九游老哥云
RSA立异沙盒盘货｜Axis Security：让零信托更简朴
2021-05-17
RSAConference2021将于旧金山时间5月17日召开，这将是RSA大会有史以来第一次接纳网络虚拟聚会的形式举行。大会的Innovation Sandbox（沙盒）大赛作为“清静圈的奥斯卡”，每年都备受瞩目，成为全球网络清静行业手艺立异和投资的风向标。
前不久，RSA官方宣布了最终入选立异沙盒的十强首创公司：WABBI、Satori、Abnormal Security、Apiiro、Axis Security、Cape Privacy、Deduce、Open Raven、STARATA、WIZ。
九游老哥君将通过配景先容、产品特点、点评剖析等，带各人相识入围的十强厂商。今天，我们要先容的是厂商是：Axis Security。
1 公司先容
Axis Security于2018年由Dor Knafo和Gil Azrielant建设，是一家注册在美国加利福尼亚州的零信托首创公司，现在已经由4轮融资，累计获得近一亿美元投资。Axis Security的两位首创人是以色列赫兹利亚跨学科研究中心（IDC Herzliya）的校友，Dor Knafo曾在以色列国防军担当高级软件工程师，后进入赛门铁克任高级研究员；Gil Azrielant则曾在以色列国防军8200步队服役。
Axis Security致力于提供简朴快捷的零信托解决计划，资助客户快速落地零信托，阻止虚拟专用网络（VPN）保存的清静危害。
2 配景先容
在对Axis Security的产品及相关手艺举行剖析之前，我们首先先容一下“零信托”的看法。零信托是一种新的网络清静防照顾护士念，而非详细的某个手艺或产品。
在古板的网络清静看法中，企业网络有内外网之分，两者之间有一条清晰的界线，界线内通常被以为是更清静的，界线外则是未知、充满危害的。然而，随着科技的生长和网络架构的演进，人们发明这样的“界线信托假设”保存缺陷——外网虽然是充满危害的，但内网却纷歧定就是清静的，同样会有威胁。太过信托、依赖这样的界线划分可能导致严重效果，例如，外部的攻击者突破内网后可以容易地举行横向移动、内网周游；内部的攻击者则能够容易地提倡攻击。
面临这些问题，在2010年，时任Forrester剖析师的John Kindervag提出了零信托（Zero Trust）的看法。零信托强调默认的信托是不保存的，网络位置不再决议会见权限，每一个请求，无论来自那里，都要经由检查，确认拥有正当授权。
厥后，Google于2011年率先最先实验基于零信托模子建设网络清静架构的项目BeyondCrop[2]，并于2017对外宣布完成，BeyondCrop普遍应用于Google员工的一样平常办公。
2014年，国际云清静同盟（Cloud Security Alliance，简称CSA）宣布了《软件界说界线（Software Defined Perimeter，简称 SDP）标准规范 1.0》，SDP与零信托网络的理念是一致的：
1. 无论用户和服务器资源在什么位置，确保所有资源会见是清静的。
2. 纪录和检查所有的流量。
3. 关于所有授权执行最小权限原则。
2019年，美国国家标准与手艺研究院（NIST）宣布了《零信托架构》草案，于2020年再次修订，并于同年正式宣布（NIST.SP.800-207）。
凭证《零信托架构》[4]，零信托是一种以资源�；の沟愕耐缜寰卜妒�，其条件是信托历来不是隐式授予的，而是必需举行一连评估。零信托系统架构是一种端到端的企业资源和数据清静要领，包括身份(人和非人的实体)、凭证、会见治理、操作、端点、宿主情形和互联基础设施。零信托要解决的要害问题是避免未经授权会见数据和服务以及使会见控制的实验尽可能细腻。
零信托架构的焦点逻辑组件如下图所示：
如欲相识更多关于零信托的信息，可以参考NIST.SP.800-207《零信托架构》标准文献。
作为一家零信托解决计划提供商，Axis Security现在的主打产品（也是唯一产品）名为Application Access Cloud，直译过来就是“应用会见云”。从这个名字似乎还不可够准确得生产品的功效，我们团结官网的示意图来剖析一下：
上图左侧描绘的是古板VPN的使用场景，种种终端通过VPN接入企业的云和网络；右侧则描绘了终端通过Axis Cloud接入企业的云和网络。
凭证官方的说法，Application Access Cloud是一个应用层零信托清静会看法决计划，安排简朴，功效强盛。该计划不要求改动原有的应用、服务器或网络，也不需要改动用户侧终端或在终端侧安排agent，只需要在资源侧安排一个Connector与Axis Cloud即可。该Connector实质上是一个反向署理[5]。所有零信托会见功效均由Axis Cloud和Connector完成，终端通过Axis Cloud会见到营业资源。值得注重的是，Connector是容器化的[5]，便于在Docker或Kubernetes等云原生情形中安排。
终端侧无agent（agentless）确实镌汰了许多贫困和开销。事实上，agentless是相对而言的。凭证首创人Gil Azrielant的说法，agentless笼罩了主流服务，如Web服务、RDP服务、SSH服务、Git服务和数据库服务等。若是终端只需要会见这些服务，就不必装置agent。装置agent则允许终端会见险些任何形式的网络服务。这两种方法（装置agent与否）提供的服务是互补的。
Axis Cloud自身安排在包括Google Cloud、AWS等在内的多家公有云上，这种安排方法提高了整个系统的稳固性，阻止单个云服务商故障导致的营业中止，同时也提高了差别区域用户的会见速率。
Application Access Cloud提供了控制台界面，从该界面中可以清晰地看到各个终端对应用的会见情形：
除此之外，还能够针对特定用户对特定应用的详细操作——下令行、屏幕截图等——举行审查：
Application Access Cloud提供了易于明确的战略和清静战略界说方法，便于用户自界说清静战略：
4 产品特点
作为一种基于云的零信托解决计划，Application Access Cloud能够确保企业员工从任何地方清静会见，并具有简朴的云迁徙流程。
4.1 确保员工能从任何地方清静会见
无论员工在哪，Axis Application Access Cloud都能向其提供企业应用和资源的会见服务。员工只需几分钟即可完成设置，不需要修改终端侧的网络或装置客户端软件。企业可以通过中心化的云控制台治理所有的用户、应用和战略。与网络层的解决计划差别，Axis提供完全的可视察能力和应用层级别的细粒度用户运动控制。Axis通过将应用与用户、终端和互联网隔离，阻止应用遭受攻击。
4.2 简朴的迁徙流程
在零信托建设历程中，企业通常很是体贴营业一连性。Axis Application Access Cloud提供可扩展的企业级服务，减轻企业已有网络资源的事情负载。使用Axis能够减小主要资源被随意会见的危害；集中会见治理计划阻止了企业基础设施的重新设置。
5 总结
Axis Security提供的Application Access Cloud解决计划依托于云盘算，终端侧实现agentless，应用服务侧只需安排connector，大大镌汰了企业从古板VPN接入方法向零信托网络迁徙的手艺阻碍。这些手艺转型历程中的阻碍也正是许多企业迟迟没有转向零信托的主要缘故原由。Axis Security的官方网站上提到，凌驾54%的组织不知道怎样最先落地零信托。因此，从手艺角度而言，Axis Security提供的计划降低了零信托的应用门槛，关于想要用零信托解决VPN带来的弊病的企业来说十分具有吸引力。
然而，笔者注重到Axis Security的零信托计划与老牌CDN服务商Akamai宣布的Enterprise Application Access零信托解决计划[6]在架构和功效上具有一定相似度。怎样找到并确定自己的立异性及手艺上的领先优势，继而将优势坚持下去，关于Axis Security这样的首创公司来说十分主要。
从另一个角度来看，Axis Security提供的是基于公有云云盘算的零信托会见服务，这是否会给潜在客户带来其他记挂？公有云的引入，意味着企业必需将所有会见流量转移到第三方，而非自己采购、安排的零信托软硬件装备。企业必需仔细相识在云盘算“责任共担模子”[7]中自身、Axis Security和公有云厂商各自的权力和责任，充分评估潜在危害及危害触发后的损失及求偿可能性。
除此之外，Axis Security的多云安排形态可能会使情形变得越发重大——多云安排诚然提高了系统的鲁棒性，可是差别的公有云厂商提供的清静防护能力及防护水平可能差别，责任模子也会有些许差别。企业只需要与Axis Security对接？照旧要充分考察Axis Security依赖的每一个公有云厂商，确保其提供的服务知足自己的清静品级需求？
最后，天下各国和组织都在相继出台或完善数据清静标准及规则，这些标准规则细则不尽相同，如欧洲通用数据�；ぬ趵℅DPR）、中国《数据清静法（草案）》等。Axis Security能否知足各地区的数据清静规则要求？这也是企业需要思量的问题。
总的来看，“零信托”的看法已经保存了十年，但这一手艺理念在现实中的落地却是缓慢的。Axis Security以精练优雅的方法解决了企业的手艺痛点，具有很大立异性和价值。若是能作废企业在其他方面的记挂，也许能将许多古板行业变为他们的客户，大大推动零信托的落地历程。
