最全！js06金沙答记者问——重温中国网络信息安全峰会
- 分类：金沙新闻
- 作者：
- 来源：
- 发布时间：2021-05-08
- 访问量：1356
最全！js06金沙答记者问——重温中国网络信息安全峰会
【概要描述】
4月28日中国网络信息安全峰会圆满落幕，峰会现场信息化观察网的记者针对js06金沙现阶段主推的零信任安全架构提出一系列问题，js06金沙零信任产品经理刘涛先生就此接受了记者的专访，并一一作答。
问题1: 能介绍一下js06金沙的基本情况，以及贵公司为何把零信任作为其中的一个发展方向吗？
js06金沙是一家以嵌入式技术为背景，提供工业信息安全和工业物联网解决方案的高新技术企业。公司2004年成立，总部位于江苏泰州，在北京、郑州、南京，泰州、深圳设有研发中心或生产基地。2020年7月在上海证券交易所科创板成功上市。
2020年是零信任概念提出的的第十个年头，业内，客户，媒体对于零信任的关注和接受度持续高涨。后疫情时代的远程办公和物联网的快速发展，与此同时全球发生层出不穷的攻击事件和新的攻击手段，暴露了传统安全技术的很多不足，加速了零信任落地的呼声。
从去年开始公司看中了零信任的巨大前景和需求，并且结合自身工业物联网行业对安全的深刻理解，决定将零信任理念融合到现有产品和解决方案当中来。由此专门组建了一个较大规模的的产品研发团队，聚集了一大批具备行内专业水平的安全专家，打造了名为“金沙零信任”的产品体系。目前产品已经面世并立即得到了行业内客户的好评。零信任技术也作为公司四大核心技术之一，在快速的向前发展与迭代。
问题2: 目前零信任越来越得到关注且厂家众多，js06金沙的零信任产品的有哪些特点？
零信任模型是在2010年提出来的，发展到今天确实出现了很多落地产品，其中不乏谷歌、腾讯等大厂都在用零信任理念改造自家的IT架构，为员工远程办公和网络接入提供更安全的方案。
根据CSA（云安全联盟）、NIST（美国国家标准与技术研究院）等机构对零信任架构的深度分析，细分了三大技术方向：SDP软件定义边界、IAM增强身份与访问控制、MSG微隔离。目前零信任厂商基本发力在单一细分领域，比如解决网络安全接入的SDP产品，解决数据中心内部东西向流量管理的MSG产品等。
金沙零信任是融合了SDP、IAM及MSG三大技术于一身的整体解决方案，针对不同的客户场景提供可裁剪的零信任落地产品。是国内技术比较全面的零信任方案提供商。比如针对远程办公和网络接入我们有SDP架构的金沙零信任安全管理平台，针对物联网边缘计算安全我们有基于MSG的金沙边缘计算安全管控平台等。
总结来说金沙零信任有12345678:
1种理念：永不信任，始终验证
2条产线：零信任安全管理平台、零信任边缘计算管控平台
3大技术：SIM （SDP、IAM、MSG）
4 A管理：Authentication 认证、Authorization 授权、Account 记账、Audit 审计
5大原则：ABCDE
Assume nothing, Believe nobody, Check everything, Defeat risks, Expect/prepare for the worst
6个平台：Windows、MacOS、Ubuntu、CentOS、Android、iOS
7层安全：SPA/终端设备检测/TLS传输加密/应用绑定/动态防火墙/智能行为分析与动态决策/横向微隔离
8个正确：正确的人/正确的账号/正确的设备/正确的时间/正确的地点/正确的客户端应用/正确的服务/正确的权限
问题3: 你刚才谈到的基于零信任的边缘计算的概念挺新颖，能再详细介绍一下吗？
没问题。当今“云大物移”已经浸入到各个行业，智慧交通、智能电网等概念也已经落地且日趋成熟。边缘网关作为物联网架构下非常重要的基础设施，承载着连接南向IOT设备，对接北向物联网业务平台的“承上启下”作用，其本身的安全性不容忽视。“零信任”+“边缘计算”这个概念是我司基于多年物联网边缘计算设备研发和生产经验，结合零信任技术融合而来的，目的就是为了解决边缘计算设备的身份安全及访问安全。
我们打造的针对边缘计算的零信任产品是一个平台级的身份及数据安全管控系统，全方位保障边缘网关的身份安全、网关与北向业务系统的访问安全、网关与南向IOT设备的接入安全、以及网关与网关间东西向的数据传输安全。这里身份安全及北向业务访问安全用到了SDP及IAM的技术，网关间东西向数据传输安全则用了MSG微隔离技术。网关间访问的隧道拓扑由系统管理员控制，哪怕边缘网关的身份都是合法的，零信任的理念也是只保证其最小访问权限。这个最小访问权限就是管理员根据业务需求设置的隧道拓扑。这样设计的目的是防止某个设备被恶意攻破后的系统横向攻击。
同时我们可以做到边缘计算设备的全生命周期管理，这个也得益于我们有自己的硬件研发团队和制造工厂。从设备出厂的身份证书制作，到设备激活、入网审批、状态监控、策略更新、设备停用及更换、设备移除等。考虑到边缘计算设备的运维特殊性，平台还支持设备内服务及应用的远程部署及OTA自动升级，减轻了运维人员出现场的负担。
问题4：我知道您是js06金沙的产品经理，从您的角度和经验，如果我是一个企业客户，我如何选择适合我的一个方案，有哪些标准或者建议吗？
零信任安全模型打破了传统的“网络边界防护”思维，把网络安全的专注点从单一的边界保护转移到公司内的每个端点和用户，这个IT建设过程并不是一件容易的事，需要涉及到企业高层领导的明确承诺和理解，以及熟知企业业务和核心资产的内部团队同IT团队一起配合完成。
1.第一步，就是将您的团队聚在一起，就启动零信任达成共识。根据具体共识来指定实施目标、以及实现这些目标的路线图。实现零信任并不代表要抛弃企业已经部署的边界防护产品。零信任是一个复杂的多系统配合的安全架构，其目的是实现“永不信任，始终验证”，因此企业已经部署的很多安全产品都是可以复用的。比如EDR（终端安全响应系统）、MFA（多因子身份验证系统）、TIP（威胁情报平台系统）等等。
您需要清楚的了解企业当前整个IT架构和业务系统，再去考虑如何实现零信任以及哪些技术和产品有助于实现这个理念。比如企业现在有哪些业务系统，类型是Web服务还是本地应用，用户是谁，他们如何连接到这些系统，他们使用什么平台及设备来访问这些系统，以及当前为了保护这些系统已经采取了那些安全措施。
2.选择适合您IT架构的零信任产品方案，以及评估零信任方案对当前系统的改造成本，及改造后的用户体验等问题。零信任没有银弹，基本不存在拿来就适合每个企业场景的标准产品。零信任建设需要提供适合企业IT架构、业务场景以及运维能力相对应的方案，同时还要兼顾用户体验和安全的平衡性。
举例来说，针对您企业的Web应用或本地应用，零信任需要采用不同的技术来保证其被访问的安全性。Web应用能否做到服务级别的访问控制，是否有自动加载水印等防数据泄露能力，是否支持对接钉钉或企业微信等工作台。本地应用是否实现了加密隧道传输，隧道建立跟VPN相比控制力度如何，稳定性如何，是否支持国密，能否做到隧道服务访问的MFA等。
上面说的是零信任产品的安全能力，还有重要的一个考虑因素是改造成本。不能说为了实现零信任保护，需要深度改造企业服务来适配你的零信任产品。大家知道企业服务很多都是公司花了重金、供应商做了很多定制化开发工作才做到了适合自己业务场景的。改造这些服务势必需要再投入大量资金，同时还会影响现有业务的正常运行，是性价比非常低的决策。如果零信任方案可以不改造企业服务本身，或者仅仅通过一些服务端的网络配置来适配零信任体系，对企业来说这样的零信任方案才是合理的，是值得考虑的。
3.零信任厂商的技术能力也是需要考虑的因素，包括针对企业IT架构的整体零信任规划能力，运维部署实施能力，定制化开发能力，以及售后技术支持及问题响应速度等都是值得考虑的点。比如大的安全厂商是否愿意为中小企业做零信任整体规划及定制开发？小的安全厂商是否有人力能做到大厂的运维SLA响应标准？这些都是挺重要的点，需要企业决策者来通盘考虑。
- 分类：金沙新闻
- 作者：
- 来源：
- 发布时间：2021-05-08
- 访问量：1356
4月28日中国网络信息安全峰会圆满落幕，峰会现场信息化观察网的记者针对js06金沙现阶段主推的零信任安全架构提出一系列问题，js06金沙零信任产品经理刘涛先生就此接受了记者的专访，并一一作答。
问题1: 能介绍一下js06金沙的基本情况，以及贵公司为何把零信任作为其中的一个发展方向吗？
js06金沙是一家以嵌入式技术为背景，提供工业信息安全和工业物联网解决方案的高新技术企业。公司2004年成立，总部位于江苏泰州，在北京、郑州、南京，泰州、深圳设有研发中心或生产基地。2020年7月在上海证券交易所科创板成功上市。
2020年是零信任概念提出的的第十个年头，业内，客户，媒体对于零信任的关注和接受度持续高涨。后疫情时代的远程办公和物联网的快速发展，与此同时全球发生层出不穷的攻击事件和新的攻击手段，暴露了传统安全技术的很多不足，加速了零信任落地的呼声。
从去年开始公司看中了零信任的巨大前景和需求，并且结合自身工业物联网行业对安全的深刻理解，决定将零信任理念融合到现有产品和解决方案当中来。由此专门组建了一个较大规模的的产品研发团队，聚集了一大批具备行内专业水平的安全专家，打造了名为“金沙零信任”的产品体系。目前产品已经面世并立即得到了行业内客户的好评。零信任技术也作为公司四大核心技术之一，在快速的向前发展与迭代。
问题2: 目前零信任越来越得到关注且厂家众多，js06金沙的零信任产品的有哪些特点？
零信任模型是在2010年提出来的，发展到今天确实出现了很多落地产品，其中不乏谷歌、腾讯等大厂都在用零信任理念改造自家的IT架构，为员工远程办公和网络接入提供更安全的方案。
根据CSA（云安全联盟）、NIST（美国国家标准与技术研究院）等机构对零信任架构的深度分析，细分了三大技术方向：SDP软件定义边界、IAM增强身份与访问控制、MSG微隔离。目前零信任厂商基本发力在单一细分领域，比如解决网络安全接入的SDP产品，解决数据中心内部东西向流量管理的MSG产品等。
金沙零信任是融合了SDP、IAM及MSG三大技术于一身的整体解决方案，针对不同的客户场景提供可裁剪的零信任落地产品。是国内技术比较全面的零信任方案提供商。比如针对远程办公和网络接入我们有SDP架构的金沙零信任安全管理平台，针对物联网边缘计算安全我们有基于MSG的金沙边缘计算安全管控平台等。
总结来说金沙零信任有12345678:
1种理念：永不信任，始终验证
2条产线：零信任安全管理平台、零信任边缘计算管控平台
3大技术：SIM （SDP、IAM、MSG）
4 A管理：Authentication 认证、Authorization 授权、Account 记账、Audit 审计
5大原则：ABCDE
Assume nothing, Believe nobody, Check everything, Defeat risks, Expect/prepare for the worst
6个平台：Windows、MacOS、Ubuntu、CentOS、Android、iOS
7层安全：SPA/终端设备检测/TLS传输加密/应用绑定/动态防火墙/智能行为分析与动态决策/横向微隔离
8个正确：正确的人/正确的账号/正确的设备/正确的时间/正确的地点/正确的客户端应用/正确的服务/正确的权限
问题3: 你刚才谈到的基于零信任的边缘计算的概念挺新颖，能再详细介绍一下吗？
没问题。当今“云大物移”已经浸入到各个行业，智慧交通、智能电网等概念也已经落地且日趋成熟。边缘网关作为物联网架构下非常重要的基础设施，承载着连接南向IOT设备，对接北向物联网业务平台的“承上启下”作用，其本身的安全性不容忽视。“零信任”+“边缘计算”这个概念是我司基于多年物联网边缘计算设备研发和生产经验，结合零信任技术融合而来的，目的就是为了解决边缘计算设备的身份安全及访问安全。
我们打造的针对边缘计算的零信任产品是一个平台级的身份及数据安全管控系统，全方位保障边缘网关的身份安全、网关与北向业务系统的访问安全、网关与南向IOT设备的接入安全、以及网关与网关间东西向的数据传输安全。这里身份安全及北向业务访问安全用到了SDP及IAM的技术，网关间东西向数据传输安全则用了MSG微隔离技术。网关间访问的隧道拓扑由系统管理员控制，哪怕边缘网关的身份都是合法的，零信任的理念也是只保证其最小访问权限。这个最小访问权限就是管理员根据业务需求设置的隧道拓扑。这样设计的目的是防止某个设备被恶意攻破后的系统横向攻击。
同时我们可以做到边缘计算设备的全生命周期管理，这个也得益于我们有自己的硬件研发团队和制造工厂。从设备出厂的身份证书制作，到设备激活、入网审批、状态监控、策略更新、设备停用及更换、设备移除等。考虑到边缘计算设备的运维特殊性，平台还支持设备内服务及应用的远程部署及OTA自动升级，减轻了运维人员出现场的负担。
问题4：我知道您是js06金沙的产品经理，从您的角度和经验，如果我是一个企业客户，我如何选择适合我的一个方案，有哪些标准或者建议吗？
零信任安全模型打破了传统的“网络边界防护”思维，把网络安全的专注点从单一的边界保护转移到公司内的每个端点和用户，这个IT建设过程并不是一件容易的事，需要涉及到企业高层领导的明确承诺和理解，以及熟知企业业务和核心资产的内部团队同IT团队一起配合完成。
1.第一步，就是将您的团队聚在一起，就启动零信任达成共识。根据具体共识来指定实施目标、以及实现这些目标的路线图。实现零信任并不代表要抛弃企业已经部署的边界防护产品。零信任是一个复杂的多系统配合的安全架构，其目的是实现“永不信任，始终验证”，因此企业已经部署的很多安全产品都是可以复用的。比如EDR（终端安全响应系统）、MFA（多因子身份验证系统）、TIP（威胁情报平台系统）等等。
您需要清楚的了解企业当前整个IT架构和业务系统，再去考虑如何实现零信任以及哪些技术和产品有助于实现这个理念。比如企业现在有哪些业务系统，类型是Web服务还是本地应用，用户是谁，他们如何连接到这些系统，他们使用什么平台及设备来访问这些系统，以及当前为了保护这些系统已经采取了那些安全措施。
2.选择适合您IT架构的零信任产品方案，以及评估零信任方案对当前系统的改造成本，及改造后的用户体验等问题。零信任没有银弹，基本不存在拿来就适合每个企业场景的标准产品。零信任建设需要提供适合企业IT架构、业务场景以及运维能力相对应的方案，同时还要兼顾用户体验和安全的平衡性。
举例来说，针对您企业的Web应用或本地应用，零信任需要采用不同的技术来保证其被访问的安全性。Web应用能否做到服务级别的访问控制，是否有自动加载水印等防数据泄露能力，是否支持对接钉钉或企业微信等工作台。本地应用是否实现了加密隧道传输，隧道建立跟VPN相比控制力度如何，稳定性如何，是否支持国密，能否做到隧道服务访问的MFA等。
上面说的是零信任产品的安全能力，还有重要的一个考虑因素是改造成本。不能说为了实现零信任保护，需要深度改造企业服务来适配你的零信任产品。大家知道企业服务很多都是公司花了重金、供应商做了很多定制化开发工作才做到了适合自己业务场景的。改造这些服务势必需要再投入大量资金，同时还会影响现有业务的正常运行，是性价比非常低的决策。如果零信任方案可以不改造企业服务本身，或者仅仅通过一些服务端的网络配置来适配零信任体系，对企业来说这样的零信任方案才是合理的，是值得考虑的。
3.零信任厂商的技术能力也是需要考虑的因素，包括针对企业IT架构的整体零信任规划能力，运维部署实施能力，定制化开发能力，以及售后技术支持及问题响应速度等都是值得考虑的点。比如大的安全厂商是否愿意为中小企业做零信任整体规划及定制开发？小的安全厂商是否有人力能做到大厂的运维SLA响应标准？这些都是挺重要的点，需要企业决策者来通盘考虑。
