创新沙盒 软件定义安全SDS走向应用

自从著名咨询机构Gartner在《The Impact of Software-Defined Data Centers on Information Security》[1]一文中提出软件定义安全(Software Defined Security，SDS)的概念后，软件定义与安全的结合已成为业界的前沿发展热点。背后的原因很直观：软件定义安全强调了安全控制平面与数据平面分离，从而在控制平面上可灵活调整应用策略，快速变更安全业务。

SDS创新沙盒10中有3

各大厂商都开始做相关的研究和研发工作，RSA大会一直是厂商们展现自己最新工作的舞台。如Check Point在RSA 2014大会上宣布推出软件定义防护(Software Defined Protection，SDP)革新性安全架构，可在当今日新月异的IT和威胁环境中为企业提供虚拟化的边界防护。赛门铁克也在RSA 2015提出使用软件定义网络技术对APT攻击进行取证的话题也提供了一种安全事件事后快速分析的新思路。

而RSA 2016到了第25个年头时，我们惊喜地发现更多的公司在展示在软件定义安全的领域的工作，特别是在体现创新的Innovation Sandbox(创新沙盒)竞赛中，10家经过专业评审的公司，居然有3家与这个话题有关，分别在不同的方面做出了开创性的工作。

Versa Networks

如Versa Networks公司，强调在软件定义广域网(SD-WAN)和分支(Branch)网络的环境中，通过虚拟化网络功能(VNF)技术，将各种各样异构的网络功能编程通用的组件，可快速在相应的网络中部署，大大减少了企业部署相应业务的开销，提高了整个过程的敏捷程度。

[[163448]]

Versa Networks: Network and security functions in software

Skyport Systems

Skyport Systems公司同样也是为企业提供高效的安全计算基础设施，但按照传统建立边界思维，攻击者在进入系统内部后就容易进一步攻击内部其他重要资源。该公司的逻辑是，所有的资源都是零信任，这样即便内部某资源被攻破，那么从该点作为跳板进一步攻击也是困难的。那么这里就涉及到软件定义的访问控制，例如如何做到“零信任”条件下各处的访问控制策略快速调整。该公司在B轮融资中获得3000万美元。

Phantom Cyber

再如Phantom Cyber公司认为在大量出现攻击的场景下，花费大量的人力去发现解决问题已不太现实。与前两个公司不同，Phantom Cyber从应用层入手，构建自动化、可编排的安全应用体系。它支持多种主流的数据分析平台，可利用较为高层的脚本实现安全运维自动化。

SDS敏捷弹性受人追捧

在安全可被软件定义后，新的安全业务可在企业网络中可快速上线，特别是在数据中心中，可实现计算、存储、网络和安全的弹性控制，实现软件定义的数据中心SDDC。正是因为这些优秀的特性，解决了企业客户长期面临的安全管理和运营“痛点”，软件定义安全自从开始就引起了学术界和工业界极大的关注。

SDS受RSA 2016关注的原因

创新沙盒中10个产品中出现了三个能体现SDS的产品，笔者认为其背后的原因有几个：

• 其一，作为软件定义安全的支撑技术，如VNF/NFV、SDN方案，在国外已经有一些成熟的应用，如NSX已经代替Vsphere成为VMWare成长最快的产品，Cisco的ACI方案也与很多安全厂商有合作;

• 其二，企业的高效安全运营需求，直接催生了安全编排这些应用层面的创新;

• 其三，也是最重要的，出于企业对降低成本的天然需求，软件定义的理念转换为实际产品的动力十足。

RSA大会的创新沙盒一直是硅谷安全行业的风向标，今年的沙盒竞赛体现了软件定义安全确实不只是一些实验室的原型系统，一些初创企业已经开始将其作为重点，根据企业在安全运营方面出现的存在各种问题，有针对性的提出了自己的解决方案。我们有理由做出判断，软件定义安全恐怕离真正的产品化和商用已经不远了。

企业也在积极行动

当然除了这些初创公司，还有很多公司也在基于自身产品做相关的工作。如在29日的Session环节，VMWare的安全产品部门SVP Tom Corn就演示了在NSX的环境中，如何可按需定义微分段(Micro Segmentation)，并对任意APP间快速添加加密处理。

厂商展示区域，Catbird公司的软件定义安全架构[3]通过微分区(Micro-Segmentation)在虚拟环境中划分不同的区域，并通过编排将安全策略下发给多种类型的安全设备，并作用在区域级别或虚拟机级别。这些工作都体现了各家在成熟产品线通过软件定义做了很多延展性的工作。

绿盟科技自2013年开始研究SDN和软件定义安全，研发了包括软件定义的抗DDoS、流量异常检测和Web安全等原型系统，并在2015年发布了软件定义安全的白皮书，探讨在该领域的进展。