“小紅書的安全與業務型別和發展階段的演變息息相關，從內容安全到技術安全、網路安全。 與傳統的圍繞防止黑客入侵的安全建設思路不同，保障資料安全、管理訪問控制是小紅書非常重視的重點，防止紅線資料洩露是最終目標。 目前，隨著資料安全等政策法規的實施，資料安全成為人們非常關注的領域，為了實現我們保護紅線資料不被洩露、保證員工工作效率和體驗的核心目標，我們有選擇地拋棄了傳統的雲桌面、沙箱等“重”工具。 基於此，我們共同建立並實施零信任資料安全體系，將其整合到內部安全辦公系統中，替代安全軟體，實現最小許可權訪問、資料分類分級、流轉、分發等全方位管控，在不影響員工效率和體驗的情況下，有效保護紅線資料。 ”
- 小紅書安保團隊
客戶評價
十年前，小紅書在上海成立。 使用者通過**、短**、直播等方式記錄自己的生活，分享自己的生活方式，以興趣互動為基礎，形成社群。 基於此，小紅書平台出現了內容與商業的良好互動，並成長為獨樹一幟的平台“草經濟”。 經過10年的發展，小紅書布局內容社群、商業廣告和電子商務交易三大業務板塊，使用者規模快速增長，到2024年底，小紅書社群擁有超過 6900 萬分享者，2000 萬月活躍分享者，每日平均筆記發表300萬篇文章超過 170,000品牌。
在使用者基數快速擴大、企業快速發展的背後，安全挑戰正在悄然到來。 除了鐫刻在骨子裡的內容審核安全，企業資訊保安的建設也變得不可或缺。 因此，技術安全、網路安全、資料安全等方面緊跟發展步伐！
資料安全是底線
隨著業務規模的發展和擴大，小紅書目前在北京、上海、武漢、廣州等地開展業務在多個地方設立了辦公室，多地方的遠端工作已成為常態。 組織架構的擴充套件，辦公終端的多樣化，對網路安全合規的高要求這些都激發了小紅書內部安全創新的動力。
從企業內部來看，資料安全是重中之重。不僅來自國內外對嚴格執行資料安全法律法規等政策更不合時宜所有使用者和員工的責任態度。相較於黑客攻擊直接對資料安全構成的威脅，資料洩露的最大風險潛伏在內部辦公網路：一旦內部辦公網路遭到破壞，或者員工造成的資訊洩露，都會給企業帶來不可估量的損失和風險。
小紅書的網際網絡基因使其在基礎設施和辦公安全建設方面極具前瞻性和創新性，自誕生以來一直便捷“在雲原生架構上成長”。靈活的辦公場景和良好的員工辦公體驗都是安防建設的必要因素。 基於小紅書自身在資料分析和安全風控方面的良好基礎，因此，如何在混合工作環境中保護核心資料，同時保持高效和靈活是安全團隊的關鍵目標。
它可以用來將其與傳統公司區分開來雲桌面和沙箱我們認為這種方法可能有點部署重，且影響辦公效率，員工體驗不好。 “小紅書安保隊說。 “我們研究了一些市面上主流的DLP（資料防洩漏）產品，員工反饋不盡如人意。 此外，無論資料傳出策略多麼嚴格，當資料保留在端點上時，仍然可以通過各種手段繞過，無法進行有效監控和攔截。 ”
因此，團隊中出現了乙個創新的想法。 零信任作為近年來在安全圈持續公升溫的概念之一，正在被廣泛傳播，小紅書安全團隊認為，也許資料防洩露解決方案結合零信任的前沿安全理念，可以彌補傳統DLP解決方案的不足。 結合這一背景，團隊對市場上的合作廠商進行了多方位的研究：
面對挑戰
1.多身份角色，接入使用者多樣化，訪問控制許可權難控
除了內部員工之外，還有大量合作夥伴需要訪問 Intranet 應用程式。 不同組織和人員之間的訪問許可權劃分需要實時更新，這需要付出很大的努力。
2.雲桌面、沙箱等多終端解決方案無法應用於所有場景
除了Windows、macOS等常見的PC裝置外，還有大量的iOS、Android等移動裝置需要連線到辦公室。
3.安全產品碎片化：
為了解決不同的安全問題，需要部署多套產品。 不同的產品有不同的管理平台，運維人員需要適應不同產品的設計邏輯和操作習習慣，頻繁切換不同產品的控制台，導致習學習成本高，維護壓力大此外，單個產品之間沒有聯絡。
4.傳統安防產品開放性低：
在OpenAPI和自定義分析能力方面，無法靈活匹配小紅書的業務，導致1+1 2;此外，傳統的安防產品標準化交付模式在部分細分場景下無法與小紅書的業務相匹配，對共創定製需求的響應速度較慢，甚至無法完全滿足。
5.在終端上安裝多個Agent預設會占用大量資源，導致員工辦公體驗不佳
傳統的辦公安全解決方案需要安裝VPN、EPP、EDR、DLP、UEM等多個代理，會占用大量裝置資源，影響員工的辦公體驗。
6.混合工作場景中的遠端工作增加了資料暴露面
隨著小紅書的快速發展，靈活的辦公場景隨處可見。 在混合辦公場景中，每個接入點的安全級別不一致，容易被攻擊者攻擊。
7.資料安全法律法規陸續出台，企業敏感資料管控難度大
隨著《個人資訊保護》等法律法規的出台，企業的敏感資料面臨監管壓力，但現在敏感資料分布廣泛，獲取方式多種多樣，出境渠道難以控制，給企業帶來了挑戰。
共創零信任資料安全
“內部安全辦公系統”的一體化整合。
在對多家相關廠商的產品進行研究和測試後，小紅書安全團隊最終選擇了一格雲作為合作夥伴，打造零信任資料安全解決方案。 安全團隊說：“我們有很多想法需要共同創造和實施，我們需要乙個多變且適應性強強許多供應商無法提供靈活多樣的部署模式和交付元件，這將占用大量的內部研發資源。 經過對技術和服務支援的綜合評估，我們認為目前億格雲的水平技術和產品在國內比較領先，並且適合小紅書的現狀。 ”
在安全團隊眼中，合作夥伴的技術能力當然是最重要的我也期待對方的提議真正意義上的合作和共同創造的能力。 因此，小紅書和一格雲都是基於SASE的共同建立零信任資料安全的整合解決方案：
1. Beyondcorp 和 SASE 功能的結合
小紅書在早期調查了以谷歌beyondcorp為代表的零信任解決方案，其無緣無故的訪問方式確實帶來了極致的使用者體驗。 安全團隊可以在閘道器上實現各種風控能力，但 Beyondcorp 也存在主要缺點：
該協議不相容，僅支援第 7 層流量
HTTP（S） 服務需要對外暴露，並且存在較大的攻擊面
缺乏終端安全管控手段，無法覆蓋終端安全問題
實現高可用性需要投入大量的時間、精力和成本
小紅書關注的是近年來零信任的新趨勢，即SASE架構，自然彌補了上述不足，分布式POP點保證了系統的天然高可用，也補充了客戶端的安全管控能力。 但是，直接使用SASE也存在弊端，因為它無法利用小紅書自有的業務閘道器，需要放棄小紅書在閘道器上積累的風險控制能力，這與企業內部資料管理脫節。
在全面考察各種解決方案後，小紅書基於自身網路架構的特點，結合Beyondcorp和SASE能力，提出了創新思路，完美滿足了需求終結點、網路和標識安全需求。
端點——DLP、防毒、零信任訪問等功能合二為一，支援終端安全與訪問控制策略聯動
網路 - 將辦公網路轉換為非特權網路;全球 POP 接入點具有高可用性
標識 - 客戶端繫結到標識，並與閘道器上的請求標識匹配，以解決標識盜用問題
2. 閘道器與客戶端聯動
在以往依賴閘道器的風控方案中，閘道器無法獲取終端安全資訊。 小紅書創新將閘道器已鏈結到客戶端閘道器風控可以實時識別請求是否包含客戶端資訊，檢測客戶端狀態，保證終端的可信度。 同時，可以在終端上實施各種安全合規策略。 對於未安裝客戶端的訪問請求，閘道器風控可以將使用者跳轉到客戶端頁面，以便：以低成本實現全面的客戶覆蓋
3. 實時風控與異常分析
小紅書多年來持續投入風控基礎設施，建立了完善的資料安全和風控體系。 這種零信任訪問系統可以：4 第 7 層日誌和客戶端日誌接入風控系統，實現與風控系統的無縫對接。 客戶收集的安全資訊為風控系統增加了更多維度的資料，實現更準確、更完整的異常分析。
4.紅線資料不落地
小紅書從資料安全生命週期管理開始不要掉到地上“實現紅線資料無洩漏。 對內，小紅書嚴格執行資料分類分級、API安全、脫敏、許可權管理等措施，以資料標識和API標識為資料防洩露管理的出發點。 對於內部生產資料，資料控制手段左移，業務系統生成的文件進行轉換，檔案被檔案替換。
與傳統的沙箱隔離和檔案加密方案相比，這種方式不僅更安全，而且為員工提供了更好的使用者體驗。
5. 多級容災機制
整個門禁系統在門禁過程中串聯起來，一旦出現故障，就會影響到全體員工的正常辦公，所以系統的穩定性這是小紅書考慮的重中之重，為此，小紅書和一格雲創新性地打造了乙個多級容災方案
預設情況量通過小紅書自建的私有POP節點，以確保流量和資料處於其可控的網路環境中。 當本地POP節點發生故障時，系統可以自動切換到億歌雲的公有雲POP節點。 這種災難恢復解決方案是可以保證的超高可用性然而，小紅書並不滿足於此，還在此基礎上實現了一層WireGuard解決方案，當零信任保護模式失敗時，降級到VPN模式，從而實現更高的可用性。
6.自研客戶端
小紅書向員工展示自有品牌的辦公安全平台，提高員工對安全軟體的認知度，同時也將更常用的辦公功能整合到客戶端上。 小紅書基於易歌云客戶端SDK，打造了與小紅書自身風格相匹配的客戶端UI，再加上便捷的辦公體驗，為員工實現“種草”。
內部安全辦公系統平台客戶端顯示）。
不到一年，小紅書就完成了100%路面末端部署，全面平滑過渡到零信任辦公安全架構。 內網訪問同時切換到企業實現敏感資料的分層分類細粒度控制不同部門和員工的出路渠道。 這確保了訪問安全，達到許可權最小化、敏感資料不落地的要求，建立全方位、立體化的資料全週期防護。
自實施以來，成效顯著，入網裝置佔比由0%控制在100%，紅線資料落地場景收斂80%
效率第一，多重價值
值得一提的是，這輕巧、穩定、簡單、高效一體化的“內部安全辦公系統”給小紅書帶來的價值已經顯現出來。 在內部調查中，還獲得了該系統高達 70% 的 NPS（口口相傳）：
1、能力整合，管理更精細化
一體化設計思想，即：平台功能管理整合，大幅降低構建、操作和擴充套件端點安全系統的複雜性。 管控更精細化，許可權可自動梳理，運維難度更低終結點、標識、行為和資料全生命週期進行精細化訪問控制，確保終端滿足相關內外部接入要求，實現合法合規、可信接入。
2. 安全相互賦能
它不僅實現了產品平台本身不同模組之間的資料交換，而且無縫連線了現有的安全能力。 根據員工所在位置，通過零信任平台與現有風控系統對接網路環境、標識和裝置所有權（公司裝置或 BYOD）。裝置安全和訪問時間等維度，實時動態調整訪問控制策略。
3. 全球資料安全管控
系統以資料為中心，實現分類分級的資料安全防護，為小紅書提供資料資產提前主動防禦，事中實時監控，事後跟蹤追溯跟整個過程中的態勢感知。基於資料全生命週期，提供全方位、立體化保護。
在下一階段的部署中，小紅書安全團隊表示，將在此基礎上增加更多的安全功能，如EDR，以確保內部辦公網路的安全。 一格雲也將繼續與小紅書合作，探索辦公安防領域的功能發展
我們相信，安全風口可能不斷變化，但只有自我驅動，才能有方向，與時俱進，不斷創新，才能保持向上的自我創新能力！我們也期待未來小紅書有更多創新迭代。