将安全访问提升到新的台阶——实现真正的细粒度控制.pdfVIP

白皮书 Missing Link Security Services 创始人Mark Bouchard 将安全访问提升到新的台阶—— 实现真正的细粒度控制 作者简介 Mark Bouchard，CISSP （国际注册信息系统安全师），是 Missing Link Security Services, LLC 的创始人，该公司是一家专注于信息安全和风险管理策略的咨询公 司。Mark 曾担任 META Group 分析师达十年时间，负责评估和预测各种信息安全 议题的商业和技术趋势。他热衷于帮助企业应对信息安全领域的挑战，在他的职业 生涯中曾协助全球数百家企业制定战略和战术计划，从长期战略和整体架构的确定 到个人安全和隐私解决方案的评估、选择、采购、部署及运营等战略决策。 简介 如今，IT 面临着确保用户能够随时随地访问应用和其它信息资源的压力。为了促进营收增长和 有效降低成本，IT 至少应该使每位用户都能够访问几乎所有的应用，而不论用户处于什么地方 或使用哪种客户端设备。移动办公人员、远程办公人员、加班人员、办公室员工、服务提供商、 战略合作伙伴、临时客人、委托人和客户，甚至在灾难恢复维护中暂时被替代的用户都必须能 够访问各种应用和服务，这是企业的生命源泉。 SSL VPN 技术经过实践验证是可以满足这一需求的重要技术。与其它技术（如 IPSec）不同 的是，SSL VPN 无需预先安装客户端软件就能运行的能力显著减轻了管理负担，降低了运营 成本，并且适用于非可控设备（例如，公用信息亭以及员工、客户或合作伙伴的计算机），从 而极大地提高灵活性。 然而，与此同时 IT 还面临着要严格保护私人信息、提供强大的通用安全性以及确保遵从现行法 规要求的压力。因此，遵守最小特权原则正迅速成为一个确定不移的要求，而不仅仅是某种崇 高的长期目标。SSL VPN 技术同样具有能充分满足这些需求的能力（这在很大程度上是因其具 有可与 NAC 相媲美的能力），但这仅仅是在解决方案真正实现了细粒度访问控制的情况下。 正如本文将要说明，通过有效执行细粒度访问控制将安全访问提升到一个新的台阶，这不仅取 决于产品提供的相关功能，还取决于效率和一致性（因其具有一致性才可使用这些功能）以及 相应配置的整体可用性。在这方面，目前市场上的大多数 SSL VPN 产品都表现出不一致性、 依赖性以及其它缺陷，极大地增加了复杂性。因此，企业须谨记在选择 SSL VPN 解决方案时 要避免所有这些普遍缺陷。 主要功能 值得注意的是，对访问计算资源建立细粒度控制的目标不仅适用于远程用户，还适用于本地连 接企业网络的用户。大量的移动用户和顾客以及一系列法规要求各种企业都能更好地保护其内 部网络的安全性，这些综合因素进一步推动了细粒度访问控制。这就是如今为什么思考安全访 问和采取相应措施是很适当的，而不仅是局限于“安全远程访问”的狭义范围。 在任何情况下，甚至在开始支持细粒度控制时，安全访问解决方案必须包含某些基本功能。这 些主要功能都符合四大属性类别的原则——用于将高级策略转换成详细的访问控制规则：用 户、客户端、网络/位置和资源。 用户属性比较简明易懂。指的是用户是谁，对其身份信息进行验证的强度如何