【51CTO.com快译】从某种角度来讲，谷歌公司与其它大型企业并无区别。其拥有典型的安全防御态势，将企业视为一座城堡，而安全性则依靠护城河与壁垒实现。
然而随着时间的推移，谷歌公司的流动员工群体开始增长，其遍布世界各地并需要访问内部网络以完成日常工作。缓慢而不够可靠的VPN严重制约着员工们的生产力。除此之外，谷歌公司自身也开始将工作负载迁移至城堡之外的云环境处。但在另一方面，谷歌公司又与其它企业存在巨大差异。不必设定任何明确的商业计划或者成本/效益分析，谷歌高管即雄心勃勃地表示，愿意对其安全基础设施进行全面重塑。
其基本前提非常简单，“壁垒并不能起到应有效果”，谷歌公司安全负责人Heather Adkins表示。在本次RSAC研讨中，Adkins指出其目标是不再强调防火墙及其它周边防御，而开始转向“零信任”模式。这意味着每一台设备——无论其处于公司内部还是星巴克店内员工的手中——都将以不受信为前提。在新模式下，整个安全体系围绕用户与设备存在。谷歌会根据对最终用户及其设备的了解授权访问权限，且全部服务访问都必须通过身份验证、授权与加密。这一名为BeyondCorp的项目设定了明确的最终目标，即每位员工都能在不使用VPN的情况下立足不受信网络成功完成工作。这意味着其需要进行闪电战登录或者使用其它类型的访问代理。
项目分多个步骤进行。首先，谷歌会构建一份用户清单，其中详尽说明每位员工的工作分类及其应当访问的服务项目。下一步则是为设备构建类似的清单，包括各台设备的采购到生命周期到运行状态追踪等因素。
接下来，谷歌建立起自己的访问控制引擎，用以检查世界各地一切员工与设备的每一次网络访问活动。为了建立这项访问控制策略，谷歌需要从20个不同来源提取数据。
谷歌公司网站可靠性工程技术经理Rory Ward表示，这一切构建工作需要两到三年时间。而这，还不是最困难的部分。
现在，他们需要由旧有网络迁移至新的“零信任”网络，且不“影响任何人”。换言之，即不会拒绝任何员工对其完成工作所必需的应用程序或服务进行访问。
根据Ward的介绍，迁移工作本身亦耗时两年时间。该团队在全球200栋谷歌办公楼内安装了这一新系统，但并未立即启用。他们利用嗅探器捕捉与该位置特权网络相关的全部真实流量，并通过新的尚未正式上线的非特权系统运行这一流量。
通过逐步实践，Ward和他的团队对这套新系统建立起坚定的信心，并真正开始进行迁移。在此之后，Ward的团队积累起“一套巨大的事务数据库，用以划分那些无法在新网络上正常运行的事务”。但问题亦接踵而至。“我们不断尝试直到解决问题，”他表示。“我们重新发明了整个网络体系，且保证过程中不会影响任何人的正常工作。”
Adkins指出，该团队在期间学习到了大量宝贵的经验教训，其足以指导其它拥有类似需求的企业。事实上，谷歌公司已经公开发布了关于BeyondCorp项目的相关信息。其中的关键在于，大家需要不间断地提供支持、掌握准确数据并最终实现无痛化迁移。另外，您还必须拥有明确的用户通信认知且保证底层系统高度可靠。
Adkins介绍称，最终结果是谷歌的员工们更加开心且工作效率得到显著提升。另外，新系统使得IT系统更为简单，这意味着谷歌的运营成本将借此得到有效缩减。
原文标题：How Google reinvented security and eliminated the need for firewalls
原文作者：Neal Weinberg
【51CTO译稿，合作站点转载请注明原文译者和出处为51CTO.com】
了解更多热点新闻，请关注51CTO《科技新闻早报》栏目!
