重新审视SSE：揭示“最后一公里”安全的技术短板

新闻

13天前

在混合办公模式和SaaS服务日益普及的今天，在国外市场中，安全服务边缘（SSE）平台已成为企业保护用户访问与网络连接的主流方案。它们带来了集中策略控制、简化接入流程和跨设备一致的安全管理。

然而，这类平台存在一个致命盲点：它们无法保护真正发生用户交互的地方——浏览器。

这可不是个小疏忽，而是架构层面的天然局限。也正因如此，组织在最需要防护的地方——即用户和敏感数据实际接触的“最后一公里”——却失去了掌控。

数世咨询之前发布的《企业浏览器能力指南》报告就指出，一方面国内边缘云安全基础不足，落地SSE需要通过云地协同方式，不仅需要在边缘处部署POP点，还需要本地部署安全防御能力，因此存在整体架构复杂、涉及多个安全供应商协作等问题。另外一方面，企业浏览器主要满足本地部署和私有云部署；同时企业浏览器满足跨平台兼容的信创合规要求，逐渐成为了安全访问的新赛道。

近日，一份新报告《重新审视SSE：末端防护的技术差距分析》也从技术层面指出，当前SSE平台虽然能保障网络层安全，但在浏览器级别却几乎无能为力。这使得许多企业开始重新评估如何保障用户在浏览器中的操作行为。

SSE的核心盲区：对浏览器内操作一无所知

SSE平台的设计初衷，是通过云代理或边缘接入点对网络流量进行检查和策略管控。这一模式适用于限制网站访问、控制流量路径等粗粒度策略。

但问题在于——一旦用户进入了Web应用或SaaS平台，SSE便“看不见”后续发生的任何行为。例如：

无法识别用户使用的是公司账号还是个人账号；
无从监控用户是否将企业代码粘贴进ChatGPT；
不知道用户上传的是敏感技术文档还是普通文件；
无法检测浏览器扩展是否正在悄悄窃取凭据；
看不到两个标签页之间是否在进行数据转移。

总而言之，一旦访问被授权，SSE的防护也就结束了。

而在今天这个以SaaS工具、生成式AI平台和远程办公为主的工作环境中，这种“可见性缺失”所带来的风险正不断扩大。

SSE难以胜任的核心场景

生成式AI的数据泄漏风险：虽然企业可通过SSE封锁如ChatGPT这类AI工具的访问，但多数企业并不想完全禁止这类工具。一旦放行，SSE便无法监控员工是否向AI平台输入敏感代码，也无法区分其使用的是公司身份还是个人身份。
影子SaaS与身份混用问题：员工常在自带设备或非公司环境中，用私人账号访问如Slack、Google Drive等SaaS服务。SSE无法识别这些个人登录行为，敏感数据可能因此落入风险地带。
浏览器扩展带来的隐患：许多扩展程序具有读取页面、控制剪贴板、存储凭证等权限。若存在恶意扩展，便可能绕开所有SSE策略静默窃密，而SSE对此完全无感。
文件上传与数据流动无法监管：无论是用户将文件拖进Dropbox，还是从Web应用下载数据到本地设备，SSE都无法对浏览器内的文件操作进行有效控制。