重定义边界网络安全：混合才是未来

随着信息进一步涌向云端，边界安全的角色正在发生改变，逐渐成为网络安全多维解决方案的一部分。

边界防御的出现，跟服务器本身一样古老。说出边界防御这词儿，脑海中就会自然浮现这么一幅图景：上锁的房间中，一排排超大型机柜在嗡嗡作响，还有防火墙将机器与外部世界隔离开。但除非你在为CIA干活，否则这场景不太可能是你的日常所见。相反，你保护的数据存于云端，通过笔记本电脑和手机满世界流动。API接入，电子邮件发出。当信息遍布各处，安全也必须无处不在，让那些还记得服务器真身的人疑惑，现在还会有边界防御这种东西吗?

一、从边界到授权

边界是个非常局限的想法，在一个充满WiFi和云的世界中，这种东西早已七零八落了。情况变了，我们一贯倚赖的边界，不再那么可靠。在以前，IT人员可以说，如果你在我们的网络上——在我们硬线连接的物理网络上，那就有安全协议;如果你跟我们的网络物理连接，我们可以信任你。

云时代以前，边界受到杀毒软件扫描或终端防护工具之类内部防御的强化。但时移世易，如今仅靠边界本身已不足够。只要进入内部，简直为所欲为。这就像是因为锁了大门就不再使用保险箱一样。如此看来，最佳实践一直没变：安排“后卫”一向都是个好想法。

然而，我们越快摒弃边界这种想法越好，因为它会给人一种虚假的安全感。在一个员工分布各地，用各种设备工作的世界里，边界已经不存在了。如今，是授权而非防火墙，才是防止员工凌晨2点从拉斯维加斯登录公司银行账户的。授权一直以来都被认为是种内部防御。

无论捕获从赌城登录行为的是何种安全措施，这种非正常的登录是很明显的。但对于美国肯塔基丹维尔市的私立中心学院来说，凌晨2点从伦敦、上海和斯特拉斯堡登录都是可以的。其85%的学生至少会有一次海外学习经历，可以登录该学院的学习管理系统、电子邮件系统和校园内网，无论他们身处何地。

二、基于身份

与任何一所学院一样，中心学院的数据链从高中生联系招生办就开始了，贯穿4年大学学习生涯，然后是毕业生的余生。于是，从在校生社会安全号到毕业生捐款银行信息，所有的一切都需要保护好。另外，与所有用人单位一样，雇员信息也在需保护的数据之列。

中心学院更依靠边界防御来保护数据，而不是跟着趋势预测走：几年前，所有文章都说“边界已死，不用管防火墙了”。这一理念流行了一段时间后，“哎呀，你真的还需要照看好防火墙哦。千万别忽视了它。”幸运的是，边界安全起起落落，但防火墙、入侵检测系统和入侵预防系统从未在中心学院失去它们的地位：包含雇员及学生个人可识别信息(PII)的企业资源规划(ERP)软件，依然处于传统边界罩护之下。

当然不是所有东西都有边界包围，也不应该有。就以学院剧场为例，该剧场的SaaS票务平台，就是来自具备自身安全措施的供应商。学生电子邮件也不再身处边界之后，4年前就已迁移到了微软 Office 365 上。然后还有其间流转的全部信息，比如学院网站centre.edu的代码。

反正该网站上没什么东西是真心不想公开的。重要的不是防止数据渗出，而是保护网站不被黑。最后，大多数数据由混合系统防护，托管在学院通过云来访问的物理服务器上。这些服务器有实地边界防御，还有内部防御保护其连接。

中心学院的这种操作就是明证，证明边界正在改变。边界和内部安全正演变成为可在内部、云端或二者之上运营的多层防御。边界不仅仅是物理边界，这一概念随着时间推移而发生了改变。

回到之前提出的凌晨2点从赌城登录公司银行账户的例子，仅仅基于登录地点的安全措施显然还不够好。安全需要基于你的身份，以及你在特定时间点上想要做的事。

三、边界依然存在 只是更加层次化

因此，安全的未来不在于边界或内部，而是多层面防御。没什么解决方案能覆盖完全，但有很多不同层次的权限会随时间改变。

正如原始边界防御表征“通过的一定是良性的”，深度防御能够处理不同用例，并有效创建“安全区”——类似机场。于是，这并不是说用边界阻隔外客，用内部防御避免进入之后的麻烦，而是要在一个更高更细化的层次上评估数据和权限。

中心学院向这一新现实的转变速度被人为放缓，IT部门预计要用10到12年。因为他们并非占在新兴技术的前沿，他们也庆幸自己没有处于这个“边缘”位置。该学院的安全方法也反映出了自身理念——不仅仅是为了赢得内部买入预算的时间，也是为了做出最有利于学院的决策。

边界确实存在，只是发生了变化，更加层次化了。

无论你在哪儿工作，无论环境有多先进，很多地方实际上发现，自己安全方法的迁移，不过是为了把信息再放回到边界之内。不管你是福特汽车公司还是中心学院这种小组织，你做的决定都必须考虑到，什么才是对公司使命真正重要的东西。