安全沙箱技術助力企業隔離“惡意程式碼”！

2010年，Forrester Research分析師John Kindervag提出了著名的零信任理念——“永不信任，始終驗證”，隨即這種創新性安全理念火遍全球，被認為是行業顛覆性創新理念，必將引領下一代網路資訊保安行業。

在傳統的 IT 安全模型中，一個組織的安全防護像是一座城堡，由一條代表網路的護城河守護著。在這樣的設定中，很難從網路外部訪問組織的資源。同時，預設情況下，網路內的每個人都被認為是可信的。然而，這種方法的問題在於，一旦攻擊者獲得對網路的訪問權，並因此預設受到信任，那麼組織的所有資源都面臨著被攻擊的風險。

相比之下，零信任基於這樣一種信念：企業不應該自動地信任其邊界內或外部的任何東西，而是在授予訪問許可權之前，對試圖連線到IT系統的任何人和東西進行驗證。
 
從本質上講，零信任安全不僅承認網路內部和外部都存在威脅，而且還假定攻擊是不可避免的（或可能已經發生）。因此，它會持續監控惡意活動，並限制使用者只能訪問完成工作所需的內容。這有效地防止了使用者（包括潛在的攻擊者）在網路中橫向移動並訪問任何不受限制的資料。

簡而言之，零信任的原則就是“在經過驗證之前不要信任任何人。”

事實上，零信任作為一種先進的安全技術理念，已經火了十幾年了。零信任並沒有創造和發明新技術，而是以新的思維方式和安全正規化，融合已有的安全產品、技術和手段，對現有的安全防禦體系進行全新升級，在不可信的環境中，以兼顧安全和體驗的方式實現資源的可信任訪問，提升整體安全防護能力和效果。

• 一個理念從產生到演進，從有規範標準到產品化，從落地嘗試到大範圍推廣是有路徑的，零信任的路徑大概是這樣的：
• 2004年耶利哥論壇上提出無邊界化的網路安全理念；
• 2010年Forrester Research的分析師John Kindervag正式提出零信任網路模型；
• 到後面谷歌的實踐提煉為論文對外發布，CSA（雲安全聯盟）提出SDP規範。隨後，國內外安全公司紛紛推出零信任解決方案和產品，大型網際網路企業開始自建和實踐零信任架構；
• 到2020年，受美國政府和軍方委託，NIST（美國國家標準與技術研究院）在連續推出了《SP800-207:Zero Trust Architecture》 兩個版本草案後釋出正式版本，幾乎囊括了所有前人成功經驗和優秀設計，在業界受到廣泛的認可，成為了事實上的標準；
• 進入2021年，國內零信任市場迸發了火熱的需求並呈現井噴之勢。

不管是個人、企業、還是協會，都不斷推出基於零信任理念的方案，今天為大家介紹 安全沙箱技術在零信任領域的實踐案例。

安全執行沙箱類技術的崛起

虛擬世界的“惡意”程式碼，也只能用虛擬的“牢籠”去“關住”它。安全沙箱（Security Sandbox），就是這麼一種數字牢籠，它的形態和技術實現方式有很多種，本質上它是一種安全隔離機制，透過構建一個封閉的軟體環境，隔離了它所在的“宿主”的資源包括記憶體、檔案系統、網路等等的訪問許可權。執行在這個封閉環境中的程式，其程式碼不受信任，程式不能因為其自身的穩定性導致沙箱的崩潰從而影響宿主系統，程式也無法突破沙箱的安全管控以讀寫宿主系統的資源。

沙箱類技術以各種形態出現：在BSD等作業系統裡就提供直接叫做“Jail”的虛擬化隔離；在JVM裡為了支援Java Applet這裡網路載入的程式碼的執行，實現了sandbox機制；瀏覽器裡的HTML渲染引擎，一定程度上也可以視為一種在使用者態的基於安全能力模型（Capability-based）的沙箱技術。

FinClip：前端安全沙箱技術

是一種新型的輕應用技術，在FinClip安全沙箱中執行的輕應用，選擇了相容網際網路主流的小程式規範。這是一個非常明智的設計，FinClip的開發團隊沒有重新發明自己的技術規格，而是全力支援小程式這種形態的輕應用，一方面是因為小程式類技術的體驗和效果在網際網路上得到充分驗證、獲得巨大成功，另一方面是網上積累了豐富的技術生態、開發框架、以及更重要的 - 人才資源，從而讓企業IT幾乎是無縫掌握這個技術，能迅速投入應用。

FinClip的嵌入式安全沙箱，又被稱之為 ，它的本質其實是建立在Security Capability model基礎上的瀏覽器核心的擴充套件，其沙箱的特點，體現在三個方面：
1、沙箱內小程式之間的隔離
2、沙箱對執行其中的小程式程式碼，隔離其對宿主環境的資源訪問。以一家銀行與它的合作生態為例，銀行在自己的App上引入了衣食住行各類消費場景的小程式，這些小程式均非本行開發，也不能訪問到當前宿主App的任何資料資源
3、沙箱隔離了宿主對於沙箱中執行的小程式所產生的資料。以一家銀行與一家券商的合作為例，券商把自己的業務小程式投放到銀行的App中，銀行App作為宿主，並不能訪問沙箱內部該小程式的執行資料（當然，這是需要有一定的行業規範、監管政策去約束，但技術上首先是完全可能）

換句話說，FinClip試圖構建一個Zero Trust（“零信任”）環境，不管小程式的“供應商”是誰，它們的程式碼都被隔離、同時也被保護在沙箱環境中。

安全沙箱還配備了雲端的管控後臺，讓任何小程式可以被關聯到指定的App宿主所嵌的沙箱例項中，從而能且僅能執行在某一款App或者某一個終端上。像網際網路小程式一樣，FinClip的小程式也可以被實時上下架，對於金融機構來說，起到“實時風控”的效果，因為上下架的管理工具和許可權，都由企業私有化執行、自行負責。任何有潛在安全風險的前端程式碼，一經發現即可瞬間下架，使用者端再也無法開啟使用。

這些安全管控的能力，可以說是企業尤其是金融機構數字化轉型所必須。對於企業而言，內部IT、外部合作伙伴，均可以作為“供應商”以小程式方式實現、提供數字化場景，從而形成數字生態。

安全沙箱技術的採用，不失為一個短期見效的治標方案，相信早晚會成為企業數字技術安全的標配。但是長遠的治本，需要更加綜合的策略！對於企業來說建立zero trust的原則和架構理念，利用Capability-based的安全沙箱技術，去隔離執行企業內外來源於IT、開發商和商業合作伙伴的程式碼，是一個無需再等、值得馬上開始的嘗試。