产业调研：深信服如何应对居家办公带来的IT需求？

公司更新系列

1. 远程居家办公的安全性需要IT技术支持

疫情反复，居家办公逐渐常态化。疫情导致很多单位都实行了居家办公，迫使很多企业不得不采取远程办公的方式来保障业务的连续性。根据中国企业改善发展协会的数据显示，远程办公和业务上网被43.3%和31.5%的企业采用，疫情也给企业数字化转型带来了巨大的压力和动力。在这样的疫情大环境下，远程办公的安全性如何保障，如何获得与单位上班一致的桌面办公环境，也成为困扰众多用户的难题。深信服务提供多种远程办公方案，帮助广大用户和合作伙伴共同度过这一特殊的时期。

远程办公需要一些基础条件。首先需要一条打通从终端到职场网络连通性的一条隧道，同时要开通各种各样的用户使用终端的访问职场网络业务资源的资源，再其次是获得相应的数据交互进行办公，这是基础条件。

保证网络安全是远程居家办公的最重要关键。从技术角度来看，上述三项技术在疫情之前很多年前就能做到，但是为什么之前没有把远程办公当做一种常态化使用？有两点之前没办法做到，第一点就是企业每打通一条隧道，它的网络边界扩展了一部分，所以第一步如何保证安全性是一个很大的问题；第二点，如果说开展常态化办公，像一些大型的组织自身的员工数就能超过万人以上，项目公司的话就有将近1万人的体量，上万人的办公的稳定性也是一个很大的挑战。

如果说一旦开启远程接入的话，就能够让企业和组织之间构建的这种安全边界失去了作用。除此之外，互联网本身就是一个非常复杂的网络环境，还有潜在的这种层出不穷的网络威胁。除此之外，再加上这些年来各种原因导致的这种攻防失衡，个人的PC一般情况下都是最薄弱的地方，而从黑客的角度来看，也出现了一些高级黑客通过社工的手法，通过打点的形式占领某一个终端的点，然后通过跳转的形式来进入到内网当中。

对于远程居家办公场景，深信服提供了两种方案。第一个方案适用于紧急轻量的远程办公需求场景，主要用于员工快速接入内网系统，深信服免费提供三个月的零信任aTrust虚拟化部署授权或一个月的SASE云端接入授权，也可申请SASE实现主机检测SASE-AC、SaaS-EDR一个月的试用权。第二套方案适用于高安全+一致性办公体验的需求场景。深信服免费提供两个月的桌面云aDesk软件授权，对于桌面云的老用户免费提供两个月临时扩容的软件授权。

1.1. 零信任aTrust无接触部署融合了零信任能力

为什么之前已经有了SSL VPN，为什么深信服还会推出零信任aTrust？首先是用了更加安全的技术，比如融合了相应的UEBA分析中心，然后能动态来检测访问的权限，看是不是有一些违规操作。除此之外，还能够在连接之前检验终端是否可信，如果可信的话可以让它连通网络，这些都是SSL VPN不能有的特性，而这种特性也能够帮助在疫情期间远程办公场环境下构建更安全的边界大门。此外，还有一个非常重要的点，就是从原先这种打一条隧道，变成了打两条隧道，就相当于用户和代理网关打一条隧道，然后代理网关通过反向代理给企业资源再打一条隧道，从而能够做到服务隐身和隧道加密的效果，能够更好的保护业务不会遭受到黑客攻击。还有一个非常重要的能力，就是它全面融合了零信任工作空间的保护数据安全的能力，它的原理就是客户使用了这个空间以后，深信服会以虚拟化的形式虚拟画出一个隔离空间，而在这个空间里能够约束相应的用户，比如约束相应的用户登录到这个工作空间才能够访问某个应用，而且这个工作空间的数据不能够被限制、被导出，也不能够被拷贝等，从而保证了数据的安全。

零信任aTrust价值主要有三个。之前为什么SSL不太适合疫情的常态化办公，一是因为它的安全性，再就是大容量并发。首先零信任aTrust它用了全新的架构支持大容量并发，而深信服自身现在已经全面替换成aTrust这种形式了，日常的办公过程当中能够在线使用的终端数能够高达4万多个，并发在线数的终端有25,000多个，目前发布的业务通过这个代理访问的业务有2000多个，从数据来看，深信服大容量并发能力是比较强的，而且也能支持到这种常态化的远程办公；第二个就是同一个终端能够同时支持访问多个数据中心和多云的业务。比如客户在使用过程当中需要访问到云上的业务A，同时也希望能够访问到云下的数据中心业务B，这两个是同时使用的，传统的形式就没办法来解决这个需求，但是在疫情常态化的情况下，肯定是常常会出现这种情况的，而用深信服零信任aTrust是能够满足这种形式的，并且还能够实现分布式的选路；第三个价值就是UEM的这种工作空间能够有效的防止数据泄露风险，它能够对不同类型的外设文件、应用安全隔离管理等等做相应的管理，从而限制导出和拷贝以及外泄。

1.2. SASE-VPN方案可以提供订阅化安全能力

SASE-VPN能够提供订阅化的安全能力。用户可以开通上网行为管理能力、组网能力、主机检测能力、终端安全检测能力，可以在使用深信服VPN的同时也订阅这些组件一起使用，从而达到不仅仅是连接，也能实现这种订阅化安全的能力，从而获得更加安全的效果。这种优势是什么？第一个就是百分百的云交互体验很好，第二，它也能够做到资产隐藏的效果，第三，部署方式比较灵活。它与aTrust能力最大的一个区别就是有安全订阅化的能力进行加持。如果客户需要上网行为管理能力以及 EDR终端防护的能力以及实现主机检测的能力的话，SASE-VPN方案更佳，能够实现一体化交付，更加快速和高效。

1.3. 桌面云+零信任，实现数据不落地

深信服的零信任桌面云可以同时满足管理者和员工的需求。远程办公本身对于管理者和员工来说的话有两方面的需求。从管理者的角度来看，远程办公的影响下，首先需要能够让员工随时随地的去访问后端的业务系统，实现经营的不中断，同时要能确保企业数据的安全性，防止核心数据泄密，尤其像外包开发测试的场景，以及财务或者核心业务部门办公场景的数据（一些高安全的需求场景）。另外根据业务的实际情况，要能够实现弹性的资源伸缩。对于员工来说，首先希望能够随时随地在任何的环境下都能够使用办公软件去访问相应的业务系统，同时要保证使用体验，能够尽量和正常内网办公的使用体验一致。

深信服融合了桌面云加零信任，打造了一个安全数字化工作空间解决方案。这个解决方案是以桌面云与零信任为底座，然后打造了一个轻量级，同时体验又非常好的解决方案，通过这个解决方案，客户可以去按需的发布相应的功能组件，比如说桌面云、沙箱、虚拟应用，再比如还有一些负载均衡相应的业务，都可以去按需进行组合来支撑数字化工作空间的转型。在这里面，会考虑到人员身份的安全性、数据的安全性、终端的安全性以及访问权限的最小化问题，然后去做最优组合。

首先要在数据中心里去统一部署桌面云资源池，然后去发布相应的虚拟桌面和虚拟应用，再以图像的方式传输到前端的家用PC上。在传输的过程当中传输的图像还有指令信息需要经过零信任应用网关去做一次代理和加密传输，来确保传输过程中的安全性。然后用户只需要用家里的PC通过零信任桌面云的客户端，就可以实现随时随地的安全访问后端的虚拟桌面或者虚拟应用，再通过虚拟桌面或者虚拟应用去访问后端的不同等级的业务。

再来看一下架构整体的落地过程。从前端接入到后端的业务其实经历了两个环节，第一个环节就是从终端到零信任网关这一侧，是在加密传输图像和指定信息，然后涉及到用户终端和网络访问。从零信任到后端，涉及到数据的传输以及通过虚拟桌面去访问后端的业务。

在这个过程当中如何保障每一环都是安全的？首先在终端侧，需要通过相应的方案和策略去做终端环境的安全检测，比如可以去检测接入的终端它是否安装了杀毒软件，来确保终端的安全性。第二个就是在传输的过程当中，要确保传输的图像和指定信息安全就需要通过SSL加密这种传输方式来保障数据传输的安全性。第三个层面就是在到达零信任网关的时候，会涉及到用户身份安全性，在这个地方可以去进行双因素或多因素的身份管理和认证，实现基于用户和身份的动态访问控制和会话控制。

在零信任网关经过身份认证之后，在桌面云这一侧也需要有相应的安全手段去确保用户在使用桌面云的过程当中也是安全的。一方面可以去设置显性水印，防止通过拍照的这种方式外泄数据的行为，起到一个震慑的效果，再比如可以做文件的导出审计，然后把文件本身以及文件拷贝的动作都给记录下来，也包括通过录屏审计的这种方式去做一些行为审计。第五个方面就是零信任和桌面云之间一定要很好的配合和对接，这就需要零信任去做终端的动态环境检查，然后再去联动桌面云的分布式防火墙的能力，然后去对访问高低密集的业务进行动态的访问控制。第六个方面就是桌面云的VDI架构，本身它是一个数据不落地的架构，能够实现数据的安全性。

合规声明：本文节选自已经入库的正式研究报告，如需报告原文请后台留言。

  - end -  

欢迎加入产业交流群！

欢迎所有对计算机产业研究和投资感兴趣的盆友（包括云计算、网络安全、医疗IT、金融科技、人工智能、自动驾驶等）后台留言加入我们的产业交流群。我们的目标是建立系统的计算机产业研究框架，提高整个A股的IT行业研究水平，减少韭菜数量，普度众生。

网络安全相关报告

法律声明

本订阅号发布内容仅代表作者个人看法，并不代表作者所属机构观点。涉及证券投资相关内容应以所属机构正式发布的研究报告内容为准。市场有风险，投资需谨慎。在任何情况下，本订阅号中信息或所表述的意见均不构成对任何人的投资建议。在决定投资前，如有需要，投资者务必向专业人士咨询并谨慎决策。本订阅号运营团队不对任何人因使用本订阅号所载任何内容所引致的任何损失负任何责任。本订阅号所载内容为原创。订阅人对本订阅号发布的所有内容(包括文字、影像等)进行复制、转载的，需明确注明出处，且不得对本订阅号所载内容进行任何有悖原意的引用、删节和修改。