专家视野| 零信赖扩大生态厂商观察
颁布功夫 2020-12-18媒介：
零信赖扩大生态，是由Forrester首席分析师Chase Cunningham提出，他以为零信赖应该扩大到企业的整个数字化业务生态系统中。本文通过对“The Forrester Wave?：零信赖扩大生态厂商”2020年Q3版汇报的观察，重要介绍了Illumio的两大支柱产品、Guardicore的自动化测试工具和Appgate的零信赖技术，以便援手各人更好地构建自身的零信赖生态。
零信赖扩大生态（ZeroTrust eXtended(ZTX) Ecosystem），是由Forrester首席分析师Chase Cunningham提出，他以为零信赖应该扩大到企业的整个数字化业务生态系统中。称为“ZTX生态”的另一个原因能够从《Forrester步骤论》得到启迪：“Forrester以为，健全的生态远比一项独角兽技术的质量或成熟度沉要。”
从2018年Q4起头，Forrester每年颁布“The Forrester Wave?：零信赖扩大生态厂商”汇报。最初共有15个评估尺度，散布在“现有产品（Current offering）”、“战术（Strategy）”、“市场形象（Market presence）”三个维度。
2019年Q4的评估尺度增长到16个，新增了“提倡（advocacy）”部门，即厂商必须证明他们是在遵循自己的建议，在自己的组织中（而不仅仅是销售能力）实现或利用零信赖。此表，萦绕厂商的零信赖产品宣传，厂商在用词和介绍上必须扼要。
而2020年Q3的评估尺度则增长到19个。
Forrester Wave?：ZTX平台厂商，2020年Q3
2020年Q3，Forrester对19个零信赖平台厂商进行的尺度评估中，确定了15个最沉要的厂商，并对它们进行了钻延注分析和评分。
Forrester以为零信赖是一次旅程并没有单一的主张地。组织可能必要数年能力实现零信赖之旅，并达到其终极状态。
2020岁首的新冠疫情加快推动了零信赖之旅，整个世界的办公状态已经转移到了原来明确的网络天堑之表。
Forrester对远程办公安全性和易用性的钻研发现，市场上Illumio、Cisco、Appgate、AkamaiTechnologies、MobileIron和PaloAlto Networks是辅导者（Leaders） ；Microsoft、Guardicore、Unisys、Okta、Google、BlackBerry和Forcepoint是强劲阐发者（Strong Performers） ；Ionic Security和Proofpoint是竞争者（Contenders）。
Illumio产品
Illumio在15个厂商中排名第一，很好奇他们的产品有多强，他们有两大支柱产品Illumio Core、Illumio Edge。
Illumio Core，通过提供实时可见性和微隔离� ；な葜行暮驮浦械墓ぷ鞲涸�，阻止横向移动 ；
Illumio Edge，通过将执行能力延长到单个端点，终结勒索软件和恶意软件在终端间的传布。
Illumio Core架构
Illumio Core提供跨异构推算环境中工作负载间的衔接可见性，凭据工作负载的通讯方式天生最佳隔离战术，并造订每个主机的主体状态（native stateful）执行点，以便执行利用防火墙规定。Illumio将隔离从网络基础结构中解耦，这种方式解除了基于网络进行隔离的局限性和挑战。
Illumio Core由以下组件组成：
◆ 虚构执行点（VEN）
装置在组织但愿实现齐全可见性和执行战术的操作系统事俘中。它能够在裸金属服务器、虚构机、容器化主机和公有云事俘上运行。VEN不是执行点，它网络工作负载中的遥测（telemetry）数据，如操作系统类型、接口IP、在运行的过程以及在与这些工作负载通讯的对端IP。
而后，它将信息传输到PCE，PCE创建实时可见性通讯图，用于构建隔离战术。PCE将该战术转换为状态防火墙规定并将其传输到VEN，VEN在每个工作负载中造订基于主机的状态防火墙规定。
VEN可造订以下内容：
1、在主机操作系统中造订第3、4层防火墙战术（Windows Filtering平台、Linux上的iptable和AIX/Solaris上的IPFilter），还有Kubernetes和OpenShift ；
2、负载平衡（F5和AVI）以及互换机（思科和Arista）中的接见节造列表（ACL）。
◆ 战术推算引擎（PCE）
PCE是大脑，它网络来自VEN的所有遥测信息，通过实时利用依赖映射（Application DependencyMap）可视化这些信息，而后凭据环境、工作负载和流程的有关高低文信息推算和推荐最佳防火墙规定。这些规定将传回VEN，VEN再对每个主机的第3、4层防火墙规定进行造订。PCE可通过Illumio的公有SaaS平台、本地和虚构私有云部署。
◆ 利用依赖映射
实现每个工作负载中运行的衔接、流和过程信息的实时可视化，以及它们的行为和相互依赖性，使得利用基线得以检测异常行为。另表，在执行战术前使用可视化反馈对隔离战术进行建模，以确保利用在迁徙或执行战术时不会中断。
◆ 天然说话战术（Natural Language Policy）
为了反映现代数据中心的安全需要，就必须与底层基础架构齐全分离。要使安全独立于推算环境，得从战术规范起头。若是安全战术以通用方式编写，那么能够利用这些战术来� ；と魏问葜行幕蛟苹肪持械淖什�。通过使用天然说话战术规范模型，能够使通用安全战术成为可能。
Illumio Edge架构
通过与当先的终端安全厂商CrowdStrike合作。借助单一的基于云的部署和追随用户的轻代理，Illumio Edge利用现有的主机防火墙来加强端点安全。
Illumio Edge的VEN是轻代理。但这不是通常的代理，它险些不使用CPU，不会降低网络机能。VEN对用户齐全不私见，但可查看其机械中的每条流信息。它网络机械的高低文和遥测数据并将其发送到PCE。Illumio Edge PCE的个性和Illumio Core的险些一样，在此就不发展了。
自动化测试
来自以色列的Guardicore与Microsoft、Unisys、Google一样，都是强劲阐发者。Guardicore除提供ZTX平台，还有自动化测试工具Infection Monkey与之共同。
ATT&CK知识库映射
功夫回到2010年。Netflix开发出Chaos Monkey成为了混沌工程的初步。一年后，Netflix逐步形成了他们的混沌工程工具集“Simian Army(猿军)”，尔后混沌工程作为一门新兴学科单独演化。Chaos Monkey用一组自动化流程查抄云应对各类故障场景的弹性。它会随机关关基础设施中的服务器，以测试利用招架服务器故障的能力。当知路Chaos Monkey在组织的基础设施中自由运行，而服务依然维持正常运行时，就能够安心了。Guardicore以为类似的步骤也合用于� ；ぴ苹∩枋�。
安全事务随时产生，它们始终不会按预期或打算出现。组织的基础设施应可能接受表部安全层的粉碎，处置内部服务器的习染。像云利用必要被设计来应对服务器故障一样，云安全必要被设计来应对入侵。所以，有效的步骤是定期在云中开释Infection Monkey。
Infection Monkey是开源安全工具，用于测试数据中心面对天堑失陷和内部服务器习染的弹性。Monkey使用各类步骤在数据中心中自我传布，并将了局报给Monkey Island Command和节造服务器。新版本可实现与ATT&CK知识库的映射。
ZTX框架匹配度
此表，还能测试网络是否切合ForresterZTX平台框架。从前四年，Infection Monkey在网络安全社区中极度受迎接，并获得了巨大的发展动力。Infection Monkey在Github上占有4900+颗星，受到蕴含大型企业、教育机构在内的多多用户信任。
AppGate
AppGate是以SDP技术作为零信赖技术落地的厂商，是最早提倡推动代替VPN的厂商，优良的继承了Forrester零信赖理想，即关注人、设备、数据、网络和工作负载。
AppGateSDP是第一个获得CC（Common Criteria）认证的SDP解决规划，统一所有环境的接见战术和节造，并通过AppGate的软件界说天堑提供对任何地位的安全接见，批注满足对安全敏感或关键系统进行操作的严格要求。
AppGate能处于Forrester ZTX辅导者的地位，得益于让组织获得单一、高效、安全的方式去应对数字化转型带来的端到端接见实时精准接见的不确定性，让组织的安全规定萦绕以身份发展基于风险的身份验证和数字威胁防护，让组织远离AnyConnect VPN，总体架构设计如下图：
AppGate SDP组件流程图
拥有如下特点：
1、Appgate SDP对单数据包授权技术（简称：SPA）的使用给客户留下了出格深刻的印象，该技术用于向攻击者暗藏网络资源，继而解除攻击面，网络资源在身份验证和授权之前是不私见的。
2、利用获得专利的多隧路职能将用户无缝衔接到利用法式，无论它们在何处运行，组织不用为混合环境治理分歧的安全模式，单一的入门过程即可获得无缝一致的用户接见履历，幼于1ms的延长。
3、通过与自有RBA解决规划（基于风险的身份验证）集成，将设备状态作为接见的尺度，利用来自身份和目录系统的数据以及环境元数据来动态创建或扩大战术和权限。如下图。
RBA解决规划图
4、凭据高低文数据授予对企业资源的接见权限，蕴含用户配置文件，环境和企业。
5、提供网络活动的齐全可见性，蕴含有关接见的资源，用户和高低文的具体信息。
6、利用与特定于云的安全性职能的本机集成来� ；す苍乒ぷ鞲涸夭⒃诨旌匣肪持刑峁┮恢碌慕蛹谠�。
7、启用通明的远程和第三方对网络资源的接见，同时解除了VPN的职守和缝隙，VPN持久以来的缝隙和基于长衔接的模式机造，为组织带来了不少的困扰。
8、削减网络攻击面，并确保针对DDoS，中央人和其他攻击的壮大防御。
2020岁首全球新冠疫情的发作，组织起头选取上线服务模式，带来了线上化办公用户数量的显著增长，陪伴着组织数字化转型的发展带来的业务接见蹊径的多样化。同时，传统以VPN方式作为远程接入办公的模式在高效、易用和安全上显得力不从心，组织继而将该方式逐步迁徙至SDP方式。
分析能力是沉点
从汇报中能够看出，ZTX平台对于数据分析能力是极度依赖的。Cisco和Proofpoint还为此进行了专项收购，而Illumio则持久以来以“专一于可见性和分析”而受到Forrester夸奖。Forrester对Forcepoint点评是“他们的分析提供了‘壮大的镜头’来观察零信赖……企业若是必要智能的UBA和高级内部威胁检测能力，选择Forcepoint的平台。”
NIST在今年8月正式颁布了《零信赖架构》尺度，将战术引擎描述为零信赖“大脑”，其信赖算法必要多种信息的“喂养”能力做出足够正确的决策。同样，DoD、ACT和Forrester无一例表地将“可见性与分析”作为零信赖的支柱。因而，分析能力不应该只是停顿在slide中的几句时髦词。
全情投入
“全世界90%的互联网用户经过一个网络跳就能够达到一台Akamai服务器。」剽就是全球最大CDN厂商Akamai。1998年诞生于MIT的Akamai掐指算来也是20多年的老厂了，却仍旧活力四射，全情投入零信赖。
正如Forrester对零信赖的意识：“组织可能必要数年能力实现零信赖之旅，并达到其终极状态。“是的，零信赖之旅漫长崎岖，一路上有掉队的，也有坚守的，这所有必要坚定的信想。
在此以Forrester对Akamai的评价作为本文终点：“从CEO一向到新员工，无论是对客户还是自己，Akamai始终秉持零信赖信想。Akamai覆盖了从数TB级DDoS攻击防护到MFA和接见节造（零信赖的关键）的能力�？突д辗髦赋�，Akamai技术团队对零信赖高度投入，使得其产品在企业内表网都易于部署，这是其与友商的关键区别。应该把赌注押在Akamai上。”
|文章引自于微信公家号：GA黄金甲专家视野|
京公网安备11010802024551号