是时候淘汰您的VPN了吗？

引言

历史上，虚拟私人网络（VPN）一直是远程连接企业工作环境的热门工具。VPN使企业用户能够通过安全的加密隧道在公共网络（如互联网）上发送和接收数据，提供类似于直接、私密连接到企业网络的体验。

然而，VPN技术是在企业IT环境主要集中在企业场所的时代引入的，当时并没有包括云计算、移动设备和灵活的远程工作政策等分布式元素。尽管VPN在一定程度上适应了工作方式的变化，但在现代威胁环境下，它们仍然面临着诸多挑战。

疫情期间VPN流量激增

由于COVID-19相关的办公室关闭，VPN流量达到了历史最高点。组织加大了对VPN技术的投资，以迅速将新分布的员工连接到所需的应用和资源。虽然这并不是完美的解决方案，但它们是现成的、熟悉的，并且能够快速增强。

尽管近期对VPN的依赖有所增加，但变化毫无疑问即将来临。讽刺的是，这种变化的动力正是疫情期间迅速增长的现象：即网络安全威胁的激增，许多威胁往往是通过VPN实现的。

VPN技术的主要危险

内部网络的“平坦性”

“零信任”安全的一个原则是，网络内部不应当是“平坦”的。换句话说，一旦用户通过网络的边界，他们应该遇到保护重要资源的内部边界——网络分段。

VPN不支持网络分段。虽然管理员可以手动实施内部分段，例如为每个分段配置自己的路由器或第3层交换机，但这种方法并不具备良好的扩展性。每当需要新的网络分段时，就需要增加更多硬件，这对传统网络而言并不理想，且对于动态网络更是完全不适合。

内部监控能力缺失

此外，VPN不具备内部监控能力，这意味着一旦用户进入网络，就无法监控他们的活动。这意味着黑客或恶意内部人员可以在网络内部自由活动，而不必担心被VPN检测到。

Wi-Fi安全性不足

最后，VPN并未提供强大的Wi-Fi安全性。如果您是使用VPN连接开放无线网络的远程用户，在VPN连接之前，您的连接会泄露成千上万的数据包。这足以让攻击者进行利用。

权衡您的ZTNA选项

一些寻求采用零信任网络访问（ZTNA）方法的组织可能认为需要全面转向SDP解决方案来替代VPN。然而，最近VPN部署的激增表明，许多组织在可预见的未来并不会全面拆除并替换现有的VPN。即使没有像疫情这样的“黑天鹅”事件，许多组织往往仍会坚持使用经过验证的传统工具，如VPN，尽管这些工具在安全和维护方面存在问题。

虽然SDP是实现ZTNA的已知方法之一，但绝不是唯一的方法。一些微分段解决方案可以添加到现有网络和VPN中，以实施零信任网络访问控制，而无需像许多SDP解决方案那样进行全面的网络基础设施替换。用户可以像往常一样通过标准VPN客户端或本地网络登录和连接——无需额外的登录或繁琐的步骤，同时应用程序和IT资源得到了强有力的零信任安全保护。

关于东西向访问

虽然关于零信任网络访问的讨论主要集中在远程访问（即“南北”访问）相关的安全威胁上，但过于广泛的内部访问也存在风险。安全专业人员知道，他们需要解决的一个关键挑战是恶意内部人员的风险，他们可能会盗取数据、破坏系统并制造混乱。保护这种内部网络访问的用例称为“东西向”访问，是大多数SDP解决方案未能解决的问题。

许多微分段解决方案可以同时解决南北和东西向的用例。无论是防止外部黑客接触敏感企业应用和数据，还是确保内部访问受到限制，从而减轻任何恶意内部活动的影响，这些解决方案都可以为组织提供全面保护。

选择正确的路径以保护您的企业

如果您仅依赖VPN提供安全的远程访问内部资源，那么是时候评估升级到零信任网络访问解决方案（ZTNA）了。问题是，最有效和高效的方式是什么？

虽然许多SDP解决方案有明显的好处，但它们也存在一些缺点，例如成本、替换VPN项目的复杂性以及在内部访问用例方面的有限能力。幸运的是，基于微分段的替代方案没有SDP所带来的必须用新技术替换现有VPN基础设施的缺点。这些解决方案可以通过限制远程和内部应用及资源的访问，仅限于通常所需的功能，来防止攻击。将应用程序隐藏于未授权用户之外，能够将其与攻击隔离，消除网络内的横向移动，阻止勒索软件等威胁的传播。同时，它们也能覆盖前面讨论的东西向安全访问需求。

无论是SDP还是某种形式的微分段，工具和解决方案都在这里，供每个组织开始其零信任网络访问之旅。现在是采取第一步的时候了。

图片来源：Denys Prykhodov / Shutterstock

作者：Gerry Grealish，Ericom Software首席营销官