蔷薇灵动严雷:以新视角阐述零信任与微隔离关系

在蔷薇灵动严雷看来,首先,零信任是一种方法论,它定义了一种安全管理的新的视角。它不是一个产品或者说一个技术。也就是说您买不到一个叫零信任的产品,您只能买到帮您实现零信任的某种要求的产品。

其次,零信任是一个过程,或者说是一个方向。它不是一个静态的标准,或者说状态。零信任的建设应该是一个持续的,逐渐深入,逐渐优化的过程,也是一个在安全与业务之间的一个平衡的过程。

最后,零信任是个广泛适用的方法论,也就是说它可以应用于整个计算架构的各个方面,在每一个细分的环境,每一个具体维度上都可以利用零信任的方式来做管理,而不是像谷歌那样将之应用于办公网,面向员工的身份进行管理。

蔷薇灵动

从图中可以看到,零信任可以作用于人,设备,网络,工作负载等所有有数据流动的主体上。事实上,相较于办公网而言,数据中心是更容易实现零信任的场景,也是有着更多核心业务和关键数据的地方,因此可以成为我们开展零信任建设的起点。

微隔离在零信任网络中的地位和价值

对于数据中心网络而言,具体的产品技术是什么呢?一个是SDP,一个就是微隔离。事实上微隔离技术是最早的一种对零信任这个概念的具体技术实现。Forrester在2019年Q4的报告中对此也有分析。

蔷薇灵动零信任

通过对Forrester报告的分析,大家不难理解微隔离之于零信任的价值。因为微隔离要实现的核心能力就是两条,数据中心内工作负载之间的流量可视以及访问控制。大家可以回头再看看前面那张图,零信任能力本质上就是俩能力,一个是看得尽量多,一个是管得尽量细。而恰恰这就是微隔离主要在做的事情。领先的微隔离产品,能够做在十万点级别的数据中心内做到容器间流量的识别与访问控制,甚至能做到基于进程的访问控制,这个细粒度正是零信任所要求的。

微隔离技术的当下和远方

作为微隔离技术在国内最为积极的倡导者,也是目前唯一一家只做微隔离这一件事的厂商,蔷薇灵动做了很多的微隔离项目,服务的客户包括三桶油,五大行,三大运营商,平安、京东等等云计算领域最领先的行业领导者。关于微隔离的具体应用,蔷薇灵动可以用“多快好省”来概括:

多:跟得上用户计算密度膨胀的脚步。蔷薇灵动严雷曾表示,微隔离就是要跟得上用户计算密度膨胀的脚步。微隔离要回答的是点和点之间的关系问题。从算法复杂度的角度讲,他与所管理的点数之间是个n的平方的关系。然后再随着时间的累积,这个数量级就接近了n的3次方了。这意味着什么呢,如果管理规模扩大一倍,那么对算力的要求会扩大8倍。所以对于大规模网络的支撑是微隔离最重要的一个技术难点。

这里一定要注意一个区别,不是说你能够部署安装多少点,而是说你能不能把这些点之间的关系完整、准确、实时地分析出来。目前,蔷薇灵动的微隔离技术可以实现用三台云主机作为算力,来支撑万点级别的场景,根据Illumio的公开资料,他们要支持一万五千点的时候,就需要6台专用的高主频物理服务器。可以想象百尺竿头更进一步会有多难。而这个能力,相较于我们用户计算体量的膨胀速度而言还是不够。

蔷薇灵动防火墙

过去评估防火墙的最主要指标是吞吐量,包括延迟,每秒新建,并发等等指标。而微隔离技术的核心指标就在于它能够管理的工作负载的规模。

快:跟得上微服务架构飘渺的跑位。蔷薇灵动认为,容器在计算密度膨胀这个过程中扮演了非常重要的角色。一个方面,K8S的成熟和便捷,以及对于DEVOPS理念的良好支撑,使得越来越的客户在快速的拥抱容器。但是,从另一个方面,这也对各种运维技术提出了很严峻的挑战。就微隔离技术而言,一个非常大的挑战是策略计算速度问题。

微隔离是一种典型的软件定义安全结构。在K8S的环境下,由于容器的创建和销毁非常方便,使得容器的生命周期往往非常短,甚至只有几分钟。这就对策略计算的速度提出了很严格的要求,再加上往往容器环境的体量都非常巨大,就让这个策略计算的难度更高了。

好:企业级产品必须具备企业级特性

企业级产品的功能特性,符合冰山模型。我们能够看得见摸得着的功能大概只占整个产品功能的10%,90%的功能都是水面之下的非功能特性,或者我们称之为企业级特性。

蔷薇灵动严雷认为,很多时候你并不知道你缺失的企业级特性是什么,直到你在客户现场遇到他!这要求企业一个方面要始终投入最大的精力在这个方面,尽全力去提升企业级特性。另一个方面,大家在评估微隔离产品的时候,一定要关注他们是否有大规模场景的交付经验和大规模的现网稳定运转的案例,要评估他们是否真的能够支撑你的云计算发展战略。

省:在产品发展的过程中保持克制

蔷薇灵动曾提出 “产品研发的不可能三角“这个方法论:就是在产品功能的丰富性,产品功能的专业性,以及计算开销这三者之间,你最多只能选择两者。

比如,你可以选择产品功能很丰富,计算开销也比较低,那么你的每一项功能的实现水平势必比较初级。比如面向中小客户市场的产品,往往选择这种产品战略。

或者,你也可以选择产品功能很丰富,而且每一项功能的实现水平也很高,那么你势必需要很多的计算资源。比如我们过去的边界型安全产品,一个数据中心,只需要两台,每台设备都是4U,两台就能装满一个机柜。对于微隔离而言,一个最主要的限制就是计算开销问题。由于微隔离需要对整个数据中心内部做点到点的访问控制,所以他的控制点的分布应该是尽可能的广。

蔷薇灵动-演示三角关系

根据不可能三角,我们就必须在功能丰富性与功能的完善性之间做个二选一的选择,再结合我们前面对微隔离所面临的技术挑战的描述,那么其实我们能选择的路就只有一条,那就是选择少而精,而不是多而粗。

作为一家高科技创业企业,蔷薇灵动无论是从客户的要求来说,还是从对新技术的偏好来说,都有极大冲动去做更多的安全能力,但这个时候必须始终牢记产品边界,即要在超大规模生产环境下交付的企业级产品,专注于产品本身的性能优化。