從安全創(chuàng)新賽道的“轉(zhuǎn)變”看網(wǎng)絡(luò)安全架構(gòu)演進

【摘 要】 隨著安全創(chuàng)新賽道不斷轉(zhuǎn)變，技術(shù)、業(yè)務(wù)不斷變化，網(wǎng)絡(luò)安全架構(gòu)在數(shù)字化轉(zhuǎn)型高速發(fā)展期面臨更多的變化與挑戰(zhàn)，架構(gòu)層面也需要持續(xù)演進。本文從安全架構(gòu)演進的意義、安全架構(gòu)的演進路線、如何在數(shù)字化轉(zhuǎn)型的背景下進行安全架構(gòu)演進，以及安全架構(gòu)演進實踐4個方面展開了討論。

【關(guān)鍵詞】 網(wǎng)絡(luò)安全架構(gòu) 自適應安全架構(gòu) 融合架構(gòu) 架構(gòu)演進

1 引言

主題為“Transform”（轉(zhuǎn)型）的RSAC（Railroad Safety Advisory Committee）會議已于2022年6月在美國舉行。近5年來（自2018至2022年）創(chuàng)新沙盒十強冠軍分別聚焦于身份安全、云安全、供應鏈安全、數(shù)據(jù)安全，以及云原生安全賽道，可以看出創(chuàng)新沙盒突圍的賽道在持續(xù)轉(zhuǎn)變。伴隨著技術(shù)、業(yè)務(wù)場景、業(yè)務(wù)需求的不斷變化，安全架構(gòu)的演進也變得必要。

2 安全架構(gòu)演進的意義

自2020年起，RSAC的議題便開始有明顯轉(zhuǎn)變，從單純的技術(shù)展望轉(zhuǎn)變?yōu)楦�高層次的思考和探索。面對新冠肺炎疫情、科洛尼爾管道勒索攻擊、俄烏網(wǎng)絡(luò)戰(zhàn)等多重疊加的復雜環(huán)境，RSAC議題從2020年的The Human Element（人因）到2021年的Resilience（彈性），再到今年的Transform（轉(zhuǎn)型），都是為了應對如此復雜的環(huán)境而思考出來的新想法、探索出的新發(fā)展方向�！癟ransform”一詞解讀為“轉(zhuǎn)型”可能并不全面，我們站在議題提出的技術(shù)背景下，解讀出該主題3個方面的內(nèi)容：融合、模態(tài)、演化，并將從這3個方面來探討架構(gòu)演進。

（1）融合融合是安全架構(gòu)的發(fā)展趨勢。未來，以Web3.0、人工智能為基礎(chǔ)技術(shù)的數(shù)字社會將逐步形成，可能將超越今天的移動支付、車聯(lián)網(wǎng)、遠程辦公等場景，產(chǎn)生新的數(shù)字化場景，形成一個安全可信的價值互聯(lián)網(wǎng)。這就需要一個與數(shù)字化場景深度融合的安全體系和架構(gòu)，如圖1所示。

（2）模態(tài)模態(tài)是安全架構(gòu)演化后的新形態(tài)（目標形態(tài)）。演化后的新安全架構(gòu)具備模態(tài)特性，即統(tǒng)一性和自適應性或者說是彈性。新安全架構(gòu)消除了與數(shù)字化業(yè)務(wù)、與不同安全產(chǎn)品之間的數(shù)據(jù)孤島，通過統(tǒng)一的數(shù)據(jù)模型，與人的交互、與設(shè)備的交互及與系統(tǒng)的交互都能以標準化的語言（接口）進行數(shù)據(jù)采集、分析和響應。新安全架構(gòu)的數(shù)據(jù)模型是統(tǒng)一的，但是通過數(shù)據(jù)模型衍生的安全服務(wù)是彈性的，可以見所未見（利用威脅情報、威脅建模、紅藍對抗等手段提前發(fā)現(xiàn)問題）、可以實現(xiàn)零信任（通過限制用戶的訪問特權(quán)來限制內(nèi)部的威脅蔓延）、可以提供微隔離（提供7層威脅防御、基于風險的持續(xù)多因素認證），這樣就能與網(wǎng)絡(luò)攻擊共存，在遭受網(wǎng)絡(luò)攻擊時保持數(shù)字化業(yè)務(wù)的可用性及網(wǎng)絡(luò)恢復的能力。

（3）演化演化是安全架構(gòu)的必然要求。在一個與數(shù)字化場景深度融合的安全體系下，需要相應的安全架構(gòu)進行支撐，現(xiàn)有的安全架構(gòu)往往是獨立于數(shù)字化業(yè)務(wù)場景的“門衛(wèi)”角色，部署形態(tài)不夠靈活、安全事件自動化響應很難實現(xiàn)對數(shù)字化業(yè)務(wù)的“零擾動”， 解決這些問題與實現(xiàn)模態(tài)化，都要求對現(xiàn)有安全架構(gòu)進行升級。

大型軟件架構(gòu)體系的范式遷移可以作為安全架構(gòu)升級的參考，從“單體”到面向服務(wù)架構(gòu)（Service-Oriented Architecture，SOA），再到“云原生”的演化路線如圖2所示，核心驅(qū)動力就是企業(yè)需要適應數(shù)字化轉(zhuǎn)型的發(fā)展趨勢，能夠服務(wù)更多用戶和客戶的個性化數(shù)字場景，能夠降低構(gòu)建數(shù)字化系統(tǒng)的開發(fā)和運維成本。時下流行的云原生架構(gòu)就是基于云原生技術(shù)的架構(gòu)原則和設(shè)計模式適應了當前數(shù)字化業(yè)務(wù)場景的最佳實踐，能將數(shù)字化應用中的非業(yè)務(wù)模塊進行最大化剝離，讓公有云或者私有云設(shè)施接管應用中大量的非功能特性（如彈性、安全、可觀測性、灰度等），使數(shù)字化業(yè)務(wù)不再受非功能性業(yè)務(wù)中斷困擾的同時，具備輕量、敏捷、高度自動化的特點。

綜上所述，在數(shù)字化轉(zhuǎn)型的高速發(fā)展階段，網(wǎng)絡(luò)安全將與全領(lǐng)域各行各業(yè)進行深度鏈接，只有轉(zhuǎn)變才能應對更多變化，只有架構(gòu)演進才能應對業(yè)務(wù)、數(shù)據(jù)、資源的多維度、多場景變化。

3 安全架構(gòu)演進路線

3.1 傳統(tǒng)架構(gòu)演進路線

（1）網(wǎng)絡(luò)安全架構(gòu)1.0時代。2014年IT研究與顧問咨詢公司高德納（Gartner）針對高級別攻擊設(shè)計了一套自適應網(wǎng)絡(luò)安全架構(gòu)，如圖3所示。

該時代映射于傳統(tǒng)安全產(chǎn)品的單體架構(gòu)時代，各安全產(chǎn)品都比較獨立，突出表現(xiàn)為產(chǎn)品架構(gòu)煙囪式發(fā)展。

（2）網(wǎng)絡(luò)安全架構(gòu)2.0時代。2017年自適應網(wǎng)絡(luò)安全架構(gòu)進入2.0時期，其在1.0的基礎(chǔ)上進行了理論豐富，加入了一些額外元素，如圖4所示。自適應架構(gòu)2.0主要有以下3點變化：

①將持續(xù)的監(jiān)控分析改變成持續(xù)的可視化和評估，同時加入用戶和實體的行為分析（User and Entity Behavior Analytics，UEBA） 相關(guān)內(nèi)容；

②引入了每個象限的小循環(huán)體系，不僅僅是4個象限大循環(huán)；

③在大循環(huán)中加入了策略和合規(guī)要求，同時對大循環(huán)的每個步驟說明了循環(huán)的目的，保護象限是實施動作，檢測象限是監(jiān)測動作，響應和預測象限都是調(diào)整動作。

網(wǎng)絡(luò)安全架構(gòu)2.0時代映射于傳統(tǒng)安全產(chǎn)品的分布式、面向服務(wù)的架構(gòu)時代。為滿足更大體量的業(yè)務(wù)和更復雜的業(yè)務(wù)場景，安全產(chǎn)品間有了一些協(xié)同交互。

（3）網(wǎng)絡(luò)安全架構(gòu)3.0時代。Gartner發(fā)布的2018年十大安全項目（Top 10 Security Projects for 2018）涉及持續(xù)自適應風險與信任（CARTA）、云安全配置管理項目（CSPM）、軟件定義邊界等，網(wǎng)絡(luò)安全架構(gòu)的演進內(nèi)容較多，正式進入3.0時代，如圖5所示。在云時代，云訪問安全代理（Cloud Access Security Broker，CASB）解決了部分的認證問題，Gartner也使用過自適應安全架構(gòu)的方法論來對CASB的能力架構(gòu)進行全面分析，可以說是將CASB自適應的安全架構(gòu)作為原型挪到此總體架構(gòu)中。這個架構(gòu)的核心點在于認證，包括云服務(wù)的發(fā)現(xiàn)、訪問、監(jiān)控和管理。

網(wǎng)絡(luò)安全架構(gòu)3.0時代映射于安全產(chǎn)品的云原生、服務(wù)化、服務(wù)網(wǎng)格架構(gòu)時代。為滿足數(shù)字化轉(zhuǎn)型背景下用戶業(yè)務(wù)快速上云、企業(yè)業(yè)務(wù)快速上云需求，對架構(gòu)提出了基座平臺化、云原生、輕量化、彈性、融合、編排等技術(shù)要求。

自適應網(wǎng)絡(luò)安全架構(gòu)的模型從智慧決策、自適應策略、動態(tài)執(zhí)行、全息態(tài)勢等元素不斷豐富、優(yōu)化和演進。自適應網(wǎng)絡(luò)安全架構(gòu)的功能從監(jiān)測預警、動態(tài)防御、態(tài)勢感知、決策演進元素不斷演進和豐富。自適應網(wǎng)絡(luò)安全架構(gòu)的核心是決策演進，根據(jù)業(yè)務(wù)場景、網(wǎng)絡(luò)安全態(tài)勢實現(xiàn)監(jiān)測策略、防御策略、評估策略和感知策略的生成。

自適應網(wǎng)絡(luò)安全架構(gòu)具有以下3個特點。

①自適應。安全架構(gòu)整體具有動態(tài)自適應的特點，能夠持續(xù)地對網(wǎng)絡(luò)空間威脅風險進行監(jiān)測，并動態(tài)自適應地調(diào)整監(jiān)測策略、防御策略、評估策略和感知策略，應對持續(xù)多變、已知未知的安全威脅。

②執(zhí)行流程閉環(huán)。安全架構(gòu)包括監(jiān)測、防御、評估、感知、決策等功能，形成網(wǎng)絡(luò)空間安全保密防護的流程閉環(huán)，是一個有機的融合整體，能夠?qū)�網(wǎng)絡(luò)空間安全進行一個全面、完整的安全防護，并不斷迭代更新。

③內(nèi)外雙驅(qū)動演進。安全架構(gòu)能夠根據(jù)系統(tǒng)應對內(nèi)部實時威脅風險實現(xiàn)內(nèi)部驅(qū)動的防御演進，同時能導入外部新型威脅風險,實現(xiàn)外部驅(qū)動的防御預先演進，具有較高的威脅風險應對能力和預防能力。

3.2 數(shù)字化時代網(wǎng)絡(luò)安全技術(shù)框架

Gartner近期發(fā)布的2022年七大安全和風險管理趨勢中，網(wǎng)絡(luò)安全網(wǎng)格架構(gòu)（CSMA）無疑體現(xiàn)出在技術(shù)架構(gòu)層面對當前網(wǎng)絡(luò)安全產(chǎn)品在新形勢下的整合能力要求，通過集成式的安全架構(gòu)來保護組織在本地、數(shù)據(jù)中心和云端資產(chǎn)的安全，如圖6所示。

這種架構(gòu)有2個明顯優(yōu)勢：一是擺脫了物理網(wǎng)絡(luò)限制。在任何物理位置上的終端或者業(yè)務(wù)系統(tǒng)，隨時都可以接入全互聯(lián)結(jié)構(gòu)（Full-Mesh）的邏輯網(wǎng)絡(luò)中，無需考慮物理網(wǎng)絡(luò)環(huán)境。二是復雜網(wǎng)絡(luò)簡單化。所有網(wǎng)絡(luò)主客體之間在邏輯上都是點對點直連關(guān)系，沒有復雜的中間網(wǎng)絡(luò)。這種極簡結(jié)構(gòu)讓策略管理變得扁平化，給集中管控和行為分析帶來了天然優(yōu)勢。

再回到具體的應用場景，云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)技術(shù)的應用使得網(wǎng)絡(luò)安全邊界日趨模糊。大數(shù)據(jù)技術(shù)的發(fā)展使數(shù)據(jù)儲量和流量成倍上漲，網(wǎng)絡(luò)安全攻擊帶來的損失和傷害也隨之成倍增加；物聯(lián)網(wǎng)等領(lǐng)域打通了線上線下的界限，利用設(shè)備漏洞控制物聯(lián)網(wǎng)，甚至可對物理世界造成威脅；云計算模糊了傳統(tǒng)的安全邊界，安全建設(shè)前移成為趨勢，安全攻防的復雜程度也大大增加。傳統(tǒng)網(wǎng)絡(luò)安全產(chǎn)品布局方式無法滿足用戶需求，政企用戶對于數(shù)字化網(wǎng)絡(luò)安全建設(shè)需求提升，平臺型、系統(tǒng)性、體系化的網(wǎng)絡(luò)安全建設(shè)成為其關(guān)注重點，其技術(shù)框架如圖7所示。

數(shù)字化時代網(wǎng)絡(luò)安全架構(gòu)不僅考慮傳統(tǒng)IT基礎(chǔ)設(shè)施的安全，還考慮整個數(shù)字化生態(tài)中全部有形與無形的資產(chǎn)，尤其是數(shù)據(jù)資產(chǎn)等安全訴求。數(shù)字化時代的網(wǎng)絡(luò)安全技術(shù)框架演進，無論是從1.0時代的單體架構(gòu)，到2.0時代的能力自適應架構(gòu)，還是到3.0云化服務(wù)化的融合架構(gòu)，都是緊貼客戶業(yè)務(wù)發(fā)展需要，而不是脫離業(yè)務(wù)空談架構(gòu)演進。因此對于安全架構(gòu)的演進方向，需要深入研究客戶當前業(yè)務(wù)場景和形態(tài)的變化，并且能夠從一定程度預判客戶業(yè)務(wù)未來的演進方向，以業(yè)務(wù)驅(qū)動架構(gòu)的持續(xù)演進。

4 安全架構(gòu)的演進方式

在數(shù)字化轉(zhuǎn)型的背景下，對于網(wǎng)絡(luò)安全廠商來說，網(wǎng)絡(luò)安全架構(gòu)應圍繞客戶業(yè)務(wù)轉(zhuǎn)型而逐漸演進，伴生模式和訂閱模式是架構(gòu)演進要考慮的關(guān)鍵要素。

4.1 架構(gòu)演進要素一：伴生模式

傳統(tǒng)模式下，客戶業(yè)務(wù)通常部署在本地或者互聯(lián)網(wǎng)數(shù)據(jù)中心（Internet Data Center，IDC）機房，因此網(wǎng)絡(luò)安全廠商通常以硬件的方式伴生在客戶業(yè)務(wù)服務(wù)器旁。此時，網(wǎng)絡(luò)安全廠商的網(wǎng)絡(luò)設(shè)備通常是單一能力硬件盒子方式，客戶需要何種安全能力就購買具備相應能力的安全設(shè)備。

隨著云資源、云業(yè)務(wù)的發(fā)展，客戶將業(yè)務(wù)遷移到云環(huán)境之后，本地部署安全能力的方案不再奏效。網(wǎng)絡(luò)安全廠商的安全架構(gòu)也隨之遷移，提供云化部署，包括虛擬私有云（Virtual Private Cloud，VPC）或者容器部署，伴生于客戶的云上業(yè)務(wù)。同時網(wǎng)絡(luò)安全廠商也將服務(wù)目標轉(zhuǎn)向云服務(wù)提供商，為其提供資源池等方案。

在伴生模式的推動下，安全產(chǎn)品部署隨著客戶的業(yè)務(wù)遷移而變化，因此安全架構(gòu)需要能支持多樣的部署環(huán)境，并適應不同的部署場景。

4.2 架構(gòu)演進要素二：訂閱模式

線下訂閱模式，本質(zhì)上是伴生模式的演進，即安全能力依然部署在業(yè)務(wù)側(cè)，同時引入了“訂閱”機制。隨著客戶數(shù)字化轉(zhuǎn)型下的業(yè)務(wù)變化，其所需的安全能力也在不斷變化，不再是傳統(tǒng)的需要什么安全能力就購買相應安全裝置，這種模式會導致安全能力的浪費，同時不能快速適應業(yè)務(wù)發(fā)展。因此，網(wǎng)絡(luò)安全架構(gòu)需要支持多能力融合，即“多合一”模式，一套裝置能夠提供多種安全能力，并根據(jù)不同的“訂閱”模式提供不同的安全能力組合。

線上訂閱模式，即安全能力部署不再是伴生模式，是一種遠端方式。隨著客戶業(yè)務(wù)模式由單一節(jié)點到多節(jié)點的轉(zhuǎn)變，傳統(tǒng)的一對一伴生模式將導致安全成本過高，同時缺乏全局視野，因此安全和網(wǎng)絡(luò)融合的安全訪問服務(wù)邊緣（Secure Access Service Edge，SASE）架構(gòu)應運而生。該架構(gòu)能夠?qū)⒖蛻舳鄠�節(jié)點的流量引至遠端提供安全服務(wù)，客戶不再依賴于本地部署安全裝置，而是在任何時間、任何地方都能獲得安全服務(wù)。

在訂閱模式的推動下，安全架構(gòu)支持將多安全能力以組件的方式平滑集成和融合，不再僅提供單一能力。同時，安全架構(gòu)在整體方案上不能僅僅只支持云端或者地端，而是要支持云地聯(lián)動能力互補，為客戶提供云、管、邊、端場景端到端的安全服務(wù)。

綜上所述，架構(gòu)是演進的，而不是設(shè)計的。安全架構(gòu)應該圍繞客戶業(yè)務(wù)的“轉(zhuǎn)型”，以能夠為客戶提供最優(yōu)的安全解決方案目標而演進，同時與時俱進，融合IT產(chǎn)業(yè)的優(yōu)秀架構(gòu)思想和最佳實踐。

5 安全架構(gòu)演進的實踐

5.1 傳統(tǒng)架構(gòu)的痛點

傳統(tǒng)的安全產(chǎn)品能力各自獨立生長，由于歷史原因部分安全產(chǎn)品長期迭代，其產(chǎn)品架構(gòu)呈煙囪式發(fā)展，導致各安全產(chǎn)品中的安全能力內(nèi)生耦合嚴重、接口封閉、能力無法復用。傳統(tǒng)的安全解決方案是將各安全產(chǎn)品進行堆疊，構(gòu)建滿足客戶場景的解決方案。傳統(tǒng)安全能力產(chǎn)品需要較高的硬件資源、較長周期的開發(fā)迭代、較長時間的集成調(diào)試，綜合成本較高。

以上情形對于傳統(tǒng)的基于較大規(guī)模的客戶防護場景是可執(zhí)行的。在數(shù)字化轉(zhuǎn)型高速發(fā)展的強力助推作用下，千行百業(yè)上云過程中將傳統(tǒng)安全產(chǎn)品堆疊上云，傳統(tǒng)的安全架構(gòu)已經(jīng)不能滿足云上資源、客戶業(yè)務(wù)不斷的服務(wù)化、輕量化的發(fā)展趨勢。敏捷、融合、彈性、可訂閱的安全能力編排和調(diào)度需求越來越強烈，傳統(tǒng)的安全架構(gòu)需要進行轉(zhuǎn)變。

5.2 架構(gòu)演進實踐

鑒于傳統(tǒng)的安全能力耦合嚴重、接口封閉、能力無法復用等問題，本文提出了一套安全能力原子化解耦、安全原子能力云原生池化的架構(gòu)�；�于新架構(gòu)將云原生化的原子安全能力構(gòu)建成融合、彈性的安全解決方案，以應對數(shù)字化轉(zhuǎn)型時代的復雜安全風險，這是數(shù)字化轉(zhuǎn)型過程中應對復雜業(yè)務(wù)、技術(shù)的一種解題思路。由此，實踐層面從傳統(tǒng)的安全產(chǎn)品煙囪式架構(gòu)演進為支持多安全能力融合、可編排、可調(diào)度、可訂閱的云原生服務(wù)化架構(gòu)。

伴生模式架構(gòu)意味著安全服務(wù)和客戶的業(yè)務(wù)一起伴生、融合。實踐落地過程中架構(gòu)需支持基礎(chǔ)設(shè)施平滑遷移、安全業(yè)務(wù)融合，架構(gòu)要支持安全能力按需編排，架構(gòu)演進實踐如圖8所示。實踐架構(gòu)中通過抽象層屏蔽底層不同基礎(chǔ)設(shè)施差異，實現(xiàn)安全業(yè)務(wù)產(chǎn)品支持在不同基礎(chǔ)設(shè)施平滑遷移。通過更細粒度、更內(nèi)聚的安全能力解耦實現(xiàn)安全能力分而治之、合而御之的安全運營能力。通過安全能力服務(wù)化及安全能力服務(wù)化的編排，實現(xiàn)客戶場景的按資源所動、據(jù)不同場景的安全威脅按需編排安全能力。訂閱模式的架構(gòu)實踐通過安全能力實現(xiàn)服務(wù)化的接口，滿足客戶不同場景的按需訂閱。

6 結(jié)語

在數(shù)字化轉(zhuǎn)型的高速發(fā)展階段，還將有更多的變化與挑戰(zhàn)，安全產(chǎn)品的架構(gòu)也將持續(xù)不斷地演進，以為客戶提供長期持續(xù)的全方位安全運營服務(wù)，保障各行各業(yè)在數(shù)字化轉(zhuǎn)型過程中云、管、邊、端全場景的安全底線。

（原載于《保密科學技術(shù)》雜志2022年8月刊）