从云科技专访：打造零摩擦的零信任解决方案
零信任方案是一场“条条大路通罗马”的沙盒游戏，数据安全、强身份访问管理、端点安全和安全运营自动化集成等都是初始阶段的主要投资热点。面对如此众多的场景、路径和产品选择，面对一场“只许成功不许失败”的零信任革命，企业如何避开误区，把握零信任的关键趋势和价值？
根据Forrester 2021年发布的零信任报告，企业安全决策者普遍认为，成功的零信任方案可以为企业带来的三大战略性价值：提高组织敏捷性、更安全地云迁移和更好地支持企业数字化转型战略。
因此，零信任的一个根本原则是不能影响企业数字化转型的敏捷性和客户体验。这意味着实施零信任的一个重大挑战是在不给工作流程制造过多摩擦的前提下控制访问。如果不能在安全和用户体验/业务效率之间找到最佳平衡，任何安全方案都很难取得真正的成功。
近日，GoUpSec有幸邀请到国内数据安全产品方案和服务代表性企业——从云科技合伙人，产研VP，王维，围绕零信任与数据安全、端点安全、主动安全、应用场景等热点话题，结合从云科技自身的业务和数字方舟解决方案做了零信任在线沟通与访谈。以下为采访内容实录：
王维
从云科技合伙人，产研VP，曾任迈普BDN总负责人，15年网络安全行业产品、技术和管理经验，精通路由、交换、无线、安全、SDN、虚拟化等技术，擅长各领域产品能力融合创新，并具备丰富的产品和解决方案构建规划能力。
GoUpSec：数据流转才能产生数据价值，那么在数据流转的过程中会产生哪些安全问题，从云针对其中哪些问题给出了解决方案？
王维：这其实是比较大的一个问题。随着数字化时代的到来，大数据被大家提到的越来越多，大家也关注到数据本身了。不管是什么样的业务，是生产的业务还是办公的业务，还是业务和业务之间的交换，它本质其实是数据的交换和数据的流通，数据只有流转才能产生价值，封闭的数据是不能产生价值的。
数据安全和网络安全的视角还是有很大的差异的，数据流转的生命周期一般分为六个阶段，包括数据采集、数据存储、数据处理、数据传输、数据交换、数据销毁。
每个阶段都会有用户关注的或和他业务强相关的一些问题，从云本身围绕着数据在传输、使用、交换中的一些数据安全问题。比如说我们在传输的过程中，我们怎么样去构建一个零信任的安全网络来帮助数据做端到端的传输和交换；在数据的处理过程中，我们怎样对数据进行识别，对交互的数据进行分析和关键要素可视化的呈现。在使用和交换阶段，我们怎样对数据进行相关的保护，对数据的交换和使用进行相应的管控。对终端侧和后台侧的一些敏感数据、核心数据怎么样去做防泄漏的保护，从云主要是在这些阶段，针对客户的安全问题提供相应的产品和方案。
GoUpSec：零信任是“条条大道通罗马”，从云的数字方舟（DAS）解决方案从使用的技术路径和维度、产品能力以及应用场景等与其他同类厂商相比，有哪些差异化的特点？
王维：提到赛道和大家产品的各自定位确实有比较大的差异，零信任是一个比较大的、新的理念，我们认知的零信任给整个网络安全体系带来了一些体系化的改变，而不是我们狭义的认知，大家认识最多的就是它的三大技术，SDP、IAM及微隔离MSG，通过这三大技术衍生了不同的产品，我认为这还是比较狭隘的认识。零信任它强调的是一个新的安全理念，它告诉我们应该以怎样的视角来进行安全体系的建设。它提出了持续验证、永不信任的安全理念，基于这些安全理念，很多的厂商做了很多的自己的产品和解决方案。
大家各自的技术路线确实也不太一样，有的利用零信任SDP的技术打造了所谓的下一代VPN的产品，把零信任重点应用在远程安全访问来替代VPN，有的结合零信任去更新自己的身份管理体系，有的结合自己的NSA、DLP能力去打造终端安全能力，从云选择是零信任+数据安全的技术路线，这个技术路线的支撑背后会涉SDP、IAM、MSG，数据安全技术会涉及到沙箱、数据库及API等。为什么我们选择这个技术路线呢？是因为我们关注的是去解决客户的业务访问和业务数据的安全流转的全过程，想要给客户提供相应的保护手段，零信任+数据安全解决了网络安全和数据安全融合两方面的问题。
原来的网络安全是攻防的理念体系。而零信任我认为是当前最高级的攻防手段，网络安全再往细看的话就是数据安全，数据安全实际上是防护的理念，它和网络安全的理念不太一样，网络安全是攻防，就是说当攻击发生，但是在攻击结果产生之前，我们成功的处理掉就是
一个成功的安全防护，但数据安全不一样，数据安全它其实就谈防护，数据如果丢失、泄漏了，损失就无法挽回了，因为已经丢了，所以它不存在说攻防，它就是防护。所以我们希望借助零信任+数据安全相关的技术，在构建网络安全攻防体系的基础上，针对于流转在网络安全里面的数据，提供相应的防护，就好像我们城堡一样，城墙是必须要去建设的，城墙就可以去抵抗外部的攻击，这是网络安全思路，但是我们城墙里面各家各户自己的粮食，我们也要去守护，就类似于数据安全。我们既要去保护生产，也要守护到家里的粮食，把它结合起来对业务做安全访问、对业务的数据安全流转、安全使用构成一个整体化、体系化的考虑。
相比于零信任厂商的话，我们的侧重点也很明显，我们更侧重的是数据安全本身；相比数据安全的厂商，我们又拉通了前面的网络安全，所以我们是一个融合性的方案。
GoUpSec：从云科技的数字方舟解决方案提到了融合零信任架构和安全沙箱，零信任架构都应用在了哪些方面，产生了哪些价值（在提高业务、安全运营效率以及降低管理维护和隐含成本方面）？
王维：很多的零信任产品，它都有一个基础能力，就是提供SDP远程安全访问的能力，但是这个能力是替代原来VPN的能力，它能够提供更好的远程安全访问，安全性更高，但是它没有解决本质问题，办公依然局限于办公的地域，无法为办公人员提供随时随地的一个安全办公环境。
我们现在提供的安全办公的方式，比如远程VPN，它仅仅是把企业的一些非关键的业务提供出来。比如说企业的这种核心的一些业务，像研发的业务、设计的业务、财务的工作很多时候并没有提供这种随时随地的办公手段的。我们为什么要去融合零信任和安全沙箱？其实就是想给人们的办公提供一个新的手段，不管你是什么样的业务，我都能够保障你随时随地的去访问，而不用担心业务远程的访问是在家里面、在高铁、咖啡馆或在公司内部。
我们融合了零信任和沙箱的能力，通过零信任我们去打通人们随时随地的去接入到这个应用侧的网络通达，这是零信任的技术去解决的，那么通过沙箱，我们又解决了访问关键业务关键核心数据，它可以去安全使用数据，但是它又没有办法把数据拿走。
通过这两个技术的结合就完成它随时随地接入到网络中去访问在任意地点的业务系统。同时数据又通过沙箱的技术把它保护起来，做到数据的可用不可拿，做到数据的安全使用不被泄漏，这个是我们零信任+沙箱应用的一个场景，最终我们是想实现移动化、BYOD之后，人们任意地点的安全办公场景，这个场景具体的应用，每个公司都会有这样的诉求，像我们主推的一些行业客户比如说制造业、金融业，及一些大的企业、设计院啊等。它有研发部门有设计部门，有财务部门，所以说它必然会去用。
当然，零信任也不仅仅局限于这些场景，它实际上应该是给客户提供一种办公的新手段，这个手段是否会永远改变大家的工作模式还说不定，但是至少从现在的落地应用来看，它对我们工作效率的提升以及我们成本的下降是有显著的意义。
GoUpSec：今天访谈的主题是零摩擦的零信任解决方案，除了成本、复杂性，隐含成本，用户还关注实施，零信任解决方案会不会产生很大的业务摩擦导致项目失败？
王维：这个方面我们在设计产品的组件以及我们的整体的解决方案里面就有考虑，我们把它作为最基础的问题来考虑，来进行产品的设计和规划。从零信任的落地来说，它必然会成为客户所担忧的一个问题，零信任作为一个新的安全体系，它是不是会有很多新产品对公司以前网络安全的建设会进行破坏，然后让以前的投资失效？会不会给我带来很大的工作量，比如各种对接、建设的周期很长，落地性比较差等，同时建了零信任之后，客户使用的体验是不是和以前有很大的这个变化，这些其实都是客户非常关注的问题。我们在解决这些问题的时候，在给客户设计产品和方案的时候，在做整体规划的时候，我们的前提就是不能去改变用户的使用体验，只能是优化用户的使用体验。
第二、我们要保护客户的投资，我们虽然是以零信任理念去做的。但是我们一定要保护客户的投资，一定是对它原有的安全能力进行优化和补充，以这样的思路去做。举个例子这里面提到我们沙箱，它虽然提供终端数据安全保护的能力，但是它没有改变用户现有的使用体验的，我们的沙箱是一个悬浮框的方式呈现在客户的桌面上，客户在使用本地的程序或业务系统的时候，他只需要在我们沙箱的界面去点击程序，仅仅是换了一个位置去启动程序而已，其他的使用体验和他本地去使用程序、访问业务进行存储是一模一样的，包括使用的速度、性能方面也是和本地使用是一模一样的。这个是以我们沙箱产品举例，我们在这方面就是把刚才提到的三个方面的零摩擦能力作为我们产品规划的基础问题去考虑、去实现。
GoUpSec：数字安全空间（安全沙箱）这类产品或解决方案与行业或用户业务应用结合的更加紧密，那么它在未来的发展趋势如何？具有哪些落地挑战？又会形成哪些特点？
王维：这个问题刚才也回答了一部分，我们认为这是一个必然的趋势，不管是不是用沙箱的产品还是其他的产品来解决，但它始终要解决客户的一个问题，就是在我们数据流转的过程中，大数据时代数据的流转如何去保障数据安全防止数据的泄露，这个是不管各行各业都必然要面对和解决的问题。
我们看到去年IBM的一个研究报告，现在数据的泄漏给企业带来的成本是越来越高了，平均一次数据泄露事件给企业带来的成本可能是几百万美元的损失，同时IBM调研的几百家企业有80%的企业不止一次遭受过数据泄露事件，数据泄露事件不管对企业本身带来的一些数据泄露还是报道的对公众的数据泄露，它其实对企业和对社会的影响都非常的大，这已经不是侵权的问题了，对企业来说可能是经济问题，也可能涉及到法律问题，甚至它关乎企业的生死存亡。对国家来说，它也涉及到国计民生的问题，所以说数据的泄露事件其实是未来不管是哪个行业它必然要面临的问题。
我们希望通过沙箱给人们提供一个办公的新手段。这个手段它是内置了数据保护、数据防泄漏的手段，让我们不管哪一个行业，不管你是哪一个岗位的人，你都可以安全的去访问业务去使用数据，而不会担心数据泄露带来的一些风险问题，从云会从技术上给你解决这些问题，从而来实现真正的移动办公、真正的BYOD办公，所以说我觉得它是未来趋势，它是必然的，不管是沙箱还是其他都要去解决它数据泄露的这个问题，至于沙箱的落地确实会遇到一些挑战。我觉得主要是的挑战可能有这三个方面：
第一方面还是体验问题。要装一个客户端，我们怎么保证客户端它是轻量的，它不会对客户已经使用的操作系统及程序带来影响或冲突，这个是我们必然要考虑的问题。
第二方面就是软件适配的问题。我们在沙箱内构建了个安全的空间，它需要去兼容各种各样的程序的运行，因为沙箱这个技术它和操作系统的底层是相关的，它会涉及到对驱动的一些控制。如果做的不好的话，程序使用起来可能就会有一些问题，程序的适配是一个长期的工作，这个工作它是积累下来的，我们现在已经对上百种的主流应用进行了适配，在通用场景下用户去使用这种常用的程序是没有问题的，但是在不同行业会有自己特殊的一些应用，甚至自己开发的应用，我们需要在部署的时候做一些兼容适配，这个是落地长期会面临的一个问题。
第三方面就是场景化的应用。不同的行业不同的用户，他的需求是不尽相同的。那么沙箱是需要贴合客户的业务去做一些场景化的应用及需求的开发。举个例子我们在制造业就给制造业的客户开发了上网空间的功能，它实际上是一个特殊沙箱构建的空间，它和我们的安全的功能也不一样，它是给客户提供一个便捷的上网空间来帮助制造业的客户用固定终端去进行开发的场景下的固定终端便捷上网去查询资料，又能保证它终端上的本地开发的数据不会泄漏出去，提供的上网空间这个功能，这个就是需要结合具体行业的用户他们自身的业务需求去进行差异化能力的迭代开发。
这三个就是未来我们要面临的一些挑战，但是同时这些问题解决之后，其原生的优点就体现出来了：一个就是更轻量，第二个就是更兼容，第三个就是更贴合客户的业务场景。
GoUpSec：最近一段时间主动安全又热起来，之前几年大家强调的是检测和响应，遵循的理论模型就是假设你已经被入侵了，如何快速检测、分析、响应，降低损失。安全沙箱和零信任其实本身也算是一种主动安全，也符合主动安全的框架，您怎么看主动安全被重新重视？
王维：很认可零信任和沙箱是主动安全这个说法，因为零信任它的主动性体现在它的持续验证、永不信任、最小授权、动态的访问控制方面，它必然它是一个主动的安全，但是零信任它是属于网络安全的范畴，它是解决攻防的问题，沙箱属于数据安全的范畴，它是解决防护的问题，防护的话主动安全就更加重要。
为什么我认为沙箱它是一种数据保护、数据防泄漏的主动的安全手段？其实传统的数据防泄漏手段像终端DLP、加密我认为它恰恰是一个被动的安全手段，它的被动体现在它是基于识别规则，我们要去把所有的数据泄漏出去的途径和技术手段都要识别出来，然后做成相应的规则，当发现这种泄漏问题的时候，把它进行阻断，这个问题其实就是道高一尺魔高一丈的问题，它始终会有逃逸，会有新的信息泄漏手段泄漏出去，这其实也是为什么我们的数据泄漏事件层出不穷的一个重要的原因。
我们的数据防泄漏手段和理念已经滞后，而零信任正是解决了网络安全理念更新的问题，它通过SDP的技术去保障网络隐身，这样攻击就无从发起，扫描不到。解决不暴露的问题来加强我们的防守。而我们在数据安全方面采用沙箱也是采用的主动安全、主动的数据防泄漏的手段加强对数据泄露的防护。
以我们沙箱技术为例，它不存在要判断哪些行为和哪些文件我不允许他发送出去，对于沙箱来说，在我空间里面的所有程序，所有行为，我都是管控的，是白名单的放行，传统安全技术是基于规则的，实际上是黑名单方式，会有漏网之鱼。对于沙箱来说，是白名单的方式去放行的，允许它运行哪些程序发送哪些内容是管理人员设置的，其他的操作都是没有办法进行的。不管什么操作，都默认为不允许，以这种方式它就已经主动的去限制了在沙箱里的操作权限（包括网络操作权限和数据操作权限），不存在因为没有识别出规则而导致的数据泄露问题，不会有错控或漏控的问题。
零信任和沙箱在网络安全和数据安全理念方面以及手段方面，相比于传统的安全手段确实是更高级的安全手段。
GoUpSec：从云如何看待端点安全厂商加速整合零信任访问架构的趋势？包括EDR这些端点安全厂商、国外的厂商最近大量的投资去开展这块业务，你如何看待，端点安全厂商是有什么特别的优势？
王维：我觉得这个是一个必然的事情，零信任刚才我们提到它的三大支撑技术有个SDP技术就是软件定义边界，其实零信任本身它的边界就是在SDP的技术范畴内，落足于端，但是在MSG范畴内，它是落足于业务侧。在零信任体系里面，它的边界和我们传统的安全边界不一样，因为零信任的理念它是去边界化，提出了一个新的安全理念。虽然叫没有边界，但实际上它的边界是足够下沉和足够上移，它的边界已经到了实体也就是端，落足在终端侧。
既然零信任就是落足在终端侧，那当然它终端的端点安全和零信任的结合，它是一个自然而然的事情，而且它结合之后可以带来几个好处：
第一：它实际上加强了边界安全的能力，不管是针对端点安全厂商还是针对于零信任的建设，它都会加强边境安全的能力。不管是边缘侧有EDR，有NSA还有桌管等等。这些融合零信任SDP的能力之后，肯定会加强它的边界安全。
第二：我觉得终端的安全厂商和零信任技术结合之后，可以动态的最小化授权以及零信任的信任评估的能力提供支撑和加强，因为零信任这两个能力，信任评估它的动作是动态的，最小授权是它的执行动作，但是它的来源是来自于各种信息的搜集，其中就包括了端侧计算环境的安全信息要上报到零信任平台上。然后辅助零信任去决策，终端到底是不是安全的，它能够访问的业务是什么样的，要对这个终端采取什么样的控制措施，如果端点安全的能力和零信任结合之后，那么终端这块它对零信任的建设输入就会大大地增强，输入的元素就会更加的多样化。
第三：客户端从长远来说它必然是统一的一个过程，终端的话，如果装太多的客户端（比如装了某厂商NSA,某厂商桌管客户端，某厂商SDP、DLP客户端）,客户端太多对于客户来说是非常大的伤害，体验非常不好，所以说终端的安全能力和零信任整合之后，恰恰可以在终端上形成统一的安全客户端，这个也是利于零信任的落地，利于终端安全能力的加强。从这几个方面我认为端点安全厂商去整合零信任访问架构、整合零信任相关的技术，它是一个必然趋势，也是一个自然而然要做的事情。
GoUpSec：最近的国内外事件中，EDR、端点包括DRP一些客户端，本身也成了黑客的攻击目标，最近好像爆出了DLP厂商被黑客入侵，然后以被入侵的DLP厂商为跳板去攻击行业用户，你怎么看安全厂商自身的安全，从云有哪些自己的准备？
王维：这就是零信任天然要面临的一个攻防问题，也是原来传统的网络安全产品包括EDR等要面对的问题，对于从云来说这个问题同样也存在，比如说我们怎样去防护端侧的入侵，我们叫合法用户的非法攻击或合法用户的非法访问的问题，那么对我们构建的零信任网络里面的业务造成影响。
这个我觉得还是要回到攻防本身，一方面我们要通过零信任和数据安全，把它访问的网络及权限固化下来，并且动态的去控制它。另一方面我们对用户的终端业务也要实时的进行检测，要持续地对它的访问行为进行检测，发现攻击行为之后，我们通过我们评估和风险决策AI引擎对它进行实时的管控。
我们目前已经做了终端侧的EDR能力的融合,这个是我们和第三方厂商去融合，然后把EDR发现的一些问题、威胁适时的去报到我们的中心大脑、引擎上去，它会去做相应的评估，及相应的控制。另外一方面我们对访问的流量方面也做了类似waf、威胁流量识别。从流量侧我们也会去发现去识别它到底有没有攻击发生，有攻击的话，我们会马上对它访问的行为进行管控，对它影响的网络范围进行梳理和管控来实现从攻防层面去实现我们零信任的理念就是持续的验证，持续的动态的最小化的授权。
GoUpSec：从云科技如何看待机器身份管理（包括物联网终端）纳入零信任安全模型的趋势？
王维：我觉得这是一个必然的趋势，因为零信任的理念它是覆盖我们所有场景的，它不仅仅是只针对于人或者是针对于智能的终端的访问，它实际上包含物联的终端，非智能的哑终端它的安全接入和访问，虽然这个趋势是必然的，但是还需要时间，因为物联网的安全它相比于其他的场景起步比较晚，它的基础能力就是趋势，物联网的安全首先还是要解决它的计算能力的问题。
当然在解决物联网基础安全能力方面的话，零信任也是有大作用的，物联网的安全融入零信任它首先要去解决它的基础安全问题，然后再回归到它的业务本身去解决它的业务安全和数据安全的东西。
在这块，从云也做了一些产品的规划和布局。我们也是业界为数不多的把物联安全特别是物联接入的安全能力纳入到零信任框架里面，我们现在对终端身份的识别，对它访问的网络级控制以及对它的物联终端往上物联中心平台这块的这业务数据传输的保护和对它物联终端以及它的边界网关、平台的隐身保护。
GoUpSec：您刚才提到的物联网最主要的问题，是它自身的基础安全能力缺失，因为它是一个计算资源很少、网络数据传输能力差，基础安全设计脆弱的网络，美国的NIST发布了轻量化的加密框架，主要面向的就是物联网，国内是不是也有一些厂商做这些基础性的安全研发？
王维：国内早些年是有一些厂商在做这方面的事情，但都是以比较传统的视角在做，也是解决物联网基础安全的问题，包括对物联网终端的识别、物联网资产的梳理、和资产安全基线的构建以及物联网终端计算环境脆弱性的扫描分析等。
我们为什么把它纳入到零信任的保护体系来呢？除了要解决这些问题，物联网它本身的传输的安全以及针对于外界的这攻击的问题，我们也是想通过零信任的安全传输以及零信任网络隐身的能力把它保护起来。在传统的基础安全建设的基础上，再进一步去提升它的安全性，我们做零信任物联接入安全主要基于以上。
在这之上我们还希望后续能够对它具体的物联场景的业务，比如说在能源、电网它的输配电的业务，能把它业务流量、指令进行安全的识别，我们希望后续做针对于这种场景化的一些方案，而不仅仅是去解决通用性的它的技术基础安全问题。
GoUpSec：大家现在炒作去中心化、包括web3.0这些未来的数字化办公还有最近热炒的人工智能，这些趋势都意味着将来人力资源可能是越来越动态，越来越去中心化越来越敏捷化，而这两年业界又进入技术爆炸式增长阶段，企业知识工人生产效率、模式、场景、包括多云环境都会发生巨变，对此从云科技是否具备足够的韧性和敏捷性？
王维：刚才也提到过两个词，就是我们的核心能力是零信任架构融合沙箱的能力，在国内做零信任+沙箱这种厂商，特别是做沙箱的厂商，其实没有几家，技术门槛是比较高的，投入比较大，持续的研发和适配成本是比较高的。
我们坚定不移的要去做这个事情，一方面是对零信任+沙箱整体的覆盖的场景完整度的考虑，我们终端上必须要有数据安全保护的能力，后端我们也必须要具备端到端的拉通，还有我们确确实实希望通过零信任+沙箱的技术去给客户提供新的办公手段，就像刚才说的去中心化的劳动力，大家的工作模式可能会发生剧烈的变化，这个时候大家怎样去解决新办公场景的的网络安全和数据安全问题。
我们看到了这个趋势，希望能够通过我们的产品去给客户提供新的手段，帮助广大企业和用户更好地迎接这个趋势带来的新安全挑战。
