基于上下文的安全訪問：谷歌公布BeyondCorp最佳實踐
責編：gltian ｜2018-07-10 15:49:57BeyondCorp是谷歌采用的一種基于上下文的安全訪問方法，可供員工從任意網絡快速而方便地切入工作。那么，該如何著手實現適合自家公司的BeyondCorp最佳實踐呢？前不久，谷歌安全工程師在官方博客上公布了其零信任網絡的做法：
一、了解你的人員和設備
從需權限的公司網絡(通常基于VPN技術)轉型成零信任網絡的第一步，就是要了解公司的人員與設備情況。當網絡不再提供訪問公司重要信息所需的信任時，谷歌選擇根據手中掌握的員工及其設備的信息來決定是否允許訪問。如果缺乏員工及其設備的可靠實時數據，便無法做出明智的決策。
為實現這一點，谷歌在員工端重構了工作角色層次結構，重新劃定了工作分類以便更準確地捕捉員工的日常實際工作，核定各職能角色所需的訪問類型。
該過程需要答出一些很難回答但非常合理的問題，比如：
誰需要查看內部漏洞信息？
誰需要訪問源代碼？
誰需要跟蹤客戶關系？
理清這些需要對現有工作作出調整，有時候要簡化和合并職能類似的現有角色。有時候則需要調整工作分類，確保捕捉到同一工作角色下執行不同任務的各組員工之間的差異。
除此之外，還需要準確及時地掌握所有用戶設備的信息。谷歌的訪問機制下，設備與人同樣重要。受感染設備不應獲得信任。
二、維護統一的記錄清單
剛開始的時候，谷歌有各種各樣的系統來跟蹤并維護其設備清單——資產管理工具、DHCP服務器、無線訪問日志、技術支持系統等等，但都不夠全面。最終，谷歌設置了元清單服務，從這些系統中吸納數據，再關聯整合成一份統一的設備清單，避免了記錄沖突和重復現象。
創建該主清單服務花費了谷歌大量的時間精力，但總算能整編起谷歌的眾多設備，更加全面細致地了解設備的當前狀態了。由此，也就能根據設備狀態，基于其所安裝的軟件、補丁情況和其他特征進行信任評估了。
三、后續建議
從谷歌的經驗和最佳實踐中還可得出以下幾條關于后續工作的建議：
了解公司內部在用哪些App
決定或調整訪問這些服務的安全策略
了解公司員工及其工作內容
決定誰有權訪問什么東西
設置基于身份的訪問控制(例如 Identity-Aware Proxy)