愈來愈多企業選擇以「雲運算優先」（Cloud First）策略，原因有兩個；首先，
過去數年，全球化經營趨勢持續；工作地點趨向分散，甚至分佈全球各地，雲
運算部署無遠弗屆，正切合全球化發展。首次，軟件即服務，或者SaaS發展成
熟，軟件以雲服務形式交付，幾乎已成標準。
雲運算成為大勢所趨；從已往只屬實驗性質，至如今不分畛域，企業已全盤採
用雲運算。企業資料部署至私有雲，甚至公共雲或SaaS等，員工須上網，才取
得數據作業，Cloud First無可避免。
另一影響，企業邊界變得模糊，以往利用防火牆；區分所謂「互聯網
」（Internet）和「內聯網」（Intranet），愈變失去意義。大量的SaaS，類似是
Salesforce、Dropbox、Office 365等興起，數碼資產也不一定儲存於企業範圍內。
多年以來，不少企業IT保安定義，以「網絡存取」（Network Access）邊界決定
，也就是保護於一定邊界內的IT設備。隨著雲運算流行，網絡存取已不相等資
料存取的範圍。員工可能從Starbucks上網，甚至直接登錄SaaS，完全沒經過企業
內聯網，即使公司範圍，安裝大量IT保安裝置，也無濟於事。
消失的內聯網
簡單來說，所謂內聯網的定義，到了Cloud First年代，幾乎毫無意義。另一方面
，隨著企業採用更多公共雲和SaaS，上網連接，比公司專線更重要，加上軟件
定義廣域網（SD-WAN）技術，上網更穩定、性能和速度也更優勝，專線服的
優勢漸漸減低。
zScaler亞太及日本副總裁Scott Robertson說，傳統的IT保安，類似是在建立堡壘
和護城河，不同IT保安設備；包括防火牆、Web Gateway、郵件過濾、過濾病毒
和APT，築起銅牆鐵壁，守護城內的資產和人員。但保安設備愈來愈多，又必
須專才維護，成本鉅大，同時城內的資產和人員，又愈來愈少。
隨著全球化，不少分支機構又須部署同樣設備，成本再倍升。企業想統一防衛
，可採用Hub and Spoke的部署，分支機構連接回總部，統一上網，再連接至私
有雲和SaaS。但如此一來，總部線路一定構成極大負荷，架床疊屋的連接，又
導致設計複雜，用戶體驗更差。
「保安設備須經常更新設定和定義，才能辨認新的攻擊、病毒、APT等。為了
維護大量設備，須聘請了大量專家。另一方面，內聯網內資料和人員，卻又四
散各地，無法保護。以網絡邊界定義保安策略，已明顯過時。企業須採用以原
則為主的保安（Policy-based security）策略，放棄以網絡定義的保安。」
以快打慢的雲端保安
公有雲和SaaS愈來愈流行，不少員工即使在公司工作，都是利用大量的
Internet，連接內部數據中心的流量愈來愈少。zScaler就是新一代雲端防火牆方
案，直接從雲端平台，交付保安服務，完全「保安即服務」（Security as a
Service），全球奉行Cloud First的企業；包括飛利浦、GE、聯合航空、法國航空
、西門子、柏克萊、P&G等國際企業，不約而同採用了zScaler。
「以雲端平台保護企業的優點；無論用戶身處於何方，都可受最佳保護
。zScaler全球各地，設超過一百多個數據中心，直接連到各地Internet交換中心
；即使用戶所有流量經zScaler雲服務，也不影響連接的質素。」
zScaler雲服務也不斷更新雲端平台，馬上可欄截新的攻擊，抵禦零日病毒和勒
索軟件。「即使客戶不慎開啟了釣魚郵件，用上了SSL加密，zScaler亦可檢查
SSL內容，找出勒索軟件的源頭，防止下載加密的軟件，停止攻擊。不少客戶
採用zScaler，馬上就杜絕了勒索攻擊。」
面臨淘汰的SSL-VPN
Robertson說，不少用戶公幹途中，必須連接公司。以往普遍方法，為是採用
VPN。可是，VPN也有缺點。企業大量使用VPN，往往變成了保安漏洞。「如
果終端用戶被入侵，再用VPN連接到企業網絡，往往變成了後門，終端一旦被
入侵，黑客就可長驅直進。」
「理論上，SSL-VPN在TCP層加密，並且為基於應用VPN，為訪問應用層安全提
供更好控制機制。問題在於，SSL-VPN不容易維護（包括證書和應付不少漏洞
，例如heartbleed攻擊）。SSL-VPN授權貴得驚人，SSL-VPN成本和安全令不少企
業再三考慮，以VPN連至企業，是否明智之舉。」
除了「保安即服務」，Zscaler的Private Access服務，遠端用戶可直接連接至公有
雲和私有雲，取代SSL-VPN的作用。「Private Access的原理，就是讓通往私有雲
或公有雲的連線，先經Zscaler加密，因此毋須維持大量VPN，增加受攻擊風險
。Private Access屏蔽了同一網絡內的其他服務器；員工或合約人員只能恰如其份
，存取適當服務，無法通往其他區域。」
Zscaler亦與多家公有雲及互聯網交換中心連接，以Private Access改善存取公有雲
服務的性能。Robertson說，Zscaler亦與多家公有雲，類似Office 365有合作關係
，改善SaaS用戶體驗。「以Office 365為例，微軟經常改變存取的URL，以免受
到攻擊，加上Office 365令防火牆的TCP連接大增，如果以內部防火牆，除了維
常URL名單，亦可能難以負荷大增的TCP連接。Zscaler同步更新雲端防火牆的
URL名單，亦可應付TCP連接，免除了經實體防火牆過濾，導致Office365引起的
網絡連接問題。」
過去數年，全球化經營趨勢持續；工作地點趨向分散，甚至分佈全球各地，雲
運算部署無遠弗屆，正切合全球化發展。首次，軟件即服務，或者SaaS發展成
熟，軟件以雲服務形式交付，幾乎已成標準。
雲運算成為大勢所趨；從已往只屬實驗性質，至如今不分畛域，企業已全盤採
用雲運算。企業資料部署至私有雲，甚至公共雲或SaaS等，員工須上網，才取
得數據作業，Cloud First無可避免。
另一影響，企業邊界變得模糊，以往利用防火牆；區分所謂「互聯網
」（Internet）和「內聯網」（Intranet），愈變失去意義。大量的SaaS，類似是
Salesforce、Dropbox、Office 365等興起，數碼資產也不一定儲存於企業範圍內。
多年以來，不少企業IT保安定義，以「網絡存取」（Network Access）邊界決定
，也就是保護於一定邊界內的IT設備。隨著雲運算流行，網絡存取已不相等資
料存取的範圍。員工可能從Starbucks上網，甚至直接登錄SaaS，完全沒經過企業
內聯網，即使公司範圍，安裝大量IT保安裝置，也無濟於事。
消失的內聯網
簡單來說，所謂內聯網的定義，到了Cloud First年代，幾乎毫無意義。另一方面
，隨著企業採用更多公共雲和SaaS，上網連接，比公司專線更重要，加上軟件
定義廣域網（SD-WAN）技術，上網更穩定、性能和速度也更優勝，專線服的
優勢漸漸減低。
zScaler亞太及日本副總裁Scott Robertson說，傳統的IT保安，類似是在建立堡壘
和護城河，不同IT保安設備；包括防火牆、Web Gateway、郵件過濾、過濾病毒
和APT，築起銅牆鐵壁，守護城內的資產和人員。但保安設備愈來愈多，又必
須專才維護，成本鉅大，同時城內的資產和人員，又愈來愈少。
隨著全球化，不少分支機構又須部署同樣設備，成本再倍升。企業想統一防衛
，可採用Hub and Spoke的部署，分支機構連接回總部，統一上網，再連接至私
有雲和SaaS。但如此一來，總部線路一定構成極大負荷，架床疊屋的連接，又
導致設計複雜，用戶體驗更差。
「保安設備須經常更新設定和定義，才能辨認新的攻擊、病毒、APT等。為了
維護大量設備，須聘請了大量專家。另一方面，內聯網內資料和人員，卻又四
散各地，無法保護。以網絡邊界定義保安策略，已明顯過時。企業須採用以原
則為主的保安（Policy-based security）策略，放棄以網絡定義的保安。」
以快打慢的雲端保安
公有雲和SaaS愈來愈流行，不少員工即使在公司工作，都是利用大量的
Internet，連接內部數據中心的流量愈來愈少。zScaler就是新一代雲端防火牆方
案，直接從雲端平台，交付保安服務，完全「保安即服務」（Security as a
Service），全球奉行Cloud First的企業；包括飛利浦、GE、聯合航空、法國航空
、西門子、柏克萊、P&G等國際企業，不約而同採用了zScaler。
「以雲端平台保護企業的優點；無論用戶身處於何方，都可受最佳保護
。zScaler全球各地，設超過一百多個數據中心，直接連到各地Internet交換中心
；即使用戶所有流量經zScaler雲服務，也不影響連接的質素。」
zScaler雲服務也不斷更新雲端平台，馬上可欄截新的攻擊，抵禦零日病毒和勒
索軟件。「即使客戶不慎開啟了釣魚郵件，用上了SSL加密，zScaler亦可檢查
SSL內容，找出勒索軟件的源頭，防止下載加密的軟件，停止攻擊。不少客戶
採用zScaler，馬上就杜絕了勒索攻擊。」
面臨淘汰的SSL-VPN
Robertson說，不少用戶公幹途中，必須連接公司。以往普遍方法，為是採用
VPN。可是，VPN也有缺點。企業大量使用VPN，往往變成了保安漏洞。「如
果終端用戶被入侵，再用VPN連接到企業網絡，往往變成了後門，終端一旦被
入侵，黑客就可長驅直進。」
「理論上，SSL-VPN在TCP層加密，並且為基於應用VPN，為訪問應用層安全提
供更好控制機制。問題在於，SSL-VPN不容易維護（包括證書和應付不少漏洞
，例如heartbleed攻擊）。SSL-VPN授權貴得驚人，SSL-VPN成本和安全令不少企
業再三考慮，以VPN連至企業，是否明智之舉。」
除了「保安即服務」，Zscaler的Private Access服務，遠端用戶可直接連接至公有
雲和私有雲，取代SSL-VPN的作用。「Private Access的原理，就是讓通往私有雲
或公有雲的連線，先經Zscaler加密，因此毋須維持大量VPN，增加受攻擊風險
。Private Access屏蔽了同一網絡內的其他服務器；員工或合約人員只能恰如其份
，存取適當服務，無法通往其他區域。」
Zscaler亦與多家公有雲及互聯網交換中心連接，以Private Access改善存取公有雲
服務的性能。Robertson說，Zscaler亦與多家公有雲，類似Office 365有合作關係
，改善SaaS用戶體驗。「以Office 365為例，微軟經常改變存取的URL，以免受
到攻擊，加上Office 365令防火牆的TCP連接大增，如果以內部防火牆，除了維
常URL名單，亦可能難以負荷大增的TCP連接。Zscaler同步更新雲端防火牆的
URL名單，亦可應付TCP連接，免除了經實體防火牆過濾，導致Office365引起的
網絡連接問題。」
沒有留言:
發佈留言