2024年VPN风险报告

2024年 VPN风险报告 引言 过去，虚拟专用网络(VPN)是远程访问的首选解决方案。然而，随着远程工作和分布式工作团队模式的激增以及云技术的兴起，VPN提供的基本连接正在经受考验。正当网络威胁不断快速演变之际，VPN却难以提供组织所需的安全、分段式访问，反而会提供对企业网络的完全访问权限，只要恶意行为者获得登录凭据，企业面临的网络攻击风险便会随之升高。 随着远程访问安全态势的发展，VPN变得越来越难堪大用。如今的重点转变为采用零信任来满足不断变化的业务需求。在考虑取代VPN的技术时，许多团队都倾向于采用零信任网络接入(ZTNA)方案，这样就不必使用企业VPN。 《2024年VPN风险报告》是我们以调查结果为基础而编制，调查纳入了593名IT专业人士和网络安全专家，对VPN现状进行了全面分析。本报告揭示了企业因使用VPN所面临的风险和挑战，也提供了宝贵的洞见，有助于您了解安全远程访问的未来及其对贵企业这样的企业有何意义。 报告的主要调查结果包括： •92%的受访者担心VPN会危及他们保护环境安全的能力。•81%的用户对VPN使用体验不满意。•56%的受访者希望寻求传统VPN的替代方案。•75%的企业将零信任视为企业要务。•59%的组织已采用或者计划在未来2年内采用ZTNA。 在此衷心感谢HPE Aruba Networking对《2024年VPN风险报告》做出的重要贡献。HPE Aruba Networking在零信任与安全访问解决方案方面的专业知识对我们取得研究结果起到了极大作用。 我们希望这份报告能够成为IT和网络安全专业人员可资借鉴的宝贵资源，助力企业迈向零信任安全之旅。 谢谢！ Holger Schulze Holger Schulze首席执行官兼创始人Cybersecurity Insiders 2024年VPN风险报告 VPN现状 不断发展的企业 过去一年，我们亲眼见证了业务态势的巨大变化，促成这一巨变的因素在于，工作团队移动性不断增加以及业务资源位置发生变化。如今，数字革命席卷各行各业，波及面甚广。这一变化正是其中一部分。 尽管仍有71%之多的组织继续在数据中心中运行私有应用，但云采用的日益普及也是无可否认的事实。当今企业在混合和多云环境中运营业务，以此在支持数据中心关键业务应用的需求与利用云的优势之间寻求平衡。然而，VPN和ZTNA服务通常都难以有效弥合这一差距。 在当前情况下，各组织都面临着一项重任：支持位置分散的工作团队。在北美洲，需要支持远程工作者的组织占比达到惊人的88%，紧随其后的欧洲占比为35%，亚洲占29%。这为组织带来了独特的挑战，因为不同的国家和地区具有不同的安全标准、合规性要求和可用性级别。29%您的远程用户从什么地区连接？ VPN使用情况 向远程工作模式的转变加速了远程访问解决方案的采用进度，96%的组织都在利用VPN保护私有应用的访问。尽管VPN技术的历史已有近三十年之久，但其仍然得到广泛使用，主要是因为大部分替代技术都起到补充作用，而无法取而代之。 贵组织目前是否正在使用VPN服务？ 96% 是，在使用VPN服务贵组织目前是否正在使用VPN 为远程员工贵组织使用VPN是，在使用VPN服务否多达80%的组织使用VPN保护远程员工的访问，这表明整个行业都在转向远程工作。此外，43%的组织使用VPN连接多个站点，33%的组织通过VPN保护第三方访问。这些多样化的需求超出了VPN原本的用途，即供员工进行远程访问。 VPN使用频率与数量 在大部分组织都依赖VPN的情况下，也难怪大部分最终用户(58%)每天都在使用VPN。实际上，92%的用户每周至少使用一次，这表明企业的业务经营严重依赖VPN，而且通常允许不同地点的最终用户访问网络。 为了支持需要每天访问资源的全球员工，大部分组织依赖三个或更多个VPN网关(65%)，这就导致网络和运维复杂性各不相同。对于具有五个或更多网关的大型组织(21%)来说，管理安全远程访问正变成一项日益艰巨的运维挑战。您在全球范围内拥有多少个不同的入站VPN网关？每天或几乎每天一周4-5次一周2-3次一周1次一个月2-3次一个月1次4%4%9%6% 具有多个VPN网关或正要对其进行扩展的组织，可能需要考虑采用更精巧的方法或技术来管理日益增长的复杂性，同时确保充足的容量、安全性和冗余程度。65%的组织拥有3个或以上的VPN网关来支持远程用户或更少 您在全球范围内拥有多少个不同的入站VPN网关？ 34+5入站VPN网关65%的组织拥有3个或以上的VPN网关来支持远程用户 2024年VPN风险报告 VPN的风险与挑战 VPN面临的诸多挑战 正如21%的调查受访者所报告的那样，VPN面临的最重大的挑战，就是用户体验不佳。这包括连接缓慢和频繁掉线，会直接影响员工工作效率和整体业务连续性。由此，用户体验在最具影响力的VPN问题中名列前茅，这一结果虽然令人吃惊，但也算合情合理。高管团队和董事会成员面临的压力越来越大，他们要确保远程和混合访问不会妨碍或破坏业务的整体成功。 管理复杂性是仅次于用户体验的挑战，占比19%。对高性能VPN访问不断增长的需求让IT资源捉襟见肘，也让团队不堪重负。除此之外，17%的受访者提及安全性和合规性不足的问题，顾虑主要集中于保护敏感数据和遵守监管标准。高成本(15%)和可扩展性限制(13%)进一步将有效部署VPN服务的工作复杂化，并有可能影响企业发展和适应性。 为有效解决和克服这些挑战，组织应考虑采用现代访问技术，如可扩展零信任网络接入(ZTNA)。这些技术提供了简化、安全的应用访问，并且重点关注自适应、云管理的解决方案，确保为远程用户提供可靠、始终在线的连接。 VPN安全担忧 虽然用户体验和运维效率很重要，但VPN最重要的一方面其实是确保业务安全的能力。当询问受访者有多担忧VPN将其暴露在风险之下时，92%的受访者表示对VPN保护环境安全的能力有一定程度的担忧。超过半数(55%)至少有一般程度的担忧。 这种担心可能因为去年发生的大量攻击都与VPN有关，VPN为进入企业网络打开了方便之门。网络罪犯已发现这个网络安全薄弱点，而这一事实也很好地反映在受访者的担忧程度中。 主要VPN漏洞 在调查中，我们询问了受访者哪些网络攻击类型最有可能利用他们环境中VPN漏洞。对于想要更有效地量身定制网络安全策略的组织来说，这是至关重要的一个方面。 这些结果为组织提供了颇为重要的提醒，VPN面临着多维度攻击，而不仅仅只是备受关注的勒索软件。调查结果显示，虽然勒索软件(47%)在VPN漏洞列表中名列前茅，但网络钓鱼(43%)和恶意软件(42%)紧随其后。这些都是主要的攻击类型，先是入侵最终用户，然后利用VPN无线接入点。 面对花样百出的网络威胁，组织应借助利用零信任模式的安全访问解决方案来加强防御。这些解决方案会验证每个访问请求，限制对网络的广泛访问，从而增强安全防护。与传统VPN相比，它们可以提供应用级别的精细控制，加强针对各种网络威胁防护，其中包括复杂攻击。 VPN和最低权限访问 面对VPN漏洞不断攀升的情况，安全团队不得不以预防和遏制策略为先。然而，让这些团队评估其VPN分段在遏制网络攻击方面的成效时，我们却发现了一个惊人的现象。仅有2%的受访者对VPN有效限制横向移动的能力表示怀疑。这一统计数据让人深感忧虑，尤其是在VPN利用率不断增加的背景下，这经常导致未经授权的横向网络访问。这凸显出团队对VPN防护能力过度自信的问题，有可能为更多违规行为打开方便之门。 传统VPN技术通过复杂的网络分区进行分段，这往往有碍企业实现更精细的分段。为应对这一挑战，建议安全团队积极探索零信任技术。这些创新解决方案支持基于策略的分段，规避了网络分段的复杂性问题。零信任技术提供出色的精细度和实施便利性，能够显著增强安全团队的工作信心和成效。 VPN体验和投诉 虽然VPN使用甚广(96%)，但令人震惊的是，高达81%的用户表示对VPN体验不满意。这种对比反映了，IT部门的安全和技术选择与最终用户的偏好之间存在明显的脱节。由于VPN面临的最大挑战仍是用户体验不佳，因此对改善访问体验的需求显而易见并将一直存在。需要铭记的一个重点在于，最终用户通常被视为安全链中最薄弱的环节，如果需求得不到满足，他们必定会寻求其他解决办法，这样安全风险可能就会增加。 VPN用户最普遍的抱怨是，通过VPN访问应用时连接速度缓慢，有28%的用户指出这是一大问题。其他需关注的问题包括经常连接掉线(20%)、难以连接到VPN或访问应用(18%)、VPN身份验证流程繁琐复杂(14%)以及由身份验证问题引起的问题(12%)。通过VPN访问应用时，您的用户最常抱怨的是什么？访问应用时连接速度缓慢28%2%8%15%56%19% 总体来说，VPN面临着很多用户体验问题，从初始连接挑战到VPN连接期间的问题，甚至包括成功访问之后影响工作效率的缓慢现象。这说明企业迫切需要采取更加以用户为中心的安全访问方案。使用VPN时遇到连接断开的问题20%极不满意极其不满意一般不满意稍有不满意没有任何不满意 2024年VPN风险报告 VPN的未来 探索VPN替代方案 VPN技术问世已有近30年之久。许多组织都在寻求替代性技术，希望帮助他们在现代云和移动性时代树立竞争优势。实际上，随着远程工作越来越普遍、网络威胁不断演进，找到高效安全的访问解决方案已成为半数以上受访者(56%)的优先事项，这些受访者正在考虑使用其他远程访问方案替代传统VPN。 这表明，组织的思维已发生巨大转变，开始寻求其他方案来替代以网络为中心的安全解决方案，也倾向选择提升安全性、工作效率、灵活性和运维效率的替代方案。 您是否考虑使用其他远程访问方案取代传统VPN？ 56%的受访者 考虑使用其他远程访问方案取代传统VPN 优先采用零信任 采用零信任策略对于企业来说越来越重要，因为企业要增强网络安全态势，来应对日益演进的威胁、远程工作挑战和越来越多的VPN问题。 四分之三的组织(75%)将采用零信任策略视为组织的优先事项，40%的组织将其视为最高优先事项之一。这样的认识很好地体现在了调查结果中：56%的组织正在考虑替代传统VPN。 鉴于传统VPN面临的网络安全态势和持续性威胁不断变化，建议组织将实施零信任框架摆在优先位置，这也与组织采用更安全、更高效远程访问解决方案的愿望契合。 零信任网络接入(ZTNA)采用 采用零信任网络接入(ZTNA)服务的决定标志着向全面采用零信任策略迈出了重要一步，尤其在面临传统VPN相关挑战和限制的背景下。随着零信任占据先机，ZTNA采用自然水到渠成，大部分组织(59%)已采用或计划在未来两年内采用ZTNA。 组织在制定采用方案时，应考虑兼具基本零信任原则和强大安全服务边缘(SSE)架构的解决方案。请一定注意，如今市场上的ZTNA解决方案良莠不齐。 ZTNA作为VPN替代方案 尽管大部分受访者积极计划采用ZTNA，但重点在于，所选的解决方案可以有效取代传统的VPN技术。有多达78%的受访者认为，ZTNA服务完全取代VPN是重要的。 尽管大部分受访者都主张完全取代VPN技术，但市场上的许多ZTNA技术都由于端口和协议支持的限制而无法实现完全取代。评估ZTNA时，请确保产品/服务能够完全取代VPN并与您的业务需求相契合。 ZTNA与其他 对组织来说，另一个考虑因素是ZTNA解决方案与更广泛的安全服务边缘(SSE)平台集成的程度。83%的受访者认为，ZTNA解决方案应成为总体SSE策略的一部分，有35%的受访者将其视为非常或极为重要。 这很大程度上是由于各组织越来越倾向于统一和简化系统。安全服务边缘(SSE)方案让组织可以使用单一平台满足所有应用访问需求，不仅包括私有应用，还包括SaaS应用和开放互联网。当您的组织开始评估ZTNA服务时，请确保将该服务纳入更高层面的安全策略，以便随需求的变化不断调整服务。 您