作者 | kirazhou

> **導讀**：在 10000 多公里之外的舊金山，網路安全盛會 RSAC2020 已經落下了帷幕。而身處杭州的肖力，正在談起今年大會的主題——Human Element。2020 年，從“人”出發，這顆石子將在國內的安全市場池子裡激起怎樣的漣漪？Human Element 的背後隱藏著怎樣的安全洞見？

在 Gartner 的《2020 年規劃指南：身份和訪問管理》報告中，我們看到了 IT 必須推進 IAM（身份和訪問管理）計劃，而身份治理和管理、混合/多雲環境作為可預見的趨勢，更是已經在風口蓄勢待發。

人、身份和雲端，這三者之間的角力、千絲萬縷和無限可能，正是此次採訪的最大收穫。

![1.png](https://ucc.alicdn.com/pic/developer-ecology/1e8a48008b5244eda2b5dd0976151998.png)

## Human Element：瞭解人的脆弱性
我們常常談起，“安全的本質在於人與人之間的對抗。”

從攻防對抗的視角來看，人的因素使得攻防對抗成為一個動態的持久過程。攻擊者的手段、工具和策略都在發生變化，而防禦者的安全防護能力也在提升，兩者之間持續對抗，安全水位線一直動態變化。

在整個攻防對抗過程中，人，既是防禦者，也可能成為攻擊者，而對抗不僅會發生在企業與外部的對峙中，很多時候也發生在企業內部。

人，是絕對的安全核心，這是今年 RSAC 大會傳遞給我們的訊息。而在關注人的安全技能與能力建設之餘，也要清晰地認知：人的脆弱性使人本身成為安全中薄弱的一環。因此，企業在應對來自外部攻擊的同時，如何防範來自企業內部人員的威脅同樣關鍵。

2017 年卡巴斯基的調查報告中提出，46% 的 IT 安全事故是由企業員工造成的。現在，這個比例已經上升至 70%~80%，譬如內部開發者由於未遵守安全規範或自身安全能力不足，而導致所研發的應用在設計之初就留下了漏洞，亦或是在職/離職員工由於操作不規範或直接的惡意行為導致企業安全問題。

“整個安全體系絕對不僅是和自動化蠕蟲做對抗，這只是冰山一角”。

面對“人”帶來的安全影響，肖力認為問題根源在於企業的安全基線做得不到位。目前，很多企業更注重於威脅檢測與響應，這一部分確實有用，但還不夠。“我們思考的不是出了問題後如何去解決，而是如何不出問題。”因此，事前的安全基線設定比起事後的檢測與響應更為關鍵。企業安全基線包括了：

> 1. 所有應用系統的統一身份認證與授權
> 1. 安全運營：設定紅線
> 1. 建立應用開發安全流程：確定開發人員培訓、內部安全考試與認證等規範

如果說企業的安全基線是走向安全的基礎 60 分，那麼，只有先做好安全基線再去做事後檢測響應能力的提升，才能讓企業安全體系更為穩固。其中，“身份”作為在網際網路中的直觀映像，身份管理對於有效降低內部人員的行為帶來的安全威脅可以說有著重要作用。

## 身份：零信任理念下的新舊邊界交替
網路身份的重要性無需再贅述，而身份如何從安全因素之一轉變為企業安全防護的“主角”，2010 年是一個隱形的節點。

肖力指出，在過去的 IT 環境中，尤其是 2000~2010 年期間，邊界隔離是企業安全防護的主要手段。但 2010 年後， IT 整體環境發生了巨大的變化：

> 1. IT 架構根源性的變化：隨著移動互聯、lOT 裝置的普及，整個內網、辦公網路都受到了巨大的衝擊，大量的裝置接入，導致原來的邊界難以守住；
> 1. 企業資料庫從 IDC 遷移到雲上：隨著雲端計算的浪潮，越來越多的企業選擇全站上雲或 50% 業務上雲，導致防護環境發生變化。
> 1. 企業 SaaS 服務發展：企業網盤、釘釘等企業 SaaS 服務的發力，意味著越來越多的企業工作流、資料流和身份都到了外部，而非固定在原本的隔離環境中。

隨著環境因素的變化，傳統的邊界將漸漸消亡，僅依靠傳統的網路隔離行之無效，這時候，基於零信任理念的統一身份管理為企業重新築造了“安全邊界”。

基於零信任理念，企業可以構建統一的身份認證與授權系統，將所有賬號、認證、許可權統一管理。譬如，離職員工被視為企業的重要威脅之一。在整個企業安全體系建設的實踐中，必須要做到賬戶對應到應用系統的許可權統一，實現每天離職員工的所有身份、賬號許可權可以在企業內部系統中一鍵刪除。

包括近一段時間安全圈內熱議的微盟員工刪庫事件，從身份認證與管理的技術角度來看，也是完全可以避免的。肖力認為：

- 一方面，企業在實施 IAM（身份和訪問管理）時，秉持最小許可權原則，透過帳號的許可權分級，給到員工應有的許可權即可，而類似“刪庫”的特權賬號不應該給到任何一個員工；
- 其次，哪怕員工下發了批次資料刪除的指令，企業也可以透過內部異常行為檢測，識別出該類指令基本不會發生在正常的生產環境中，從而不執行該指令。

除了技術層面的實現，身份認證與管理的本質依舊是安全基線。同時肖力指出，安全團隊在企業中的位置與影響力則決定了基線能否被確定、切實地落實到業務中去。判斷安全團隊在企業、業務中的影響力大小，最直觀的就是組織架構：安全團隊是否為獨立部門，直接彙報給 CTO 甚至 CEO。

未來，IAM 應該還會向零信任架構推進，並基於零信任理念衍生出多應用場景下的身份治理方案，打通“身份認證”與雲安全產品，構建雲上零信任體系。

## 基於雲原生安全的 IAM
身份管理提供商 SailPoint 的執行長兼聯合創始人 Mark McClain 曾經說過：“治理的世界是有關誰有許可權訪問什麼東西，誰應該訪問什麼東西，以及如何正確使用這些許可權的世界。但現實是，大多數消費者距離前兩條都差得很遠，更不用說第三條了。”幸運的是，現在的 IAM 工具/服務越來越易用，並且加快延伸至雲端環境。

肖力指出，雲原生的安全紅利是可見的。“常態化”的雲幾乎成為了企業作業系統，涉及 IaaS 層、PaaS 層和 SaaS 層。各個雲服務商在安全上注入鉅額投資，以規模化的人力物力打磨雲安全產品和技術，讓企業開始嚐到雲原生技術帶來的安全紅利。

普通企業不必重複造輪子，搭載上阿里雲等雲服務廠商的航母，就能在雲端計算浪潮裡前行，享受高等的安全水位。

其次，雲化帶來的 6 大雲原生安全能力：全方位網路安全隔離管控、全網實時情報驅動自動化響應、基於雲的統一身份管理認證、預設底層硬體安全與可信環境、DevSecOps 實現上線即安全，讓企業脫離原本複雜的安全管理模式，從“碎片化”到“統一模式”。

隨著企業上雲趨勢日益明顯。IT 基礎設施雲化、核心技術網際網路化，最終讓企業架構發生變革。而“雲化”的過程中，越來越多的企業開始思考混合和多雲環境下的 IAM（身份和訪問管理）問題。

> 混合雲：場內工作+公有云環境服務的使用；
> 多雲：多個公有云服務商服務的使用。

關於混合雲，基於企業上雲後的統一管理模式，可以在複雜的混合雲環境下直接實現統一的身份接入，將企業雲上與雲下身份打通，並且基於對雲端上的使用者環境做評估，動態地授於不同人以不同許可權，從而讓任何人在任何時間、地點，都可以正確地訪問內部資源。而多雲的環境則可以利用活動目錄的工作負載實現身份管理。

雲上的環境，賦予了統一身份管理更多的可行性，而進一步探索混合和多雲 IAM 實現方案將成為企業戰略的新方向。

最後，由身份管理衍生的資料安全問題，同樣值得關注。2019 年，資料安全絕對是最熱的話題之一，不管是高發的動輒上億級別的資料洩露，或是陸續頒佈的資料隱私法規，都在反覆強調資料安全的重要性。

在採訪的尾聲，肖力同樣談到了今年 RSAC 的創新沙盒冠軍 Securiti.ai。有意思的是，過去 3 年創新沙盒冠軍中有 2 年都是做資料安全的，似乎給網路安全企業的下一步發展提出了一個非常明確的方向。

首先，資料安全本身的命題就很大，資料的流動性使得資料安全問題橫跨各個安全技術領域，並出現在企業的各個環節中；其次，市場需求大。企業對於如何保障內部資料安全、保障客戶的資料隱私安全有著迫切的需求。如此看來，“說不定明年的冠軍也是做資料安全的呢。”

因此，在未來的 5~10 年，如果安全公司可以透過核心的產品和技術突破幫助使用者解決資料安全問題，比如依靠技術摸清底盤，瞭解使用者隱私資料在哪裡有哪些，必然可以在市場分得很大一塊蛋糕。

肖力最後指出，需求正在倒逼技術的發展。資料安全領域亟需透過技術突破迎來爆發。

![2群直播海報.png](https://ucc.alicdn.com/pic/developer-ecology/c387d33eb5994df2a7a6b8dab9aa6bb5.png)

> “[阿里巴巴雲原生](https://developer.aliyun.com/group/alisoftwaretech)關注微服務、Serverless、容器、Service Mesh 等技術領域、聚焦雲原生流行技術趨勢、雲原生大規模的落地實踐，做最懂雲原生開發者的公眾號。”

阿里巴巴副總裁肖力：雲原生安全下看企業新邊界——身份管理

相關文章