最近是否经常听到关于基于代理的 SaaS 安全解决方案的讨论？如果你关注网络安全趋势，很可能已经遇到一些激烈的争论。一方面，这些解决方案因其效率和易用性而备受赞誉。另一方面，关于其漏洞的抱怨可能也传到了你的耳中。所有这些可能让你陷入两难：是继续使用这种模式还是寻找替代方案。在本指南中，我将涵盖关于这个主题的所有知识，以便你能做出明智的决定。
什么是基于代理的 SaaS 安全？
首先，让我们定义一下基于代理的 SaaS 安全。从本质上讲，它是一种依赖于代理的基于云的安全模型。后者充当用户和互联网之间的中间人。
它的工作原理如下。将你的互联网流量想象成一串信号。在这些信号到达目的地（网络）之前，它们必须通过检查点（代理服务器）。此检查点会检查每个信号，检查是否存在任何可疑内容，例如恶意软件或未经授权的访问尝试。它只允许被认为安全的内容通过。这样，威胁在进入你的网络之前就被阻止了。
但这还不是全部。这些解决方案配备了一系列有用的功能。其中包括
- URL 过滤，阻止访问危险网站；
- 威胁预防，实时识别并阻止潜在威胁；
- 并具有数据丢失预防功能，可防止敏感信息离开你的网络。
所有这些都由第三方供应商进行场外管理。这意味着你可以获得专家的服务，而无需支付内部硬件或人员费用。
这种模式与传统的本地解决方案的不同之处在于其基于云的特性。从本质上讲，它提供了一种保护数字资产的现代方法。你可以将繁重的工作外包给基于云的服务，并享受增强的安全性、简化的运营和安心。
然而，正如往常一样，该系统也有其弱点。正如你将在下一节中看到的那样，这些弱点相当严重。
基于代理的 SaaS 安全性的 4 个关键问题
延迟和性能影响
一个明显的问题是，所有流量都需要绕道通过代理服务器进行检查，然后才能到达最终目的地。这可能会导致延迟并减慢信息流。实际上，这可能意味着
- 网页加载延迟，
- 交易处理延迟，
- 或实时应用出现故障。
对于全球范围内运营或严重依赖实时数据的企业来说，这些延迟可能会导致生产力严重下降。是的，正如你已经猜到的那样，从长远来看，它肯定会影响客户满意度。
对加密流量的可见性和控制有限
加密是一把双刃剑。一方面，它对于保护传输中的数据必不可少。另一方面，它对负责检查流量的代理服务器提出了挑战。
这里的问题是，如果代理服务器未设置为解密此流量或无法处理高级加密标准，则无法检查通过的数据。这会产生重大漏洞。网络攻击者可以在加密流量中隐藏恶意行为。也就是说，你的大部分网络流量可能不受协议检查，并使你面临潜在的网络威胁。
通过第三方服务器泄露数据的风险
你的数据通过外部服务器传输并由其处理。这可能（事实上也应该）引起对数据泄露的担忧。如果第三方服务提供商不遵守严格的安全协议或遭受入侵，你的敏感信息可能会面临风险。
这首先提醒我们选择合法提供商的重要性。在选择时，你至少应该了解他们如何加密数据，以及他们采取了哪些措施来防止未经授权的访问。
对第三方提供商的依赖
我已经在上面提到过这一点，但问题是，外包 IT 基础设施的任何部分也会带来一定程度的依赖性。这种依赖性意味着服务提供商的任何停机、中断或安全漏洞都会直接影响你的业务。
我们又回到了核心困境。卸下网络安全责任可以释放宝贵的资源，并允许获得专业知识。这是一个观点。与此同时，外包需要高度的信任。这可能是一个问题。
仍然使用基于代理的 SaaS 安全性的 3 个理由
在我们概述了漏洞之后，可能看起来最明智的做法就是放弃基于代理的安全解决方案。但我不建议这样做。原因如下。
全面的安全功能
该模型提供了一套强大的工具，可以防御各种网络威胁。URL 过滤、威胁预防和数据丢失预防等功能提供了一种多层防御机制，很难通过单一的本地解决方案复制。
可扩展性和灵活性
这种安全方法基于云，具有无与伦比的可扩展性和灵活性。它允许你的企业随着业务的增长调整其安全措施。当我们在超快节奏的数字环境中工作时，我可能不需要解释它有多么宝贵。
获取专业知识
代理可让你获得专业知识和持续更新，而这些知识和更新在内部维护可能很困难或成本过高。如果你设法找到真正优秀的提供商，你将获得独家专业知识。此类提供商在研发方面投入大量资金，因此你的防御措施将始终保持最新状态。
管理基于代理的 SaaS 安全性的弊端：快速提示
如果你决定坚持使用这个模型（这通常是一个明智的决定），一定要正面解决其固有的弱点。以下是在这方面可以采取的实际步骤。
与其他安全工具结合使用
首先，考虑将代理与更广泛的工具套件集成。确定当前设置中代理解决方案可能无法完全覆盖的特定漏洞。然后，寻找可以填补这些空白的补充工具。例如，端点安全解决方案可以保护单个设备免受恶意软件和网络钓鱼攻击。或者，入侵检测系统 (IDS) 可以监控你的网络是否存在可疑活动。
要集成这些工具，请确保它们之间可以共享数据和警报。为此，你需要配置 API 或使用安全编排、自动化和响应 (SOAR) 平台。任务是创建一个信息无缝流动的有凝聚力的生态系统。
确保正确配置以最大程度减少延迟
关于该模型的主要抱怨之一是可能会增加延迟。但是，通过适当的配置，你可以将此问题最小化。选择地理位置靠近用户群或分布在多个位置的代理服务器以平衡负载。使用内容分发网络 (CDN) 将经常访问的资源缓存在离用户更近的地方。这很有用，因为它减少了每个请求都通过代理的需要。
此外，考虑实施分割隧道。有了它，只有需要扫描的流量才能通过代理，而低风险流量则绕过它。正如你已经猜到的那样，这大大减少了需要检查的流量量，并减轻了代理的负载，这意味着更少的延迟。
定期进行安全审计
这并不是什么新鲜事——定期审计对于识别漏洞仍然至关重要。首先对整个 IT 基础设施进行全面审计。关注数据如何通过代理服务器。查找可能导致安全漏洞的任何错误配置或过时规则。
一个好主意是聘请外部专家进行渗透测试。这涉及模拟网络攻击来测试你的防御能力。我强烈推荐这种做法，因为它提供了有关现实世界攻击者如何利用你的系统的宝贵见解。
根据审计结果，更新你的政策和配置。通常，这将涉及
- 加强访问控制，
- 更新加密标准，
- 和/或修改流量过滤规则。
记住——如果你想让你的审计真正发挥作用，就为它们制定一个时间表。只有持续且有规律地进行审计，它们才会最有效。
超越代理：更多关于 SaaS 安全方面的有用工具
虽然代理在 SaaS 安全中起着至关重要的作用，但用其他措施来补充它们永远不会有坏处。我已经描述了一些可以增强你的安全状况的基本工具和做法，这里还有一些。
- 多重身份验证 (MFA)
MFA 要求用户提供两个（即2FA）或更多验证因素才能访问资源。这可以包括用户知道的东西（如密码）、他们拥有的东西（如智能手机）或他们本身的东西（如指纹）。即使密码被泄露，MFA 也能有效防止未经授权的访问。
- 端点检测和响应 (EDR)
顾名思义，EDR 解决方案会持续监控终端（如笔记本电脑和移动设备）是否存在可疑活动。它们使用高级分析来检测可能绕过其他措施的威胁。这些解决方案可以识别恶意软件、勒索软件甚至内部威胁。
- 安全信息和事件管理 (SIEM)
SIEM 技术会汇总并分析整个 IT 环境中的日志数据。它会检查你的安全状况，以发现可能表明存在漏洞的趋势和模式。通过关联来自多个来源的数据，它有助于查明 APT 活动的细微迹象。
- 云访问安全代理 (CASB)
与代理一样，CASB 充当用户和云服务之间的中介。它们可以帮助管理访问控制、加密敏感数据并防止数据丢失。它们对于使用多种云服务的组织特别有用。
最终思考
正如你所看到的，基于代理的 SaaS 安全的漏洞并非虚构。然而，当得到适当管理时，这种模式提供了实质性的好处。全面的安全功能、可扩展性和获取专业知识的机会——这些都是巨大的资产。那么，你应该继续使用它吗？我会说是的。但要明智地使用。也就是说，将它与其他工具结合使用，确保正确配置，并定期进行审核。这将帮助你保持受保护、灵活，并领先于潜在威胁。
常见问题解答
我可以为远程团队使用基于代理的安全吗？
是的，这种模式非常适合远程团队。它提供从任何地点安全访问公司资源的方式，并确保你的团队的互联网流量受到监控和保护。
基于代理的 SaaS 安全如何处理大量流量？
大多数提供商都有资源处理大量流量。他们使用云基础设施动态扩展资源，并确保你的互联网流量在不影响安全的情况下顺畅流动。
我应该多久审核一次基于代理的安全设置？
至少每半年进行一次审核，并在 IT 基础设施发生任何重大变化或出现新威胁时进行额外检查。
代理能否防御零日漏洞？
虽然没有安全解决方案能够提供 100% 的零日漏洞防护，但基于代理的模式可以降低风险。它通常包括先进的威胁检测机制，可以识别和缓解可疑活动，即使是来自先前未知漏洞的活动。