接到公司繼續線上辦公一週的通知，於是和IT圈子裡的朋友聊天，除了遠程辦公開視頻會議遇到的各種問題之外，不覺間聊到了安全話題，比如，最近微盟員工通過個人VPN登錄內網跳板機，破壞生產系統數據庫的個人行為，也有某企業去年遭遇到了勒索病毒，領導很不開心，伴隨企業終生的信息安全問題如何更好的解決，不出亂子？
安全問題，一把懸在企業頭頂的“達摩克利斯”之劍
的確，安全是一個令人頭疼的問題，不出事的時候看不見價值，出了事就要背鍋，而且並沒有一套完美的產品和方案。換句話說，互聯網上沒有絕對的安全。不出問題體現不出安全的價值，一旦出了問題，通常是殺之於無形。
信息安全是一個大話題，涉及面很廣，涵蓋了安全運維、安全開發、IT管理、安全運營等，有些是人為造成的信息洩露，有些是攻擊造成的隱患。不可否認，企業安全遭到多方面的威脅，尤其是勒索病毒讓很多企業焦頭爛額叫苦不迭。安全防禦和安全威脅始終是相伴相生，所謂道高一尺魔高一丈。安全解決方案的核心是如何把各種技術，產品拼成一個完整的體系，並適應公司的情景。
企業遇到什麼威脅，就會需要什麼樣的專業防護，為企業安全保駕護航，這也是市面上安全技術和產品紛繁多樣的根本所在。目前，企業安全防護有多重方式，比如防火牆（應用防火牆和網絡防火牆）防止來自網絡外部的,未經授權的交互式登錄、VPN解決傳輸安全問題、搭建網絡專線確保數據傳輸安全可靠、網絡殺毒解決網絡攻擊的問題、數據加密解決數據存儲和傳輸的問題等等，實現對企業數據的立體化保護。
但是，企業依然不能高枕無憂。以某集團為例，集團和物流公司有一條專線，儘管有防火牆、有態勢感知、也有殺毒引擎，但是依然中了勒索病毒。原因是：集團的一臺終端感染了勒索病毒，通過專線掃碼物流公司的服務器，攻擊到內網中。典型的是利用某終端作為跳板機，掃描全公司的網絡設備和服務器設備。
還有一種技術方案是PC互聯網隔離服務，這是互聯網時代必須要重點關注的問題。比如，當用戶遭遇服務器暴露，漏洞被掃描披露；被感染木馬，進行滲透內網攻擊行為；源代碼暴露被分析業務邏輯，違規越權操作；文檔的閱讀和下載行為難以控制和審計等問題時，企業迫切需要在上網過程中實現安全防護。
互聯網安全形勢有多緊迫？拿數據說話：
一、來自互聯網的威脅分析
1、勒索軟件，企業勒索軟件感染率已經上升到了12%；移動設備勒索軟件感染增加到33%；由於攻擊者已經趨向有利可圖，整體感染率減少20%。
2、惡意軟件，自2006年以來，邁克菲威脅季度報告，新惡意軟件的數量呈現指數增長，到2017年已經達到3億個。
3、網頁表單內容劫持：全球平均每個月超過5300個不同網站遭到表單劫持，和代碼侵入；2018年賽門鐵克共截獲450萬次表單劫持終端攻擊。
4、網絡攻擊：網絡攻擊數量增加63%，2018年賽門鐵克分析的URL中，18%為惡意網址。
二、有90％的網絡攻擊來源於網頁瀏覽和釣魚郵件
比如，每年新的瀏覽器和插件超過1400＋，有78%的網站可被用於惡意軟件下載，每4秒鐘就有一個未知的惡意軟件被下載；有83%的增長的激活的釣魚軟件，55%的大企業是釣插式的釣魚攻擊目標，有12%的用戶點擊了不被信任的鏈接或者附件。本質上是通過誘導用戶點擊未知鏈接，然後下載木馬到本地，達到入侵的目的。
網頁為什麼容易被利用？以一個門戶網頁例子，嵌入了28個網站的200多個內容，其中任何一個目標被掛馬，訪問這個網站就很存在被攻擊的風險。在B／S架構下，終端通過瀏覽器訪問，瀏覽器本身也會存在被攻擊和利用的風險，每年都會有700多個瀏覽器漏洞被披露，更新升級的難度大。
三、未知分類的網站的威脅
以往通過白名單的方式操作，白名單的就可以通過，黑名單的禁止操作。但是，URL非常多，很難全部進行URL過濾，URL的過濾和風險級別是非常有效地定義已知好的或壞的域名。對那些未知的、未分類的、或者可能存在風險的域名如何處理？目前，71%的域名在存活時間低於24小時，每天全球有上百萬新的站點出現，雖然很多站點是合法的，但是很多站點是可以被黑客發動攻擊而利用，存在風險，即使使用傳統的“探測”手段也很難評估。再有，安全團隊制定策略時，一旦過度阻擋訪問勢必會影響工作效率，一旦寬鬆的策略則會帶來更多的風險。
瀏覽器漏洞導致風險不可控，每年將近700多個瀏覽器漏洞被披露，多種瀏覽器多種版本，針對瀏覽器統一管理與升級更新難度大。今年3月份，谷歌Chrome瀏覽器被發現零日漏洞，允許黑客使用瀏覽器中加載的惡意PDF文檔來獲取個人數據。
因此，企業需要突破舊的“安全模型”。傳統安全防禦設備主要是依靠“規則檢驗”的方式，在規則庫中匹配到規則就放行，匹配不上才被禁止，因此，容易被繞過，面對“0day漏洞無文件攻擊”更是無能為力。
互聯網遠程瀏覽器隔離技術的5個價值
面對上述提到的互聯網安全問題，互聯網遠程瀏覽器技術可以很好的解決。據瞭解，這項技術在2016年左右被提出，2017年Gartner將這項技術評定為排名第2的頂尖信息安全技術，它的誕生究竟能帶來哪些實用價值？
1、不再依靠白名單URL過濾：通過隔離技術，可以無需判斷“好”或“壞”，將所有風險隔離開。
2、防勒索病毒：隔離存在高風險的活動腳本，隔離勒索軟件傳播路徑。
3、阻擋釣魚郵件：通過隔離有風險的郵件，內嵌未知URL鏈接，防止釣魚攻擊。
4、消除瀏覽器帶來的風險：瀏覽器作為主要攻擊的載體，通過隔離瀏覽器的方式消除此缺陷。
5、降低運維投入：無客戶端、用戶感知的方式，減少對終端安全管理的複雜度。
解決問題：100%阻斷自動化攻擊工具；100%漏洞掃描工具失效；100%服務器代碼、Api對外不可見；100%阻斷爬蟲工具；URL、cookie及數據傳輸全程加密。任何黑客工具無法識別視覺編碼流信息，完全破壞其工作原理，實現黑客工具100%阻斷。
從技術原理上：服務器代碼被傳遞在隔離環境中，隔離引擎執行服務器代碼，結果被轉碼成視覺流，將不含任何服務器信息的結果發佈出去。
每個用戶訪問網站、業務系統時會開啟一次性獨立隔離環境，在這個獨立環境中啟動一個遠程瀏覽器，由遠程瀏覽引擎替代本地瀏覽器與網站、業務應用服務器進行交互，執行結果被轉碼成視覺流方式發佈給用戶; 用戶只能通過鼠標點擊與鍵盤輸入與隔離瀏覽雲交互,不能直接與真實網站、業務應用服務器通信;既實現了隔離郵件、網頁和文檔，又能達到無縫原生瀏覽體驗。更重要的是，終端用戶不執行任何互聯網代碼，所有的網站、業務應用代碼都被瀏覽引擎執行掉，用戶端只存在與隔離瀏覽平臺交互的公開腳本。以無廣告的網頁體驗為例，通過互聯網隔離技術，廣告程序無法執行，網頁不僅乾淨，也不會被追蹤收集個人信息，流氓軟件也無法到達終端，用戶瀏覽體驗大幅提升。
從部署操作性上，具備輕量級、便捷性、低成本的特性：1、無需安裝客戶端，部署後終端用戶無感知，支持任意瀏覽器訪問隔離瀏覽平臺；2、無需改變現有網站、業務系統架構即可快速部署；3不會改變用戶操作習慣；4、運維簡單，無需配置規則／策略，脫離海量告警處置工作。5、支持集群式本地部署和雲部署：防護範圍支持橫向和縱向擴展。內網投放前置小設備,簡單靈活地接入隔離雲，無需修改DNS,避開政府網站IP備案問題。
當然，互聯網隔離方案也並非完美無瑕，由於它的架構所致，每次用戶訪問都要開啟隔離環境，需要消耗一定的計算資源，對於計算資源緊缺型的企業來說，慎重選擇。
總之，在我看來，安全沒有完美的解決方案，只有適合自己的方案，要想達成安全目標，需要運用全方位的安全技術組合，適用於客戶的不同業務場景，做到安全防護、成本投入和用戶體驗的多贏。
閱讀更多 IT大咖秀 的文章
