薔薇靈動給你講解微隔離的作用，策略實施方法，服務(wù)能力
在云時代，企業(yè)實現(xiàn)功能時所需調(diào)用的數(shù)據(jù)越來越多,薔薇靈動公司認為以往防火墻解決南北向流量的安全手段難以復(fù)用,那么如何保障東西向流量的安全成為一個新話題。薔薇靈動作為一家網(wǎng)絡(luò)安全公司——薔薇靈動希望通過微隔離的手段幫助企業(yè)在云時代實現(xiàn)對數(shù)據(jù)中心的安全管理。
（注:南北向流量即數(shù)據(jù)中心外部用戶和內(nèi)部服務(wù)器之間交互的流量;東西向流量即數(shù)據(jù)中心內(nèi)部服務(wù)器之間交互的流量。）
微隔離(Micro-segmentation)的定義是一種能夠適應(yīng)虛擬化部署環(huán)境,識別和管理云平臺內(nèi)部流量的隔離技術(shù)。薔薇靈動創(chuàng)始人嚴(yán)雷解釋道,微隔離要實現(xiàn)的是東西向流量的防御,對東西向的流量進行點到點的訪問控制。
薔薇靈動 圖一
微隔離的作用
薔薇靈動嚴(yán)雷曾舉例來描述過微隔離的作用,比如當(dāng)一個用戶做一次簡單的互聯(lián)網(wǎng)訪問時,系統(tǒng)內(nèi)部會進行非常多操作。當(dāng)用戶點擊頁面,系統(tǒng)需要進行從外部頁面到內(nèi)部系統(tǒng)的轉(zhuǎn)化,這個過程會產(chǎn)生對數(shù)據(jù)的請求,數(shù)據(jù)之間也許還需在多個數(shù)據(jù)庫中協(xié)同工作,然后再原路返回呈現(xiàn)結(jié)果。雖然整個過程對于用戶來說只是進行了一次訪問,但會在數(shù)據(jù)中心內(nèi)部產(chǎn)生數(shù)十次調(diào)用。這些數(shù)據(jù)(點和點)是以正交的方式相連,但由于沒有確定的關(guān)鍵路徑,所以無法通過防火墻的方式完成安全部署。并且基于防火墻的安全策略管理和隔離都發(fā)生在防火墻設(shè)備上,這些策略一般在防火墻上線部署時隨之一起配置,在整個防火墻的生命周期內(nèi)基本不做調(diào)整。但在云計算時代,大量分散且獨立工作的控制點非常難以維護,導(dǎo)致了云使用者只能在安全和業(yè)務(wù)之間做出二選一的選擇,而微隔離可以解決這些問題。
薔薇靈動圖二
薔薇靈動基于白名單的微隔離策略實施方法
在薔薇靈動創(chuàng)始人嚴(yán)雷看來,微隔離是一個市場用語,更精準(zhǔn)地技術(shù)表達應(yīng)該是軟件定義隔離。這是因為這種技術(shù)和一切軟件定義的技術(shù)都有一個相似性——集中的策略管理和分散的策略執(zhí)行。
在薔薇靈動的微隔離場景下,集中的策略管理是通過Agent的自學(xué)習(xí)功能,在策略管理平臺形成云計算業(yè)務(wù)拓撲,設(shè)置白名單策略。再具體點,這個策略管理不是面向資產(chǎn)來做,而是基于業(yè)務(wù)拓撲設(shè)計一個通用的策略準(zhǔn)則,每一個資產(chǎn)根據(jù)自己的情況來判斷自身是不是適用這個準(zhǔn)則,然后再進行計算。分散的策略執(zhí)行是說控制點可以分散到每一個云內(nèi)的資產(chǎn)上,二者結(jié)合構(gòu)成一個軟件定義隔離的形態(tài)。
可以看出,薔薇靈動的微隔離所采用的策略是白名單,白名單相比黑名單安全性更高,但白名單策略只能在高度確定化的場景下使用。舉例而言,企業(yè)的辦公網(wǎng)絡(luò)是一個不確定的場景,因為辦公網(wǎng)絡(luò)上會連接許多個人設(shè)備,而設(shè)備上會安裝一些無法被掌控的個人軟件,這造成了辦公網(wǎng)絡(luò)的不確定性。但和辦公網(wǎng)絡(luò)不同,數(shù)據(jù)中心的每一臺服務(wù)器都有明確的使用方向,所以基于數(shù)據(jù)中心的云計算是一個高度確定化的場景,在此情況下使用白名單這種高安全性策略是可行的。
但接下來的問題是,黑名單的策略可以通過已知的惡意行為設(shè)計,但東西向流量的白名單策略往往難以設(shè)計。這是由于整個數(shù)據(jù)中心的業(yè)務(wù)經(jīng)常由許多團隊分布式開發(fā),彼此之間也會存在各種各樣的調(diào)用,所以企業(yè)內(nèi)部常常也無法了解自己數(shù)據(jù)中心的內(nèi)部調(diào)用關(guān)系。以往大家的一些做法是進行區(qū)域隔離,即把數(shù)據(jù)中心內(nèi)部的服務(wù)器劃分成幾個大區(qū),進行一些跨大區(qū)的檢查,但更精細的隔離手段無法實現(xiàn)。
薔薇靈動的方式是先解決業(yè)務(wù)分析的問題。該公司的業(yè)務(wù)分析是基于分散在每一個虛擬機或容器宿主機上的Agent,全局收集信息,依靠計算引擎繪制出完整的內(nèi)部業(yè)務(wù)拓撲,從而生成基于業(yè)務(wù)學(xué)習(xí)的白名單策略。
薔薇靈動拓撲
在薔薇靈動看來,在后期學(xué)習(xí)生成業(yè)務(wù)拓撲之外還有另外一種方法——安全左移,指的是企業(yè)在研發(fā)的同時一并考慮網(wǎng)絡(luò)隔離的問題。這需要安全策略的設(shè)計者是業(yè)務(wù)研發(fā)人員,因為只有業(yè)務(wù)的研發(fā)人員了解軟件應(yīng)用的業(yè)務(wù)調(diào)用關(guān)系,他們可以用策略管理語言寫明業(yè)務(wù)隔離要求,這種情況下業(yè)務(wù)可以和安全同時交付。
并且,由于安全策略的生成基于業(yè)務(wù)標(biāo)簽而非具體資產(chǎn)(如服務(wù)器IP等),所以當(dāng)云數(shù)據(jù)中心環(huán)境發(fā)生變化時時,薔薇靈動也可以根據(jù)這套策略自動調(diào)整,識別新的網(wǎng)絡(luò)參數(shù)變化(角色靠配置),自動配置安全策略,避免管理員手動配置。
而且為了確保策略的有效性,薔薇靈動將策略分為測試狀態(tài)和防護狀態(tài)。在測試狀態(tài)中,策略并沒有真實的部署在節(jié)點上,而是模擬策略計算展現(xiàn)可能的結(jié)果。只有真正驗證過后才會上線真正的策略,以避免破壞業(yè)務(wù)同時又保證效果真實。在防護過程中,薔薇靈動還會持續(xù)記錄東西向訪問,作為必要時的溯源工具。
薔薇靈動的微隔離服務(wù)能力
薔薇靈動嚴(yán)雷認為,目前使用微隔離技術(shù)管理東西向流量的難點在于計算量。由于數(shù)據(jù)中心內(nèi)部的點和點之間呈現(xiàn)正交結(jié)構(gòu),所以計算的復(fù)雜度會隨著管理的體量增長而呈現(xiàn)指數(shù)性變化。一開始薔薇靈動只能管理數(shù)百點,現(xiàn)在通過回傳數(shù)據(jù)調(diào)整、數(shù)據(jù)庫分類存儲等方式可以達到單機管理2000點的水平,而通過集群部署方式,薔薇靈動可以支撐數(shù)萬點的微隔離服務(wù)能力。
目前,薔薇靈動主要服務(wù)于金融、能源、運營商等行業(yè)的頭部客戶。原因包括,首先小客戶由于業(yè)務(wù)并不復(fù)雜等原因,對基于業(yè)務(wù)進行微隔離的安全策略需求暫時還不明顯。然而大型客戶由于內(nèi)部業(yè)務(wù)復(fù)雜,需求主要包括復(fù)雜場景下的業(yè)務(wù)流分析、海量的安全策略運維、混合架構(gòu)的統(tǒng)一安全管理等。薔薇靈動可以通過基于業(yè)務(wù)的策略制定、自適應(yīng)的安全策略以及統(tǒng)一架構(gòu)的管理,幫助客戶滿足這些需求。其次,微隔離的實現(xiàn)難點在于計算量,服務(wù)大型客戶有利于幫助薔薇靈動積累大規(guī)模線上場景。
薔薇靈動大規(guī)模線上場景
在薔薇靈動嚴(yán)雷看來這也是公司在市場中的一個優(yōu)勢——薔薇靈動是首批將微隔離理念引進國內(nèi)的企業(yè),先發(fā)的技術(shù)優(yōu)勢可以幫助其拿下更多的大型客戶,而大型客戶又能幫助薔薇靈動不斷優(yōu)化計算方式,積累服務(wù)大規(guī)模場景的經(jīng)驗。
薔薇靈動于2017年開始商業(yè)化探索,2019年營收達到千萬級別。2020年為了推廣之前積累的成功經(jīng)驗,薔薇靈動在深圳、上海設(shè)立新辦事處服務(wù)各行各業(yè)的大型客戶。
團隊方面,薔薇靈動CEO 嚴(yán)雷先后歷任JUNIPER北京研發(fā)中心高級工程師、網(wǎng)康科技產(chǎn)品市場總監(jiān)、遠江盛邦CMO,CTO陳天航曾任網(wǎng)康NGFW架構(gòu)師,曾是國內(nèi)最早的X86萬兆防火墻的主要開發(fā)者。團隊目前約有50人,員工此前大多擁有網(wǎng)絡(luò)安全行業(yè)背景。
