每經(jīng)記者｜朱成祥    每經(jīng)編輯｜梁梟    

自3月以來，疫情防控形勢仍舊嚴峻，平時光鮮亮麗出入寫字樓的白領們紛紛宅家辦公。遠程辦公雖然能一定程度克服疫情影響，但網(wǎng)絡安全問題卻亟須重視。

一般而言，企業(yè)內(nèi)網(wǎng)有“防火墻”的保護，宛如銅墻鐵壁，黑客絕大部分情況下很難攻克。然而遠程辦公，企業(yè)網(wǎng)絡安全風險就暴露出來。通過VPN（虛擬私有網(wǎng)virtual private network）訪問內(nèi)網(wǎng)，就如同在城墻之下開了一扇扇小門，被黑客侵入的風險大大增加。

那么，企業(yè)應該如何應對遠程辦公網(wǎng)絡安全問題呢？零信任安全已被認為是解決現(xiàn)階段網(wǎng)絡安全問題的重要解決方案。

觀眾在一企業(yè)的網(wǎng)絡安全展板前駐足了解 視覺中國圖

從VPN到“零信任”

在日常工作中，企業(yè)員工調(diào)取內(nèi)網(wǎng)資源司空見慣。但在居家辦公中，無法訪問內(nèi)容意味著很多工作無法開展。于是，遠程訪問成為很多員工的必須。

相比之前受到各類防火墻保護的企業(yè)內(nèi)網(wǎng)，遠程訪問相當于堅固的城堡里開了許多扇門，供遠程辦公人員進出，調(diào)取各類文件、信息、數(shù)據(jù)以滿足工作需求。

對“嗅覺”敏銳的黑客，這是“機會”來了。但對于企業(yè)，這是懸在頭頂?shù)倪_摩克利斯之劍，因為企業(yè)并不知道黑客什么時候會發(fā)動攻擊。

VPN遠程接入方案，就是很多企業(yè)選擇的渠道。VPN是一個加密的安全通信信道與數(shù)據(jù)傳輸渠道，通過VPN可以將員工居家辦公用計算機與公司內(nèi)網(wǎng)連接，通過加密方式訪問內(nèi)網(wǎng)。

但VPN同樣存在諸多風險。假如通過VPN訪問內(nèi)網(wǎng)的設備被黑客控制，那么通往企業(yè)內(nèi)網(wǎng)的道路將暢通無阻。黑客也可以通過網(wǎng)絡釣魚等低成本攻擊手段，竊取員工個人信息，從而侵入企業(yè)內(nèi)網(wǎng)。

近期，就有一款遠控軟件被黑產(chǎn)團伙利用，用于攻擊企業(yè)主機和個人電腦，已有部分未修復漏洞的主機、個人電腦受害。攻擊者利用漏洞入侵后可直接獲得系統(tǒng)控制權，受害主機已被用于門羅幣挖礦。

“從不信任，總是驗證”

據(jù)鈦媒體報道，2020年疫情暴發(fā)之初，也有互聯(lián)網(wǎng)企業(yè)遠程辦公遭遇XRed病毒攻擊。據(jù)了解，這家公司一位業(yè)務主管分享到內(nèi)部工作群的遠程辦公工具及電子表格文件被發(fā)現(xiàn)感染病毒，導致部門200多名員工電腦被感染。

XRed病毒是具備遠程控制、信息竊取能力的感染型病毒，可以感染本地EXE文件及xlsx電子表格文件，病毒可通過文件分享和U盤、移動硬盤等媒介傳播。

可以看出，不管是社交平臺還是U盤這樣的硬件媒介，都存在網(wǎng)絡安全問題。站在企業(yè)的視角來看，無法預知其員工使用的計算機是否被黑客攻陷。

事實上，個人計算機通常缺乏專業(yè)的網(wǎng)絡安全防護。比如很多家庭Wi-Fi密碼設置簡單，安全漏洞也長時間未修復。如果被黑客盯上，將輕易“淪陷”。當企業(yè)員工的個人計算機被攻破，勢必會給企業(yè)內(nèi)網(wǎng)帶來網(wǎng)絡安全風險。

不僅僅是外部攻擊，很多時候堡壘都是從內(nèi)部被攻克。如何防范“內(nèi)鬼”也是遠程辦公網(wǎng)絡安全所必須考慮的。

據(jù)大河網(wǎng)報道，2021年5月30日，鄭州警方工作中發(fā)現(xiàn)，新密市區(qū)某公司6萬余條用戶信息遭泄露，存在重大風險隱患。進一步工作發(fā)現(xiàn)，新密某裝修公司員工慎某龍、慎某明等人手中掌握有該批用戶信息。

掌握相關證據(jù)后，新密警方迅速將慎某龍、慎某明抓獲到案。經(jīng)審查，上述信息系新密市某公司工作人員李某閃出售給兩人使用。6月4日，新密警方將該公司工作人員李某閃抓獲，李某閃如實供述了其利用工作之便非法從公司內(nèi)部系統(tǒng)導出用戶信息6萬余條用于出售牟利的犯罪事實。

外部攻擊、內(nèi)部泄露，企業(yè)網(wǎng)絡安全防護重要性可見一斑。因此，零信任安全呼之而出。

零信任網(wǎng)絡訪問（Zero-Trust Network Access）于多年前由研究機構(gòu)ForresterResearch副總裁兼首席分析師約翰·金德瓦格提出，意即不能信任出入網(wǎng)絡的任何內(nèi)容，即“從不信任，總是驗證”。即默認不信任企業(yè)網(wǎng)絡內(nèi)外的任何人、設備和系統(tǒng)，而是采用最小權限并執(zhí)行嚴格的訪問控制策略。

以安恒零信任護航遠程辦公產(chǎn)品為例，傳統(tǒng)VPN是核心理念是“一次驗證”，而安恒零信任模型是“永遠驗證”。在信任鑒權方式方面，零信任模型包括來源地點、設備指紋、訪問時間段、請求報文等方式約束。

正如約翰·金德瓦格所言：“證明員工身份的不是密碼，是行為。”零信任安全不僅通過多因子驗證員工身份，還會檢測賬號的行為，其一大特色便是行為分析，通過技術分析判斷賬號的行為是否合理。安恒零信任產(chǎn)品便提供行為審計，包括應用訪問、接口調(diào)用行為審計能力以及可溯源定位至端，這些功能是傳統(tǒng)VPN所不具備的。