规和攻击事件的响应处置能力。（4）构建更加开放的安全架构。提供了一种可编排的通用集成框架和方法，支持各类安全服务之间的协同工作，用户可自主选择当前和新兴的安全技术与标准，面向云原生和应用程序接口（ApplicationProgrammingInterface，API）插件的环境更加易于集成，便于定制与扩展，能有效弥补不同供应商安全方案之间的能力差距。（5）降低建设维护的成本与难度。用户可以有效减少管理一组庞大的孤立安全解决方案的开销，同时，安全能力部署和维护所需的时间更少、成本更低，易于与用户已建设的身份识别与访问管理（IdentityandAccessManagement，IAM）、安全信息和事件管理（SecurityInformationandEventManagement，SIEM）、安全运营中心（SecurityOperationsCenter，SOC）、态势感知等安全系统共存，也方便对接已建设的专线、软件定义广域网（Software-DefinedWideAreaNetwork，SD-WAN）等网络服务。3.2与其他安全概念的关系（1）零信任网络。谈及网络安全网格，就不得不提到零信任网络，这两个都是当前网络安全领域的热门术语，涉及网络安全架构的方法论。零信任网络的思想早在20年前就已经出现，但直到近三四年才开始逐渐流行起来。与之不同的是，不到1年时间，网络安全网格就被引入到大量的安全总体设计中。网络安全网格本身是遵从零信任网络思想的，人或机器都须通过严格的身份验证和授权才可以从任何地方安全地访问设备、服务、数据和应用，但零信任网络不一定就是网络安全网格。两者的区别主要体现在：①网络安全网格从围绕数据中心创建边界扩展到围绕主体和对象创建边界；②网络安全网格支持将云服务纳入零信任网络基础架构；③网络安全网格的关键要素是全面分析主体和客体的自适应访问控制。（2）安全编排自动化与响应（SecurityOrchestration,AutomationandResponse，SOAR）。SOAR同样也是Gartner提出的概念，是安全分析人员在统一的平台中集成工作流管理的一种方式。SOAR涉及安全编排与自动化、安全事件响应平台和威胁情报平台等多种工具的融合，通过监测各种安全事件信息（包括各种安全系统产生的告警），并对之进行分析，在标准工作流程的指引下，帮助安全运维人员实施标准化的事件响应活动。在构建网络安全网格架构的支撑层时，可以注意到的是，实现分布式安全解决方案之间互操作性的工具对于安全网格至关重要。最快、最合理的途径是采用基于API驱动的标准化技术和可扩展的分析平台，利用标准化通信来打破孤岛，在不同技术之间实现语义感知的编排，并通过自动化手段实现所有工具之间的实时共享以及灵活、可扩展的安全态势。由此可见，SOAR作为满足编排和自动化需求而开发的工具，可以融合到网络安全网格架构所需的安全分析与情报层，将成为网络安全网格架构的重要支柱技术之一。（3）其他安全概念。网络安全网格与当前流行的其他安全概念之间并不冲突。扩展检测和响应为安全供应商提供了将其产品整合至统一平台中的一种新的方式，因此可以说，XDR是CSMA进行安全分析和情报收集的潜在基础。安全信息和事件管理（SIEM）也同样如此，可以为网络安全网格中的安全分析与情报层提供更多的价值。安全访问服务边缘（SecureAccessServiceEdge，SASE）技术是一种通过集成方式提供不同功能的网格方法，与之相比，安全网格通过构建网络安全基础设施的方式，得到更广泛的适用范围。４影响展望与对策建议网络安全网格作为网络安全领域的重要技术发展趋势，将给网络安全行业带来多方面的重要影响，网络安全行业的参与者应紧跟发展形势，积极寻找应对策略。4.1带来的影响网络安全网格将为网络安全行业带来以下5个方面的深入影响。（1）助力IT系统开发中安全设计流程的升级。网络安全网格方法意味着整个IT设计过程的重新配置，在IT系统和网络设计之初就须考虑安全措施的集成。也就是说，安全措施不再是事后“打补丁”，而是在网络架构设计过程中同步开展的，IT设计开发团队将大量参与其中并将安全设计在时间轴上进一步“向左”移动，以确保实现更高效、更可靠的安全防御。（2）支持大部分的IAM请求。如上文所述，由于企业所在场所之外存在越来越多的数字资产、身份和设备，传统的边界安全模型难以实施有效的保护。Gartner预测，网络安全网格将有助于处理超过50%的IAM请求，支持更具适应性、移动性和统一的访问管理。借助安全网格方法，企业可以获得比传统安全边界保护更集成、可扩展、更灵活和更可靠的数字资产访问控制点和控制方法。（3）推动安全托管服务提供商（ManagedSecurityServiceProvider，MSSP）的发展。Gartner预测，到2023年，近40%的IAM应用融合将由MSSP推动。MSSP可以为各类企业提供一流的资源和所需的能力来规划、开发、获取和实施综合的IAM解决方案。相比产品供应商，MSSP通过集成方式更有能力和意愿为客户提供同样场景下的最佳安全解决方案，这样的发展趋势将导致产品供应商的作用和影响发生重大转变。（4）促进在员工身份管理生命周期中纳入新的身份验证工具。随时随地办公的要求使得远程交互变得越来越普遍，让组织更加难以准确识别真正的合规用户和恶意攻击者，迫切需要实现更加有效的身份注册和管理工具。Gartner预测，到2024年，30%的大型企业将实施新的身份验证工具，以解决员工身份管理全生命周期过程中频频出现的问题。（5）加速去中心化身份标准的应用。身份数据的集中式管理方法使得提供隐私保护和假名变得非常困难，利用安全网格模型和最新的区块链技术，基于去中心化的方法可以实施更好的隐私保护，让请求者仅提供少量信息量来验证访问请求，符合各国已出台的数据安全保护法规要求。Gartner预测，到2024年，市场上将出现真正的全球性、便携化、去中心化身份标准，以满足商业、个人、社交和社会的需要。4.2对策建议积极应用网络安全网格方法是顺应发展趋势的需要，网络安全建设和运营的主管人员应关注以下几点建议。（1）重新审视组织的网络安全建设规划，尽快从传统的边界防护转向零信任网络，并积极实施网络安全网格架构方法，