办公安全 零信任SASE 建立数字化企业多云安全访问体系的建设经验分享 杭州亿格云科技有限公司 陈吴栋-产品合伙人 www.eagleyun.com 2021 Eagle Cloud Technology Co, Ltd 个人介绍 陈吴栋 亿格云产品合伙人 多年网络安全产品管理经验 CISP 信通院SASE成熟度/白皮书专家组成员 原阿里云安全中心产品线负责人 趋势&挑战 破局 架构 亿格云 •趋势与困境 • 零信任SASE平台 • SASE架构 • 公司简介 •三大挑战 • ZTNA • 部署接入 • 客户之声 • XDLP • 建设四步骤 • 四大收益 •远程运维 •多云权限统一管控 •混合办公 企业数字化趋势和安全行业面临的困境 云和移动使得企业办公形态复杂化 安全行业面临的痛点问题 互联网 公共云 SaaS 数字化转型 PaaS 业务多云化 产品碎片化 安全成本高 私有云 混合办公常态化 分支, 移动 总部 企业员工 网安人才缺 生态伙伴 企业边界被快速消亡 业内痛点问题被进一步加剧恶化 2021 Eagle Cloud Technology Co, Ltd 三大挑战 新的基础设施，面临新的挑战 挑战一：多云架构下，安全运维陷入新困境 5、访问设备可信吗？ 4、如何实现访问 行为可视化？ 1、远程运维如何安全接入？ VPN存在安全缺陷 • VPN基于账户密码的安全隐患如何规避？ • 500+已知漏洞和未知漏洞如何防护？ VPN 2、VPN漏洞如何防护？ Cloud DATACENTER/HQ 终端风险无感知 VPN • 终端失陷，将导致内网应用面临直接的安全威胁 3、如何收敛暴露在 互联网上的应用？ VPN 访问行为难追溯 • 无法基于应用与身份审计每一条访问日志，需关联多 份日志才能形成追溯能力，耗时耗力 2021 Eagle Cloud Technology Co, Ltd 挑战二：多云权限难统一，难管理 权限与身份割裂 • VPN权限，没有与人身份对接，权限配置难以精细化管理 访问权限分散在各个云 • 没有统一的访问权限管理控制台 • 没有统一的身份视角，查看权限及使用情况 人员变动，权限难管理 • 入职、离职、岗位变动等场景，权限无法自定变更， 导致权限越来越多，加剧管理风险和工作量 2021 Eagle Cloud Technology Co, Ltd 挑战三：混合办公成常态，风险难管控 1 • 办公网络不安全 公共云应用　　 私有云应用　　 3 网开放 3 2 2 • 应用（邮箱，云桌面）对互联 4 4 • BYOD设备难管理 • 敏感数据落地无法感知外发行 为 1 2021 Eagle Cloud Technology Co, Ltd 破局 应云而生，应势而长 我们如何破局 互联网 公共云 SaaS 一体化安全防护 零 信 任 SASE 用户 PaaS 应用 私有云 数据 • 远程办公（内网访问） • 办公数据安全 • 混合办公安全防护 全球网络应用加速 现有安全架构无法支撑 安全架构必须 基于云计算基础设施 数字化转型 平台化 搭建安全平台 分支, 移动 总部 企业员工 生态伙伴 基于云原生架构，搭建安全产品平台，助力云计算时代的企业数字化转型 2021 Eagle Cloud Technology Co, Ltd 亿格云零信任SASE安全平台 生态集成 零信任内网访问（ZTNA） 一体化安全防护（XDLP） SSO/IAM 安全大数据分析 日志平台/SOC SASE 安全服务 威胁情报 零信任动态访问控制 数据识别、防泄露 准入，EPP，EDR，NDR SSL/TLS 加密，检测 威胁检测 API发现，检测 更多 亿格云全球加速网络 企业总部，分支 移动办公 生态协同 自有设备BYOD 2021 Eagle Cloud Technology Co, Ltd 亿格云·云原生SASE能力 SASE基础设施 零信任便捷落地 云原生架构 • 基于云基础设施快速构建全球网络 • 零公网暴露面, 应用访问微隔离 • 网络安全即开即用，加密流量全透明 • 无限弹性扩容，SLA 99.99% • 应用资产自动发现 • 轻量化终端分层计算设计 • 无需改动现有网络，落地性强 • 访问Session级别持续安全度量 • 全面的行为可视和全链路数据安全 零信任 网络 安全 互联网 移动办公 就近接入 跨运营商优化 加密微隧道 应用隐身 身份认证 应用访问隔离 终端合规 检测和准入 数据防泄漏XDLP 终端安全处置 本地办公 应用自动 网络选路 多节点多云 容灾 动态策略 持续校验 统一 权限管控 公共云应用 网络安全防护 私有云应用 三方员工 减少暴露面 远程访问加速 远程办公 最小化数据权限 防止横向移动 全域行为可视 数据防泄漏，防入侵 SaaS应用 2021 Eagle Cloud Technology Co, Ltd 零信任ZTNA-基于威胁分析的零信任动态访问控制策略 数据中心 多云 • 网络环境位置计算 动态风险计算 • 终端合规等级计算 连接 • 数据风险等级计算 • 安全威胁等级计算 安全风险 访问什么应用 是否存在安全风险 可信设备 使用什么设备 在什么位置 在什么时间 身份认证 谁，什么身份 终端环境信息采集 持续安全评估 管控中心 • 网络环境: IP/DNS/WIFI/搜索域 • 远程办公策略评估 • 合规属性: 系统/软件/弱口令 • 分支办公策略评估 1 • 安全信息: 漏洞/病毒 5 2 • 硬件信息: MAC/序列号 • 数据安全策略评估 • 安全防护策略评估 • 数据风险: 文件地图 Agent 4 3 网络节点 • 可信身份属性 • 可信网络属性 每Session 属性传递 • 可信设备属性 • 可信进程属性 • 安全风险属性 2021 Eagle Cloud Technology Co, Ltd 云枢XDLP - 一体化安全防护 互联网　　 网络防入侵和数据防泄漏 防火墙 IPS 威胁情报 DNS安全 RBI 7层管控 终端安全 亿格云 桌面管理 EDR EDLP UEBA 工作环境 总部 移动 分支机构 自有设备BYOD • 全场景覆盖（居家、公司、移动场景） • 全面的行为可视 • 实时的威胁情报更新能力 • 员工较好体验 • 全面的数据可视 • 从网络隔离到应用隔离 • One Agent 即开即用 • 场景即配置，简单易用 • 每Session 持续安全度量 2021 Eagle Cloud Technology Co, Ltd 架构与部署 15分钟完成接入 亿格云·SASE架构 网络和安全融合的云原生架构 Internet Access 互联网访问 Private Access 内网访问 互联网/SAAS IDC 公共云 ② IA Connector PA TLS反向隧道 AUTH 内网资源隐身 Proxy ① Controller 身份源 多云 身份认证 安全即开即用 钉钉身份 POP 企微身份 POP LDAP/AD POP POP IDAAS Agentless 外包/生态伙伴 AUTH Agent 总部员工 ③ 总部分支一致 Agent 移动SOHO员工 Agent 分支员工 2021 Eagle Cloud Technology Co, Ltd 15分钟开启服务 接入流程 第一步 第二步 第三步 完成 （2分钟） （5分钟） （5分钟） （3分钟） 注册亿格云 接入组织，统 连接企业内网 控制台配置访 平台账户 一身份管理 问应用，下载 客户端访问 您的专属客户成功经理将为您提供全程免费的技术服务 2021 Eagle Cloud Technology Co, Ltd 零信任SASE安全建设四步骤 如何基于亿格云SASE架构逐步落地零信任安全 数据安全 安全防护 基于数据识别，行为和通道管控 分析做数据防泄露 安全访问互联网 安全访问互联网 防护设备终端的安全可信 防护设备终端的安全可信 资源访问最小权限管理 资源访问最小权限管理 资源访问最小权限管理 认证准入 用ZTNA/SDP替换VPN，提升内 网可见度 用ZTNA/SDP替换VPN，提升内 网可见度 用ZTNA/SDP替换VPN，提升内 网可见度 设备合规检测和设备准入 设备合规检测和设备准入 设备合规检测和设备准入 设备合规检测和设备准入 身份认证和多因子验证MFA 身份认证和多因子验证MFA 身份认证和多因子验证MFA 身份认证和多因子验证MFA 连接授权 第一步 第二步 第三步 第四步 2021 Eagle Cloud Technology Co, Ltd 亿格云 最具创新能力的SASE解决方案供应商 公司简介 为企业提供更简单、安全、稳定的零信任SASE一体化解决方案 核心团队 核心团队来源阿里云安全团队，为原阿里云安全团队核心负 基于零信任框架的SASE架构，提供全新的一站式企业安全平台，让企业安全 更简单，助力IT运维更高效，同时保证极致的用户体验。 责人，主导了阿里云安全能力建设、产品规划及运营服务工 作。曾服务超过10万家企业，提供网络安全保障。 曾主要负责的产品线：DDoS、阿里云WAF、云安全中心、 数据安全中心、云防火墙、阿里云SASE 主要资方 红杉资本中国天使轮投资1亿元，零信任安全概念下红杉中国投资的唯一企业， 企业估值10亿。 2021 Eagle Cloud Technology Co, Ltd