专家视野| 零信任扩展生态厂商视察
宣布时间 2020-12-18前言：
零信任扩展生态，是由Forrester首席分析师Chase Cunningham提出，他认为零信任应该扩展到企业的整个数字化业务生态系统中 。本文通过对“The Forrester Wave?：零信任扩展生态厂商”2020年Q3版陈诉的视察，主要介绍了Illumio的两大支柱产物、Guardicore的自动化测试工具和Appgate的零信任技术，以便资助各人更好地构建自身的零信任生态 。
零信任扩展生态（ZeroTrust eXtended(ZTX) Ecosystem），是由Forrester首席分析师Chase Cunningham提出，他认为零信任应该扩展到企业的整个数字化业务生态系统中 。称为“ZTX生态”的另一个原因可以从《Forrester要领论》得到启示：“Forrester认为，健康的生态远比一项独角兽技术的质量或成熟度重要 。”
从2018年Q4开始，Forrester每年宣布“The Forrester Wave?：零信任扩展生态厂商”陈诉 。最初共有15个评估尺度，漫衍在“现有产物（Current offering）”、“战略（Strategy）”、“市场形象（Market presence）”三个维度 。
2019年Q4的评估尺度增加到16个，新增了“提倡（advocacy）”部门，即厂商必须证明他们是在遵循自己的建议，在自己的组织中（而不仅仅是销售能力）实现或利用零信任 。此外，围绕厂商的零信任产物宣传，厂商在用词和介绍上必须简明 。
而2020年Q3的评估尺度则增加到19个 。
Forrester Wave?：ZTX平台厂商，2020年Q3
2020年Q3，Forrester对19个零信任平台厂商进行的尺度评估中，确定了15个最重要的厂商，并对它们进行了研究、分析和评分 。
Forrester认为零信任是一次旅程并没有单一的目的地 。组织可能需要数年才气完成零信任之旅，并到达其终极状态 。
2020年初的新冠疫情加速推动了零信任之旅，整个世界的办公形态已经转移到了原来明确的网络界限之外 。
Forrester对远程办公宁静性和易用性的研究发现，市场上Illumio、Cisco、Appgate、AkamaiTechnologies、MobileIron和PaloAlto Networks是领导者（Leaders）；Microsoft、Guardicore、Unisys、Okta、Google、BlackBerry和Forcepoint是强劲体现者（Strong Performers）；Ionic Security和Proofpoint是竞争者（Contenders） 。
Illumio产物
Illumio在15个厂商中排名第一，很好奇他们的产物有多强，他们有两大支柱产物Illumio Core、Illumio Edge 。
Illumio Core，通过提供实时可见性和微隔离�；な葜行暮驮浦械氖虑楦涸�，阻止横向移动；
Illumio Edge，通过将执行能力延伸到单个端点，终结勒索软件和恶意软件在终端间的流传 。
Illumio Core架构
Illumio Core提供跨异构计算环境中事情负载间的连接可见性，凭据事情负载的通信方式生成最佳隔离计谋，并制定每个主机的主体状态（native stateful）执行点，以便执行应用防火墙规则 。Illumio将隔离从网络基础结构中解耦，这种方式消除了基于网络进行隔离的局限性和挑战 。
Illumio Core由以下组件组成：
◆ 虚拟执行点（VEN）
安装在组织希望实现完全可见性和执行计谋的操作系统实例中 。它可以在裸金属服务器、虚拟机、容器化主机和公有云实例上运行 。VEN不是执行点，它收集事情负载中的遥测（telemetry）数据，如操作系统类型、接口IP、正在运行的进程以及正在与这些事情负载通信的对端IP 。
然后，它将信息传输到PCE，PCE创建实时可见性通信图，用于构建隔离计谋 。PCE将该计谋转换为状态防火墙规则并将其传输到VEN，VEN在每个事情负载中制定基于主机的状态防火墙规则 。
VEN可制定以下内容：
1、在主机操作系统中制定第3、4层防火墙计谋（Windows Filtering平台、Linux上的iptable和AIX/Solaris上的IPFilter），还有Kubernetes和OpenShift；
2、负载均衡（F5和AVI）以及交换机（思科和Arista）中的访问控制列表（ACL） 。
◆ 计谋计算引擎（PCE）
PCE是大脑，它收集来自VEN的所有遥测信息，通过实时应用依赖映射（Application DependencyMap）可视化这些信息，然后凭据环境、事情负载和流程的有关上下文信息计算和推荐最佳防火墙规则 。这些规则将传回VEN，VEN再对每个主机的第3、4层防火墙规则进行制定 。PCE可通过Illumio的公有SaaS平台、当地和虚拟私有云部署 。
◆ 应用依赖映射
实现每个事情负载中运行的连接、流和进程信息的实时可视化，以及它们的行为和相互依赖性，使得应用基线得以检测异常行为 。另外，在实施计谋前使用可视化反馈对隔离计谋进行建模，以确保应用在迁移或实施计谋时不会中断 。
◆ 自然语言计谋（Natural Language Policy）
为了反映现代数据中心的宁静需求，就必须与底层基础架构完全疏散 。要使宁静独立于计算环境，得从计谋规范开始 。如果宁静计谋以通用方式编写，那么可以应用这些计谋来�；と魏问葜行幕蛟苹肪持械淖什� 。通过运用自然语言计谋规范模型，可以使通用宁静计谋成为可能 。
Illumio Edge架构
通过与领先的终端宁静厂商CrowdStrike合作 。借助简单的基于云的部署和追随用户的轻署理，Illumio Edge利用现有的主机防火墙来加强端点宁静 。
Illumio Edge的VEN是轻署理 。但这不是一般的署理，它几乎不使用CPU，不会降低网络性能 。VEN对用户完全不行见，但可检察其机器中的每条流信息 。它收集机器的上下文和遥测数据并将其发送到PCE 。Illumio Edge PCE的特性和Illumio Core的几乎一样，在此就不展开了 。
自动化测试
来自以色列的Guardicore与Microsoft、Unisys、Google一样，都是强劲体现者 。Guardicore除提供ZTX平台，还有自动化测试工具Infection Monkey与之配合 。
ATT&CK知识库映射
时间回到2010年 。Netflix开发出Chaos Monkey成为了混沌工程的开端 。一年后，Netflix逐渐形成了他们的混沌工程工具集“Simian Army(猿军)”，今后混沌工程作为一门新兴学科独自演化 。Chaos Monkey用一组自动化流程检查云应对种种故障场景的弹性 。它会随机关闭基础设施中的服务器，以测试应用抵御服务器故障的能力 。当知道Chaos Monkey正在组织的基础设施中自由运行，而服务依然保持正常运行时，就可以放心了 。Guardicore认为类似的要领也适用于�；ぴ苹∩枋� 。
宁静事件随时发生，它们永远不会按预期或计划泛起 。组织的基础设施应能够蒙受外部宁静层的破坏，处置内部服务器的熏染 。像云应用需要被设计来应对服务器故障一样，云宁静需要被设计来应对入侵 。所以，有效的要领是定期在云中释放Infection Monkey 。
Infection Monkey是开源宁静工具，用于测试数据中心面对界限失陷和内部服务器熏染的弹性 。Monkey使用种种要领在数据中心中自我流传，并将结果报给Monkey Island Command和控制服务器 。新版本可实现与ATT&CK知识库的映射 。
ZTX框架匹配度
此外，还能测试网络是否切合ForresterZTX平台框架 。过去四年，Infection Monkey在网络宁静社区中非常受欢迎，并获得了巨大的生长动力 。Infection Monkey在Github上拥有4900+颗星，受到包罗大型企业、教育机构在内的众多用户信赖 。
AppGate
AppGate是以SDP技术作为零信任技术落地的厂商，是最早提倡推动替换VPN的厂商，优秀的继承了Forrester零信任理念，即关注人、设备、数据、网络和事情负载 。
AppGateSDP是第一个获得CC（Common Criteria）认证的SDP解决方案，统一所有环境的访问计谋和控制，并通过AppGate的软件界说界限提供对任何位置的宁静访问，表明满足对宁静敏感或要害系统进行操作的严格要求 。
AppGate能处于Forrester ZTX领导者的位置，得益于让组织获得简单、高效、宁静的方式去应对数字化转型带来的端到端访问实时精准访问的不确定性，让组织的宁静规则围绕以身份展开基于风险的身份验证和数字威胁防护，让组织远离AnyConnect VPN，总体架构设计如下图：
AppGate SDP组件流程图
具有如下特点：
1、Appgate SDP对单数据包授权技术（简称：SPA）的使用给客户留下了特别深刻的印象，该技术用于向攻击者隐藏网络资源，继而消除攻击面，网络资源在身份验证和授权之前是不行见的 。
2、利用获得专利的多隧道功效将用户无缝连接到应用法式，无论它们在何处运行，组织不必为混合环境管理差异的宁静模式，简单的入门过程即可获得无缝一致的用户访问体验，小于1ms的延迟 。
3、通过与自有RBA解决方案（基于风险的身份验证）集成，将设备状态作为访问的尺度，利用来自身份和目录系统的数据以及环境元数据来动态创建或扩展计谋和权限 。如下图 。
RBA解决方案图
4、凭据上下文数据授予对企业资源的访问权限，包罗用户配置文件，环境和企业 。
5、提供网络活动的完整可见性，包罗有关访问的资源，用户和上下文的详细信息 。
6、利用与特定于云的宁静性功效的本机集成来�；す苍剖虑楦涸夭⒃诨旌匣肪持刑峁┮恢碌姆梦士刂� 。
7、启用透明的远程和第三方对网络资源的访问，同时消除了VPN的负担和漏洞，VPN恒久以来的漏洞和基于长连接的模式机制，为组织带来了不少的困扰 。
8、减少网络攻击面，并确保针对DDoS，中间人和其他攻击的强大防御 。
2020年初全球新冠疫情的发作，组织开始接纳上线服务模式，带来了线上化办公用户数量的显著增长，陪同着组织数字化转型的开展带来的业务访问路径的多样化 。同时，传统以VPN方式作为远程接入办公的模式在高效、易用和宁静上显得力不从心，组织继而将该方式逐步迁移至SDP方式 。
分析能力是重点
从陈诉中可以看出，ZTX平台对于数据分析能力是十分依赖的 。Cisco和Proofpoint还为此进行了专项收购，而Illumio则恒久以来以“专注于可见性和分析”而受到Forrester赞美 。Forrester对Forcepoint点评是“他们的分析提供了‘强大的镜头’来视察零信任……企业如果需要智能的UBA和高级内部威胁检测能力，选择Forcepoint的平台 。”
NIST在今年8月正式宣布了《零信任架构》尺度，将计谋引擎描述为零信任“大脑”，其信任算法需要多种信息的“喂养”才气做出足够准确的决策 。同样，DoD、ACT和Forrester无一例外地将“可见性与分析”作为零信任的支柱 。因此，分析能力不应该只是停留在slide中的几句时髦词 。
全情投入
“全世界90%的互联网用户经过一个网络跳就可以到达一台Akamai服务器 。”这就是全球最大CDN厂商Akamai 。1998年诞生于MIT的Akamai掐指算来也是20多年的老厂了，却依旧活力四射，全情投入零信任 。
正如Forrester对零信任的认识：“组织可能需要数年才气完成零信任之旅，并到达其终极状态 。“是的，零信任之旅漫长曲折，一路上有落后的，也有坚守的，这一切需要坚定的信念 。
在此以Forrester对Akamai的评价作为本文终点：“从CEO一直到新员工，无论是对客户还是自己，Akamai始终秉持零信任信念 。Akamai笼罩了从数TB级DDoS攻击防护到MFA和访问控制（零信任的要害）的能力 � ？突д樟现赋�，Akamai技术团队对零信任高度投入，使得其产物在企业内外网都易于部署，这是其与友商的要害区别 。应该把赌注押在Akamai上 。”
|文章引自于微信公众号：东森平台专家视野|
京公网安备11010802024551号