VMware的原生安全理論

丁海驁

以智能交通、智慧城市、智慧醫療、智慧教育、智慧金融等為應用場景的“新基建”，實際上是將“數字化”定義的范疇，從商業領域延伸到了整個社會的各個層面。而以數字定義全社會，雖然提供了中國經濟模式向數字經濟時代轉型的基礎，但是這種強調以互聯網、物聯網為紐帶，高度融合、彼此映射的現實與虛擬的關系，無疑在很大程度上提高了數字和信息對于維護整個社會秩序的作用——如果把數據中心時代的安全攻防戰比喻成冷兵器時代的戰爭，那么在全社會范圍內的網絡化、數字化時代，數據安全攻防戰就相當于核武器級別——因此，信息安全必須成為保障“新基建”成果的關鍵。

“現在的信息安全模式轉型，勢在必行。”傅純一，VMware大中華區高級產品經理日前接受采訪時表示，傳統意義上，信息安全按照用戶響應的過程被分為預告、阻止、檢測和響應四個部分，而每一個部分，在安全市場里都對應有很多技術、產品和服務提供商。即便如此，現在的信息安全系統和解決方案依然不足以應付越來越復雜的“數字化社會”的需求，根本原因在于：現有的信息安全防護解決方案和產品的邏輯本身，存在很大的隱患。

“外掛、孤立和被動，就是今天企業級信息安全防護的現狀。”傅純一強調：目前被應用的信息安全措施，一般都是以外掛為主，往往是在基礎架構、操作系統、應用都構建完成后，再在此基礎上通過一些第三方提供的解決方案來保護應用和數據安全，通過外掛的形式整合到系統里面的。而“外掛方式”帶來的最大的問題，是不同的產品、解決方案之間，各自獨立，甚至還可能會產生一些沖突，很難為用戶提供彼此配合、完整的安全體系。“大家都知道木桶原理，一個木桶的容量，取決于最短的一塊木板。同樣，企業的安全措施只要有任何一個環節有漏洞，那么整個安全體系就是有懈可擊的。”傅純一同時認為，過分強調被動防護，是現在傳統信息安全領域在指導方針方面的落后：“目前的安全措施，絕大多數都是被動的。什么叫被動呢？被動就是：先要有攻擊手段，然后安全廠商才知道有這種安全手段存在，進而才會被動地推出相應的防護措施。”

因此扭轉以往“外掛、孤立、被動”的信息安全解決方案的產品邏輯和運作模式，建立一個“內建、整合、主動”的信息數據安全理論和解決方案，對于保障整個社會的數字化轉型，即是傅純一強調的信息安全模式轉型“勢在必行”。

VMware構建一個全新的“內建、整合、主動”的信息數據安全解決方案的理論基礎，是其“幫助企業跨任意云端、在任意設備上交付任意應用”的愿景正在成為現實——在2019年VMware宣布收購了Pivotal并進而推出指向云原生的VMware Tanzu后，事實上VMware不僅已經能夠為企業用戶提供一個“從私有云到混合云、公有云，甚至邊緣云”的統一操作平臺；而且能夠為用戶提供包括構建、部署、管理等全流程的跨云平臺應用模式——這實際上就意味著VMware已經有能力覆蓋企業所有IT基礎架構，以及包括網絡、云端、客戶端、應用等在內的IT應用場景。

而事實上，VMware在不斷拓展產品線和業務范圍的過程中，一直在每個環節都部署了相應的信息安全解決方案：例如在傳統優勢的VMware vSphere和NSX中內置的安全策略，以及在2017年發布的面向數據中心端點安全解決方案AppDefense、2018年發布的云配置安全性與合規性服務VMware Secure State，以及2019年收購的云原生端點保護平臺Carbon Black，和剛剛宣布要收購的面向云原生環境的Octarine……

“VMware倡導的具有內建、整合和主動標簽的信息數據安全解決方案，我們稱之為原生安全解決方案，它不應該被理解為一個簡單的產品，它其實也不是一個產品，而是在IT基礎架構中，內建的一整套的方法和工具：通過這些方法和工具，來保護這些平臺上運行的所有的應用和數據的安全。”傅純一說，VMware的專長原本就是專注于為用戶提供基礎架構，原本的安全技術和解決方案，就是與基礎架構緊密融合的。因此從這一點上看，實際上所謂的“原生安全解決方案”，就是在VMware基礎架構基礎上，將原有安全策略和解決方案進行整合和統一梳理，“從而讓原生安全作為基礎架構的一個有機構成部分”，并覆蓋到包括基礎架構平臺、端點設備、甚至應用等各個層面上。

根據企業應用IT基礎架構的不同場景，VMware的“原生安全解決方案”被分成四類：端點和工作負載安全、網絡安全、工作空間安全和云安全。

“vSphere是VMware的計算平臺，同時也是業界最安全的企業計算平臺，因為在vSphere上內建了很多的安全措施。”針對四種應用場景，傅純一介紹了分別對應的不同的VMware安全解決方案，例如針對“端點和工作負載安全”，對應的是vSphere和Carbon Black；網絡安全則是由傳統的VMware NSX Data Center解決方案來負責；工作空間安全場景由VMware Workspace ONE和Carbon Black來覆蓋；最后云安全部分，是由基于云端的VMware Secure State服務來滿足用戶安全需求。

“VMware的原生安全最突出的特點是內建，同時，我們也試圖把所有的解決方案，根據安全模型整合到四個領域，或者通過把某一個領域的解決方案全部結合在一起，從而實現了整合的價值，讓用戶的整體解決方案：使用起來更加流暢，管理起來更加簡便，各個環節之間的安全漏洞可以更少。”至于變被動為主動，傅純一除了強調VMware的主動安全防御工具AppDefense外，還認為：要想變被動為主動，則系統就必要深入了解被保護對象的工作環境，掌握被保護對象的正常行為模式，當惡意攻擊發生時就可以及時發現這些異常的行為，從而觸發相應的應對措施 （隔離、掛起、告警等）——顯然內建、整合的安全防護系統，同樣為未來更廣泛的主動防護提供了基礎和必要的系統支持。

寫在最后

不久之前，VMware中國區總經理王冰峰在一篇署名文章《跟隨新基建加速，穿越信息安全的迷霧》中，除了談到原生安全、大數據等話題外，其談到一點“安全服務”。 王冰峰認為：科技的發展為黑客帶來更多攻擊手段，導致越來越多層出不窮的數據和隱私泄露等安全隱患。而問題在于，企業不斷創新，黑客的技術卻如影隨行，甚至他們的工具和手段有時勝過企業和政府，可謂“防不勝防”。為此，王冰峰強調：專業的事情應該交由交給專業的人來做，未來將會出現更多專業的安全公司，負責信息安全的各個核心解決方案。而政府出于管理需要，也需要考慮建立專業的安全技術機構，幫助企業解決安全性問題。