|
随着网络混合办公让传统内网边界逐渐失效，员工随时随地接入、业务暴露面扩大、横向移动风险上升。今天梳理企业如何以零信任思路重新设计防护，兼顾安全与访问体验。 一、边界失效带来的三重安全挑战 过去二十年，企业安全主要依赖城堡与护城河模型——在办公网络边界部署防火墙，默认进了内网就是可信的。这套逻辑成立的前提是：员工在固定工位办公、业务系统集中在自建机房、访问行为可预测。而混合办公的普及，正在逐一瓦解这些前提。 第一重挑战是业务暴露面显著扩大。当员工通过家庭网络、公共 Wi-Fi、移动设备访问企业资源时，原本收敛在防火墙之后的业务系统，不得不面向公网开放入口。每一个对公网暴露的端口、每一个 VPN 接入点，都可能成为攻击者试探的突破口。据研究，混合办公的采用率持续攀升，已成为企业的主流办公模式，边界的模糊化已成为普遍现实。 第二重挑战是横向移动风险升高。传统模型下，网络病毒一旦突破边界进入内网，便能在信任区内相对自由地移动，访问其他主机和数据。相当比例的数据泄露事件涉及人的因素，而传统防火墙对内网流量几乎不做深度检测，难以阻断这种横向扩散。 第三重挑战是内部威胁与终端失陷更难管控。员工终端分散、设备状态参差不齐，个人设备往往缺乏企业级安全加固，成为攻击者进入内网的跳板。威胁不再来自单一的边界外部，而是分布在每一个接入点和每一台终端上。 二、传统 VPN 式加固为何难以根治 面对边界失效，不少企业的第一反应是给 VPN 打补丁：升级 VPN 网关、增加多因素认证、收紧访问策略。这些措施能缓解一时，却难以从根本上解决问题。 原因在于 VPN 本质上仍是边界延伸思路——它把内网的信任边界通过网络隧道延伸到员工家中，一旦隧道建立，用户在内网中的访问范围往往缺乏细粒度限制。VPN 网关本身也成为高价值攻击目标，漏洞一旦被利用，影响面较大。此外，VPN 通常授予用户较宽泛的网络层访问权限，无法做到只允许访问某个具体应用的最小权限控制，与混合办公下按需、按应用授权的需求存在差距。 可以说，VPN 加固是在旧框架内做加法，而混合办公带来的挑战是框架性的，需要的是防护理念的整体升级，而非单点能力的堆叠。 三、重新设计防护：零信任的三条主线 零信任的核心思想可以概括为一句话：永不信任，持续验证。它不再以网络位置作为信任依据，而是对每一次访问请求都进行身份验证、授权和持续监控。落到无边界办公的防护上，可以梳理出三条主线。 第一条主线是持续信任评估。系统不再在登录时做一次判断就长期放行，而是结合用户身份、终端健康状态、访问环境、行为特征等因素，对每一次访问进行动态评分。当终端出现异常、访问行为偏离基线时，信任等级随之变化，访问权限也相应调整。这种边访问边评估的机制，把防护从静态的一次性关卡，升级为贯穿整个访问过程的动态过程。 第二条主线是动态访问控制。在持续评估的基础上，系统依据最小权限原则，只授予用户完成当前工作所必需的应用访问权限，并能在风险上升时即时收缩甚至撤销授权。这样一来，即便某个账号凭证泄露，攻击者能触及的范围也被限制在很小的区间内，横向移动的空间被大幅压缩。 第三条主线是网络隐身。与其把业务系统暴露在公网等待被扫描攻击，不如让后端应用的真实地址对客户端不可见。通过 SPA 单包授权（Single Packet Authorization）技术，只有经过授权的客户端才能与网关建立连接，未授权流量在网关层面即被丢弃，企业内网 IP 和应用端口不对外呈现。配合连接器反连的方式，业务系统无需直接暴露于互联网，即可让用户通过客户端或浏览器安全访问。 四、落地零信任接入的三个关键动作 把上述思路落到实际部署中，企业可以关注三个关键动作。 其一，用连接器反连替代业务直连公网。在 SaaS 交付形态下，连接器部署在业务侧（通常位于 DMZ 区）并反向连接到部署于云端的零信任安全网关，打通业务资源到网关的通道。这一部署动作把原本面向公网的业务入口收回到受控通道内，是落地网络隐身、降低被扫描和被攻击概率的关键一步。 其二，用多协议代理覆盖各类业务。零信任安全网关支持 3 层 IP 代理、4 层 TCP 代理、7 层 Web 代理，能够适配 OA、Mail、ERP、H5 应用等多种类型的应用访问，基于自研高性能传输协议为用户提供稳定的加密访问通道。企业无需为不同业务分别部署网关，即可统一对外发布、统一管控。 其三，兼顾有端与无端访问场景。出于安全与业务稳定考虑，通常建议用户安装零信任客户端，客户端可实时监测终端安全环境、上报终端信息并执行安全策略。同时，在部分无法安装客户端的场景下，也支持无端访问，帮助企业在保证安全的前提下覆盖更多接入终端。 五、选型与部署的现实考量 零信任防护的落地，还需要结合企业自身的交付偏好与规模来权衡。在交付形态上，既有基于云端部署、开箱即用、支持自动更新的 SaaS 版本，也有本地化部署、数据不出企业、适合高合规要求行业的私有化版本，两者底层架构与使用形态一致，可按需灵活选择。 在带宽与并发上也需要提前规划。套餐内包含的共享网关可提供上限 10Mbps 的访问带宽，若业务访问带宽需求较高，建议另行选购独享带宽的云网关；同时，并发访问账号数受所购买账号上限约束，超出部分会受到访问限制。企业在规划阶段就应结合员工规模与访问峰值，合理配置端点数、账号数与网关带宽，避免上线后出现体验瓶颈。 内网边界的失效，不是安全的终点，而是防护思路升级的起点。与其执着于把边界修得更厚，不如转向以身份为中心、以验证为常态的零信任架构，从持续信任评估、动态访问控制到网络隐身，逐层重建无边界环境下的安全能力。对于正在推进混合办公的企业而言，这既是应对当下挑战的现实选择，也是面向未来的安全底座。
| 
雷达卡
发表于 2026-9-9 08:27:57
【VIP专属】提升卡
【VIP专属】置顶卡
【VIP专属】沉默卡
【VIP专属】变色卡
千斤顶
闽公网安备35090202000370号