成功案例
作为 IESO 基础架构团队的主管，Armando Valdrez 需要同时管理多种技术解决方案，包括网络、安全、NERC 网络安全以及电力网现场数据遥测。十年前，他当时使用的基于客户端的 VPN 无法让供应商和承包商访问其网络。并且，由于该解决方案利用其面向互联网的 DMZ 防火墙边界，单一设备需要执行多项操作，导致管理任务因而变得高风险。
他们需要一个更简化的解决方案：基于门户、支持远程双因素身份验证，并能有效细分不同部门的访问能力和职责，因此他们选择采用纯远程 VPN。通过将原有 VPN 与防火墙功能分离，他们能够实现职责分离，从而获得更完善的基于角色的运营和成效。Armando 进一步说明：
“我们希望根据一级控制室运营和二级网络工程师职能来分离职责，但如果使用缺少精细访问控制功能的整合设备，就无法做到这一点。因此，我们必须寻找一个专门用于远程 VPN 的解决方案，以及一个仅用于防火墙功能的解决方案。我们通过解耦远程 VPN 功能和防火墙功能实现了这一目标。我们实现了左移。现在，我们的 OPS 团队负责管理远程用户，而二级工程师则专注于项目等其他事务，不再管理运营任务。此举从业务和技术两个层面解决了我们的问题。”
对于 Armando 及其团队而言，融入零信任的一些原则，有助于降低整个威胁环境中的暴露面和未经授权的访问。采用多因素身份验证 (MFA)、微分段以及“最小权限策略”，可提供更强固的安全态势，并与零信任最佳实践保持一致。
Armando 分享了他对融入零信任的看法：“目前我们正在从较高层面讨论零信任。我们正在评估它如何与我们的网络更新策略相契合。其中有很多功能可供我们探索。”
采用零信任实践有助于运营团队和信息安全团队通过洞察与分析获得可见性，确定连接用户数量、连接来源以及他们正在访问的应用程序。从运营角度来看，Ivanti Security Appliance 为管理员提供用于管理和分析的单一视图，而 PCS 功能包括能够：
作为关键公用事业基础设施，IESO 定期开展灾难恢复演练，以确保在发生灾难性网络故障时维持业务连续性。能够最大限度缩短停机时间并减少数据丢失，对任何灾难恢复计划 (DRP) 都至关重要，其首要目标是在任何导致运营和服务无法正常开展的事件中保护组织。就 IESO 而言，他们能够对其 Ivanti Security Appliance 集群执行故障转移。Armando 解释道：
“我们的客户端应用程序需要完成修补并获得允许后，才能访问网络。从某种意义上说，这也与我们的灾难恢复计划一致，因为我们具备高可用性功能。就在几周前，我们完成了业务灾难恢复演练，并成功对 PSA 集群执行了故障转移。在任一时间点都有上千名用户连接，而整个过程对他们来说都是透明的。如今在 COVID 疫情期间，由于我们大多数用户都在远程办公，这一点变得更加重要。”
Ivanti Connect Secure 的“始终在线”VPN 使 IESO 能够对来自端点的所有流量执行安全与合规要求，即使这些端点不在本地也是如此。利用拆分隧道等功能，有助于将安全访问平台的使用范围限定在关键企业/数据中心应用程序。拆分隧道的一个优势在于，互联网流量无需经过 VPN 服务器，从而缓解瓶颈并节省带宽。另一个优势体现在用户位于第三方站点工作，并且全天都需要访问两个网络上的网络资源时。启用拆分隧道可减少企业网络上的流量，通过降低特定任务的延迟来提升速度，并为最终用户提供隐私保护。为帮助提升网络性能，Armando 正在积极测试拆分隧道：
“目前我们正在让 QA 团队测试拆分隧道，因为自疫情发生以来，我们注意到协作流量，尤其是 Microsoft Teams、Skype、Webex 等流量，正在被我们的许多网络安全工具扫描。例如，流量会经过我们的 VPN 网关，然后经过防火墙以及大量工具，如 Web 过滤代理、IPS 和高级恶意软件防护。它需要经过很多工具，因此出现了性能下降。我们现在正在测试拆分隧道功能，以绕过 Microsoft O365、Outlook、Teams、Skype 和 Webex 等应用。测试已经进行了两周，结果令人鼓舞。因此，这是我们将要启用的功能。过去，协作视频等流量会遇到瓶颈，结果就是视频流不流畅。但现在在我们的 QA 系统中，通过试用这些功能，我们听到了非常积极的反馈。”
像 IESO 这样的组织理解实施安全措施所涉及的架构决策，并清楚了解这些结果带来的影响。没有一种方案适用于所有情况，因此，在更广泛部署之前能够对解决方案进行测试并调整到合适规模，有助于 IT 部门实施更强的安全最佳实践。
注：客户的结果取决于其整体环境/体验，Ivanti 是其中的一部分。具体结果可能因每位客户的独特环境而有所不同。