安全419《零信任落地应用观察》系列访谈——亿格云篇

作为无边界化趋势下的新安全理念，零信任在前两年的炒作高峰期被寄希望于成为网络安全的下一轮爆发点。随着讨论热度趋于理性与平稳，对其内涵的正确理解，在不同行业、不同场景中的实施应用情况、实际应用效果、改造成本、建设周期及持续运营等成为企业用户更关注的问题。

 

安全419推出《零信任落地应用观察》系列访谈选题，聚焦企业用户关切与痛点，通过挖掘分享行业中面向不同需求场景的零信任解决方案和落地案例，展示实施零信任的有效路径，力求帮助企业用户的安全建设及运营工作提供有益参考。本期，我们邀请到杭州亿格云科技有限公司（以下简称“亿格云”）CEO葛岱斌，为大家分享他们的独家视角与实践经验。

 

 

亿格云成立于2021年，专注为企业提供专业的办公安全一体化解决方案。其基于零信任概念与SASE架构办公安全一体化产品——亿格云枢，打破传统烟囱式安全产品架构互不打通的局限，为企业用户带来更高效、简单、安全的办公服务。

 

 

虽然零信任因被誉为下一代网络安全架构整合行业而呼声热烈，时至今日，我们依然鲜少看见客户侧的大规模实施部署。再谈零信任，建设周期长、运维压力大、投入产出比低的负面评价纷至沓来，给更多企业用户留下一个难以落地的“炒作”印象。

 

在葛岱斌看来，任何一种新技术的落地，都需要经历周期，而零信任作为一种安全理念，包含多个技术领域，架构改动涉及企业各个业务系统、身份认证系统的对接，在企业安全建设碎片化特征愈发明显的今天，面对极其复杂的接口和协议，以及网络、终端和数据的安全防护挑战，实施难度是显而易见的。

 

另一方面，基于零信任“持续验证，永不信任”的核心思想，不同角色使用任意设备在任意网络环境下访问企业资源都需要进行实时动态鉴权评估，本质上也是在解决因企业的内外网边界模糊化而失效的安全边界。而绝大部分企业现有的安全体系恰是围绕边界防御部署架构的，因此零信任的实施并非是针对现有体系的增补或完善，而是对底层框架机制掀起的颠覆或革新，其落地需要一种基于无边界防护实现的新安全架构做支撑。因此，企业在实操层面的接受度以及对于综合改造成本的考量将更为谨慎。

 

正是因为零信任足够吸睛同时又落地困难，过去几年，身份识别与访问管理IAM、软件定义边界SDP、微隔离MSG等相关技术领域的供应商都纷纷入局该赛道，通过尝试打造单点的技术解决方案来实践零信任。葛岱斌指出，许多早已成熟应用的安全技术并非因为零信任的出现而设计，其只是零信任的部分基本组件，跟如何落地并没有直接关系。

 

遗憾的是，零信任的泛化导致企业对其理解会趋向狭义，简单认为零信任只是VPN替代、身份认证加强等等覆盖有限应用场景、解决有限安全问题的一种方法，甚至因为在原有安全体系之上增加部署而平添了运营成本，甚至是影响了企业的员工体验。有限的安全收益跟上升的安全成本一对比，进一步加剧了零信任落地推进的难度。

 

 

如前所述，零信任的落地需要一种基于无边界防护的新安全架构做支撑，葛岱斌表示，亿格云从成立之初就主导采用SASE（Secure Access Service Edge）架构作为有效实现零信任的方式。Gartner 在其2019年的报告《网络安全的未来在云端》中首次提出该概念，将广域网功能与整合的网络安全功能融合起来，以满足数字化转型企业的动态安全访问接入需求。

 

为什么是SASE？葛岱斌解释道，企业发展迈向数字化，办公分支渐多、协作交互频繁、业务及应用上云、数据资源分散，在组织整体变得高度弹性之后，资产的暴露面、风险的入口都在指数级增长，以往碎片化、重运维的安全体系对业务运行产生越来越大的负担，所以零信任倡导的敏捷的最小化权限管理会迅速得到重视。

 

而SASE正是采用基于零信任的方法，以身份为中心，实现身份+设备+环境等条件的灵活组合控制，对企业全流量进行威胁检测与精细化访问控制。其通过云的架构将网络和安全能力服务化并天然融合，打破低效且盲区丛生的安全孤岛，用一体化的平台实现互联网安全防护、内网安全访问、终端统一安全管理和数据安全防护。而这种云原生、安全即服务、分布式连接的方式提供的是互联互通、即开即用、高可用低延迟的极致性能，用户访问应用的体验与安全合规均可得到可靠保障。

 

 

为了实现综合丰富的功能和足够丝滑的体验，葛岱斌基于亿格云长期的探索积累和客户服务经验，向我们重点介绍了构建SASE优势的三大要领：

 

对安全技术及其服务化的理解和实践
 

安全能力自然是SASE的核心功能，在底层基础设施中整合原生的安全栈，最基础的安全接入即是对传统VPN访问模式进行替换，主要包括SD-WAN、零信任网络访问ZTNA等相关技术。继续深入应用及终端，终极目的是保障企业数据资产的安全使用，依托防火墙即服务 FWaaS、安全Web网关SWG、云访问安全代理 CASB、扩展威胁检测与响应XDR、数据安全XDLP等交付服务化的安全能力。

 

对运营全球性大规模网络的经验和能力
 

SASE作为企业广域网的新“核心”，安全能力将服务化以边缘云交付安全，每一个需要访问企业应用或互联网的分支机构、远程办公、物联网设备等场景都可以看作为企业整张网的边缘端点，所构建起的是一个可端到端管控的业务网络。这需要以来研发运维团队对于网络运营的丰富经验和理解，通过主要公有云、通过多云和混合云构建一个大规模、全球覆盖的网络基础设施，提供包括SD-WAN、分布式连接、自动路由服务、内容分发网络CDN、全球应用加速、广域网优化等综合的、能稳定承载业务运转的、服务化的网络能力。

 

对云与云原生的理解和运用
 

前述网络能力和安全能力的服务化交付，本质上依赖于云作为基础设施，来提供覆盖全球范围的分布式云服务，将相关安全能力融合到一个云原生服务平台，提供可就近接入的网络接入节点与安全能力交付节点。面对遍布于全球的公共云，不同行业或不同地区的专属云，以及企业用户的私有云，如何快速地组建PoP接入点，保持稳定、弹性和敏捷，将是SASE功能与体验能够灵活且一致释放的关键。

 

而这些能力要求与亿格云团队的基因高度契合，其核心成员创业前就职于阿里云安全，多年的技术钻研、产品研发积累了丰富的云计算、云安全相关经验，葛岱斌还曾在思科、FireEye等国际厂商担任产品负责人，精通网络架构、网络安全、身份安全、主机安全、数据安全等产品领域。从市场反馈来看，亿格云SASE已累计服务超50家上市公司和独角兽企业，覆盖超20万个终端，所服务的行业头部客户包括吉利控股、广联达、零跑汽车、怪兽充电等。谈及如何帮助客户有效落地，葛岱斌也从中总结了三大模式：

 

对成熟安全建设进行合理评估，提出解决或改善具体问题
 

企业安全边界逐渐消失、混合办公安全隐患大同时体验还差、数据泄露难以管控等等，是眼下比较典型的企业办公安全现状，聚焦其中的核心关键问题，以一对一的方式进行单点落地，如资产暴露面收敛、远程安全访问、数据泄露风险增大，改善众多Agent运行的不良办公体验等，是许多在安全建设运营中遭遇瓶颈的企业更倾向的方式。

 

选择SASE而非独立产品，则在于其架构优良的可扩展性，在安全体系趋于一体化的现在，SASE为持续的零信任落地及成熟度建设铺平道路，整体降低IT运营成本和复杂性，同时提升工作效率。

 

高速数字化转型阶段，主动拥抱新安全架构
 

数字化转型往往意味着业务模式的升级改革、协作交互的复杂高频、组织分支的拓展建设等变化，新的数字化基础设施需要搭建与之匹配的新安全体系，SASE成为最佳实践，在靠近终端用户的分布式PoP上实施策略，让所有边缘从统一策略中获得水位一致的安全保护，持续降低风险并改善用户协作和业务访问体验。

 

在新分支或新业务中落地SASE的方式也将为集团原有安全体系树立正面样本，有助于将零信任传递并覆盖全域。

 

零基础快速搭建安全体系，提高安全水位
 

发展早期，许多企业往往对安全建设缺乏重视，业务高速拓展的同时，规模化的团队、数字资产引入的风险敞口亦越来越大，安全能力的滞后和缺失，以及监管的驱动，都要求企业需要迅速地搭建起安全保障体系。

 

SASE将塑造企业办公网络和安全的顶层设计，接入流程足够高效敏捷，通过一个控制台、一张网、一个客户端提供一体化安全闭环，集中而统一的安全策略将极大降低企业网络和安全运维成本，安全普惠高速奔跑的数字化企业。

 

可以看到，SASE的需求顺应着企业数字化转型的决心和力度，无论是主动迎接，还是被动转型，数字化浪潮翻涌之中没有人可以独善其身，不管是打破传统安全体系低效率、高误报、体验差的怪圈，还是重塑一个全面、高效、体验良好的新安全体系，零信任SASE都提供了一个已被市场验证的破局之道。