以下是現場速記。

深信服副總裁 陳小亮

 

陳小亮：我是深信服的陳小亮。目前我在深信服主要負責的是云計算業務相關的像戰略規劃、產品開發、產品上市的工作。

 

提到深信服，我相信大家對我們的安全可能更為了解一點，但實際上深信服還有另外一大塊業務，就是我們的云計算。我們是從2012年的時候，我們開始切入云計算賽道或者說這個領域。經過這么十年的發展，現在在我們公司的業務占比當中，我們的安全和我們的云基本上比例來看是一比一，也就各占大概50%左右。

 

今天我要給大家分享的方案它既跟安全相關也跟云有些關系，所以它是通過零信任加上桌面云這樣的一種結合去打造我們的高效、安全的辦公基礎設施。

 

在分享這個方案之前，我想給大家先講一個故事。前段時間深圳有一則新聞，應該也是沖上了熱搜。這個是深圳3月份的時候，3月的深圳的疫情還比較嚴重，在3月13日時，深圳政府就發布了一個通告，這個通告就是要求接下來一周公交、地鐵都停運，所有人進入居家辦公一周的通告。在這個通告發布完成之后，看一下深圳有什么樣的表現?

 

在那天晚上好多人都回到公司去搬電腦，去拷貝數據。這個是網友發布的一些照片，我們可以從照片的角度來看，也可以知道好多人都是左手拿著組織箱，右手提著一個顯示器。地鐵上有很多人都是回到公司去搬電腦。甚至我還聽說有些人的電腦因為數據太敏感，不能搬到家里面去用，所以這個人在那天晚上偷偷躲到公司里面去進行辦公。每一天公司派人給他去送飯，這種情況都會出現。

 

大家知道深信服的總部在深圳，所以那時我們也受到了這個影響。我們也是響應了政府的號召，在那一周我們基本上深圳地區全體同事都在家里面辦公。但我們跟其他公司不一樣的地方在哪里?我們不需要搬電腦，也不需要拷貝一些數據。因為我們很早前就在整個公司全面推行了零信任加桌面云數字化工作空間的方案。所以我們的員工是可以通過零信任，通過我們的桌面云在家里面就可以正常的去開展工作。

 

這里有兩個數據是我們在線接入用戶數，左邊是零信任并發的遠程接入數量達到1萬人以上。這個不僅是深圳的，包括全國所有的同事都通過這個平臺進行接入。因為深信服加上外包人員是超過1萬人的。右邊的數字是超過3千人，3千個并發，這是我們深圳全體研發人員通過云桌面在做遠程的開發，通過這種方式。

 

我們也看一下最終的效益怎么樣?這是我們監控的實際數據。我們每天都在監控、研發的代碼提交的數量，所以從最終研發的代碼的提交的數量以及每一天CI/CD的構建數量來看，我們的研發人員遠程辦公和非遠程辦公基本沒有太多工作效率的影響，達到了在公司效率90%以上，而且在那一周并沒有發生任何一起安全的事件。

 

分享深圳居家辦公的故事更多想引出一個趨勢，受到疫情的催化，混合的辦公模式、隨處不在的辦公模式以及分布式的辦公模式已經成為我們現在在職場當中的一種常態。很多人尤其是年輕人特別支持這種方式。

 

這張圖可以看到我們具體的表現。最終我們也看到很多的數字，包括很多的報道也在報道這樣的新聞。比如說前段時間我看到過攜程的報道，他們是在去年的7月份時，有1600多人去試點混合辦公方式，也就是說這1600多人可以選擇每一周有兩天是在任何一個地方都可以辦公的。從它的實驗結果來看，在績效并沒有太多影響的情況下，他們的員工離職率聽說是下降三分之一，同時有60%以上的人是非常支持這種混合辦公的，這個又會成為未來新的趨勢。

 

在這種新的趨勢下面，可能會發生一些變化，尤其在我們的IT方面會發生一些變化。

 

首先以混合辦公為例，假設我們有50%的人是不在公司辦公的，是在外面進行辦公的。外面的環境跟公司的環境是不一樣的，所以我們接入的地點會多樣化，接入的網絡也會不一樣，可能用5G、4G、wifi、不同的寬帶，接入終端也一樣，有個人設備、移動設備也有公司的設備，接入的方式也一樣。所以整體辦公環境變得更加復雜化。

 

其次隨著我們的云化、移動化或者數字的興起，我們很多業務變得更加的開放，以及我們有很多的數據都會延伸到各種各樣的終端或者不同的物理位置。這樣就使得我們網絡的邊界或者說整個網絡變得更加模糊化。過去我們的安全建設可能很多時候以邊界去構建它的安全體系了，但現在邊界模糊了，我們整個安全構建可能會變得更加復雜和麻煩。這是發生的一些變化。

 

在這些變化下面會面臨一些新的挑戰，有四個挑戰：可見、響應、體驗、安全。

 

首先是可見。過去我們所有員工都在辦公室里集中辦公，我們的人都可以看得到，他用什么設備我們都可以看得到。但是你想想如果有很多人分布式辦公的情況下，如果看不到我們員工是用什么接入方式、用什么設備，哪些員工在公司接入、哪些員工在外面接入?如果看不見，IT管理很難去做，所以可見性非常重要。

 

第二是響應。過去員工在公司他的設備、他的系統出現問題的時候，IT人員會到他座位上修復，一般來說修復時間比較快?，F在這么多員工，分散在全國各地各個不同場景下辦公，一旦出現問題，我們怎么第一時間知道且快速修復?這個也是在工作模式發生轉變之后我們需要思考的。

 

第三是體驗。我們要使得員工在不同的工作環境下面，他都能夠獲得一致的訪問體驗。我們不能因為他離開了公司，然后就不能夠獲取公司的業務系統、獲取公司的數據，哪怕這些數據，這些系統是非常、非常核心的，我們也要做到讓他在環境切換過程中便利的獲取得到。

 

第四是安全。尤其是在遠程辦公、混合辦公的方式下，我們的個人設備有可能也會接入到公司的網絡，這時怎么管理?如果我們個人設備受到黑客的攻擊、受到漏洞的攻擊，它就可以作為跳板，很輕易攻擊內部的業務系統。隨著我們整個辦公模式的推行越來越廣泛的情況下，接入的設備一定會越來越多、越來越復雜，這種安全風險一定會越來越大。

 

所以這個可能是我們在未來從長期來看轉變工作模式會面臨的一些挑戰。

 

過去也有一些方案可以解決，比如VPN能解決部分的遠程問題，但是它存在一些弊端。比如業務暴露面過大、過度授權或者數據泄露等等問題。還有公司可能為了更加的安全，采用多種方式進行組合。比如通過VPN+桌面云+共享桌面，可能更加安全了，對員工體驗不好，因為接入方式多樣、不同登錄方式要記不同密碼，所以訪問體驗并不太好。

 

總體來說過去的方案很難平衡安全和效率，也就是說兩者只能取其一，要么保障安全，要么保障大家的工作效率。所以這個時候就需要有些新的方案。

 

這個新的方案，我們認為需要通過最先進的技術像零信任加上桌面云相互融合構建安全的數字化的工作空間。這個工作空間，從用戶來講可以支持內部員工，研發也可以使用，包括外包人員甚至是我們的合作伙伴和供應商，可以采用不同的終端設備或者不同的操作系統就可以接入到數字化的工作空間。

 

他接入的時候，首先可能需要通過零信任來做一次身份的確認，確認完成之后他就可以去訪問他權限范圍內的桌面、應用、數據包括文件。而且在整個訪問過程中，他是分密級可以采用不同的接入方式。

 

比如低密級業務比如像OA、郵箱就可以通過零信任直接構建加密隧道可以訪問。中密級業務，涉及到業務敏感數據可以采用沙箱，讓他在隔離環境下訪問。還有高風險、高密級業務比如研發、財務數據可以通過云桌面或者云應用的方式進行訪問。因為云桌面、云應用可以做到數據不落地，你只能使用，數據可以通過數據中心把握。

 

以我自己為例，我比較特殊，我去訪問OA郵箱的時候會調用我本地的瀏覽器，我可以直接使用。如果我要訪問公司的財務系統、成本系統，這幾個系統相對敏感，它會調用云的應用來訪問，云應用可以防止截屏。如果我需要訪問研發的代碼，包括財務經營報告，需要登錄到云桌面使用。

 

整個過程對我來說很便利，我只需要接入這個空間、工作平臺，它就相當統一的門戶，在上面有各種各樣的圖標，我需要訪問什么樣的業務系統，我點擊圖標就可以訪問，整個過程對我來說是透明的，我不需要登錄不同的賬號、不同的使用方式。

 

這樣的一套方案，我們總結下來可能會有三個不同的價值：

 

第一.保證我們有一致的辦公體驗;

 

第二.能夠做得更加安全;

 

第三.它可以讓我們整個IT服務響應更加及時、快速。

 

首先來看第一個價值。這個價值怎么實現?怎么做到一致的辦公體驗?深信服推數了一個all in one客戶端，它同時集成零信任還有桌面云還有沙箱甚至EDR(殺毒軟件)，集成這樣的組件做成統一的客戶端，我們最終用戶只需要安裝一次客戶端就可以便捷接入到后臺的數字化工作空間。

 

我們這里采用單點登錄技術，我們用戶一旦做了第一次認證，這個認證可能是強認證也可能是弱認證根據不同的公式選擇。做了第一次認證后，后面再去訪問云桌面或者云應用，不需要二次認證，這里我們做了單點登錄技術，對他來說整體體驗感會比較好。不管他在外網還是內網，不管他用的設備是個人設備還是公司設備還是移動設備，他都能夠獲得的體驗基本上是一致的。不會因為環境切換，業務效率會受到影響。

 

第二點安全角度去看。我們這套方案它綜合了零信任和桌面云。我給大家講講這兩個技術不同的理念。首先零信任的理念就是它從不信任你，總是要驗證你，你每一個訪問行為、每一個訪問策略都是需要得到自動或者手動的批準之后你才能夠去做。所以它能夠實現的價值就是我確保我身份的安全以及我在訪問過程中動態行為的安全性，這是零信任能夠做到的。

 

桌面云或者云應用它的理念又是什么?它是隨時隨地你能夠去獲取你的數據，并且它的數據還是不落地的。這樣可以確保我在獲取一些核心數據的時候，它的安全性。這兩者一結合就可以構建持續動態的安全的體系。讓我們的內網、外網變得同樣的安全。不管你在哪個地方訪問。

 

舉個例子，一個用戶要接入的時候首先會通過零信任做終端環境檢測、準入檢測，全程過程都會加密，前中后會進行身份驗證。登錄完成之后如果在后臺使用過程中，他需要用到云桌面或者云應用的技術，云桌面、云應用首先會利用數據不落地的特點來保障數據的安全性，同時它本身也有很多的技術，比如說屏幕的選應還有防止截屏還有做數據的外發管控，做數據外發審計等等這樣的技術進一步確保辦公網絡數據的安全性，對一些核心機密來說這是非常、非常重要的。

 

因為深信服也是有安全和云計算這兩大塊業務，所以零信任產品跟桌面云產品都是深信服自主開發的。這兩個產品我們做了相互融合和聯動，我舉一個我們客戶的例子跟大家分享。客戶因疫情影響他在推行混合辦公的方式，有一部分人員經常在家里或者任何地方接入到他公司的網絡以及業務，他們為了提高這個安全性，他們就采用了零信任加桌面云的技術，通過零信任會持續的檢測這個員工到底在內網還是外網，如果檢測外網，它會自動通過桌面云啟動錄屏審計，也就是說他在外網所有訪問行為都要錄屏下來。但如果這個員工來到內網，零信任會檢測他在內網當中，這時不需要開啟錄屏審計，他想要做什么都可以，這是我們做的第一個聯動。

 

第二個聯動是零信任和桌面云底層分布式防火墻的聯動。也就是說他在外網接入時，只允許他訪問特定業務系統。如果他在內網訪問，自動放開，他可以針對每個虛機做單獨管控。這個是我們給客戶做的聯動技術，把兩個產品聯合起來，給客戶帶來更好的體驗。

 

第三個價值是怎樣做到IT更快的服務。這里有兩點：

 

怎樣做自助服務和一鍵修復。當員工使用設備出現問題時，不用尋找幫助，我們有些自助服務和一鍵修復功能，可以先點擊一鍵修復，很多問題都可以在這個過程中得到解決。我們自己使用時發現有大概70%-80%的問題，可以在上報IT之前很多問題就已經解決了。當然如果實在解決不了，他可以在這個工作平臺里尋求IT的幫助，IT也不需要像過去一樣到達設備現場，他在后臺通過統一的控制臺就可以高效的完成各種維護的工作。

 

首先這個功能，因為我也是這個工作空間的最終用戶。我自己也在使用，所以我覺得是非常方便的。過去我是用筆記本來進行辦公，我當時出現問題的時候，一般來說IT人員都要到現場才能解決問題，而我又經常出臺，所以很麻煩?，F在我的筆記本相當于它只是我的一個接入設備，我每次要辦公一定要接入到工作空間才能辦公。在這種情況下，我們的IT人員要幫助我解決問題就很容易。很多時候要么在內部通訊工具里跟他說一下，要么通過工作平臺跟他說一下，他能在后臺快速的處理。有時處理過程中，我都沒有感知，就幫我把問題解決了。這個也是在混合辦公模式下新的價值。

 

這個是我們產品的界面，我們基于零信任所設計出來的工作空間的體驗。當然這些界面它都可以做文案設計。右面有低密、中高密業務還可以跟終端進行聯動。它還分不同的應用，甚至還有桌面云都會集成在這里面。

 

這個是登錄的界面，有不同的認證方式。這個是登錄完成之后進入辦公的界面。這個是登錄完成之后，它這里分很多不同的應用，可能是直接可以訪問的，這里還發布的PPT的應用，它可以直接在上面使用，不需要安裝在它的電腦里，這個都是通過云端發布過來的。所以所有的產品都可以在上面，他想用什么點擊后就一鍵跳轉過去。

 

這個是我們剛才說的集成EDR，可以對它做全方位的安全的保護。

 

這個是連接狀態。這個是我前一頁PPT講到過的，可以在這里尋求自助服務或者診斷工具，可以在上面自助完成并且可以尋求遠程的支持。

 

剛才講的是方案價值以及基本的產品界面。這個方案它的核心不是由一個產品線構成，而是多個產品線構成。整個方案的構架：

 

第一.統一客戶端。繼承了零信任、桌面云包括EDR、沙箱都集成在里，所以它變成統一客戶端;

 

第二.零信任平臺。這個平臺分為兩個部分：控制中心，這個控制器負責認證、授權包括策略管理、策略下發(調度中心);執行層，我們有一個代理網關，它負責具體策略的執行、監控和記錄，因為它會從控制中心去接收它的策略然后來負責具體的執行;

 

第三.云桌面或者云應用的技術。

 

所以它是由以上幾部分構成的。

 

為了這個平臺能夠更廣泛的推行，因為數字化的工作空間，不像過去我們買一臺防火墻那么簡單，數字化工作空間一旦推行它會給全員所有人進行使用的。

 

第一我們一定要保證它的用戶體驗，如果用戶體驗都不能做到員工滿意，我們在公司里推行數字化空間一定會有很大的阻力;

 

第二我們推行遠程辦公模式下，我們網絡變得更加復雜，接入用戶數、終端也變得更加復雜，所以我們需要要有更全面甚至自動化簡單的安全能力集成在其中，這樣才能保證平衡安全和生產力。

 

首先講一下用戶體驗的能力，我們覺得這是基礎的能力。對于最終用戶來說，在用戶體驗這里無非關注兩塊：

 

一塊有沒有更便捷的使用方式;

 

一塊是我的訪問速度是否足夠快?能夠跟過去在本地訪問時的速度跟效果是一樣的。

 

便捷的使用方式，我們有all in one客戶端、單點登錄技術甚至還有很多的聯動。這樣的話可以保證用戶不管他在哪里使用，他的體驗跟他在公司里面使用是一樣的。

 

第二個更快的訪問速度。這里給大家看兩張圖，尤其是右邊的圖，這個是云桌面和云應用。因為云桌面和云應用，它給最終用戶交付的是一個屏幕，是一個圖像。這個圖像我們在使用過程當中，我們的效果是否好?它最終取決于中間的傳輸協議，因為它都是通過網絡，尤其我們在各地辦公它通過廣域網，廣域網會有抖動、延時，它一定是通過這里取決于傳輸協議做得好不好。

 

深信服從2012年開始做云桌面的產品，我們那時開始大力投入在傳輸協議上面。這個傳輸協議，我們也是做了很多的優化，今天因為時間關系沒辦法把很多技術進行講解。這里可以告訴大家我們最終的實戰當中的結果，我們單個云桌面的帶寬占用大概是300K到600K，如果是云的應用可能會更少是100K到200K。

 

深信服在3月份的時候，我們深圳地區全員也是在家里進行遠程辦公，我們研發人員通過云桌面進行接入的，那時外網帶寬大概1個G，我們監測自得流量，并發是700兆到800兆就能辦法3000并發人在家里遠程開發。

 

再來看安全，安全在這種環境下面變得更加復雜，所以需要更加全面的安全技術。從終端、身份、權限、數據、行為需要更加的全面，左邊只是技術的羅列。這里更關鍵是怎么保證它更加簡單，這個很重要。這里有一個理念叫持續的檢測、持續的評估，這個是非常、非常重要的。

 

我舉個很簡單的例子，我們all in one客戶端集成EDR，它本身會對每個終端做安全的檢測還會對它殺毒。如果EDR在過程當中檢測到電腦中了病毒或者說被攻擊了，有可能會被作為跳板攻擊到內部的業務系統。這個時候我們零信任平臺整個可視化平臺會看到，看到之后會跟EDR做聯動，首先第一個會告警，其次聯動完阻斷客戶端能夠登錄的業務系統，比如他現在能夠登錄所有的業務系統，但是一旦我發現它被攻擊了，我就可以通過聯動的方式來阻斷它你不能訪問核心業務系統，需要尋求IT幫助，待處理完之后才能訪問。這是我們整個從終端到平臺做聯動，使得我們整個安全的管理變得更加的簡單化，并且變得更加的可視化。持續評估之后，每個人用什么設備，在公司接入還是外面接入，用的設備種類是什么，接入網絡是什么，用什么賬號干了什么行為，在這個平臺上基本都可以監測到，我們就可以很好的做全網可視化的運營。這是第二點。

 

因為有了體驗跟安全這兩個技術做一些保障，我們就可以把整個的數字化的工作空間適用到更多的應用場景。包括移動辦公、混合辦公甚至我們的運維外包，還有我們的遠程怎么去訪問我們核心業務系統?還有大量分支機構的接入，甚至可以做內網防泄密、遠程開發、保證數據不落地，還有我們自己的客服也在用。

 

最后給大家分享一個我們去年做的規模比較大的案例是三峽集團，他們是非常大的電力集團。大家在15年的時候就完成了兩套網建設：商密網、辦公網，這兩套網是物理隔離。隨著這幾年它的業務不斷發展壯大，發生了一些變化，這個變化是什么?第一它收購了很多的像能源公司、發電公司、小的公司也收購了很多;其次因為一帶一路這個事情，它會發展很多個海外分支。在這種情況下，它的IT建設遇到了新的挑戰：

 

1.因為有了辦公網，所以各個二級單位自己拉了很多互聯網，這樣把集團內網跟互聯網打通了。打通之后，就引發了數據違規的外發包括被跳板攻擊、中毒等安全事件;

 

2.因為分公司遠程辦公多了以后，它的所有數據的資產就開始分散到不同的終端、不同的位置，以前都是統一管控，現在很難再做統一管控;

 

3.因為疫情需要遠程高效的訪問業務系統。

 

在這個挑戰下，他們當時信息部要求既要保證安全又不能影響效率?；藘扇齻€月時間跟我們探討怎么去解決這個問題。當時探討的時間也比較長，有好多種不同的方案。

 

把現有網絡做改造，在辦公網做邏輯的隔離，多買安全設備，把不同區域進行隔離。雖然這個改動比較小，成本不會太高。但是發現無法滿足遠程需求。后來想著做一套物理隔離的網絡，這個投資的成本會比較高，改動也不大，但是也是沒辦法遠程接入，它的很多大量的分支還有疫情之后有些人可能需要在家里面辦公，這都無法滿足。

 

最后綜合決定之下采用安全的大內網，這樣的改動基本上是中等，投資成本也中等，安全性跟遠程這些東西都能夠統一的解決。

 

什么叫安全的大內網?就是在它現有的辦公網的基礎之上增加了桌面云產品，跟原來的辦公網做邏輯的隔離。

 

他們上網、普通業務訪問可以在本地終端上面進行直接訪問，但如果要訪問他的核心業務必須接入到云桌面。所以可以看到在它的很多數據中心里分別部署了云桌面來做邏輯隔離，使得核心的業務跟核心的數據必須通過云桌面來訪問。同時為了保證多個數據中心的云桌面能夠統一訪問，在這里做了統一域名，對員工來說只需要接入一個域名就可以同連接多個數據中心的業務。

 

在這個基礎上為了更加的安全，中間多了零信任的接入平臺，有了這個平臺之后它的海外分支，海外分支人并不太多，還有疫情影響需要遠程辦公的同志還有分支收購的小型公司都可以通過零信任統一的接入到它的業務系統，通過這種方式打造大的安全內網。

 

我們總結過它做了這套方案之后的幾個價值：

 

第一.平衡了安全和效率。在他們內部有一個原則核心業務系統安全優先，非核心業務系統效率優先。所以通過零信任+桌面云的方案，可以使得它的核心業務系統全部通過云桌面或者云應用接入訪問，保障它進一步數據不落地的安全性。其他業務都可以通過零信任接入;

 

第二.有了桌面云之后它的很多核心的業務數據，都可以集中到數據中心這個業務域，它不會出到終端或者辦公網其他地方，所有數據都會集中到那個地方，可以防止數據外泄;

 

第三.終端。不管從外面接入還是在內部接入，只要一旦接入核心業務，辦公的云桌面，它就斷開本地上網權限。要上網就先上網，但是要接入核心業務通過零信任直接斷開網絡，進一步加強安全性。這個終端要能上網就不能辦公，要辦公不能上網，做這樣的隔離。

 

最后是我剛剛講到還可以做持續的監控和準入。

 

除了這樣的案例我們還有其他的很多案例，這只是舉了一些。

 

最后我總結我今天講的內容：

 

第一.通過零信任+桌面云構建統一的數字化工作空間，這個工作空間包含三大部分，這大部分構成之后可以產生幾個價值：使得員工不管在任何的環境，他的辦公體驗是一致的;在這個過程中，確保了它的安全性;通過自助服務、遠程的服務方式保證IT服務響應更加及時和快速。

 

為了支撐這個平臺更好的使用，我們打造兩個核心能力。

 

以上就是我今天的分享，謝謝大家!