2020年的远程办公大潮中，中大型企业的VPN远程办公暴露了诸多问题：家庭网络难连上公司VPN、VPN频频掉线等状况。其中，某上市公司生产环境遭到恶意破坏的事件尤其让人印象深刻。其运维人员通过VPN登入公司内网跳板机，在权限管控缺失的情况下，报复性破坏****，导致公司市值缩水近20亿元。

 大中型企业需要思考，企业远程办公的核心诉求是什么。

 2010年起，Google发起BeyondCorp项目，目标是“让所有Google员工从不受信任的网络中不接入VPN就能顺利工作”。该项目用零信任理念打造安全便捷的远程办公系统，发展至今谷歌员工已经可以从世界各地访问大部分公司应用，只有少部分场景仍依赖VPN。

 Gartner预测，到2023年，全球将有60％的企业淘汰大部分VPN，转向使用零信任访问网络。

 形成这种转变趋势的根本原因，是远程办公对安全、稳定且易用的诉求：

1、 安全。除通信加密外，实施员工操作最小化授权，用户行为风险可控；

2、 稳定。访问企业应用通畅高效；

3、 易用。不限运营商服务，保障客户全国分支机构员工均可低时延访问企业应用。

 基于零信任理念打造的企业安全访问体系，有哪些重要的价值点？下面我们就从上述三个方面来详细描述零信任远程办公方案（相较于 VPN）在企业远程办公场景下的优势，分析它的优势能力如何解决现阶段远程办公问题。

突出的安全能力优势

让我们以一次具体的工作流程来看零信任如何提升远程办公安全性：

员工在家中访问零信任单点登录平台，用户认证成功后默认情况下不可见任何应用，在管理员基于角色/属性授权后，用户可访问最小化授权的应用、使用最小授权的功能。用户访问应用过程中，安全风险会被持续评估，如果零信任系统发现终端环境、用户行为存在风险，或用户将进行敏感高危操作，则会触发动态授权、二次认证等，进一步可进入审批环节，从而将风险降到最低。

总结零信任远程办公方案在安全性上的优势，主要有以下几个方面：

•       访问零信任化

账户、应用、认证授权统一管理，实现所有用户接入前统一认证，即先认证、再连接，隐藏应用，减少攻击暴露面。

•       多层级细粒度的授权

具备细粒度多层级的的授权控制能力，支持应用级、功能级、数据多层级细粒度授权，实现全面最小化授权。

•       动态风险评估

实时评估终端环境、用户行为等安全风险，发现异常立刻触发访问控制，提供丰富详尽的日志供审计追溯，形成安全事件响应闭环。

•       统一多因素认证

多因素认证已经被验证为大幅提升资产安全性的方式，没有一种身份识别技术是万能的，但结合起来时却能本质上提升安全等级。

安全研究机构SANS新发布了一篇论文《Incident Response In A Zero Trust World》，最终证明零信任网络比传统网络有更强的安全事件响应能力。特别是在安全事件响应效率上具有明显的优势。随着测试环境发展到更复杂的应用程序和终端组成，基于边界防护的安全体系将失去有效的洞察力和控制力。

论文中，研究人员使用PC+防火墙组成传统网络测试床，用PC+数个云组件组成零信任网络测试床。再用五个常见安全事件分别测试传统模型和零信任模型的事件响应效率，基于两类防御模型对事件的响应程度给出分数，汇总评分表如下：

从汇总的评分表可以看出，在云服务使用场景中，零信任架构在识别检测和遏制处置上，对比传统边界防御模型有了明显优势。论文最后还给出了网络建设建议，包括统一应用身份管理、关联多个组件快速响应事件等，并表示当前的威胁态势几乎已经逼迫使用云服务的企业尽早开始建设零信任安全体系。

美国近期也开始了大规模远程办公， CISA(美国国土安全部的网络安全和基础设施安全局)于2020年3月发布企业VPN安全警告，对VPN安全问题做了多条分析，可见VPN在安全性上的多方不足。（附CISA 企业VPN安全警告原文https://www.us-cert.gov/ncas/alerts/aa20-073a）

零信任和VPN在通用远程办公场景的对比，我们简要总结如下：

从图表中不难看出，零信任方案的安全性多个方面都优于VPN。

更低的网络质量要求

大规模远程办公大势下，不得不启用的VPN被公司员工广泛吐槽的情况屡见不鲜。主要归咎于使用体验不佳。而这主要受这两方面限制：

一是国内大网环境硬伤。网络多层NAT导致VPN跨网能力差。

二是易用性不佳。无论是SSL VPN还是IPSEC VPN，均需用户在客户端安装软件或插件，以此实现拨号，建立维持隧道，且仍受网络质量影响。且一旦掉线所有连接需要重连，用户体验差。

而基于零信任理念的远程办公方案，可以最大程度让员工拥有内外网一致的办公体验。通过反向代理，零信任方案让终端用户可以直接公网进行认证后，访问授权的企业应用，而不会因网络连通性影响办公效率。运维人员也不会再接到员工“连不上VPN”的抱怨。

此外，特殊时期遇上突增的远程办公需求，很难有公司能立马满足，毕竟正常情况下远程办公能力仅是预备给部分人使用的。这种情况下，远程办公方案能否适配高并发场景、能否快速扩容就成了关键。

在架构设计上，VPN的隧道机制决定了其需要消耗性能在新建和维持大量隧道上。而零信任的安全认证网关不新建维持大量隧道，连接更稳定，能更好的支持高并发。零信任安全认证网关可以软/硬件形式部署在本地或云上。虚拟版对硬件配置要求不高，可以在普通性能的服务器上快速扩容，完美支持高并发场景。

显著提升的使用体验

过去，在安全和便捷之间，我们很难达到一个理想的平衡。绿盟科技基于零信任理念的远程办公方案（由安全认证网关SAG和统一身份认证平台UIP组合而成），无论是对终端用户还是安全运营人员，都在易用性上有明显的提升。

于远程办公的用户而言：

· 无需客户端安装任何软件/插件，避开繁琐安装配置流程，电脑或手机只需浏览器+Internet即可轻松远程办公。

· 支持单点登录，用户一次认证授权成功即可访问与授权相恰的应用，无需反复登录，后续的零信任校验于用户无感知。

· 于安全运营人员而言：账户、应用、认证授权统一管理，并有详尽的日志记录，方便运营人员统一管理，为应用配置统一的安全策略，提高运营效率。

绿盟科技零信任远程办公解决方案

针对远程办公场景，绿盟科技推出了零信任远程办公方案，方案由安全认证网关（NSFOCUS SAG）和统一身份认证平台（NSFOCUS UIP）组合而成。

绿盟零信任远程办公方案

该方案旨在为企业打造稳定、易用、安全的零信任远程办公网络，用户可在任意位置、使用任意设备，通过UIP提供的单点登录访问与其授权相恰的应用。同时，SAG & UIP会校验每次访问请求，结合细粒度授权控制，实现用户的最小化授权，以防止攻击内部横向移动，防范内外部的安全风险，保障远程办公安全。

结合绿盟科技20年来的信息安全技术实践与积累，相对传统远程办公方案，绿盟零信任远程办公方案优势总结如下：

1、 访问安全零信任化

•      账户、应用、认证授权统一管理，所有访问先认证、再建立连接；

•      隐藏业务暴露面、具备细粒度多层级的的授权控制能力，实现全面最小化授权。

2、 角色授权细粒度化

•      支持基于用户角色的授权；

•      支持应用级、功能级、API级、数据级多层级细粒度授权；

•      支持多重风险评估，并相应做出动态调整授权。

3、 统一认证接入高效化

•      支持标准的协议和单点登录，统一应用接入口；

•      一个账户打通所有应用，统一多因素认证，降低管理成本提高。

4、 用户行为追溯与响应闭环化

•      细粒度、多维度的业务日志与系统日志记录；

•      持续、实时的信任评估与验证，动态调整授权控制，审计预警联动，形成响应闭环；

5、 终端用户体验优化

•      网络连通性佳，用户远程访问企业应用对网络质量要求不高；

•      易用性好，用户侧零安装零配置即可用，支持各类终端设备；

•      稳定性好不掉线，完美支持高并发场景，虚拟版本可快速扩容。

此外，从成本投入角度，该方案对于客户而言改造成本更低，见效更快，可立即投入实际生产，改善企业的远程办公条件，也是功能性外的一大优势所在。