从有界到无界,腾讯新一代企业网引领安全创新

背景:2018年8月21-22日,由中央网信办、工信部和公安部指导,中国互联网协会联合阿里巴巴集团、蚂蚁金服和阿里云等主办的“2018网络安全生态峰会”在北京成功举行,海内外安全专家与从业者围绕“共建安全防线、共治安全环境、共享安全生态”主题畅谈网络安全生态体系建设。

腾讯企业IT部总经理黄李明受邀出席本次峰会,在创新安全论坛发表”从有界到无界 腾讯新一代企业安全防御之道”的精彩议题,分享腾讯作为中国互联网技术的引领者,是如何快速响应市场趋势变化,将”零信任”安全完整落地,成为中国第一家无边界企业的最佳实践。

本文根据黄李明在峰会现场演讲内容整理而成。

网络边界防护存在的挑战

在按区域保护的有界防御模型里,我们会划分很多网络区域,包括开发人员,运维人员或者销售人员,各种不一样的角色,然后分区域进行保护,每个区域的权限不一样,区域内是一致的,跨区域就不一样了。

然后就会有个大问题,当黑客非法闯到某个区域后,他在区域内是畅通无阻的。这是目前按照网络区域来保护内网安全无法改变的一个挑战。

上图是腾讯企业内网的现状。当我们发现员工不断的增加,角色也越来越复杂,比如外包、合作伙伴、还有各种Partner,会导致区域越划分越细,细到区域多的无法管理。而相伴随的设备也会越来越多,随着WiFi,移动办公的普及,笔记本电脑、iPad、手机等各种各样的移动设备,会把区域更进一步的细分。结果就是随着公司人员的增加,传统的按区域来进行划分的方式已经难以为继。

除此之外,用户侧也会经常吐槽,为什么呢?

因为一个用户他要清楚的记得,“我是开发人员,我得去接开发网”,“我是运营人员,我得接运营网“;如果说他在外地出差,可能面临的挑战又不一样;比如他在公司外,还得VPN才能接入办公网,VPN后的体验可能跟正常办公也不太一样。

所以在体验和效率上都会带来非常大的挑战。更尴尬的一点是,在对抗过程中我们发现,即使你有无数的区域,其实还是没什么用,面对一些军工级木马或者职业黑客的攻击,依然很难抵抗,因为这种技术方案就决定了用户在区域内可以先天的畅通无阻。所以当公司里有十几万台设备的时候,一旦有一台设备沦陷,APT的高级攻击就没有办法防御了。

传统的网络,按区域划分,区域内是畅通无阻的。但随着业务的发展,管理复杂度也非常高,难以为继;用户界面也很复杂;就算做了这么多事情,其实,效果还是不能彻底防御APT攻击。

总结一下,会发现网络边界防护会存在如下的挑战:

腾讯新一代企业网

下面我们来看一下腾讯企业网的实际案例,当三年前我们在设计腾讯新一代企业网的时候,着眼点就是如下两个:

第一是效率,员工不需要记住需要接入什么网络;也不需要关心在公司内还是公司外;不管在哪里,只要一台设备,接入网络就可以开始工作。

第二是安全,我们一直面临APT攻击的挑战,我们怎么去防御,同时还易于管理。

为了让安全检测的颗粒下沉到每一台设备和每一个用户,我们的打法是拆大墙建小墙,这话怎么理解呢?

原来我们是区域管理,现在区域与区域之间的墙我们不需要了,现在按主机管理。

可以这么理解,每一台主机就是一个小区域,我们的颗粒度下沉到每一台设备。这样的好处对于用户显而易见,网络体验足够扁平。在公司内或者公司外工作的体验是一样的,而且目前我们大部分应用都是免VPN的。除此之外,海外用户的体验也是如此。

如果碰到海外用户,或者是开发用户,传统的VPN方式是个长连接,一旦遇到弱网络,这个体验是非常糟糕的。

通过腾讯新一代企业网,我们把这个长连接改成了短连接,让这个体验更平衡。这就是刚才所说的检测颗粒度下沉到每一台设备、每个用户。实际上我们是把设备、用户、应用、访问目标是一一对应的。

如果对腾讯有一定的了解,腾讯的客户端已经差不多快十年的历史了。在整个方案中,我们把智能网关部署上去了。在智能网关上完成了设备、用户的身份及应用的验证。

一个用户要访问某个资源,前提是这个设备通过验证。

比如,设备是张三的,张三在这个设备上登陆,那么他登录的应用都是我们知晓的,不能登录未经验证的非法应用。他的访问目标有相应的控制,与应用防火墙类似。

总结一下,腾讯新一代企业网出发点平衡了安全和效率,然后具体做法就是拆大墙建小墙、颗粒度下沉、达成的目标就是用户的设备、用户、应用、目标是一一对应的。用户的体验也更友好,再也不用担心在内网外网、国内国外,获得的使用体验是一样的,只要是他自己的设备。

缺点就是家里的设备无法接入公司网络,必须是公司派发的设备才可以。所以只要在公司完成登记的设备,那么就可以得到优质的办公体验。

一些实践建议

我们在做的过程中,有一些实践的经验,跟大家一起分享一下。

第一,当颗粒度下沉到每一台机器,每台设备进网的时候,都需要校验设备的身份和用户的身份。为了降低用户的门槛,我们做了很多优化的手段。安全角度来说,双因子是必不可少的。为了让用户更方便的接入网络,我们提供了多种验证的手段。

通过APP进行验证,比如我们有Agent在客户端,在一天之内就可以免验证登录,和大家用QQ快速验证的方法类似,或者微信的快速登录验证体验是一致的,这样的体验后用户的接受度就会好很多。

第二,我们新一代网络是要做到设备、人、应用一一对应,所以我们掌握腾讯所有设备完整生命周期的库,把它记录起来,人和设备的关系是一一绑定的,如果他变更了,那么系统上,设备和人的关系也就变化了,我们也尽量跟上下游去打通。经常用的IP,我们也会把DHCP所有的变更同步到这个库里面。意味着一旦出现安全事件的时候,能够快速定位出:例如历史上某个IP,在那个时间点,是由哪个用户哪台设备接的,可以很快速的串起来。这样一旦有安全事件突发的时候,就可以快速响应,并且现在我们的网络设备也登记在内。如果出现安全事件就可以下发命令,关闭某个设备或某个端口,这样能够快速响应和处理。

上下游打通还是很重要的。当有这个库的时候,就可以把想到的各种因子都关联到里边去,处理起来会更灵活。

第三,还有一个建议就是因为我们有Agent。其实我们蛮纠结的,因为在十年前,我们也用的是商业产品,但商业解决方案,在腾讯会被吐槽。有两个最重要的吐槽点:一个是接入网络很慢。原来用某厂商的动态vlan,每台设备接入网络要超过一分钟以上。很多安全软件会导致这台设备的性能下降很快,或者下降很多。但对于互联网企业讲究体验的现状来看,反对的声音会非常明显。

所以当时我们就做了一个折衷。我们可以假设一个场景,当你管理的设备超过3万台,5万台。其实你希望保证这3万台,5万台设备万无一失,每台设备都是安全的,其实这就变成了一个不可完成的任务,或者难度系数非常高的事情。所以基于这样的考量,当设备的数量非常大的时候,发现异常的能力可能会比保护他不被入侵能力的优先级更高。

所以基于这种考虑,我们的安全客户端,又强又轻又快。强在这里我们就不讲了,因为这是所有的安全软件都有的,这里主要是讲怎么轻、怎么快。

传统客户端为了保护每台设备不被入侵,会做很多检查,运行的每个软件都必须去Check。我们把发现能力优先级变的更高,其实我们不需要马上去检查,只要能够快速发现其实也能弥补回来。所以基于这种考虑,我们做了取舍。Agent是以采集日志为主,不怎么分析。右下角有个TSOC,所有数据都往云端送,在云端可以跑很重的检查逻辑或模型。

这样的好处就是:

第一,我们的发现能力是可以得到保证的,现在效率达到大概15分钟左右。如果一台机器有异常,那么15分钟内,就可以把网络给断掉,因为我们把IP和端口等都关联起来了,主要的好处就在于客户端,可以变得又轻又快。

第二,比如接入网络,通过自主开发,现在进入网络只需要三秒,把动态Vlan的东西自主实现了。而CPU占用很小,就是因为刚才所讲的把一些逻辑从事中终挪到了事后。我觉得大家如果是做Agent的话,也会面临同样的问题。

还有一个考量,我觉得也可以分享给大家。我不知道大家公司会跑什么样的应用。公司假如说有一千台电脑,千台电脑上的应用总数大家可以想一想可能数以万计。

腾讯大概有4万多个应用在跑。腾讯是一个互联网公司,比较open,比较鼓励同事们去装各种软件,体验不同的产品。那这个现状对安全来说的确是一个很大的挑战。如果公司电脑上什么乱七八糟的应用都有,那这样安全上就很尴尬,意味着如果去检查这些应用的安全性,就会陷入到无穷无尽的折腾中去。

那我们怎么考虑这个问题?最初的思考是,我们不需要跟黑客或者对手去做这种正面对抗,纯粹是人力的对抗。我们在想有没有办法把它引入到我们的主战场。

那我们的解决方案是,因为有终端agent和智能网关的存在,访问核心的资源我们只允许若干个程序访问。比如如下所列出的几个浏览器、邮件客户端、还有一些开发的工具等。意味着所有的核心资源,并不是所有的工具都能访问到,我们只允许某几个应用程序可以访问到。所以我们在客户端上的安全就比较容易实施,只需要挂钩子挂着这几个应用程序,那么CPU的占用率、有效性等就可以得到很大的保证。因为可以指定软件、指定版本,这些策略都可以下去,这个大家可以参考一下。

阻断非白名单的应用对核心资源的访问,这样就变成了别人想攻击你的话,只能在你的战场上作战,而不是没完没了的去无休止对抗。

还有一个建议:智能网关,就是支持分布式和平行扩容。因为随着资源越来越分散,办公场景也不好管理。智能网关还要支持分布式和平行扩展,这样性能和灵活性都可以得到保证。当然我们这个是自研的,相信应该也会有类似的产品。

这是今天的分享,谢谢大家。

原文发布于微信公众号 - 腾讯技术工程(Tencent_TEG)

原文发表时间:2018-08-24

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏SDNLAB

回顾互联网的过去十年(上)

任何技术的进化之路通常都会遇到奇怪的和意想不到的曲折和转折。在某种程度上,简单性和简约性可以被复杂性和装饰性所取代,而在某些时候,戏剧性的切入能够揭示该技术的核...

1012
来自专栏从流域到海域

物联网如何让分布式计算再次变得酷炫

原文地址:https://internetofthingsagenda.techtarget.com/blog/IoT-Agenda/How-IoT-is-ma...

3433
来自专栏老九学堂

程序员学习需要攻克的8大障碍

作为一个时时关注小伙伴们学习情况的人,老九君看到过很多新手程序员满怀热情投入到学习中来,却总是处处碰壁。 大多数学习者同样碰到过相同的障碍,但是,一旦克服了这些...

3564
来自专栏鹅厂网事

弹性服务器架构-连接一切的力量

一颗芯片,寄存器通过总线向运算器输送数据。一台服务器,内存通过DDR总线与处理器完成数据互动。一个数据中心,存储集群通过以太网与计算集群形成对数据流的处理和加工...

7.6K11
来自专栏ATYUN订阅号

微软翻译使用AI来打破智能手机上的语言翻译障碍

微软将其神经网络翻译技术融入缺乏AI硬件的智能手机,该应用程序现在可以为iOS、安卓和亚马逊Fire设备提供更高质量的神经网络翻译服务。

1342
来自专栏CSDN技术头条

免费拿走我的代码可以,但请对使用我的时间付费

编者按:秉持“开放、共享、解惑”的开源项目意味着任何人都能随便使用项目或产品中的代码,但开源并不意味着“拿来主义”,更不应发生“ 00 后 CEO 抄袭了程序员...

2028
来自专栏大数据文摘

数据可视化入门——我该从何开始?

23210
来自专栏大数据文摘

业界 | 成为CTO之前,我希望有人告诉我这些

1022
来自专栏人称T客

50亿厂商Slack的前世今生

Slack是史上增长最快的SaaS创业公司,如今《财富》100强中的企业中有77%都在使用Slack。同时,它还在短短五年间里完成了一项看似不可能完成的任务:让...

1450
来自专栏互扯程序

年入50万,程序员多吗?

不过在上海达到这个水平,至少可以说是能达到财务自由了吧。况且,根据马太效应的说法,和年入20万到50万这个增加阶段相比,年入50万到100万这个增长难度会小很多...

1815

扫码关注云+社区

领取腾讯云代金券