安全沙箱隔离企业风险

零信三个核心的原则：

1、最小访问权限

指每个用户只能访问其工作所需的访问权限。通过限制每个用户的访问权限，可以有效防止黑客进入内部后的横向攻击。这种精细的授权策略一般来说是由数据所有者来管理权限，并定期审核访问权限和成员身份。

2、访问皆需验证

用户每次访问共享文件、应用程序或云存储设备时，都要验证该用户对相关资源的访问。因为在零信任架构中，用户的每个网络活动都是潜在的威胁。要实现这种模式，需要：远程身份验证、访问协议、外围安全和网络访问控件。

3、监视日志记录

监视和日志记录可以说是零信任安全模型最重要的功能。在系统的监视下，网络中的每一个活动都被记录在案，并且经过可视化安全分析，可以有效辨别出哪些是异常账户，勒索软件和恶意操作都清清楚楚地展示在你的眼皮底下。

零信任时代如何控制安全

零信任，首先是一种数字化时代的安全“哲学”、架构理念，然后才是一系列的科技产品与工具。其中种类繁多，不一而足；也没有哪家厂商敢声称现在已经提供了所有的、最完整的解决方案。这是一个正在发展的领域，大家都在路上。在这里，我们只探讨其中一种类型的技术方案：软件隔离（零信任的技术方案里，还有一种 Micro-segmentation 网络微隔离技术，不在本文讨论范围）。

不错，就是像隔离新冠病毒一样的绝对隔离，只不过它是虚拟的 - 任何代码都是受怀疑对象，都可能感染病毒，都得被关在箱子里跑，运行是可以运行的，但是不能被放出来。

事实上，隔离技术早已无处不在。在云端，亚马逊之所以能允许成千上万的“租户”把代码跑在自己的机房里而不用担心安全问题，其中至少有相当一部分原因是跟虚拟机相关的 - 虚拟机就是隔离环境，你的代码只能在这个隔离环境里跑，内存、CPU、网络、存储等等资源，都是安全隔离与受限的。你看不到其他“租户”的代码与资源，他们也看不到你。在客户端，微信之所以能承载几百万个小程序，让网上各种企业用各种前端框架开发出来的代码跑在微信 App 里面却不用担心微信自身被攻破、用户数据被盗取，同样也离不开以小程序为单位的隔离。

从云端到浏览器端，都有隔离机制，这种机制就是：安全沙箱。

有理由相信，安全沙箱将无处不在，未来的软件，几乎就没有不跑在某种形态的沙箱之内的。安全沙箱这种机制，应该是双向隔离的，一方面它把任何代码关在箱子里跑，免得它们潜在入侵、损害所在运行的“宿主”环境；另一方面它也保护运行在其中的代码，免得它被受污染的“宿主”环境侵害。

隔离，是这个时代的主旋律，在数字世界更加逃不过...

安全沙箱的价值

首先，什么是沙箱？它本身就是一种线下生活现象的虚拟化。现实世界里，小孩子们在沙地、沙滩上用木板隔离出一个方盒子，在盒子里堆砌、创造各种东西 - 城堡、房屋、山丘... 这就是一个沙箱。它有两个根本特点：一、它有边界，通过木板设定了游戏创造的范围只在围墙内；二、它的游戏材料是沙，任何的创造，一抹就平，瞬间无影无踪不留痕迹。

这两个特点，在计算机世界被模拟了（套句流行语，被“数字化”了）。在一台设备（不管是一台服务器还是一个手机，我们称之为“宿主”）中，通过软硬件手段的结合，可以模拟出一个“管控”区域，它的里面是预先指定、划分出来的运算与存储资源，与宿主的其他资源完全隔离。应用代码可以被丢到这个区域里运行，即使它是病毒、木马、DDoS 攻击软件，它也只能在这么一个资源受限的模拟世界折腾，它就像在 Matrix 里的人，看不到宿主里其他的平行世界，甚至不知道宿主的存在，无法滥用宿主资源从而毁灭宿主（和其他平行世界）。此外，任何这样的区域，既然是模拟的，不管里面跑着什么，都可以被“一键删除”，一切归零。

这就是计算机世界的沙箱。

沙箱技术有很多种类，是否能称之为“安全沙箱”，则视乎其隔离的程度和自身的技术目的。例如能模拟出一整台服务器或者桌面电脑的虚拟机，应该能称之为安全沙箱 - 你可以在里面跑企业服务、也可以在里面打游戏，并不能影响宿主的安全稳定运行，你也可以把这个虚拟机一键删除，不管里面安装了什么东西。例如浏览器里面的实现，是最为普通用户所能感知的安全沙箱 - 它把远程加载的、来自不同网站的页面进行隔离，并且在运行这些包含大量不知名开源技术的代码时，还需要防范 XSS 攻击，保护宿主环境（让用户免受隐私泄漏、数据被盗、遭遇钓鱼诈骗、感染病毒等风险）。

容器类技术，诸如 docker、LXC 等，有沙箱隔离的特点，但因为共享宿主操作系统的内核，并不提供彻底全模拟的环境，所以往往并不被视为安全沙箱。

数字化的发展，“隔离”是硬道理，只是隔离粒度不同，有云端“租户”之间的隔离、虚拟服务器的隔离、网络间微隔离、进程间隔离、乃至小小一个手机上一段代码（例如一个小程序）的隔离。

一种企业灵活再开发和使用的沙箱技术

支撑数字化的下一代企业软件是什么样子的？认为“小程序化”、“安全沙箱化”是其中一个基石。

逻辑如下：

• 通过网络分发传播而下载运行的代码，永远不可信赖，它只能被关在安全沙箱这样的隔离环境里面跑，没有其他选择

• 传统企业之间的资源交换与整合，它的数字化形态就是交换自己的“数字内容资产”，也就是我的平台让你的软件放进来跑一跑服务我的客户，我的软件投放到你的环境里触达一下你的客户。“你中有我，我中有你”，可是我们俩彼此在技术层面没有任何信任基础，只认技术安全，“零信任”。所以你的代码我只能放在沙箱里跑，我投放到你那边的代码，也用沙箱隔离着你的环境

• 在所谓企业“内网”里，运行的一切软件，也不能保证安全，谁知道代码里面用了什么开源组件、供应链是不是已经被污染、是否随着员工随身设备“肉身翻墙”进入了防火墙内部？都得被安全沙箱关着才能运行

• 企业的一切业务内容，表现方式就是软件化代码化。企业的数字内容资产，就是软件

• 软件形态和过去不一样了，它已经彻底脱离 PC 时代的“单机”，它天然是网络化的、连接型的、传播式的，企业需要掌握软件的出版权、分发权、流动权、使用权

• 随需随用、用完即走的“轻应用”软件形态，最符合上述要求。其中“小程序”又是轻应用类型技术中最有广泛基础、最贴近 Web 因此最有生命力的技术。

• 用户甚至不再需要去主动意识到“软件”这个概念的强存在，代码都是自动下载、看到就用到的，不再有传统观念下的安装、升级，一切都是透明的

类似于 FinClip小程序容器技术，是一种云端可控的设备端（包括 IoT）安全沙箱技术，它以可分发、可流通的小程序代码格式为软件形态，充当下一代企业应用软件的技术底座。 作为 Web 前端技术的“超集”，基于令牌（non-forgeable token）的安全模型，和当前“零信任架构”下的其他基础技术在最贴近用户、应用的地方能建立良好的配合。