2020年，突發(fā)的大規(guī)模疫情，風(fēng)云詭辯的國際形勢對我們的生活和工作都產(chǎn)生了深刻的影響，也打亂了企業(yè)部分安全建設(shè)規(guī)劃體系的重點內(nèi)容。
2021年，即將來臨，展望新的一年，我們有更多美好愿望和憧憬。繼2020年發(fā)布端點安全十大趨勢之后，相比去年我們更多地結(jié)合了國內(nèi)實際情況和對大量客戶的實地調(diào)研，發(fā)布了2021年十大端點安全新趨勢：
趨勢一：從BYOD到BYOPC
過去的十年是移動互聯(lián)網(wǎng)的黃金十年，依托移動互聯(lián)網(wǎng)和移動智能設(shè)備的發(fā)展，移動營銷、移動辦公、移動展業(yè)、移動在線學(xué)習(xí)等業(yè)務(wù)快速發(fā)展，對外為客戶提供更加直觀、及時、人性化的服務(wù)體驗，對內(nèi)充分利用了員工碎片化時間，大幅提升了內(nèi)部協(xié)同的效率。
今天，個人移動智能設(shè)備作為信息查看、確認(rèn)及簡單加工的載體，每個人都可能有一個筆記本、平板、手機(jī)等作為生產(chǎn)力設(shè)備，BYOD更多的時候就是指這部分設(shè)備。而傳統(tǒng)的筆記本類管控還是比較嚴(yán)格的，面臨即時申請，訪問權(quán)限及時收回等情況。
2020年疫情的突發(fā)，使得企業(yè)大部分員工困于家中，企業(yè)被迫臨時大批量放開VPN遠(yuǎn)程訪問的權(quán)限，員工通過自己家中的臺式機(jī)、筆記本進(jìn)行居家辦公。但由于部分個人設(shè)備的安全性沒有得到保障，很多企業(yè)發(fā)現(xiàn)病毒木馬可以借助VPN通道進(jìn)入內(nèi)網(wǎng)，同時黑產(chǎn)也利用此次疫情進(jìn)行針對性的社工病毒投放，進(jìn)一步加劇了網(wǎng)絡(luò)安全問題。而且企業(yè)數(shù)據(jù)存放在個人PC上更加容易導(dǎo)致數(shù)據(jù)泄密。
中國的疫情階段性結(jié)束后，企業(yè)為了防止疫情復(fù)發(fā)，以及發(fā)現(xiàn)了遠(yuǎn)程辦公、移動辦公、居家辦公在激發(fā)員工主觀能動性、時間利用效率提高、節(jié)省企業(yè)運營成本等方面存在的巨大好處，加上員工對于遠(yuǎn)程辦公的進(jìn)一步需求，國外巨頭公司的遠(yuǎn)程辦公常態(tài)化戰(zhàn)略等，都進(jìn)一步使得企業(yè)對遠(yuǎn)程辦公的渴望漸長。
以上因素催生了對于終端的新一輪安全管控制度，所以Gartner在2020端點安全技術(shù)成熟度報告中，正式提出BYOPC Security，隨著該領(lǐng)域方案的成熟，未來十年相信越來越多的企業(yè)可以實現(xiàn)隨時隨地的辦公戰(zhàn)略，也將進(jìn)一步推動數(shù)字化轉(zhuǎn)型道路。
趨勢二：零信任網(wǎng)絡(luò)訪問從分歧到融合，從少量場景驗證，到全面融入
如果說今年安全方面最熱的一個詞，恐怕非零信任莫屬。從2010由研究機(jī)構(gòu)Forrester的首席分析師約翰·金德維格（John Kindervag）提出零信任一詞，到目前已經(jīng)十年過去了，在這十年內(nèi)國內(nèi)外企業(yè)基于對零信任安全框架的理解，開展了技術(shù)探索和布局，從各種不同維度出發(fā)的觀點，到目前為止基本融合，尤其是隨著NIST及其下屬單位NCCOE發(fā)布的零信任架構(gòu)正式版和實施方法，行業(yè)內(nèi)對零信任的認(rèn)知逐漸統(tǒng)一。
圖1 NIST NCCoE《實現(xiàn)零信任架構(gòu)》正式版（2020年10月發(fā)布）
零信任定位：零信任架構(gòu)不是單一的網(wǎng)絡(luò)體系架構(gòu)、產(chǎn)品，它是一整套網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)計和運行的指導(dǎo)原則，用來提升網(wǎng)絡(luò)安全整體能力。
零信任目標(biāo)：零信任架構(gòu)的核心就是重構(gòu)訪問控制，采用更為靈活的技術(shù)手段對動態(tài)變化的人、終端、系統(tǒng)建立新的邏輯邊界。
零信任現(xiàn)狀：目前各廠商、企業(yè)都積極探討在暴露面收斂、遠(yuǎn)程辦公、遠(yuǎn)程運維、跨網(wǎng)訪問、所云訪問等場景下如何實踐零信任。
零信任未來：以零信任架構(gòu)的核心組件為中心，在不同場景下疊加不同的功能組件，將零信任理念融入企業(yè)各個安全場景下，未來零信任是企業(yè)未來安全建設(shè)主要技術(shù)理念之一。
信通院在2020年的網(wǎng)絡(luò)安全產(chǎn)業(yè)全景圖中，將零信任作為通用技術(shù)理念（參見圖2）。
圖2通信院2020年中國網(wǎng)絡(luò)安全市場全景圖分類架構(gòu)示意圖
整體上，零信任范圍很廣，在端點安全、網(wǎng)絡(luò)安全方面，目前落地比較成熟的場景是端點到資源的訪問控制，也是企業(yè)實踐零信任的第一步，可以預(yù)見的是企業(yè)在遠(yuǎn)程辦公、遠(yuǎn)程運維、VPN替換、多云訪問等場景下對零信任網(wǎng)絡(luò)訪問的核心組件進(jìn)行驗證后，會逐步擴(kuò)展到其他端點訪問資源的場景，最終會覆蓋所有端點到資源的訪問。
趨勢三：VPN被ZTNA(也被稱為SDP)取代的速度加快
VPN（Virtual Private Network）是一種廣泛用于安全遠(yuǎn)程用戶訪問控制的普遍技術(shù)。這種技術(shù)，在與多因子身份認(rèn)證結(jié)合時，對于具有傳統(tǒng)邊界的企業(yè)以及靜態(tài)用戶和服務(wù)器資源來說效果很好。但是正如Gartner的調(diào)研報告所說：DMZ和傳統(tǒng)VPN是為上世紀(jì)90年代的網(wǎng)絡(luò)設(shè)計的，由于缺乏保護(hù)數(shù)字業(yè)務(wù)所需的敏捷性，它們已經(jīng)過時。
首先，VPN對所分配的網(wǎng)絡(luò)提供非常粗粒度的訪問控制。它們的目標(biāo)是讓遠(yuǎn)程用戶的行為就像在本地網(wǎng)絡(luò)上一樣，這意味著所有用戶都可以對整個虛擬局域網(wǎng)VLAN進(jìn)行完全的網(wǎng)絡(luò)訪問。嘗試配置VPN為不同用戶提供不同級別的訪問是不現(xiàn)實的，它們也不能很容易地適應(yīng)網(wǎng)絡(luò)或服務(wù)器集群的變化，VPN根本無法跟上當(dāng)今企業(yè)動態(tài)發(fā)展的需要。其次，即使公司對VPN所提供的控制級別感到滿意，但VPN只是一種控制遠(yuǎn)程用戶的豎井式解決方案——它們不會幫助保護(hù)本地內(nèi)網(wǎng)中的用戶，這意味著組織需要一組完全不同的技術(shù)和策略來控制本地用戶的訪問。這將使協(xié)調(diào)和匹配這兩個解決方案所需的工作量成倍增加。而且，隨著企業(yè)采用混合和基于云計算的計算模型，VPN就更難被有效地使用。
最后，VPN在設(shè)計之初主要考慮組件虛擬的專用網(wǎng)絡(luò)的訪問，但在遠(yuǎn)程辦公場景下缺少對企業(yè)數(shù)據(jù)的安全防護(hù)，容易發(fā)生數(shù)據(jù)泄露問題。
基于此，Gartner在2020年的ZTNA（Zero Trust Network Access）市場指南中，也指出：到2022年，向生態(tài)系統(tǒng)合作伙伴開放的新數(shù)字業(yè)務(wù)應(yīng)用中，有80%將通過ZTNA訪問；到2023年，60%的企業(yè)將逐步淘汰大部分遠(yuǎn)程訪問虛擬專用網(wǎng)(VPN)，轉(zhuǎn)而使用ZTNA。
但受到疫情驅(qū)動的遠(yuǎn)程辦公需求，國內(nèi)大型攻防演練首日VPN 0day漏洞的影響，目前大部分用戶都在考慮使用ZTNA來替換VPN，所以這一進(jìn)程會加快。
趨勢四：ZTNA會促進(jìn)UEM的發(fā)展
統(tǒng)一端點管理（Unified Endpoint Management，簡稱UEM）是Gartner定義的區(qū)分于EPP的另一個細(xì)分市場，初衷強(qiáng)調(diào)對包括異構(gòu)的PC、移動端的統(tǒng)一管理。
隨著操作系統(tǒng)的演進(jìn)，原有的PC和移動端的技術(shù)差異正在逐漸縮小，企業(yè)中Windows應(yīng)用程序的數(shù)量在過去十年中一直在緩慢下降，取而代之的是基于瀏覽器或與操作系統(tǒng)無關(guān)聯(lián)性的程序。隨著以資源保護(hù)為核心的零信任安全架構(gòu)和BYOD、BYOPC的大范圍使用，相較于管理整個設(shè)備，企業(yè)IT管理人員將越來越重視管理應(yīng)用程序的訪問和數(shù)據(jù)保護(hù)，而零信任架構(gòu)的落地使得企業(yè)可以對所有設(shè)備訪問企業(yè)資源的行為進(jìn)行統(tǒng)一的、精細(xì)化動態(tài)授權(quán)。所以在2020年ZTNA市場指南中指出，企業(yè)在評估零信任網(wǎng)絡(luò)訪問如何落地時，必須考慮UEM的重要性。
圖3 Gartner ZTNA市場指南2020
實際調(diào)研過程中，大部分客戶在遠(yuǎn)程辦公、互聯(lián)網(wǎng)暴露面收斂等場景通常都是將PC和移動智能設(shè)備一起考慮，因此零信任架構(gòu)的實施使得UEM需求更加迫切。不過國內(nèi)和國外對UEM的實現(xiàn)路徑上差異很大。
蘋果公司幾年前開始在Mac OSX中加入MDM API，微軟首先在Windows 8.1中引入了EMM API，并在Windows 10中做了進(jìn)一步的擴(kuò)展。這樣，EMM便可以非常便捷的管理PC和Mac。所以國外的UEM廠商更多的是移動安全廠商，如MobileIron、黑莓等都是從MDM到EMM再到UEM。
圖4 UEM發(fā)展的三個階段
目前來看，國內(nèi)UEM的廠商非常少。一方面國內(nèi)基于PC和移動端的原生應(yīng)用程序還存在比較大的體量，轉(zhuǎn)型需要時間，另一方面國內(nèi)企業(yè)對PC端的管控要求非常復(fù)雜，很多原生的API不足以滿足管控要求，同時大部分客戶還希望對混合接入的IoT終端進(jìn)行統(tǒng)一管理，絕大多數(shù)EMM廠商不具備PC終端和IoT終端的管控能力，導(dǎo)致國內(nèi)EMM廠商往UEM轉(zhuǎn)型的非常少。所以國內(nèi)UEM廠商一般都是由少數(shù)同時具有EPP和EMM產(chǎn)品的廠商來落地。
趨勢五：UEM與UES一定會融合，并作為ZTNA的核心組件
通過上面UEM的介紹，可知UEM的安全屬性不多，所以Gartner在今年的《Hype Cycle for Endpoint Security,2020》中，提出UES一詞。
圖5 2020年端點安全技術(shù)成熟度曲線
雖然Gartner針對UES定義的范疇很廣，目前也是處于萌芽階段，但筆者更愿意認(rèn)為，在UEM的落地過程中，很多企業(yè)除了運維團(tuán)隊期望對端點進(jìn)行統(tǒng)一管理，安全團(tuán)隊還希望能夠提供更多來自端點分析整合的對于身份和訪問管理更深入的見解，或更好的安全運營方面的支撐。尤其是隨著零信任架構(gòu)的落地，使得PC端和移動端在身份驗證、環(huán)境感知、信任評估、動態(tài)授權(quán)，以及基于用戶的行為分析和安全事件之間的關(guān)聯(lián)性非常強(qiáng)，而且基于UEM統(tǒng)一的設(shè)備管控能力、數(shù)據(jù)采集能力是UES中必不可少的選項，同時利用移動端的強(qiáng)身份屬性和較好的安全性，作為PC端的安全屬性補(bǔ)充，是一個不錯的選擇，如通過移動端的掃碼認(rèn)證作為推薦的PC端身份認(rèn)證的方式，或利用移動端確認(rèn)的方式作為身份一致性的校驗，或當(dāng)PC端發(fā)生風(fēng)險后，利用移動端的設(shè)備優(yōu)勢進(jìn)行更高強(qiáng)度的基于生物特征的二次身份認(rèn)證，以判定是否可以繼續(xù)訪問企業(yè)資源。
未來UES發(fā)展的價值在哪里呢？筆者覺得，如果它只是作為EPP、EDR的擴(kuò)展和延伸，以及XDR的一個實踐，那意義就不大了。未來UEM與UES融合后，將作為ZTNA的重要核心組件，支撐ZTNA的落地，同時成為企業(yè)安全運營中心的主要安全數(shù)據(jù)來源之一，這才是UES的最大價值。
趨勢六：EDR在零信任架構(gòu)下面臨新的契機(jī)
Gartner從2013年提出ETDR，2015年正式命名EDR，2017年正式發(fā)布EDR市場指南，2018年Gartner將EDR從補(bǔ)充性功能變成端點安全的必備功能，并且每年列入端點安全的十大安全項目，其重要性不言而喻，所以Gartner預(yù)測，到2020年有80%的大型企業(yè)，25%的中型企業(yè)，以及10%的小型企業(yè)將投資部署EDR。同時CrowdStrike超高的估值也是EDR市場很好的證明。
但是跟國外EDR的快速發(fā)展不同，國內(nèi)PC終端側(cè)的EDR相比國外而言，發(fā)展較為緩慢，而且不同客戶群體也有不同的表現(xiàn)因素，針對大型企業(yè)，主要原因有幾點：
國內(nèi)大型客戶的終端管理非常復(fù)雜，任務(wù)繁重，基于員工普遍抵觸在終端上做過多事情的前提下，很多都是優(yōu)先從網(wǎng)絡(luò)側(cè)做，所以網(wǎng)絡(luò)側(cè)威脅檢測發(fā)展較快；
國內(nèi)很多大型客戶有多張網(wǎng)絡(luò)，其中生產(chǎn)、辦公網(wǎng)一般不允許上互聯(lián)網(wǎng)，所以大部分威脅都是從外部攻入，尤其是國內(nèi)大型的攻防演習(xí)，加劇了這一問題，使得CWPP（也被稱為服務(wù)器/云主機(jī)側(cè)的EDR）得以較快發(fā)展；
國內(nèi)外的文化差異也不同，針對端點側(cè)單點的威脅，國內(nèi)可以及時地使用行政手段強(qiáng)干預(yù)，進(jìn)行嚴(yán)格管控，所以從影響層面，優(yōu)先級一般。
所以基于檢測類的EDR，一般都是作為企業(yè)整體安全運營協(xié)防的一部分，提供更為全面的威脅分析數(shù)據(jù)、更好的安全可見性以及處置手段。
而對于中小型企業(yè)來說，面臨的高級威脅大部分情況下是勒索病毒，所以EDR更多的是以下一代殺毒或整合傳統(tǒng)殺毒的方式存在。作為防御勒索病毒的主要產(chǎn)品，它跟XDR的思路是一脈相承的，基于明確的、成熟的威脅防御用例，進(jìn)行開箱即用的功能和持續(xù)的安全服務(wù)。
但是這種現(xiàn)狀有可能被現(xiàn)在的零信任架構(gòu)改變，一方面零信任架構(gòu)的實施，使得企業(yè)更加敏捷的上云，端點的去PC化，移動設(shè)備接入網(wǎng)絡(luò)環(huán)境的多樣化，和更多的個人筆記本接入，使得威脅大幅增加，非常需要EDR提供更加強(qiáng)大的威脅檢測。另一方面，可信接入代理的大量使用，使得傳統(tǒng)的網(wǎng)絡(luò)訪問路徑被改變，要么鏈接加密，要么代理轉(zhuǎn)發(fā)后失去源IP地址等，所以在未來基于零信任架構(gòu)的安全體系中，EDR是環(huán)境感知、威脅檢測（至少是核心數(shù)據(jù)源）的核心組件，而傳統(tǒng)的網(wǎng)絡(luò)側(cè)檢測產(chǎn)品的適用場景將會減少。
趨勢七：從防御到檢測，再到擴(kuò)展檢測（XDR）
Gartner在檢測響應(yīng)項目上的新發(fā)現(xiàn)指出，對于檢測響應(yīng)不僅僅是指終端，整個檢測響應(yīng)項目還包含：
面向日志的檢測與響應(yīng)技術(shù)（SIEM）
面向端點的檢測與響應(yīng)技術(shù)（EDR）
面向網(wǎng)絡(luò)的檢測與響應(yīng)技術(shù)（NDR）
面向欺騙的檢測與響應(yīng)技術(shù)
面向運營的檢測與響應(yīng)服務(wù)（MDR）
隨著這些產(chǎn)品和服務(wù)的成熟，從行業(yè)動態(tài)來看這些產(chǎn)品逐漸走向融合，如我們熟知的Elastic已經(jīng)收購了著名的EDR廠商Endgame，業(yè)內(nèi)做SOC、SIEM的廠商也都開始推出自己的EDR、NDR產(chǎn)品，通過統(tǒng)一的威脅檢測框架（如ATT&CK），實現(xiàn)在更多維度、更多位置、更加全面的檢測，進(jìn)而實現(xiàn)對威脅的自動響應(yīng)和統(tǒng)一編排。XDR不是一個新名詞，Gartner在今年將XDR列入十大安全項目，順理成章，甚至有點晚，XDR還出現(xiàn)在端點安全（參見圖5）和安全運營（參見圖6）兩個技術(shù)趨勢曲線，未來相當(dāng)可期。
圖6 2020年安全運營技術(shù)成熟度曲線
Gartner給XDR的定義是：XDR is a SaaS-based,vendor-specific,security threat detection andincident response tool that natively integrates multiple security products intoa cohesive security operations system that unifies all licensed securitycomponents.
從定義來看，筆者更覺得是對檢測響應(yīng)類產(chǎn)品如何落地的一個思路，這類產(chǎn)品當(dāng)前最大的問題是高度依賴安全專家。所以國內(nèi)真正能上馬此類項目的都是安全能力非常強(qiáng)的頭部客戶，同時這些頭部企業(yè)基于自身對安全的規(guī)劃，也都在做XDR方面的事情，只是應(yīng)用深淺的問題而已。所以XDR的提出，更多的是能夠為大量的中小型客戶提供一種綜合性的、較為完整的、開箱即用的檢測響應(yīng)類產(chǎn)品以及基于云的威脅分析的安全服務(wù)。
不過在產(chǎn)品上、檢測分析維度上的聯(lián)動是第一步，XDR的精髓應(yīng)該是Cross，能夠基于一個威脅線索，無縫跨越多個檢測類產(chǎn)品才是真正的目標(biāo)，如何實現(xiàn)這個目標(biāo)，目前還沒有明確的答案，所以當(dāng)下XDR應(yīng)該更多的還是在商業(yè)模式和市場推廣上，畢竟技術(shù)上沒有更多新的東西。
趨勢八：準(zhǔn)入控制與ZTNA融合
準(zhǔn)入控制作為設(shè)備接入企業(yè)網(wǎng)絡(luò)的安全邊界，一直以來都是企業(yè)的安全基礎(chǔ)設(shè)施之一，只不過準(zhǔn)入控制是以網(wǎng)絡(luò)為中心，零信任是以企業(yè)資源為中心，但兩者理念與零信任相似，都是默認(rèn)不相信任何設(shè)備，必須進(jìn)行嚴(yán)格校驗后，才允許接入。所以兩者都有身份校驗、環(huán)境感知、信任評估、動態(tài)最小授權(quán)等環(huán)節(jié)，嚴(yán)格上來講這些環(huán)節(jié)有重復(fù)的部分，在具體的落地過程中肯定要考慮如何統(tǒng)一，以便給用戶最好的體驗和最低的性能成本。
從企業(yè)網(wǎng)絡(luò)安全角度來看，兩者解決的問題并不沖突，準(zhǔn)入控制主要保障使用企業(yè)網(wǎng)絡(luò)基礎(chǔ)設(shè)施的安全問題，ZTNA主要解決訪問企業(yè)資源的安全問題，所以Google的零信任實踐項目BeyondCrop（參見圖7）在企業(yè)網(wǎng)中的第一步也是準(zhǔn)入控制（802.1x）。
圖7 BeyondCorp組件和訪問流程
趨勢九：個人信息保護(hù)將推動全行業(yè)對數(shù)據(jù)安全的重視
今年11月份，圓通公司爆出內(nèi)部員工泄密案。該公司5名員工以每天500元的價格外租自己的員工賬號，造成40多萬條個人信息泄露。這些信息包含發(fā)件人和收件人的地址、姓名及電話號碼等內(nèi)容，根據(jù)犯罪團(tuán)伙供述，這些信息將被以每條1元的價格打包賣到全國及東南亞等電信詐騙高發(fā)區(qū)。
在今年的《個人信息保護(hù)法（草案）》第七章規(guī)定懲罰金額為五千萬元以下或者上一年度營業(yè)額5%以下罰款；對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處十萬元以上一百萬元以下罰款。
而在草案征求意見稿公布的同一天，多家銀行吃到了“侵害消費者個人信息”的罰單，處罰金額合計達(dá)4188萬元，相關(guān)責(zé)任人罰款從1.75萬元到3萬元不等，信息保護(hù)已成為國家和社會關(guān)注的重點。
明年，《個人信息保護(hù)法》的出臺和發(fā)布，將開啟中國隱私權(quán)及個人信息保護(hù)的新時代。為了更好的滿足合規(guī)要求、客戶個人權(quán)利以及企業(yè)自身管理需求，企業(yè)需要進(jìn)一步從全面的視角，加強(qiáng)個人信息安全和隱私保護(hù)的能力，尤其是通過零信任和數(shù)據(jù)防泄露相關(guān)技術(shù)防范在獲取客戶個人信息的訪問、使用、存儲、外發(fā)等環(huán)節(jié)的安全問題。
趨勢十：企業(yè)選擇端點安全產(chǎn)品時須考慮信創(chuàng)終端
在中美關(guān)系不可逆的大背景下，信創(chuàng)產(chǎn)業(yè)一直呈現(xiàn)穩(wěn)固且快速發(fā)展的態(tài)勢，已經(jīng)從個別行業(yè)的試點，擴(kuò)展到各行業(yè)頭部客戶的試點，相信明年的擴(kuò)展速度會更快，影響面會更廣，而端點安全產(chǎn)品的部署周期一般都是三年以上，所以在選擇時必須考慮對信創(chuàng)終端的支持情況。
結(jié)束語：今年零信任的火熱更多的是在部分客戶的少量實踐應(yīng)用場景，端點作為其中非常重要的核心組件勢必不可或缺。本文主要列舉了一些影響面非常大的方向，但端點側(cè)更高的網(wǎng)絡(luò)訪問可見性、微隔離、數(shù)據(jù)安全等也會影響零信任的落地。傳統(tǒng)端點安全從強(qiáng)管控，到高效運營，再到未來新架構(gòu)下的融入，也都是企業(yè)非常關(guān)心的，篇幅受限不再贅述，希望明年能夠跟更多的有識之士一起再做探討，未來期望能夠基于中國國情和企業(yè)安全建設(shè)實際情況，對端點安全的趨勢進(jìn)行預(yù)測，每年都能為國內(nèi)企業(yè)的端點安全規(guī)劃提供一些啟發(fā)和幫助。
