企業實現功能時所需調用的數據在云時代越來越多,薔薇靈動公司認為以往防火墻解決南北向流量的安全手段難以復用,那么怎樣保障東西向流量的安全又成為一個新話題。薔薇靈動作為一家網絡安全公司——希望通過微隔離的手段幫助企業在云時代實現對數據中心的安全管理。
注:南北向流量即數據中心外部用戶和內部服務器之間交互的流量;東西向流量即數據中心內部服務器之間交互的流量。
微隔離-Micro-segmentation的定義是一種能夠適應虛擬化部署環境,識別和管理云平臺內部流量的隔離技術。薔薇靈動創始人嚴雷解釋道,微隔離要實現的是東西向流量的防御,對東西向的流量進行點到點的訪問控制。
薔薇靈動 圖一
微隔離的作用
薔薇靈動嚴雷曾舉例來描述過微隔離的作用,比如當一個用戶做一次簡單的互聯網訪問時,系統內部會進行非常多操作。當用戶點擊頁面,系統需要進行從外部頁面到內部系統的轉化,這個過程會產生對數據的請求,數據之間也許還需在多個數據庫中協同工作,然后再原路返回呈現結果。雖然整個過程對于用戶來說只是進行了一次訪問,但會在數據中心內部產生數十次調用。這些數據(即點和點)是以正交的方式相連,但由于沒有確定的關鍵路徑,所以無法通過防火墻的方式完成安全部署。并且基于防火墻的安全策略管理和隔離都發生在防火墻設備上,這些策略一般在防火墻上線部署時隨之一起配置,在整個防火墻的生命周期內一般不做調整。但在云計算時代,大量分散且獨立工作的控制點非常難以維護,導致了云使用者只能在安全和業務之間做出二選一的選擇,而微隔離可以解決這些問題。
薔薇靈動圖二
薔薇靈動基于白名單的微隔離策略實施方法
在薔薇靈動創始人嚴雷看來,微隔離是一個市場用語,更精準地技術表達應該是軟件定義隔離。這是因為這種技術和一切軟件定義的技術都有一個相似性——集中的策略管理和分散的策略執行。
在薔薇靈動的微隔離場景下,集中的策略管理是通過Agent的自學習功能,在策略管理平臺形成云計算業務拓撲,設置白名單策略。再具體點,這個策略管理不是面向資產來做,而是基于業務拓撲,設計一個通用的策略準則,每一個資產根據自己的情況來判斷自身是不是適用這個準則再進行計算。分散的策略執行是說控制點可以分散到每一個云內的資產上,二者結合構成一個軟件定義隔離的形態。
可以看出,薔薇靈動的微隔離所采用的策略是白名單,白名單相比黑名單安全性更高,但白名單策略只能在高度確定化的場景下使用。舉例而言,企業的辦公網絡是一個不確定的場景,因為辦公網絡上會連接許多個人設備,而設備上會安裝一些無法被掌控的個人軟件,這造成了辦公網絡的不確定性。但和辦公網絡不同,數據中心的每一臺服務器都有明確的使用方向,所以基于數據中心的云計算是一個高度確定化的場景,在此情況下使用白名單這種高安全性策略是可行的。
但接下來的問題是,黑名單的策略可以通過已知的惡意行為設計,但東西向流量的白名單策略往往難以設計。這是由于整個數據中心的業務經常由許多團隊分布式開發,彼此之間也會存在各種各樣的調用,所以企業常常也無法了解自己數據中心的內部調用關系。以往大家的一些做法是進行區域隔離,即把數據中心內部的服務器劃分成幾個大區,進行一些跨大區的檢查,但更精細的隔離手段無法實現。
薔薇靈動的方式是先解決業務分析的問題。該公司的業務分析是基于分散在每一個虛擬機或容器宿主機上的Agent,全局收集信息,依靠計算引擎繪制出完整的內部業務拓撲,從而生成基于業務學習的白名單策略。
薔薇靈動拓撲
在薔薇靈動看來,在后期學習生成業務拓撲之外還有另外一種方法——安全左移,指的是企業在研發的同時一并考慮網絡隔離的問題。這需要安全策略的設計者是業務研發人員,因為只有業務的研發人員了解軟件應用的業務調用關系,他們可以用策略管理語言寫明業務隔離要求,這種情況下業務可以和安全同時交付。
并且,由于安全策略的生成基于業務標簽而非具體資產(如服務器IP等),所以當云數據中心環境發生變化時時,薔薇靈動也可以根據這套策略自動調整,識別新的網絡參數變化(角色靠配置),自動配置安全策略,避免管理員手動配置。
而且為了確保策略的有效性,薔薇靈動將策略分為測試狀態和防護狀態。在測試狀態中,策略并沒有真實的部署在節點上,而是模擬策略計算展現可能的結果。只有真正驗證過后才會上線真正的策略,以避免破壞業務同時又保證效果真實。在防護過程中,薔薇靈動還會持續記錄東西向訪問,作為必要時的溯源工具。
薔薇靈動的微隔離服務能力
薔薇靈動嚴雷認為,目前使用微隔離技術管理東西向流量的難點在于計算量。由于數據中心內部的點和點之間呈現正交結構,所以計算的復雜度會隨著管理的體量增長而呈現指數性變化。一開始薔薇靈動只能管理數百點,現在通過回傳數據調整、數據庫分類存儲等方式可以達到單機管理2000點的水平,而通過集群部署方式,薔薇靈動可以支撐數萬點的微隔離服務能力。
目前,薔薇靈動主要服務于金融、能源、運營商等行業的頭部客戶。原因包括,首先小客戶由于業務并不復雜等原因,對基于業務進行微隔離的安全策略需求暫時還不明顯。然而大型客戶由于內部業務復雜,需求主要包括復雜場景下的業務流分析、海量的安全策略運維、混合架構的統一安全管理等。薔薇靈動可以通過基于業務的策略制定、自適應的安全策略以及統一架構的管理,幫助客戶滿足這些需求。其次,微隔離的實現難點在于計算量,服務大型客戶有利于幫助薔薇靈動積累大規模線上場景。
薔薇靈動大規模線上場景
在薔薇靈動嚴雷看來這也是公司在市場中的一個優勢——薔薇靈動是首批將微隔離理念引進國內的企業,先發的技術優勢可以幫助其拿下更多的大型客戶,而大型客戶又能幫助薔薇靈動不斷優化計算方式,積累服務大規模場景的經驗。
薔薇靈動于2017年開始商業化探索,2019年營收達到千萬級別。2020年為了推廣之前積累的成功經驗,薔薇靈動在深圳、上海設立新辦事處服務各行各業的大型客戶。
團隊方面,薔薇靈動CEO 嚴雷先后歷任JUNIPER北京研發中心高級工程師、網康科技產品市場總監、遠江盛邦CMO,CTO陳天航曾任網康NGFW架構師,曾是國內最早的X86萬兆防火墻的主要開發者。團隊目前約有50人,員工此前大多擁有網絡安全行業背景。
