從安全創(chuàng)新賽道的“轉變”看網(wǎng)絡安全架構演進

【摘 要】 隨著安全創(chuàng)新賽道不斷轉變，技術、業(yè)務不斷變化，網(wǎng)絡安全架構在數(shù)字化轉型高速發(fā)展期面臨更多的變化與挑戰(zhàn)，架構層面也需要持續(xù)演進。本文從安全架構演進的意義、安全架構的演進路線、如何在數(shù)字化轉型的背景下進行安全架構演進，以及安全架構演進實踐4個方面展開了討論。

【關鍵詞】 網(wǎng)絡安全架構 自適應安全架構 融合架構 架構演進

1 引言

主題為“Transform”（轉型）的RSAC（Railroad Safety Advisory Committee）會議已于2022年6月在美國舉行。近5年來（自2018至2022年）創(chuàng)新沙盒十強冠軍分別聚焦于身份安全、云安全、供應鏈安全、數(shù)據(jù)安全，以及云原生安全賽道，可以看出創(chuàng)新沙盒突圍的賽道在持續(xù)轉變。伴隨著技術、業(yè)務場景、業(yè)務需求的不斷變化，安全架構的演進也變得必要。

2 安全架構演進的意義

自2020年起，RSAC的議題便開始有明顯轉變，從單純的技術展望轉變?yōu)楦�高層次的思考和探索。面對新冠肺炎疫情、科洛尼爾管道勒索攻擊、俄烏網(wǎng)絡戰(zhàn)等多重疊加的復雜環(huán)境，RSAC議題從2020年的The Human Element（人因）到2021年的Resilience（彈性），再到今年的Transform（轉型），都是為了應對如此復雜的環(huán)境而思考出來的新想法、探索出的新發(fā)展方向�！癟ransform”一詞解讀為“轉型”可能并不全面，我們站在議題提出的技術背景下，解讀出該主題3個方面的內容：融合、模態(tài)、演化，并將從這3個方面來探討架構演進。

（1）融合融合是安全架構的發(fā)展趨勢。未來，以Web3.0、人工智能為基礎技術的數(shù)字社會將逐步形成，可能將超越今天的移動支付、車聯(lián)網(wǎng)、遠程辦公等場景，產(chǎn)生新的數(shù)字化場景，形成一個安全可信的價值互聯(lián)網(wǎng)。這就需要一個與數(shù)字化場景深度融合的安全體系和架構，如圖1所示。

（2）模態(tài)模態(tài)是安全架構演化后的新形態(tài)（目標形態(tài)）。演化后的新安全架構具備模態(tài)特性，即統(tǒng)一性和自適應性或者說是彈性。新安全架構消除了與數(shù)字化業(yè)務、與不同安全產(chǎn)品之間的數(shù)據(jù)孤島，通過統(tǒng)一的數(shù)據(jù)模型，與人的交互、與設備的交互及與系統(tǒng)的交互都能以標準化的語言（接口）進行數(shù)據(jù)采集、分析和響應。新安全架構的數(shù)據(jù)模型是統(tǒng)一的，但是通過數(shù)據(jù)模型衍生的安全服務是彈性的，可以見所未見（利用威脅情報、威脅建模、紅藍對抗等手段提前發(fā)現(xiàn)問題）、可以實現(xiàn)零信任（通過限制用戶的訪問特權來限制內部的威脅蔓延）、可以提供微隔離（提供7層威脅防御、基于風險的持續(xù)多因素認證），這樣就能與網(wǎng)絡攻擊共存，在遭受網(wǎng)絡攻擊時保持數(shù)字化業(yè)務的可用性及網(wǎng)絡恢復的能力。

（3）演化演化是安全架構的必然要求。在一個與數(shù)字化場景深度融合的安全體系下，需要相應的安全架構進行支撐，現(xiàn)有的安全架構往往是獨立于數(shù)字化業(yè)務場景的“門衛(wèi)”角色，部署形態(tài)不夠靈活、安全事件自動化響應很難實現(xiàn)對數(shù)字化業(yè)務的“零擾動”， 解決這些問題與實現(xiàn)模態(tài)化，都要求對現(xiàn)有安全架構進行升級。

大型軟件架構體系的范式遷移可以作為安全架構升級的參考，從“單體”到面向服務架構（Service-Oriented Architecture，SOA），再到“云原生”的演化路線如圖2所示，核心驅動力就是企業(yè)需要適應數(shù)字化轉型的發(fā)展趨勢，能夠服務更多用戶和客戶的個性化數(shù)字場景，能夠降低構建數(shù)字化系統(tǒng)的開發(fā)和運維成本。時下流行的云原生架構就是基于云原生技術的架構原則和設計模式適應了當前數(shù)字化業(yè)務場景的最佳實踐，能將數(shù)字化應用中的非業(yè)務模塊進行最大化剝離，讓公有云或者私有云設施接管應用中大量的非功能特性（如彈性、安全、可觀測性、灰度等），使數(shù)字化業(yè)務不再受非功能性業(yè)務中斷困擾的同時，具備輕量、敏捷、高度自動化的特點。

綜上所述，在數(shù)字化轉型的高速發(fā)展階段，網(wǎng)絡安全將與全領域各行各業(yè)進行深度鏈接，只有轉變才能應對更多變化，只有架構演進才能應對業(yè)務、數(shù)據(jù)、資源的多維度、多場景變化。

3 安全架構演進路線

3.1 傳統(tǒng)架構演進路線

（1）網(wǎng)絡安全架構1.0時代。2014年IT研究與顧問咨詢公司高德納（Gartner）針對高級別攻擊設計了一套自適應網(wǎng)絡安全架構，如圖3所示。

該時代映射于傳統(tǒng)安全產(chǎn)品的單體架構時代，各安全產(chǎn)品都比較獨立，突出表現(xiàn)為產(chǎn)品架構煙囪式發(fā)展。

（2）網(wǎng)絡安全架構2.0時代。2017年自適應網(wǎng)絡安全架構進入2.0時期，其在1.0的基礎上進行了理論豐富，加入了一些額外元素，如圖4所示。自適應架構2.0主要有以下3點變化：

①將持續(xù)的監(jiān)控分析改變成持續(xù)的可視化和評估，同時加入用戶和實體的行為分析（User and Entity Behavior Analytics，UEBA） 相關內容；

②引入了每個象限的小循環(huán)體系，不僅僅是4個象限大循環(huán)；

③在大循環(huán)中加入了策略和合規(guī)要求，同時對大循環(huán)的每個步驟說明了循環(huán)的目的，保護象限是實施動作，檢測象限是監(jiān)測動作，響應和預測象限都是調整動作。

網(wǎng)絡安全架構2.0時代映射于傳統(tǒng)安全產(chǎn)品的分布式、面向服務的架構時代。為滿足更大體量的業(yè)務和更復雜的業(yè)務場景，安全產(chǎn)品間有了一些協(xié)同交互。

（3）網(wǎng)絡安全架構3.0時代。Gartner發(fā)布的2018年十大安全項目（Top 10 Security Projects for 2018）涉及持續(xù)自適應風險與信任（CARTA）、云安全配置管理項目（CSPM）、軟件定義邊界等，網(wǎng)絡安全架構的演進內容較多，正式進入3.0時代，如圖5所示。在云時代，云訪問安全代理（Cloud Access Security Broker，CASB）解決了部分的認證問題，Gartner也使用過自適應安全架構的方法論來對CASB的能力架構進行全面分析，可以說是將CASB自適應的安全架構作為原型挪到此總體架構中。這個架構的核心點在于認證，包括云服務的發(fā)現(xiàn)、訪問、監(jiān)控和管理。

網(wǎng)絡安全架構3.0時代映射于安全產(chǎn)品的云原生、服務化、服務網(wǎng)格架構時代。為滿足數(shù)字化轉型背景下用戶業(yè)務快速上云、企業(yè)業(yè)務快速上云需求，對架構提出了基座平臺化、云原生、輕量化、彈性、融合、編排等技術要求。

自適應網(wǎng)絡安全架構的模型從智慧決策、自適應策略、動態(tài)執(zhí)行、全息態(tài)勢等元素不斷豐富、優(yōu)化和演進。自適應網(wǎng)絡安全架構的功能從監(jiān)測預警、動態(tài)防御、態(tài)勢感知、決策演進元素不斷演進和豐富。自適應網(wǎng)絡安全架構的核心是決策演進，根據(jù)業(yè)務場景、網(wǎng)絡安全態(tài)勢實現(xiàn)監(jiān)測策略、防御策略、評估策略和感知策略的生成。

自適應網(wǎng)絡安全架構具有以下3個特點。

①自適應。安全架構整體具有動態(tài)自適應的特點，能夠持續(xù)地對網(wǎng)絡空間威脅風險進行監(jiān)測，并動態(tài)自適應地調整監(jiān)測策略、防御策略、評估策略和感知策略，應對持續(xù)多變、已知未知的安全威脅。

②執(zhí)行流程閉環(huán)。安全架構包括監(jiān)測、防御、評估、感知、決策等功能，形成網(wǎng)絡空間安全保密防護的流程閉環(huán)，是一個有機的融合整體，能夠對網(wǎng)絡空間安全進行一個全面、完整的安全防護，并不斷迭代更新。

③內外雙驅動演進。安全架構能夠根據(jù)系統(tǒng)應對內部實時威脅風險實現(xiàn)內部驅動的防御演進，同時能導入外部新型威脅風險,實現(xiàn)外部驅動的防御預先演進，具有較高的威脅風險應對能力和預防能力。

3.2 數(shù)字化時代網(wǎng)絡安全技術框架

Gartner近期發(fā)布的2022年七大安全和風險管理趨勢中，網(wǎng)絡安全網(wǎng)格架構（CSMA）無疑體現(xiàn)出在技術架構層面對當前網(wǎng)絡安全產(chǎn)品在新形勢下的整合能力要求，通過集成式的安全架構來保護組織在本地、數(shù)據(jù)中心和云端資產(chǎn)的安全，如圖6所示。

這種架構有2個明顯優(yōu)勢：一是擺脫了物理網(wǎng)絡限制。在任何物理位置上的終端或者業(yè)務系統(tǒng)，隨時都可以接入全互聯(lián)結構（Full-Mesh）的邏輯網(wǎng)絡中，無需考慮物理網(wǎng)絡環(huán)境。二是復雜網(wǎng)絡簡單化。所有網(wǎng)絡主客體之間在邏輯上都是點對點直連關系，沒有復雜的中間網(wǎng)絡。這種極簡結構讓策略管理變得扁平化，給集中管控和行為分析帶來了天然優(yōu)勢。

再回到具體的應用場景，云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)技術的應用使得網(wǎng)絡安全邊界日趨模糊。大數(shù)據(jù)技術的發(fā)展使數(shù)據(jù)儲量和流量成倍上漲，網(wǎng)絡安全攻擊帶來的損失和傷害也隨之成倍增加；物聯(lián)網(wǎng)等領域打通了線上線下的界限，利用設備漏洞控制物聯(lián)網(wǎng)，甚至可對物理世界造成威脅；云計算模糊了傳統(tǒng)的安全邊界，安全建設前移成為趨勢，安全攻防的復雜程度也大大增加。傳統(tǒng)網(wǎng)絡安全產(chǎn)品布局方式無法滿足用戶需求，政企用戶對于數(shù)字化網(wǎng)絡安全建設需求提升，平臺型、系統(tǒng)性、體系化的網(wǎng)絡安全建設成為其關注重點，其技術框架如圖7所示。

數(shù)字化時代網(wǎng)絡安全架構不僅考慮傳統(tǒng)IT基礎設施的安全，還考慮整個數(shù)字化生態(tài)中全部有形與無形的資產(chǎn)，尤其是數(shù)據(jù)資產(chǎn)等安全訴求。數(shù)字化時代的網(wǎng)絡安全技術框架演進，無論是從1.0時代的單體架構，到2.0時代的能力自適應架構，還是到3.0云化服務化的融合架構，都是緊貼客戶業(yè)務發(fā)展需要，而不是脫離業(yè)務空談架構演進。因此對于安全架構的演進方向，需要深入研究客戶當前業(yè)務場景和形態(tài)的變化，并且能夠從一定程度預判客戶業(yè)務未來的演進方向，以業(yè)務驅動架構的持續(xù)演進。

4 安全架構的演進方式

在數(shù)字化轉型的背景下，對于網(wǎng)絡安全廠商來說，網(wǎng)絡安全架構應圍繞客戶業(yè)務轉型而逐漸演進，伴生模式和訂閱模式是架構演進要考慮的關鍵要素。

4.1 架構演進要素一：伴生模式

傳統(tǒng)模式下，客戶業(yè)務通常部署在本地或者互聯(lián)網(wǎng)數(shù)據(jù)中心（Internet Data Center，IDC）機房，因此網(wǎng)絡安全廠商通常以硬件的方式伴生在客戶業(yè)務服務器旁。此時，網(wǎng)絡安全廠商的網(wǎng)絡設備通常是單一能力硬件盒子方式，客戶需要何種安全能力就購買具備相應能力的安全設備。

隨著云資源、云業(yè)務的發(fā)展，客戶將業(yè)務遷移到云環(huán)境之后，本地部署安全能力的方案不再奏效。網(wǎng)絡安全廠商的安全架構也隨之遷移，提供云化部署，包括虛擬私有云（Virtual Private Cloud，VPC）或者容器部署，伴生于客戶的云上業(yè)務。同時網(wǎng)絡安全廠商也將服務目標轉向云服務提供商，為其提供資源池等方案。

在伴生模式的推動下，安全產(chǎn)品部署隨著客戶的業(yè)務遷移而變化，因此安全架構需要能支持多樣的部署環(huán)境，并適應不同的部署場景。

4.2 架構演進要素二：訂閱模式

線下訂閱模式，本質上是伴生模式的演進，即安全能力依然部署在業(yè)務側，同時引入了“訂閱”機制。隨著客戶數(shù)字化轉型下的業(yè)務變化，其所需的安全能力也在不斷變化，不再是傳統(tǒng)的需要什么安全能力就購買相應安全裝置，這種模式會導致安全能力的浪費，同時不能快速適應業(yè)務發(fā)展。因此，網(wǎng)絡安全架構需要支持多能力融合，即“多合一”模式，一套裝置能夠提供多種安全能力，并根據(jù)不同的“訂閱”模式提供不同的安全能力組合。

線上訂閱模式，即安全能力部署不再是伴生模式，是一種遠端方式。隨著客戶業(yè)務模式由單一節(jié)點到多節(jié)點的轉變，傳統(tǒng)的一對一伴生模式將導致安全成本過高，同時缺乏全局視野，因此安全和網(wǎng)絡融合的安全訪問服務邊緣（Secure Access Service Edge，SASE）架構應運而生。該架構能夠將客戶多個節(jié)點的流量引至遠端提供安全服務，客戶不再依賴于本地部署安全裝置，而是在任何時間、任何地方都能獲得安全服務。

在訂閱模式的推動下，安全架構支持將多安全能力以組件的方式平滑集成和融合，不再僅提供單一能力。同時，安全架構在整體方案上不能僅僅只支持云端或者地端，而是要支持云地聯(lián)動能力互補，為客戶提供云、管、邊、端場景端到端的安全服務。

綜上所述，架構是演進的，而不是設計的。安全架構應該圍繞客戶業(yè)務的“轉型”，以能夠為客戶提供最優(yōu)的安全解決方案目標而演進，同時與時俱進，融合IT產(chǎn)業(yè)的優(yōu)秀架構思想和最佳實踐。

5 安全架構演進的實踐

5.1 傳統(tǒng)架構的痛點

傳統(tǒng)的安全產(chǎn)品能力各自獨立生長，由于歷史原因部分安全產(chǎn)品長期迭代，其產(chǎn)品架構呈煙囪式發(fā)展，導致各安全產(chǎn)品中的安全能力內生耦合嚴重、接口封閉、能力無法復用。傳統(tǒng)的安全解決方案是將各安全產(chǎn)品進行堆疊，構建滿足客戶場景的解決方案。傳統(tǒng)安全能力產(chǎn)品需要較高的硬件資源、較長周期的開發(fā)迭代、較長時間的集成調試，綜合成本較高。

以上情形對于傳統(tǒng)的基于較大規(guī)模的客戶防護場景是可執(zhí)行的。在數(shù)字化轉型高速發(fā)展的強力助推作用下，千行百業(yè)上云過程中將傳統(tǒng)安全產(chǎn)品堆疊上云，傳統(tǒng)的安全架構已經(jīng)不能滿足云上資源、客戶業(yè)務不斷的服務化、輕量化的發(fā)展趨勢。敏捷、融合、彈性、可訂閱的安全能力編排和調度需求越來越強烈，傳統(tǒng)的安全架構需要進行轉變。

5.2 架構演進實踐

鑒于傳統(tǒng)的安全能力耦合嚴重、接口封閉、能力無法復用等問題，本文提出了一套安全能力原子化解耦、安全原子能力云原生池化的架構。基于新架構將云原生化的原子安全能力構建成融合、彈性的安全解決方案，以應對數(shù)字化轉型時代的復雜安全風險，這是數(shù)字化轉型過程中應對復雜業(yè)務、技術的一種解題思路。由此，實踐層面從傳統(tǒng)的安全產(chǎn)品煙囪式架構演進為支持多安全能力融合、可編排、可調度、可訂閱的云原生服務化架構。

伴生模式架構意味著安全服務和客戶的業(yè)務一起伴生、融合。實踐落地過程中架構需支持基礎設施平滑遷移、安全業(yè)務融合，架構要支持安全能力按需編排，架構演進實踐如圖8所示。實踐架構中通過抽象層屏蔽底層不同基礎設施差異，實現(xiàn)安全業(yè)務產(chǎn)品支持在不同基礎設施平滑遷移。通過更細粒度、更內聚的安全能力解耦實現(xiàn)安全能力分而治之、合而御之的安全運營能力。通過安全能力服務化及安全能力服務化的編排，實現(xiàn)客戶場景的按資源所動、據(jù)不同場景的安全威脅按需編排安全能力。訂閱模式的架構實踐通過安全能力實現(xiàn)服務化的接口，滿足客戶不同場景的按需訂閱。

6 結語

在數(shù)字化轉型的高速發(fā)展階段，還將有更多的變化與挑戰(zhàn)，安全產(chǎn)品的架構也將持續(xù)不斷地演進，以為客戶提供長期持續(xù)的全方位安全運營服務，保障各行各業(yè)在數(shù)字化轉型過程中云、管、邊、端全場景的安全底線。

（原載于《保密科學技術》雜志2022年8月刊）