VPN的防護理念無法滿足數字化轉型的需求

古人云：知己知彼，百戰不殆，既然要替換VPN，就要先了解VPN。VPN于1996年起源，98年首次在我國出現，歷經25年的持續演進，直到現在依然廣泛流行。VPN的起源背景主要有兩點，一是實現分支機構件的互聯互通，二是方便合作伙伴，移動辦公人員，方便快捷地訪問公司內部網絡。其設計理念也是順應需求背景，首先借助防火墻作為網絡邊界，在網絡邊界處開通一條隧道實現業務的快捷訪問。綜合來看，使用VPN的目的僅僅是提升訪問的便捷性，和安全性沒有一點聯系，甚至會降低原有的網絡邊界的安全性。

隨著企業數字化轉型的持續加速，大量基礎設施云化，遠程辦公也變得常態化，導致網絡邊界變得越來越模糊。現在的訪問場景變成了6A型訪問，也就是任何人（Any people）在任意時間（Any time ）、任意地點（Any place ），使用任意設備（Any device ）在任意環境（ Any environment）、任意網絡（Any network）下進行訪問。VPN是基于網絡邊界開發的安全接入產品，隨著網絡邊界的模糊甚至消失，VPN也無法滿足新場景下的網絡安全防護需求。

???????傳統VPN網絡安全事件頻發

近年來，VPN安全事件頻頻發生，也直接或間接地反映出VPN的安全性確實不盡如人意。首先是深信服的VPN頻頻出現漏洞，根據其官網公布的數據，高危漏洞占比80%以上，尤其是2020年，使用深信服VPN的174家企業被黑客組織攻破，數據資產和基礎設施遭到了嚴重的破壞。同樣，2022年，網絡巨頭思科的VPN訪問權限被竊取，造成2.8G的數據泄露。

???????VPN面臨著眾多風險與挑戰

透過現象看本質，接下來分析一下VPN面臨哪些具體的安全挑戰。

自身端口暴露，易被掃描嗅探

VPN必須在互聯網上暴露一個開放的端口，持續監聽用戶請求。攻擊者可以嘗試多種攻擊方式，入侵服務器，再進行后續的行動。

• 暴力破解：由于SSL VPN的登錄頁面是暴露的，攻擊者可以直接進行暴力破解。即使管理員鎖定被暴力破解的賬號，攻擊者還可以利用漏洞繞過賬號鎖定，繼續攻擊內網。
• 偽造請求：VPN會對外暴露很多接口，攻擊者可以利用接口漏洞，偽造請求包繞過會話和設備IP驗證，植入木馬文件，監聽往來流量，從中破解用戶信息。
• 竊取憑證：攻擊者利用漏洞竊取用戶會話中的身份憑證，直接與VPN建立連接。或者利用身份憑證注入木馬，探測到服務端有價值的系統信息后，直接拖庫拿走。
• 漏洞利用：攻擊者通過端口掃描工具嗅探服務端信息，如操作系統及版本等，再利用操作系統的已知漏洞，進一步實施滲透攻擊。

認證方式單一簡單，賬號盜用復用頻發

傳統的VPN多數都采用用戶名+密碼的認證方式，默認密碼、弱密碼等現象屢禁不止，無法杜絕，缺乏多因素認證及設備身份認證能力，賬號易被外部人員盜用或者復用。

權限管控不足，越權事件頻發

該挑戰主要分為兩個方面，一是權限粗放問題，二是靜態授權問題。

權限粗放：有些VPN是沒有權限管控功能的，一旦進入內網，便可以訪問內網全部資源。還有些VPN是可以做應用授權的，但無法對應用內部的頁面功能進行細粒度的權限管控。

靜態授權：VPN無法根據終端環境和用戶行為實時調整訪問權限。

終端安全難以保障

設備類型多樣化：手機、平板、筆記本、臺式機等；

設備身份缺乏管控：企業設備、BYOD設備、合法設備、非法設備等；

外部威脅和攻擊頻發：病毒、木馬、蠕蟲、勒索等；

設備自身存在風險：開啟設備共享、開放高危端口、未裝安全軟件、插入外接設備等。

拓展性不足、體驗差

VPN是單體架構，橫向擴容需要部署新的設備，且配置和維護起來比較繁瑣。VPN在使用過程中頻繁出現卡頓和掉線等問題，嚴重影響辦公效率。???????

零信任理念持續發展

面臨上述眾多安全挑戰，有什么好的解決辦法嗎？眾多的經驗和成功案例告訴我們，借助“零信任”的理念重塑整個信任體系是一種相對較好的方案。零信任是一種以資源保護為核心的網絡安全理念，該理念認為主體對資源訪問時，無論主體和資源是否可信，主體和資源之間的信任關系都需要從零開始建立，通過持續環境感知與動態信任評估進行構建，從而實施訪問控制。