攻克复杂性，实现业务敏捷

执行摘要

当今的威胁形势不断演变。复杂的网络威胁变得更加智能、更加迅速，导致安全漏洞事件增加，以及因违规而产生的前所未有的罚款。与此同时，各组织正急于通过数字化转型提升业务敏捷性，采用移动化、云计算、大规模虚拟化、软件定义网络以及高度互联的物联网等新兴技术。然而，全球各地的组织都面临着无法招募和留住熟练安全专业人员的困境，这使本已精简的安全团队承受更大压力，并加剧了其安全风险。其结果是形成了一道复杂性鸿沟：新兴的网络与云技术的发展速度，超过了安全团队保护和管理其不断扩展的环境边界的能力，严重制约了业务敏捷性。各组织正处于十字路口——他们必须确保安全不会拖慢创新的步伐，同时创新也不会损害安全。要大规模弥合复杂性鸿沟，就需要对网络安全功能实施自动化，以取代易出错的手动流程、维持法规与内部合规，并降低整体安全风险。这将提升安全团队的效率与效能，推动业务创新，实现业务敏捷性，并改善利润表现。本文阐述了复杂性鸿沟如何影响各组织，以及网络安全策略自动化在帮助组织降低风险、增强整体安全态势方面所发挥的关键作用。

核心结论

对关键网络安全功能实施自动化，将在混合网络环境中提供缩小复杂性鸿沟所亟需的一致性与控制力。它将加强合规工作、降低风险，并提升时间与资源均紧张的安全团队的工作效率。由此，各组织能够改善其整体安全态势，满足法规与内部合规要求，并获得跟上业务不断增长需求所需的业务敏捷性。 补充栏：速览事实

• 数字化转型的快速推进，要求将易出错的手动网络安全流程实现自动化。
• 要对来自多家厂商的网络安全设备保持一致、持续的合规，并消除因人为失误造成的高代价配置错误，正变得越来越困难。
• 安全策略执行点不仅是网络安全架构的重要组成部分，随着网络在多种环境中的范围与复杂性不断扩大，其关键性也在不断上升。
• 智能化的网络安全平台将提供所需的自动化与分析能力，以遏制网络无序扩张，并使安全从业者能够基于上下文和可执行的情报做出更明智的决策。
• 要对混合网络实现实时可见性与控制，并建立统一的策略执行点，集中化管理必不可少。
• 高级分析与安全情报能力将支持更优的决策，并有助于检测、预防和主动响应威胁。

技术无序扩张加剧复杂性

无论是端点数量还是所使用的技术，混合网络都变得日益复杂。移动设备数量的爆发式增长以及物联网（IoT）的兴起，极大地加速了端点的激增。基于云的应用与服务凭借其灵活性、速度和便利性，也日益普及。 补充栏：云采用速度超过安全能力——60% 的受访者表示，云业务举措的推进速度快于安全团队对其实施保护的能力。 由于各组织在混合云环境中往往会使用多家安全厂商的产品，他们可能在无意或有意之间，加剧了管理和保护其网络的复杂性。FireMon 2019 年混合云安全现状报告显示，59% 的受访者在其环境中使用两种或更多不同的防火墙，而在这些使用两种或更多防火墙的受访者中，有 67% 同时使用两个或更多公有云平台。

图 1：网络复杂性 云在企业中的普及提升了业务敏捷性，但随之而来的复杂性上升可能抵消这些收益。大多数企业已在云环境中完成部署，其中 50% 部署了两个或更多不同的云，40% 部署于混合云环境，另有 23% 已在概念验证阶段部署两个或更多不同的云，或计划在未来 12 个月内部署。

图 2 – 技术无序扩张 补充栏 – 技术无序扩张加剧复杂性并阻碍业务敏捷性 1995 年 – 状态化数据包检测防火墙问世。多数组织仅在边界部署少量设备。2001 年 – 广域网、DMZ 以及多个出入口点的影响开始推高设备数量。2005 年 – 作为业务敏捷性基石的虚拟化与移动化，导致边界瓦解及网络分段激增。2009 年 – 虚拟化基础设施与 PCI-DSS 标准共同推动了更多网络分段。2016 年及以后 – 企业运营混合基础设施，安全开始通过微分段和容器化等方法（不限于此）加以适应。2019 年 – COVID-19 疫情导致迅速转向居家办公；各组织对分布式网络施加了沉重负载。

可见性受限等于复杂性上升

复杂性上升降低了对混合网络的整体可见性与内部洞察，使威胁更难识别和遏制。在物理环境与云环境中使用多种安全工具的组织可能会发现，他们缺乏对网络基础设施的整体视图，从而妨碍威胁狩猎工作以及修复优先级的排定。据 EY 称，77% 的组织仍仅具备有限的网络安全与韧性能力。他们甚至可能并不清楚自己最关键的信息和资产是什么、位于何处，也没有足够的防护措施来保护这些资产。对于那些无法管理和修补尚未被发现的设备的组织而言，网络可见性的缺失同样构成问题。这些未知设备增加了泄露路径出现的可能性，进而可能导致相应的策略或分段违规。泄露路径还包括来自企业网络任何部分（含云环境）的未经授权或配置错误的互联网连接，这些连接允许流量被转发至互联网上的某个位置。在网络可见性较低、安全控制较少的云环境中，泄露路径尤其难以检测。

安全技能短缺造成大量复杂性

合格安全人员的匮乏，进一步加大了改善组织安全态势的难度。尽管 2021 年未填补的网络安全职位空缺数量多年来首次下降，但仍接近 300 万个。各组织的安全团队将继续被要求以更少的资源完成更多工作，且看不到缓解的迹象。ESG 与 ISSA 的一项合作研究项目显示，三分之一的受访者（如图 3 所示）认为全球网络安全技能短缺对其组织造成了重大影响，另有 41% 表示技能短缺对其组织有一定影响。此外，为期三年的研究趋势清楚表明，各组织应对网络安全技能短缺的能力并未得到改善。技术无序扩张的加剧与熟练人员的匮乏共同造成了一道复杂性鸿沟，如图 4 所示。多年来，设备数量及相关规则数量呈指数级增长，而熟练员工的数量却没有同步增加。

图 3 – 网络安全技能短缺的影响

图 4 – 复杂性鸿沟

自动化不可或缺

鉴于上述各种因素造成的复杂性鸿沟日益扩大，自动化不可或缺。手动流程耗时且易出错。随着人手不足的安全团队疲于应对过多的工具、缺乏适当培训以及策略的复杂性，配置错误已成为防火墙和云安全事件的主要根源。根据 FireMon 的《2019 年防火墙现状报告》，尽管变更请求量很大，仍有 65% 的受访者使用手动变更管理流程。约 36% 的受访者表示，其超过 10% 的网络变更因网络上的不准确或问题而需要返工，这主要由人为失误引起。6 最终，缺乏自动化可能导致合规违规、风险上升以及计划外中断，从而妨碍业务运营。云计算的敏捷性在加速 DevOps 团队创新的同时，也扩大了组织的潜在攻击面。虽然安全的重要性促使一些安全左移的举措，但许多 DevOps 团队不得不为创新而牺牲安全。《2019 年 DevSecOps 社区调查》发现，48% 的开发人员仍然认为安全很重要，但没有足够的时间投入其中。防火墙等网络安全设备必须能够在新用户、应用和设备获得访问权限时，快速管理持续的变动与变更。此外，它们还必须能够在业务需求变化时迅速撤销访问权限。在不再需要时仍然有效的访问权限，会给组织带来重大的安全风险。

图 5 – 各组织如何将自动化用于变更管理 管理防火墙部署的一大难题，尤其是在大规模以及跨本地与混合环境的情况下，是获得对规则集治理策略的可见性。缺乏全面的可见性，就难以识别冗余、隐藏、被遮蔽、过时或权限过宽的规则。如图 7 所示，缺乏自动化使许多团队被例行请求所占用，而无法投入其他关键项目，从而削弱了业务敏捷性。72% 的受访者表示，处理和/或审批一项典型变更请求需要两个或更多团队参与。在这 72% 涉及两个或更多团队的受访者中，近 30% 需要三个团队参与处理和/或审批一项典型变更请求。这清楚地说明，应以自动化取代手动任务，以消除流程瓶颈。此外，如图 4“复杂性鸿沟”所示，多年来不仅在用设备数量不断增加，管理其配置的规则数量更是急剧攀升。1990 年代中期防火墙开始普遍使用时，规则仅约 400 条；而到 2021 年，大型企业在用规则可能超过 200 万条。

图 6 – 网络防火墙的关键程度

自动化网络安全策略管理的要求

保持稳健的安全态势，对于保护混合网络环境免受安全威胁与事件影响、达成审计与合规要求，以及为在不损害安全的前提下推动创新奠定基础，都是必要的。通过将网络安全策略管理自动化，各组织可以减少安全错误、规范并简化工作流，并使安全成为实现业务目标的推动力。

1. 自动化网络安全策略管理平台的首要要求，是对整个网络基础设施（包括本地、私有云和公有云）具备实时且全面的可见性。通过单一管理界面进行集中管理，必须提供对网络安全设备相关规则所需的可见性，以确定组织当前配置的状态、评估安全策略的有效性，并评估任何拟议策略变更对组织合规性与安全态势的影响范围。高级分析能力有助于安全团队规划并监控安全策略的有效性。
2. 自动化网络安全策略管理平台将提供一个集中节点，用于确定可执行哪些策略以消除不必要的访问权限与安全风险。通过全面的规则分析与简化的自动化工作流，各组织可以消除技术失误与配置错误、清除未使用的访问权限、审查并优化访问以提升网络设备性能、降低策略复杂性，并增强安全态势。
3. 自动化网络安全策略管理平台的另一项要求，是能够灵活地将自动化扩展至组织的具体需求。稳健、开放的应用程序编程接口（API）将适应组织不断变化的基础设施与安全需求，并纳入对网络安全设备、策略及潜在风险进行确定性分析所必需的关键信息。

总结

在各组织寻求借助云计算、虚拟化、软件定义网络以及高度互联的物联网（IoT）等技术来提升业务敏捷性的同时，他们也面临无法招募和留住熟练安全专业人员的问题。这形成了一道复杂性鸿沟：数字化转型的推进速度快于安全团队保护和管理它的能力。要克服这种复杂性并实现可持续的业务敏捷性，自动化不可或缺。部署能够将手动功能自动化并简化工作流的网络安全策略管理平台，将减少配置错误与风险暴露，并提升资源紧张的安全团队的工作效率。借助自动化，DevOps 与 SecOps 可以协同配合，满足并持续维持合规要求、强化安全态势，并跟上业务不断增长的需求。