采取有效云網(wǎng)絡(luò)安全策略的5個(gè)基本步驟

在混合部署的基礎(chǔ)設(shè)施中，很多原有的網(wǎng)絡(luò)安全系統(tǒng)難以正常運(yùn)行。組織必須采取有效的云計(jì)算網(wǎng)絡(luò)安全策略來保證資產(chǎn)的安全。

組織傳統(tǒng)的網(wǎng)絡(luò)安全系統(tǒng)通過應(yīng)用物理和基于軟件的控制措施來保護(hù)基礎(chǔ)設(shè)施免受未經(jīng)授權(quán)的使用，從而保護(hù)周邊的端點(diǎn)和數(shù)據(jù)中心。這種方法保護(hù)服務(wù)器和其他IT設(shè)備免受數(shù)據(jù)竊取或破壞，以及其他資產(chǎn)的攻擊。

隨著越來越多的組織將工作負(fù)載遷移到云端，安全策略必須不斷發(fā)展和進(jìn)步。云計(jì)算推動(dòng)了轉(zhuǎn)型，從而產(chǎn)生了混合架構(gòu)，其中一些工作負(fù)載在云中運(yùn)行，而另一些則在內(nèi)部部署設(shè)施中運(yùn)行。

安全連接對(duì)于這些環(huán)境的穩(wěn)定性以及對(duì)在其上運(yùn)行的資產(chǎn)的保護(hù)至關(guān)重要。但是，隨著組織在高度分布的資源之間跟蹤活動(dòng)，這種混合架構(gòu)還帶來了新的復(fù)雜性。因此，一些組織正在尋求將有效的云網(wǎng)絡(luò)安全保護(hù)嵌入其基礎(chǔ)設(shè)施的多個(gè)層面的方法。

云計(jì)算網(wǎng)絡(luò)安全包括保護(hù)基礎(chǔ)設(shè)施、系統(tǒng)和數(shù)據(jù)不受未經(jīng)授權(quán)的訪問或?yàn)E用(無論是故意還是其他)所需的所有策略、保護(hù)和實(shí)踐。成功的云網(wǎng)絡(luò)安全策略建立在傳統(tǒng)網(wǎng)絡(luò)安全的基礎(chǔ)之上：保護(hù)、檢測(cè)、響應(yīng)。它還要求組織了解與保護(hù)按需混合部署環(huán)境相關(guān)的獨(dú)特問題。以下是五個(gè)需要考慮的基本步驟：

1.共同責(zé)任

云計(jì)算掩蓋了管理網(wǎng)絡(luò)安全的傳統(tǒng)界線。例如，IaaS提供商在其物理和虛擬基礎(chǔ)設(shè)施中采用控制措施，并依靠最佳實(shí)踐來保護(hù)運(yùn)營(yíng)環(huán)境。同樣，SaaS提供商在其應(yīng)用程序和設(shè)施中嵌入了保護(hù)措施。但組織必須知道，其數(shù)據(jù)不僅要在云中受到保護(hù)，而且在整個(gè)運(yùn)營(yíng)環(huán)境中都要受到保護(hù)?？紤]到潛在漏洞可能隱藏的盲點(diǎn)，這并不容易。為此，云計(jì)算提供商和第三方安全供應(yīng)商提供了各種附加工具(從監(jiān)控軟件到數(shù)據(jù)包嗅探器)來加強(qiáng)云計(jì)算網(wǎng)絡(luò)安全。與此同時(shí)，電信服務(wù)提供商提供了一套云安全工具，用于在數(shù)據(jù)輸入到混合環(huán)境時(shí)保護(hù)數(shù)據(jù)。因此，它必須了解所有嵌入到其服務(wù)中的控制措施提供者，并確定潛在的漏洞所在。這是應(yīng)該在簽訂任何合同之前進(jìn)行的對(duì)話。

安全的連接對(duì)于這些環(huán)境的穩(wěn)定性以及對(duì)運(yùn)行在這些環(huán)境上的資產(chǎn)的保護(hù)至關(guān)重要。

2.軟件定義的訪問

最佳的云運(yùn)營(yíng)要求安全性是網(wǎng)絡(luò)不可或缺的一部分。這種方法將通過云計(jì)算提供的基于策略的軟件定義實(shí)踐整合到了安全訪問服務(wù)邊緣(SASE)中。反過來，安全訪問服務(wù)邊緣(SASE)依靠各種云服務(wù)來保護(hù)混合部署環(huán)境中的資產(chǎn)，其中包括云訪問安全代理、安全Web網(wǎng)關(guān)和防火墻即服務(wù)，以及瀏覽器隔離等功能。零信任是安全訪問服務(wù)邊緣(SASE)的重要組成部分，在這種信任中，所有組織在被認(rèn)證為安全之前都被認(rèn)為具有潛在的危害。許多組織使用零信任網(wǎng)絡(luò)訪問(ZTNA)，它會(huì)掩蓋IP地址。并將應(yīng)用程序訪問與網(wǎng)絡(luò)訪問隔離開來，以保護(hù)網(wǎng)絡(luò)資源免受威脅，例如在受感染系統(tǒng)上運(yùn)行的惡意軟件。應(yīng)用程序訪問通過身份驗(yàn)證的授權(quán)用戶和設(shè)備。

3.網(wǎng)絡(luò)分段

零信任網(wǎng)絡(luò)訪問(ZTNA)可以與網(wǎng)絡(luò)分段結(jié)合使用，以增強(qiáng)云計(jì)算網(wǎng)絡(luò)的安全性。網(wǎng)絡(luò)分段將物理網(wǎng)絡(luò)分成較小的部分。IT部門可以使用虛擬化技術(shù)對(duì)網(wǎng)絡(luò)進(jìn)行微細(xì)分，從而創(chuàng)建足夠精確的網(wǎng)絡(luò)區(qū)域來支持單個(gè)工作負(fù)載。這些區(qū)域充當(dāng)虛擬防火墻，阻止網(wǎng)絡(luò)攻擊者不受阻礙地侵入混合部署環(huán)境。如今，自動(dòng)化技術(shù)的進(jìn)步使組織能夠根據(jù)不斷變化的條件和既定政策創(chuàng)建區(qū)域，隨著環(huán)境的擴(kuò)展而創(chuàng)建新區(qū)域，并在環(huán)境收縮時(shí)減少網(wǎng)絡(luò)分段數(shù)量。

4.加密

組織應(yīng)確保在靜態(tài)和傳輸過程中對(duì)數(shù)據(jù)進(jìn)行加密。云計(jì)算提供商通常提供加密服務(wù)，但要注意，并非所有的服務(wù)都是平等的。此外，并非每個(gè)應(yīng)用程序工作負(fù)載都需要相同級(jí)別的加密。例如，電子郵件可能只需要傳輸級(jí)保護(hù)，也就是消息僅在它們?cè)诰W(wǎng)絡(luò)中移動(dòng)時(shí)才被加密，而不是端到端加密，后者在消息到達(dá)目的地時(shí)對(duì)其進(jìn)行解密。前者的安全性較差，但其成本也比后者更低。

5.測(cè)試與回應(yīng)

有效的云計(jì)算網(wǎng)絡(luò)安全性的關(guān)鍵部分是進(jìn)行測(cè)試，以確保在所有正確的區(qū)域中都采取正確的控制措施。在審查之間進(jìn)行滲透測(cè)試以暴露漏洞，以便在被利用或以其他方式破壞之前就可以對(duì)其進(jìn)行糾正。進(jìn)行的測(cè)試還可以減輕合規(guī)性審核過程中的一些壓力。最后，在發(fā)生違規(guī)事件時(shí)制定策略。保留事件的回應(yīng)以幫助減輕任何攻擊的影響。確保組織已制定計(jì)劃有效地使系統(tǒng)恢復(fù)在線狀態(tài)。盡可能實(shí)現(xiàn)自動(dòng)化，以消除人為錯(cuò)誤，并加快服務(wù)恢復(fù)速度。然后調(diào)查日志以確定恢復(fù)操作的最佳方法。