制度软件化？当一群字节跳动的工程师想要改变办公安全

　　以飞连为代表的公有服务，与容器服务、存储、私有云等基础服务一起，正在支撑起字节跳动的半壁（B）江山。
　　文丨刘鉴
　　2020年1月27日，刚刚过完春节的第三天晚上，飞连负责人林涛（化名）接到了一个同事打来的电话。
　　＂疫情有点严重，我们的远程办公能力要做好承载10万人的准备。＂
　　支撑10万人办公，宽带峰值50Gbps，员工遍布全球30多个国家——这对企业办公承载力与安全保障来说，并不是一件容易事。经过2个小时的思考和资源梳理，林涛当天给出了方案。第二天一早，他们3个人的团队仅耗时3.5个小时就完成了全部扩容任务，并完成服务的上线运行。
　　事后复盘，林涛认为是之前各项能力已经相对成熟，并且得益于多活底层架构和软件的部署形态，让产品有了良好的扩展能力，才能比较快速的应对突发需求的考验。 飞连的多活底层架构采用了分布式架构的思路，可以更灵活方便的扩容及调度。
　　以前的解决方式类似于我们在路边拦出租车，是通过DNS（Domain Name System，域名系统）来做多节点的映射关系。当员工远程发起请求，流量会被指定到单一节点（VPN服务器，具有IP）。当节点故障或访问人数过多的时候，就需要管理员手动切换节点，完成DNS解析（需要时间）、甚至是节点部署工作，此时员工处于断网状态，影响正常工作。
　　飞连则通过API实现了节点与域名的解绑。与传统解决方案相比，飞连就好像增加了统一调度的平台，会自动选择离得近的＂车辆＂，＂乘客＂可以最快完成＂打车＂目的。
　　采用全新的隧道加密技术、支持UDP/TCP双协议、多节点自动优选，飞连进行了系列虚拟专用网络（VPN）的性能与安全性增强机制，并与员工身份系统、设备安全状态打通，实现了精细化的访问控制。＂用VPN实现业务后台的收口管理，其实是飞连诞生之初的第一个目标。疫情的大规模考验，不光是对网络质量本身，还包括在这么庞杂的访问场景下，要做好安全保障。＂林涛回忆道。
　　来自无边界的挑战
　　随着对业务各环节敏捷性与效率的提升要求出现，随时随地、多终端的办公模式兴起。据中国互联网信息中心的数据显示，截至2020年12月，我国远程办公用户规模达3.46 亿，占网民整体的34.9%。企业办公方式也在悄然改变，家庭、咖啡厅甚至地铁都成为新兴办公场所。办公边界的扩大，意味着企业网络不断延伸，终端接入数呈指数级增加。
　　与此同时，中国企业加速数字化转型，办公应用的数量也在急剧增大。加之云计算、移动互联等新技术的引入，传统的纵深防御体系和＂只要进入企业内网就默认安全＂的规则理念，已经不足以应对多终端、多角色、多应用、多平台环境下复杂多变的网络威胁，权限与数据安全管理难度变大。
　　一边是大势所趋，一边是安全难题。此时企业不光要为员工提供与办公室同等顺畅的网络体验，还需要解决大量员工个人设备接入所带来的安全问题。字节跳动亦是如此。
　　＂我们以前说‘人是最大的变数’，那么现在这种变数还要加上他们的办公终端和个人终端设备。＂飞连的技术同学指出，＂日渐模糊的网络、地理边界增加了办公设备与数据管理的复杂性及合规难度。＂
　　＂边界模糊，攻击者视角变了，防御者视角也得变，而且应该更体系化。＂这是字节跳动对于安全防护形势变化的切身感悟。＂为此，当时我们从整体的角度思考，梳理了现实痛点与希望达到的目标，希望集中对安全的控制，从单点问题治理转向全局办公安全建设。＂
　　但市面上的产品都达不到令人满意的效果。
　　制度软件化，一群工程师的选择
　　想象很丰满，现实很骨感。为了解决现实中的痛点，对于习惯于用工程思维解决问题的他们来说，＂做一款软件＂几乎是第一时间的共同选择。 这种用软件平台去落地全局办公安全制度的思路，被他们总结为＂制度软件化＂。
　　＂办公安全问题的解决思路与生产网不同，因为生产网的设备是‘死的’，但办公场景中的人是活的。安全措施与要求，在执行过程中会面临很多变数，不光是来自于员工安全意识，还包括管理员的复杂操作。制度软件化，则是通过软件消除了由人引入的变数，而且这种解决思路是体系化的、易于扩展的、可复制的。＂林涛解释道。
　　人不可能严格依照制度运转，但软件可以。
　　基于此，字节跳动在2017年开始打造自己内部使用的数字化安全办公平台——飞连（内部代号为Seal），其能力逐渐覆盖身份认证、终端管控、办公网络管控等各方面。同时，飞连引入＂全链路动态控制＂安全防护概念，以多能力融合与持续评估为特点，保障员工、企业网络、设备、办公应用安全连接。
　　（飞连以身份为中心，打通了网络与终端管理）
　　数字化业务中，员工往往需要在数个、甚至数十个应用系统中穿梭办公。飞连则提供了应用系统入口的整合能力（SSO单点登录），经由飞连，员工可一键访问所有相互信任的应用系统。管理员可对敏感系统设置MFA多因素认证，实现应用管理、身份验证、角色管理的结合。
　　在身份认证层面，它实现了MFA多因素身份认证。MFA多因素身份认证区别于SFA单因素身份验证。单因素认证通常只需要用户现有的知识，也就是说，只要用户知道密码就可以登录。在当下复杂的网络环境下，别说保证登录的是本人了，你甚至都不能确定申请登录的是不是人。
　　MFA多因素身份认证则要求通过两个或三个独立的凭证：用户知道什么（知识型身份验证），拥有什么（安全令牌或智能卡），是什么（生物识别验证）。确保了人、终端、权限的一一对应。
　　MAF下的OTP一次性密码则是根据专门算法，随机生成一个不可预测的数字组合。由于生活中大量场景与应用都需要密码，用户为了方便记忆，经常多平台、多流程设置的密码是相同的，这就为企业防护安全带来了巨大的隐性风险。 OTP的一次性和实时性，从根本上解决了密码丢失风险，同时也防止了密码遗忘带来不便，堪称＂健忘人群的福音＂ 。
　　丢了设备是不是风险很大？实际上，敏感系统检验可以预防源自终端设备的风险。对于此类系统，管理员可以加高防护水平，在每次登录时都核验人、终端、权限的对应关系。
　　对于设备本身，则是首先通过安全基线检测，如锁屏密码检查，来确保员工设备已设置系统级的安全措施，在丢失、维修等对设备失去掌控的情况下，哪怕是回收废手机坏电脑，旧手机换刀换盆换剪子后，也能保证不会成为风险入口。
　　随着多终端接入办公网络，特别是其中还包含着员工非制式的个人设备，终端安全管理也面临着复杂性难题。作为高效简便的统一平台，飞连尝试成为一把＂斩乱麻的快刀＂。在终端基线检查的基础上，飞连还实现了应用与进程风险检测、病毒查杀与软件管理，只有符合标准且当前被判定为安全的设备才可以接入，用一个平台实现了多视角的安全水平提升。
　　以身份为中心统管办公安全问题的进阶，是在时间的维度上变静态测试为持续评估。安全制度的摸索需要成本，落地制度的方式也需要实验，关于身份、网络、终端如何打通，打通了是为了实现什么，飞连以内置办公安全策略框架给出回答。
　　除了安全，还要便捷
　　2021年，字节跳动正式通过火山引擎，把内部的办公安全平台飞连开放给国内企业客户。虽然飞连是一款面向B端的产品，但骨子里还是字节跳动C端的DNA。技术能力再上天，也需要好的应用落地。
　　飞连虽然是为企业提供安全防护，但实际上最终的使用者还是IT管理员和员工等个人用户。想要成功落地，除了管用之外，也要好用。
　　《商业数据派》在搜索企业安全服务时发现，各大厂商的介绍页面中，不是这个中心，就是那个服务的。小编我只能说hold不住。
　　随着安全需求场景的不断增多，企业需要的安全服务种类也随之增加，一个简单的需求可能要在三四个系统上操作。这对安全管理员和员工来说，都增添了不小的负担。
　　＂安全越做越多，如何减少对员工的干扰，也是个问题。＂林涛认为安全服务应该像内部代号Seal的双关含义一样，＂除了代表对威胁的阻断能力的‘密封’外，还能让员工像‘海豹’一样在办公网络的海洋中自如徜徉。＂
　　＂打通＂是飞连的关键词，技术和逻辑的打通，赋予飞连能力去整合身份权限管理、办公网络管理（Wi-Fi、有线）、虚拟专用网络（VPN）、终端安全管理、动态控制。并且，飞连通过搭积木式的＂模块化＂策略，实现不同的功能的按需搭配。使用飞连的客户，也能够从产品中获得全面、灵活的办公安全策略框架，只需调整各项策略参数配置与策略逻辑，即可完成体系化制度落地。
　　根据部门业务侧重不同，像视频类业务日常会有审核类的需求，对网络质量要求高；而研发部门有很多高价值数据，所以对安全水平要求高。此时，通过＂搭积木＂就可以进行个性化的需求配置，来自己定制和随时调整安全策略与应对逻辑。
　　不仅实现了各个安全系统的＂步坦协同＂，还实现了哪里需要点哪里的＂梦幻联动＂。
　　除此之外，IAM（身份权限管理）、企业IM（即时通讯）、网络的打通，配合SSO（单点登录）生成统一认证标志，实现一键认证，全程畅通。
　　另外，飞连除了支持字节跳动旗下的飞书登陆外，还支持钉钉、企业微信、LDAP第三方认证平台或协议。
　　飞连，在尝试改变什么？
　　当前飞连的主要能力模块有身份权限管理、远程网络连接（VPN）、办公网络管理（Wi-Fi、有线）、终端安全管理（安全基线、防病毒等）以及在此基础上实现了以身份为中心的持续动态控制。所以与其说他们在选择企业安全市场的哪个赛道，不如说他们在尝试为办公安全问题的体系化解决带来新的思路。
　　＂我们去看整个行业，其实更多的不是在对标一个产品，而是去解决问题。＂林涛认为，＂用一个平台整合解决身份、网络、终端等多方面安全问题是我们的优势，也是多数客户会选择我们的一个主要原因。＂
　　作为一款今年1月才对外开放的软件平台，飞连至今已服务了数十家客户，这种速度可能代表了市场的一些正向反馈。
　　飞连在尝试拓展企业IAM领域的能力边界。根据Forrester Research 高级分析师提出的身份和访问管理 (IAM) 主要趋势，未来企业需要做到：多因素身份验证、身份管理和治理、面向 DevOps 和业务用户的特权身份管理、即时访问控制。
　　在当前IAM的实践框架上，加强对网络与终端的安全管控，是飞连当前给出的对办公安全问题的解答。
　　＂制度软件化＂、＂B端产品C端化＂思路，也让飞连中长期沉淀的内容更加易懂易用。＂客户使用飞连能够快速上手，字节跳动的安全能力可以直接为客户复用。＂
　　据商业数据派了解，飞连作为火山引擎的公有服务产品，是基础服务中的重要组成部分。与此同时，公有服务与容器服务、存储、私有云等一起，正在支撑起字节跳动的半壁（B）江山。
　　文中的＂林涛＂为化名