安全办公空间，零信任的未来模式 | 筋斗腾云SupraAXES 杨洋·大咖访谈
杨洋
筋斗腾云SupraAXES创始人
自2004年先后在Hifn、Barracuda和Websense/Forcepoint等安全厂商负责技术和产品管理，包括WAF和SWG产品线的战略发展、全球团队开发和产品推广等。2017年回国探索国内技术实践，2020年创立筋斗腾云SupraAXES，着力构建数字化转型下新业务形态所要求的全新安全理念和解决方案。
什么是安全办公空间Secure Workspace？
杨洋：安全办公空间是一种即时、高效、灵活的数字化办公环境，具有“零信任”和“云原生”的特点，可以从根本上保证业务应用和数据安全。
具体而言，安全办公空间可以提供完整的工作环境，各种政企组织可以在不依赖用户终端设备的前提下，为用户提供三方面的功能：互联网访问、私有访问和应用软件。
·互联网访问功能是指用户在工作时通过互联网进行对外联络(如IM)和获取资料信息(如搜索)，特别是对用户使用各种云服务(如CRM)提供便利并保证安全，即具有CASB(云访问安全代理)功能；
·私有访问功能是指用户在工作时远程安全访问组织内部的各种资源，可以是办公室工位上个人桌面电脑，也可以是内部业务的应用或文件服务器，亦即涵盖VPN(虚拟专用网)或ZTNA(零信任安全网络访问)以及PAM(特权访问管理)功能；
·应用软件功能是指用户无需在终端设备上进行实际安装即可直接使用工作相关的应用软件，包括单机应用软件和C/S应用的客户端软件。
与此同时，安全办公空间会对工作环境中的各种业务应用和数据提供全方位的保护，以“信息屏蔽”和“数据不落地”为基本原则，从根本上避免各种数据安全隐患，防止外部黑客渗透攻击和内部恶意用户造成数据泄漏。
安全办公空间和其他的零信任产品有什么区别？
杨洋：简单来说，可以认为安全办公空间是下一代的零信任办公解决方案，是零信任的未来模式。
目前国内市场上的零信任产品和技术方案，大都只是安全网络访问，属于Gartner定义的ZTNA范畴，侧重于加强身份认证，并通过动态访问策略控制访问权限，也因此被看作为VPN的替代方案，用于远程办公等场景。但这类常见的零信任产品不能为目标资源提供保护，特别是不能有效抵御“内部人威胁”(Insider Threat)，无法防止黑客或恶意用户对目标资源进行攻击或获取目标资源数据。要在网络边界已经被打破的条件下支持用户安全办公，在ZTNA的基础上，还需要结合终端保护(EPP)和数据防泄漏(DLP)等终端类解决方案，依靠在用户终端设备上专门安装客户端软件或插件才能实现基本保障。
国际上主要安全公司的零信任产品，还会充分考虑云相关的应用场景。国内在“云”的发展上相对落后，不管是整体市场的发展和应用，还是具体技术的认知和积累，都还未充分认识到“云优先”(Cloud First)以及更进一步“云原生”(Cloud Native)的优势和必要性。
基于我们在云相关技术上的多年积累和对企业市场“云优先”战略发展的长期关注，SupraAXES安全办公空间以“云原生”技术框架为基础，为用户提供真正的“云原生”工作体验。除了CASB和RBI，我们还基于应用投影等一系列发明专利技术，实现了通用的应用流(Application Streaming)解决方案，最终形成了全面、彻底的“云原生”零信任解决方案。
·在资源侧，安全办公空间不仅能支持用户进行安全远程访问，还会对目标资源提供全方位的保护，彻底屏蔽不必要的信息暴露，抵御各种恶意软件的侵害，并从根本上杜绝数据泄露。
·在用户侧，安全办公空间不依赖终端设备，用户不需要在终端设备上安装客户端软件或进行专门配置，随时随地直接使用标准浏览器即可进行安全办公。
如果说ZTNA是“零信任1.0”，安全办公空间可以说是“零信任2.0”。
去年微软发布了Cloud PC，国内也有阿里云“无影”等Desktop as a Service产品，还有众多私有化部署的云桌面/桌面云产品，安全办公空间与他们的区别是什么？
杨洋：目前各种私有化的云桌面/桌面云，到微软和阿里云的云PC/云电脑，都还是传统的桌面虚拟化VDI技术路线，以Citrix为代表，而且技术底层基本都还是依赖Windows操作系统的远程桌面相关技术。安全办公空间与这些VDI类解决方案的区别，核心还是在于“云原生”和“零信任”这两点。
VDI系统是基于传统个人电脑（PC）模式的虚拟化解决方案，而安全办公空间是全新的“云原生”系统，用户能在安全办公空间中获得全面的“云原生”体验。具体来说，VDI系统分配给用户的是一个通过模版配置的静态桌面环境，安全办公空间则完全以 “按需”(on-demand)方式支持用户工作。用户无需了解各种网络资源和应用软件等的实际类型、位置和网络，也无需了解在使用特定资源时需要提供的用户名和密码等信息。
另一方面，全面贯彻“零信任”理念，也是安全办公空间区别于VDI系统的重要特点。安全办公空间是根据用户访问请求即时创建的一次性动态隔离虚拟环境，用户不是直接对虚拟环境进行操作，而是经过我们的投影技术、面对动态的图像流进行操作；因此目标应用或软件本身的漏洞会被屏蔽，原始业务数据也不会传递到用户侧，也不会有VDI相关的各种协议漏洞之类的安全隐患。
所以，从基础技术架构、应用场景和安全保护等角度来看，也可以将安全办公空间称作是VDI 2.0。
安全办公空间一直在强调“无终端”，为什么 “无终端”这么重要？
杨洋：依赖终端软件的企业安全产品方案，会有可用性和可靠性两方面的问题。
可用性方面，“无终端”的重要性同时体现在用户侧的录入(enrollment)和目标资源侧的部署(deployment)。
·用户侧，户端软件本身的硬件和软件兼容性问题也常常会导致部分用户终端设备无法使用，使得要么整个安全产品解决方案功能失效，要么部分用户终端设备不能被安全解决方案覆盖。由于操作系统和应用软件持续更新，兼容性问题将长期存在且不可预测，这会成为管理和安全黑洞，甚至引起重大事故。
·资源侧，在相关网络设备或者目标资源服务器上安装客户端软件，部署安全产品解决方案将会影响甚至中断现有业务运行。同时，因为安全产品对业务的影响会长期存在，发生业务事故时也往往无法明确定位问题源头和清晰划分责任，从而导致安全与业务的长期冲突。
可靠性方面，不管是用户侧还是目标资源侧，都需要长期投入大量资源对分散安装和运行的客户端软件进行持续管理和维护。同时，客户端软件将安全产品解决方案自身的安全边界(security boundary)扩展到了终端设备，而终端设备本身应该是不被信任的（“零信任”），因此一方面需要不断加强客户端软件自身的安全设计和实现，另一方面又会进一步影响终端设备上的资源占用和业务运行。由于用户往往对终端设备有很高的权限，恶意用户或恶意软件和黑客甚至能通过技术手段利用系统漏洞获得最高权限，要在用户终端设备上实现全面的数据保护基本是“不可能完成的任务“。
而“无终端”的安全办公空间完全不依赖终端设备，在提高业务效率的同时，充分保障安全。真正的“云原生”用户体验，意味着所有资源都是实时、按需获得，也就是说业务在云，资源在云，安全也在云。同时，浏览器和Web技术的长足发展正在加速原生桌面应用向Web应用转化。因此，我们相信“云原生”的未来架构模式一定会是“无终端”的。
安全办公空间，国际上有类似的技术实践吗？
杨洋：我们看到有不少国际厂商的技术方案有跟我们相似的发展趋势。ZTNA和RBI国际上已经是主流解决方案了，Zscaler的ZIA+ZPA是个很好的典型；AWS的AppStream是应用流解决方案的代表；从提供办公环境的角度来说，目前能看到的主要还是以Citrix为代表的传统VDI方案，包括Microsoft的Windows 365 Cloud PC在内的DaaS (Desktop as a Service)产品/服务的市场发展很快。初创公司方面，我们还了解到一家做容器化流平台的公司叫Kasm，也在部分技术方案上和我们有相似的做法。
不过，就目前公开的信息看，这些产品都只是在各自的基本路线上发展，还没有形成我们这样完整的安全办公空间整体解决方案。安全办公空间这个方向上，目前在全球范围内我们应该是领先的。
往期回顾