劃分無邊界網絡的六個步驟
隨著云平臺和移動互聯網的發(fā)展，傳統(tǒng)的網絡邊界逐漸被打破，企業(yè)與外部合作伙伴建立可信連接變得愈來愈重要，需要遠程訪問公司網絡的供應商越來越多，于是對這些外部特權訪問會話的管理、監(jiān)視和保護工作就成為了熱點問題。
那么，如何打造任何人都可隨時隨地通過任意設備安全、可靠、無縫地連接到任意資源的無邊界網絡環(huán)境呢?
設定目標并制定清晰的路線圖是成功實現無邊界網絡劃分的有效途徑。
多年來，企業(yè)一直在討論如何有效改善整體安全狀況的策略——劃分無邊界網絡。雖然這被廣泛認為是一種最有效的方法，但在當今不斷發(fā)展的動態(tài)環(huán)境網絡邊界之中，細化實施、擴展和管理十分具有挑戰(zhàn)性。新連接設備的組合、不斷變化的業(yè)務模式、滿足訪客的需要、監(jiān)管的要求以及不斷變化的威脅可能使其成為一項復雜的任務。此外，用戶需要一種能夠覆蓋學校、數據中心和云環(huán)境的一套整體管控方法以完成任何端到端的“網絡-端點”連接。否則，用戶終將面臨多種導致使用復雜性增加的劃分策略，它們還可能對系統(tǒng)安全和用戶體驗造成負面影響。
但是，不應讓這個問題阻礙網絡的發(fā)展與進步。正如汽車大王亨利福特所說：如果你能把做的事情化整為零，就沒有什么事會特別困難。亨利福特不僅改造了工業(yè)生產力，還推動工業(yè)革命的發(fā)展，他本人的方法論也被沿用至今。
秉承著化整為零的精神，本文將如何成功劃分網絡邊界的步驟分為六步。無論是企業(yè)內運維員工，或是即將制定無邊界網絡劃分計劃的項目組，亦或是正在考慮使用第三方咨詢服務的組織機構，以下內容對成功劃分無邊界網絡均具有至關重要的作用。
一步：定義目標
設定目標并制定明確的計劃是成功實現細分的有效途徑。為完成計劃，需要考慮以下關鍵問題：
- 劃分計劃需考慮哪些業(yè)務流程和安全驅動因素?
- 通過哪些標準對已有資產進行分類?
- 哪些資產對企業(yè)業(yè)務流程至關重要?
- 企業(yè)業(yè)務流程進行中常見的威脅有哪些?
- 如何利用技術和流程來應對這些威脅?
- 技術實施計劃中是否包含安全要素?
- 企業(yè)首要業(yè)務優(yōu)先事項是什么?它們如何與當前的企業(yè)安全計劃保持一致?
- 企業(yè)的痛點是什么?
上述信息有助于通過了解業(yè)務目標和驅動因素、關鍵業(yè)務資產、已知風險以及對當前企業(yè)安全狀況來全面地明晰并制定高級策略。這反過來也可以幫助確定如何降低安全風險和制定技術規(guī)劃的后續(xù)步驟及優(yōu)先級。
第二步：識別、分類及優(yōu)先考慮資產
通過與關鍵利益相關方的密切合作，企業(yè)現在可以定義資產集并根據業(yè)務的影響、風險、功能和監(jiān)管要求對其進行分類。此分類用于定義安全控制功能，并通過明確定義的標準幫助設置優(yōu)先級。例如，如果醫(yī)院將放射學設備視為關鍵資產，則應識別這些設備并將其與同類設備分組。保險行業(yè)可能會認為所有業(yè)務服務都具有同等重要性并將它們組合在一起，但公司服務的重要性可能會因實際創(chuàng)收情況或合規(guī)性的影響而有所不同。
第三步：獲得支持和增強戰(zhàn)略的可視性
本步驟需在第二步驗證工作內容：為確保沒有遺漏，需要了解實際流量和設備情況。此過程包括：流量類型(南北流量和東西流量，即server-client流量和server-server流量);收集流量的所有物理和虛擬設備;收集數據的位置(WAN邊界、接入層、云);用于監(jiān)控、分析和報告信息的數據源和分析平臺。企業(yè)使用正確的工具和流程可幫助識別要劃分的實際設備，或使用其他劃分策略。這使企業(yè)可以發(fā)現未知的設備和流量模式，它對于了解實際環(huán)境中發(fā)生情況并及時調整計劃的實施時間、方式和來源都至關重要。
第四步：技術設計和策略制定
功能劃分解決方案主要分為兩個方面：詳細的技術設計和深思熟慮的細分策略。
技術設計應由組織的優(yōu)先級、技術能力和運營影響驅動。目標是開發(fā)部署劃分策略所需的一組特定設備、設計并配置，使其按預期運行。這些設計用作部署藍圖，通常包括有關路由器/交換機的基礎架構、網絡架構、IP地址范圍/子網、策略實施解決方案、具有動態(tài)訪問控制列表的交換機以及其他分段技術的詳細信息。
劃分策略應與組織的業(yè)務目標相統(tǒng)一，并在整個組織內保持一致。優(yōu)秀的劃分策略平衡了簡單性和粒度，將設備按通常理解的、不可能變化的功能特征分段放置，這對組織具有重要意義。
例如，醫(yī)院可以從一般系統(tǒng)組開始，比如醫(yī)院管理、實驗室、藥房和生物醫(yī)學的系統(tǒng)組。這種更高級別的方法提高了安全性，同時最小化了復雜性和操作影響。后期階段可以提供更細粒度的劃分策略，且對整體業(yè)務影響較小。按功能對類似設備進行分組也有幫助。無需為每個品牌的MRI(核磁共振)設備創(chuàng)建單獨的片段，與之相反的是將所有MRI設備與其他成像設備一起放在相同區(qū)段中。
第五步：驗證設計和策略
通過詳細的技術設計和細分策略，可以根據一步中開發(fā)的原始業(yè)務目標來審核最終部署模型。所有關鍵利益相關者都應納入審核和簽核，因為這是無邊界網絡劃分過程中的重要一點，在部署開始之前進行重大調整。匯集所有關鍵業(yè)務、IT資源和安全領導，確認設計滿足功能和技術業(yè)務目標，以便實施能夠順利發(fā)展。
第六步：執(zhí)法和監(jiān)督
正確的執(zhí)法方法可以確保組織的政策具有動態(tài)性，并維持劃分計劃的可持續(xù)性。一種提供企業(yè)范圍內跨校園、數據中心和云的網絡流量數據可視化的解決方案，它可通過多種方式向企業(yè)提供幫助。首先，網絡流量數據可以與用戶和實體行為分析(UEBA)以及機器學習結合使用，以便為網絡和連接的設備創(chuàng)建基線。通過比較從流數據派生的觀察到的網絡行為來定義策略，解決方案可以確認部署的策略是否按預期強制執(zhí)行。該步驟加速了審計過程，并保證劃分策略可有效減少面積和企業(yè)安全風險。
網絡劃分是每個組織都必將歷經的旅程。無論企業(yè)內部是否存在員工能夠推動劃分項目的進程，或企業(yè)正在考慮啟用第三方咨詢服務，本文中討論的六個步驟都能為企業(yè)提供成功的道路。
更重要的是，通過實施劃分無邊界網絡的計劃可以很快獲得額外效益，除了通過限制網絡進入時的橫向移動來保護關鍵資產?？梢娦院蛣澐旨夹g都可以幫助加強組織整體的安全運營。與安全運營中心集成后，企業(yè)安全團隊將能夠使用這些工具生成的數據來更快地檢測和響應漏洞，并最終縮短停頓時間。
【本文是51CTO專欄作者“李少鵬”的原創(chuàng)文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
