<mark id="oztn4"></mark>
0
| 本文作者： nebula | 2023-05-15 19:23 |
導讀：2022年5月，騰訊宣布辦公終端安全產品零信任iOA部署量超過100萬。這不僅是騰訊自身的里程碑，也是零信任在中國商業化落地的一個標志性事件，它驗證了零信任在規模化商用上的可落地性。
這不是偶然，是一個騰訊自身內網辦公安全厚積薄發和新IT浪潮不謀而合的故事。
2016年7月，WeWork獲A輪融資，估值高達160億美元。這家始于2011年的共享辦公空間鼻祖，經歷了幾年發展后，成為一時無兩的當紅炸子雞。同年，WeWork也正式進入中國市場。
WeWork在資本市場的成功是一個縮影，它反映的是“移動辦公”這個被IT行業心心念念了很多年的夙愿，在21世紀的第二個十年，終于在全球形成了燎原之勢。
從天時地利人和的角度，網絡和基礎設施的發展是一方面，另一方面是在終端硬件上，智能手機的普及，相當于人人有了一臺便攜微型電腦——它能完成審批、收發郵件、編寫文檔、處理工作流——讓移動辦公具備了硬件上的可能性。
Anytime、Anywhere都可以工作，當這種愿望從個體行為變成一種組織行為，這就為企業的IT部門帶來了一些工程實現上的問題。對于騰訊來說，支撐騰訊幾萬員工無論在哪里都能在遠程接入公司內網工作，保障安全和易用，就是IT部的職責所在。
很多人潛意識里會把零信任辦公產品和VPN、遠程辦公劃上一個等號，其實從語干上看，遠程辦公首先是“辦公”其次才是“遠程”。對于一個企業IT部門來說，辦公的問題首先是安全的問題——這很容易理解，假設你是一個網吧的管理員，你做“網管”的第一件事情也是給每一臺電腦裝上一個殺毒軟件。
2006年前后，騰訊企業IT部門投入了重兵在辦公環境的安全治理，自研了企業安全防護和工作環境管理工具iOA。知名安全媒體《淺黑科技》對于早期iOA做過一個貼切的“畫像”：
l 你喜歡電腦裸奔沒問題，但 iOA 如果監測不到殺毒軟件，就不允許你進入工作程序；
l 你記不住給系統打補丁，iOA 會在補丁出來的第一時間，強制為你的電腦打上；
l 你忘記關閉電腦的高危端口，iOA 直接幫你關閉；
l 你的電腦感染了木馬病毒，iOA會自動清理；
l ……
總結起來，iOA就是一個給每一個企業員工終端配備了一個金鐘罩鐵布衫，保護辦公系統不受壞人攻擊。
做了這么多工作，聽起來似乎電腦除了干這些也沒法再做別的工作了。但是騰訊iOA的厲害之處在于，在完成這么多任務的情況下，它的性能損耗能壓縮在單核CPU的5%以下。
羅馬不是一天建成的，騰訊iOA也不是。從2006年開始，到移動辦公浪潮起來之前，已經過去了差不多十年，這十年間，騰訊iOA經歷了防御普通的病毒木馬、職業黑客、到后來的APT攻擊幾個完整的技術代際更迭，“無論是對抗廣譜病毒木馬還是APT木馬，我們都有很好的防范能力。”企業IT部企業安全中心高級總監蔡晨總結。
前移動辦公時代也有很多精彩的故事，但這不是我們今天要說的主題。重點是，正是因為在安全能力上的積累，給了他們后來“打破邊界”的底氣。
遠程辦公，意味著傳統意義上以硬件和局域網絡組成的“內網”邏輯不復存在，用戶需要在遠程設備上通過網關接入內網，要對這樣的訪問放行，企業安全部門至少要問一個問題：這個用戶可信嗎？
VPN的誕生就是為了解決這個問題。VPN就像是一條只有“自己人”知道的小路，員工可以通過這條加密通道訪問企業數據中心、辦公網。它的認證方式是口令認證，只要你輸入了對的賬號密碼，它就默認你是自己人。
遠程辦公不是這兩年才出現的新場景，一直以來，因為員工出差、惡劣天氣等原因，很多企業都需要時不時地開展遠程辦公，而VPN在很長時間內都是唯一選擇。
但不難看出，VPN有明顯的缺陷：第一，它是“小路”，只能容納比較小的工作traffic，例如遠程審批、收發郵件、遠程登錄到內網本地機器完成一些特定工作；第二，VPN使用的長連接機制，連接速度緩慢，抗網絡抖動性差，“只要丟包超過30%或者延時超過200毫秒，一定會掉線”。
第三，也是最重要的，VPN只認口令，而口令是可以被竊取、被爆破的。VPN用戶只要通過遠程鑒權（甚至都不一定是雙重鑒權），就可以進入內網，接著就可以在內網橫行無阻——這意味著，如果用戶的終端被病毒感染，或者VPN賬號被爆破，它就能被黑客用來充當“肉雞”或者攻擊內網的工具。
在移動互聯網發展起來之前，遠程辦公多數是一些臨時的、突發的需求，不是常態，因此即便VPN不好用是眾所周知，但它依然有其長期存在的市場基礎。但當移動辦公成為一個高頻需求，VPN就愈發顯得捉襟見肘。
為了解決安全隱患，蔡晨團隊決定多問幾個問題：
“端是不是可信？人是不是可信？進程可不可信？每一個數據包，你是不是要校驗里面的設備信息人身份信息、進程信息？你訪問的業務系統是不是要被授權？”
他們后來才知道，這種什么都要校驗、一直校驗的想法，國際上有一個專業的名字叫“零信任”，它的核心思想就是“持續驗證，永不信任”。
當騰訊企業IT部的人正在嘗試新的“無邊界訪問”方法的時候，他們看到了谷歌發布的一篇論文《BeyondCorp：一種新的企業安全方案》，知道了大洋彼岸的另一端，世界上另一個前沿的科技公司也在用同樣的思路解決同樣的困擾。
“谷歌 BeyondCorp 的目標是摒棄對企業特權網絡（內網）的依賴并開創一種全新安全訪問模式，在這種全新的無特權內網訪問模式下，訪問只依賴于設備和用戶身份憑證，而與用戶所處的網絡位置無關。無論用戶是在公司“內網”、家庭網絡、酒店還是咖啡店的公共網絡，所有對企業資源的訪問都要基于設備狀態和用戶身份憑證進行認證、授權和加密。”
圖源：Google官方博客
距今一萬多年前，西亞新月沃地和中國黃河流域分別獨立完成了糧食的馴化；11-12世紀，中國四川開始使用“交子”作為貨幣符號，而歐洲圣殿騎士團也發明了匯票——歷史總是相似，面對同一類問題，人們最終都會走向相同的解決思路。
谷歌在論文中沒有寫具體是如何實施的，但它堅定了騰訊企業IT部的信心：這個方向是對的。
2017 年，在經過一段時間的原型驗證后，騰訊企業IT部正式啟動 iOA NGN （Next Gerneration Network）項目，用零信任的思想重構iOA產品。他們的目標概括起來是4個A：Anytime、Anywhere、AnyDevice和AnyWork，讓員工在任何時候、任何地方、任何設備接入內網完成任何內容的工作。
依托于零信任理念，騰訊iOA NGN把安全性和易用性這對冰與火奇跡般地融合在了一起。它利用一切可用的方式在后臺對用戶的設備、ID、訪問進程、權限始終進行校驗，但在前端，用戶的感受就是“一鍵登錄”。此外，iOA NGN采用短鏈接的方式，對于弱網絡、丟包有很高的容忍度，告別了VPN時代的頻繁掉線、半天連不上的困擾。
蔡晨2018年在騰訊安全國際技術峰會上分享新的企業安全理念
依托于騰訊云的計算資源部署的就近接入點，員工無論身在網絡狀況良好的城市CBD、小運營商遍布的城中村，還是春節回老家在鄉下時斷時續的網絡，無論是出差荷蘭還是日常辦公地在河南，任何地方都能絲滑地接入內網。很快iOA NGN就迎來了第一批用戶，并且通過口碑傳播自發增長。
“最早一批使用的是運維的用戶，他們自己去告知周邊的人去使用iOA的新版本；還有一些部門管理者去國外出差，用了新版本的iOA發現體驗很好，就會在自己的管理范圍內去推。”企業IT部資深工程師蔡東赟回憶。
除了內部的口碑傳播，一些互聯網廠商的同行不知道從哪里打聽到騰訊的iOA，也來拜訪交流。“RSA（按：國際上最富盛名的安全會議）上也在講零信任，創新沙盒里也有零信任創業公司，所以很多很關注技術進展的同行也來跟我們交流，看看我們是怎么做的。”
騰訊企業IT部人群的主要構成是工程師，他們和同行交流以及后來幫騰訊CSIG團隊做商用版iOA的技術支持，主要的驅動力都是很典型的Geek們的想法：他們做了一個好東西 ，他們希望和別人分享，希望別人評價一句“牛*”。
你開了一家披薩店，只能同時容納50個人吃飯。開張那一天，同一條街競爭對手為了妨礙你做生意，雇了100個人坐在餐廳占滿了位置，什么都不點，讓潛在的客人沒法就餐——在計算機領域，這種對目標網站在較短的時間內發起大量請求，消耗目標網站的主機資源以致其服務器癱瘓的做法，就是DDoS （denial of service）攻擊。
設想一下，一個企業如果只配備了基礎的VPN，如果有一天遇到突發情況，全員都需要遠程辦公，對于規模數萬或者十數萬人的企業來說，這種情況就相當于“人肉DDoS”。
2020年2月初，新冠來勢洶洶。為了防止病毒擴散，很多城市開始采取了限制人員流動的隔離管控措施，復工時間一再推遲，但企業的經營不能中斷，于是很多企業轉而通過開展居家辦公保持“停工不停業”。
彼時，騰訊作為一個擁有眾多國民級產品的企業，微信、QQ、企業文檔、騰訊會議，以及騰訊CSIG還服務著眾多企業客戶——在線教育、健康碼、數字政務、衣食住行的服務平臺，在人員不能自由流動的時候——騰訊員工需要投入比平時更多時間來維護這些數字設施的運轉，騰訊會議“40天更新迭代了14個版本”、“8天擴容100萬核”就是發生在這期間。
數萬名員工需要在遠程同時接入內網辦公，而且是“全尺寸”辦公——不再是臨時性的，不再可以把一些復雜的工作留到“明天去公司再說”，他們需要在家里完成和在內網一模一樣的工作內容。比方說對于開發人員來說，一個代碼倉庫就有十幾、二十G，開發人員需要下載到本地機器上去做開發運維，如果用VPN，需要加流量、買VPN設備，而疫情期間廠家有沒有現貨、快遞是否通暢、廠家有沒有人能部署上架這些設備——在當時的疫情狀況下，每一項工作的推進都存在很大的不確定性。
“關鍵是這也已經不是帶寬的問題，這是一個技術需要革新的問題。”蔡晨說。
得益于2017年就開始的iOA NGN項目，騰訊iOA從一萬多人使用到支持全員使用，看起來這么浩大的工程前后只用了4天時間，而且被緊急召喚到項目組的IT部員工很多當時都在老家。“因為全是自研的，本身就是平行擴展架構的，對于疫情來的時候對我們來說只需要做一個事情，能夠調度資源加入了集群里面去就可以。”蔡晨。
2月10日，春節后復工的第一日，8點，系統上顯示遠程在線辦公的員工數近3 萬；到11點半左右，5萬騰訊員工同時在線，所有的工作都在有條不紊地開展。
之后大概有一個月的時間，騰訊的數萬員工都是在家里遠程工作。這絲毫沒有影響運轉效率，5月13日，騰訊發布2020年第一季度業績報告，2020年Q1騰訊營收1080.65億元，同比增長26%，環比增長2%。
這次考驗之后，騰訊iOA完成了它的“成人禮”，它從技術和工程實現上驗證了一個大型企業全員全尺寸的遠程辦公是完全可行的。
2018年，江蘇人力資源和社會保障廳著手建設全省集中的一體化云平臺，這個項目同時也是人社部的全國統一軟件和省級一體化系統建設試點任務，計劃是要給其他省份人社系統“打個樣”，預期上線時間是2021年1月。
2020年初，正是項目攻堅時期。政務系統的安全性要求極高，一直以來都是要求軟件開發商駐場開發，尤其是人社系統還是一個準金融系統，更不例外。600多個來自幾十個技術供應商的開發人員被安排在一個酒店會議層改建的臨時辦公點，集中進行開發攻堅工作。
疫情突然爆發，集中開發是不可能了——而這種90%的工作內容是開發和運維工作的項目，用VPN根本無法勝任。正當項目方一籌莫展的時候，在場的一位騰訊云的工程師給負責人演示了自己電腦上的騰訊iOA——在遠程接入的情況下，它既滿足安全，又能提供和駐場一樣的開發環境。對于一個開發人員來說，從VPN切換到iOA，體驗不啻于解除封印。
當時，騰訊iOA已經有了對外的商用版產品，可以直接快速部署，江蘇人社項目很快采用了這個產品。第二年1月，項目一期如期上線。
騰訊iOA有兩次“打破邊界”的嘗試，第一次是產品意義上用零信任理念重構產品架構，消弭了內網和外網的差別，讓員工在任何地點都可以自如接入企業內網；第二次打破邊界是從騰訊走出去，變成一個企業級服務產品。從2018年10月騰訊云+峰會上，騰訊宣布推出內網安全產品，到今天，騰訊iOA已經被很多物流、房產中介、能源、泛互聯網等企業客戶采納。2022年5月份，騰訊iOA終端部署超過100萬。
一個嶄新的東西被市場接納，過程并不是一帆風順。“每個廠商和甲方都有自己的理解，有人覺得零信任就是IAM，有人覺得零信任是動態口令，有人說是數據沙盒——甚至有拿上網行為管理系統的技術指標說要招標零信任產品。”騰訊安全總經理王宇說道。
在推動商業化落地過程中，騰訊CSIG做了很多市場教育和普及的工作，頻頻參與各種行業峰會和技術沙龍進行“布道”；也和一些對前沿技術接受度比較高的客戶貼身合作，打磨行業應用樣板。為了促進共識的形成，騰訊還做了幾件重要的事情：
l 2019年，推動國際上首個零信任安全技術標準（《服務訪問過程持續保護指南》）立項，并于2年后的2021年底正式發布；
l 2020年6月24日，騰訊聯合零信任領域多家權威產學研用機構共同成立國內首個“零信任產業標準工作組”；
l 2021年7月，騰訊牽頭起草，聯合公安部第三研究所、國家計算機網絡應急技術處理協調中心、中國移動設計院等業內16家零信任廠商、測評機構及用戶編制的中國第一部《零信任系統技術規范》；
l ……
“（測評規范的發布）是個巨大的里程碑，證明這個領域從客戶到到廠家各方的數量或者市場需求整個鏈條已經正向在流轉，才會有需要引入第三方來做評測。”
去年，位于上海的一家企服廠商共啟網絡做出了一個大膽的決策：投入20多個人力學習騰訊iOA產品的安裝、實施、部署、運維，成為騰訊iOA的CSP（認證服務廠商）。對于一家總人數都不超過100人的企業來說，這是很重大的一個投入，決定了公司未來幾年的發展狀況。和共啟一樣，茗格科技、功勛網絡……更多在企業服務領域摸爬滾打多年的軟件和渠道商都選擇成為了騰訊iOA的合作方。
梧桐一葉而天下知秋，作為天天和客戶近距離打交道的專業企服廠商，他們一定是從眾多客戶的需求中嗅到了什么新的機會——畢竟，不管是什么行業的企業，誰不需要一個又安全又高效的辦公安全系統呢？
本系列文章講述的是這樣一組Made in Tencent故事，這是系列的第一篇。
雷峰網(公眾號：雷峰網)
