第六章 将零信任控制扩展到网络之外
第六章 将零信任控制扩展到网络之外
在当今的网络中，用户、设备或应用程序可能从任何位置连接，这改变了安全范式。旧有的基于边界的安全模型关注位置：用户从哪里连接？应用程序托管在哪里？服务器安装在哪里？本章将介绍为什么安全必须不断演进，以保护位于任何位置的用户、设备和应用程序。
本章概要：
- 适应新的工作现实
- 为应用程序访问实施零信任
- 确保终端、网络和云安全
保护新的混合办公队伍
多年来，企业一直在逐步支持移动和远程办公，但全球疫情迫使许多公司几乎在一夜之间将大部分员工转为远程办公。即使组织开始让员工重返办公室，也必须重新思考办公环境，为一种新的现实做好准备：长期支持远程或混合式的居家办公（Work From Home，WFH）和随处办公（Work From Anywhere，WFA）模式。
提示
根据皮尤研究中心的一项调查，54% 的在职成年人表示，希望在新冠疫情结束后始终或大部分时间居家办公。
远程和混合办公模式的加速普及，使需要保护的设备和位置大量增加。随着数字攻击面扩大，越来越多的应用程序、设备、数据和用户暴露在风险中。了解并控制流经这些广泛分布环境的流量至关重要。
WFH/WFA 同时需要连接性与安全性。员工履行工作职能所需的应用程序可能托管在本地数据中心、私有云或公有云中，因此用户识别、身份认证、授权和访问权限都至关重要。
注
Remember
在公有云中，应用程序可以作为软件即服务（SaaS）产品托管，也可以作为平台即服务（PaaS）和/或基础设施即服务（IaaS）工作负载运行。
为了安全实施 WFH/WFA，越来越多的组织开始考虑零信任访问（ZTA）。ZTA 限制用户和设备对网络的访问，从而提供身份保障；零信任网络访问（ZTNA）进一步将用户和设备的访问范围限制在其完成工作所需的应用程序。结合 ZTA 与 ZTNA 可以增强公司的安全态势。
从 WFH/WFA 的出站流量角度看，安全访问服务边缘（Secure Access Service Edge，SASE）解决方案通过保护网络上任何位置、任何设备上的任何用户，为不同运行环境中的员工、客户与合作伙伴提供安全访问。云访问安全代理（Cloud Access Security Broker，CASB）是 SASE 的关键组成部分，位于用户（远程员工）与云应用程序之间，可用于监控活动并实施安全策略。
相关信息
Technical Stuff
SASE 是一种云交付服务，将网络和安全功能与软件定义广域网（SD-WAN）能力相结合，以满足当今混合型组织动态、安全的访问需求。从概念上讲，SASE 将网络与安全能力扩展到传统部署位置之外，使用户无论身处何地，都能利用 ZTNA、CASB、防火墙即服务（FWaaS）、安全 Web 网关（SWG）以及各种威胁检测功能。
提示
Case Study
银行将员工迁移到安全的远程环境
Banco Fibra 成立于 1988 年，是一家批发银行，为巴西企业提供精准、透明和高效的服务。其业务策略侧重于服务各行业及农业领域的大中型企业。Fibra 由人才驱动，同时高度依赖技术；两者结合，确保为客户提供敏捷、灵活的定制业务解决方案。
信息安全是 Banco Fibra 的首要任务。作为金融机构和网络攻击的潜在目标，公司一直谨慎保护客户数据的完整性与机密性，以维护客户信任。出于这一关切，银行数年前便启动了转型之旅，而这对公司在商业世界全新的数字环境中确立战略地位至关重要。
挑战
在新冠疫情隔离措施实施之前，Banco Fibra 已经是 Fortinet 客户，并使用 FortiGate 和 FortiClient 解决方案。银行最初计划利用这些解决方案提供网络和终端安全，并提高运营效率。面对前所未有的局面，银行获得了充分利用这些解决方案功能并快速将员工迁移到远程模式的机会。
新远程办公模式完成初始设置后，银行还需要进行许多调整，以满足员工的技术需求，尤其是定义用户画像、确保安全访问和适当的应用性能。另一个挑战是在 VPN 上运行软电话解决方案。确保软电话的性能非常重要，因为该方案与银行用于客户服务和监控客户体验的客户关系管理（CRM）应用程序集成。
解决方案
Banco Fibra 利用现有安全解决方案，在数日内完成所需虚拟专用网（VPN）的部署。不到 10 天，银行便建立了远程办公环境，并配置了适当的策略、访问规则和用户身份认证等功能。
业务影响
- 迅速将团队转为远程办公模式，确保银行业务在新冠疫情期间持续运行
- 在远程办公环境中维持高质量客户服务
- 将银行办公室的高水平安全保护扩展到 350 名员工的家中
- 为进一步推进银行数字化转型奠定基础
银行目前正在考虑扩展 VPN 解决方案，以获得更强的冗余性和可用性。另一个项目是将安全边界扩展到数据中心，以原生安全的形式提供更强的可扩展性，并更好地利用云资源。
改善应用程序访问与安全
在零信任模型中，应用程序访问按会话控制；无论从远程位置还是企业网络连接，每个用户和设备都必须经过验证。
应用程序访问权限应映射到个人角色，仅向用户开放完成指定工作职能所必需的应用程序。无论应用程序运行在本地数据中心还是云环境中，都要实施零信任。
注
Remember
第二章讨论的零信任访问（ZTA）侧重基于角色的网络访问控制（RBAC）；第五章讨论的零信任网络访问（ZTNA）则负责代理用户对应用程序的访问。
零信任应用程序访问与安全解决方案能够：
- 针对每次应用会话验证用户和设备
- 根据策略控制用户对应用程序的访问
- 无论用户身处何地，均实施应用访问策略
- 在用户与 ZTNA 代理点之间创建安全的自动连接
- 与物理防火墙、虚拟设备和安全访问服务边缘（SASE）平台协同工作
向终端、网络和云交付安全服务
数字化转型计划和员工移动化趋势（包括 WFH/WFA）改变并扩大了企业攻击面，形成了新的攻击向量，网络内外的威胁行为者均可加以利用。全面的零信任安全策略必须把稳健的企业安全服务扩展到终端、企业网络以及私有云和公有云。
注
Remember
攻击面不断扩大的主要原因之一，是访问网络的 IoT 与智能设备激增。面对涌入网络的大量设备，安全团队往往缺乏可见性。零信任方法使组织能够识别并保护访问网络的未知 IoT 终端和设备。在 ZTA 解决方案中，集成式终端可见性、细粒度控制、高级防护，以及基于策略和上下文的终端评估能力共同协作，确保组织免受受感染设备的威胁。
组织可以实施 ZTNA 框架，对所有连接网络的设备进行识别、分段和持续监控，从而淘汰高风险的扁平网络，确保内部资源持续受到保护，并保障数据、应用程序和知识产权安全。该策略不仅能降低传统边界安全带来的风险，还能提高对网络外设备的可见性与控制能力，同时简化整体网络和安全管理。
注意
随着攻击变得日益复杂和高级，传统基于边界的安全方法已不再充分。视威胁的性质和复杂程度而定，组织安全基础设施中的任何单一节点都无法洞察威胁的所有方面。ZTA 确认连接网络的用户与设备身份，并确保其只拥有执行某项职能或工作所需的最低访问权限。
为支持不断演变的数字化转型需求，组织越来越依赖混合云与多云环境。根据 Fortinet 的一份报告，76% 的受访组织表示至少使用两家云服务提供商。同样，《Flexera 2021 云状态报告》发现，92% 的企业制定了多云策略，80% 制定了混合云策略；受访者的环境平均使用 2.6 个公有云和 2.7 个私有云。因此，应用程序可能位于任何地方——从本地、分支机构和数据中心到云端。随着 WFH/WFA 时代到来，组织正在重新思考如何保护本地和云端的网络边缘。
更新历史
| Ver | Description | Author | Rev | Date |
|---|---|---|---|---|
| 1.0 | First Complete | ysheng | tanga | 2026.08.26 |
| 0.1 | Draft Version | - | - | 2026.08.04 |