據(jù)華爾街日?qǐng)?bào)報(bào)道，Google在自身企業(yè)安全實(shí)踐方面邁出了大膽的一步，搜索巨頭正在將自家的企業(yè)應(yīng)用搬到互聯(lián)網(wǎng)上。也就是說(shuō)，不再將自身的企業(yè)應(yīng)用置于防火墻等安全設(shè)備的保護(hù)之下，不再有內(nèi)外網(wǎng)之分。

　　Google的這項(xiàng)行動(dòng)計(jì)劃名為BeyondCorp。其基本假設(shè)是，內(nèi)部網(wǎng)絡(luò)實(shí)際上跟互聯(lián)網(wǎng)一樣危險(xiǎn)。因?yàn)?）一旦內(nèi)網(wǎng)邊界被突破，攻擊者就很容易訪問(wèn)到企業(yè)內(nèi)部應(yīng)用。2）現(xiàn)在的企業(yè)越來(lái)越多采用一旦和云技術(shù)，邊界保護(hù)變得越來(lái)越難。所以干脆一視同仁，不外區(qū)分內(nèi)外網(wǎng)，用一致的手段去對(duì)待。

　　這種訪問(wèn)模式要求客戶端是受控的設(shè)備，并且需要用戶證書來(lái)訪問(wèn)。訪問(wèn)有通過(guò)認(rèn)證服務(wù)器、訪問(wèn)代理以及單點(diǎn)登錄等手段，由訪問(wèn)控制引擎統(tǒng)一管理，不同用戶、不同資源有不同的訪問(wèn)權(quán)限控制，對(duì)于用戶所處位置則沒(méi)有要求。也就是說(shuō)，無(wú)論用戶在Google辦公大樓、咖啡廳還是在家都是一樣的訪問(wèn)方式，過(guò)去從外網(wǎng)訪問(wèn)需要的VPN已經(jīng)被廢棄。而所有員工到企業(yè)應(yīng)用的連接都要進(jìn)行加密，包括在辦公大樓里面的訪問(wèn)。可以說(shuō)，Google的這種模式已經(jīng)徹底打破了內(nèi)外網(wǎng)之別。

　　在這種模式下，信任關(guān)系從網(wǎng)絡(luò)層面遷移到了設(shè)備層面。員工只能通過(guò)公司提供和管理的設(shè)備訪問(wèn)企業(yè)應(yīng)用。Google還會(huì)跟蹤發(fā)放給員工的這些計(jì)算機(jī)和移動(dòng)設(shè)備的情況及變動(dòng)。

　　設(shè)備鑒權(quán)通過(guò)之后，接下來(lái)就是對(duì)用戶的安全認(rèn)證。Google用一個(gè)用戶級(jí)群組數(shù)據(jù)庫(kù)來(lái)跟蹤管理所有的員工。這個(gè)數(shù)據(jù)庫(kù)還會(huì)跟人力資源管理掛鉤起來(lái)，員工的入職、離職或者調(diào)動(dòng)均會(huì)引發(fā)數(shù)據(jù)庫(kù)的相應(yīng)改動(dòng)。單點(diǎn)登錄系統(tǒng)（SSO）則是用來(lái)跟用戶數(shù)據(jù)庫(kù)聯(lián)動(dòng)，以生成對(duì)特定資源的短期授權(quán)。

　　對(duì)用戶或設(shè)備的訪問(wèn)級(jí)別也可以隨時(shí)改變。比方說(shuō)，如果某用戶的操作系統(tǒng)未更新的話信任級(jí)別可能就會(huì)下降。同樣的，不同型號(hào)的手機(jī)的受信任級(jí)別也會(huì)不一樣。而如果員工突然在此前沒(méi)見(jiàn)過(guò)的位置訪問(wèn)企業(yè)應(yīng)用的，可能會(huì)拒絕他訪問(wèn)某些資源。

　　目前Google正在進(jìn)行移植工作，最終目標(biāo)是整個(gè)公司都采用這一模式。相對(duì)于大部分企業(yè)的安全管理來(lái)說(shuō)，Google的這種模式的確有些驚世駭俗，但無(wú)疑代表了未來(lái)的企業(yè)安全方向。

　　本文參考了多個(gè)信息來(lái)源：