如今,越来越多的员工逐渐习惯使用手机、平板电脑等个人设备,通过4G和5G网络进行收发邮件、处理工作流程,访问企业资源;使用笔记本电脑,通过公共WiFi连接到公司网络进行远程办公。

　　根据“全球职场分析”和FlexJobs公司报告,远程办公人员的数量在过去十年中增长了115%。然而与此同时,员工对企业内部网络资源的远程访问也增加了企业网络的脆弱性,产生众多安全隐患。

　　本文云深互联将通过传统远程访问方式的对比情况、场景案例,详解软件定义边界(SDP)在远程访问中为企业带来的强大优势。

　　(1) 直接连接:在直接访问的情况下,应用系统通常是一个Web应用程序,配置到公共互联网环境下,不考虑访问限制。在这些情况下,应用系统暴露于各种安全威胁下,极易受到各种形式的攻击,包括暴力破解,DDoS,XSS和任何TLS漏洞(如心脏出血漏洞Heartbleed或贵宾犬漏洞Poodle)。

　　(3) VDI:通过VDI,业务人员可以操作虚拟计算机(通常是Windows操作系统),这个虚拟机可以用作企业应用系统的启动平台。业务应用系统通常是一个需要“厚Windows客户端”(较多在客户端及服务器端的运算,较少的通信链接)的客户端/服务器应用程序。

　　通过SDP解决方案,只有授权用户才能访问业务应用系统。实际上,未经授权的用户甚至无法访问SDP网关 ——在SDP模型中有一个重要概念,即单包授权(Single Packet Authorization, SPA)技术。所有访问业务系统之前都需要发一个SPA包,该包内含有用户身份、访问token、时间戳、超时时间等数据,网关只有接收客户端发来的第一个带身份信息的包,服务器验证通过后,才会允许建立用户与应用之间的连接。

　　需求:Grace在公司总部的销售部门工作。日常工作中,她需要通过由IT团队开发的新销售报告系统访问重点客户销售报告。由于经常拜访不同地方的客户,需要远程运行报告,且该应用系统托管在Amazon AWS上。

　　挑战:Grace在出差期间在机场和咖啡店访问多个免费网络。过去,IT安全部门发现了她的笔记本电脑上的恶意软件,他们担心当Grace通过VPN访问新的重点客户销售报告或返回公司总部时,恶意软件可能会传播到AWS基础架构中。

　　需求:Dave负责IT部门的供应链应用系统。新的业务流程要求其供应商员工Jim在货物发运后立即在其供应链应用系统中输入货件的详细信息。

　　挑战:这需要授予第三方供应商的一部分人员对应用系统的访问权限,这些业务人员(例如Jim)不是公司的员工,而Dave对其安全策略及安全培训等方面的控制是有限的。Dave不希望授予他们进入公司内网的广泛网络访问权限(VPN),他担心如果供应商端的账号被盗,他的整个公司网络将会受到伤害。他该如何限制“爆炸半径”?

　　需求:Jim每周都会准备一份业务分析报告,生成报告的是一个只能在Windows系统上运行的客户端/服务器(C/S)应用程序。所以IT部门为Jim和他的团队部署了一个VDI解决方案。Jim每次需要通过VDI登录远程桌面,然后启动报告程序。

　　挑战:这个(C/S)报告程序是从一个大型供应商处购买的打包的应用程序联通手机vpn。建议的部署模式仅是“自有”,即供应商建议不要通过公共互联网访问应用程序的服务端,因为其并不稳定/安全。也就是说,服务器必须与客户端在同一网络内。

　　因此,对于远程用户,IT安全团队决定使用VDI,其中客户端和服务器始终保持在同一网络中。但是,构建和维护VDI服务器的成本非常高,并且会随着远程/出差雇员数量的增加而增加。

　　组织面临的挑战是如何安全地开放(C/S)应用程序的服务器部分,以便业务用户可以直接在他们自己的Windows笔记本电脑上运行客户端。