面向CISO和CIO的云安全最佳實踐

隨著云計算的廣泛采用，許多人似乎仍然沒有意識到他們正在遇到的安全漏洞，也沒有意識到應該采取哪些措施來防止它們。網(wǎng)絡安全服務商Palo Alto Networks公司系統(tǒng)工程總監(jiān)Amit Tailor表示，云安全是可能實現(xiàn)的，但只有通過采取系統(tǒng)措施來加強云網(wǎng)絡安全態(tài)勢才能實現(xiàn)。

不可否認的是，企業(yè)對云計算的快速采用并沒有放緩。然而，即使云計算能力成熟并積累了專業(yè)知識，該技術的復雜性也會引入漏洞和錯誤配置，從而無意中增加了網(wǎng)絡安全風險。

網(wǎng)絡安全服務商Unit42公司對全球數(shù)千家企業(yè)的云網(wǎng)絡安全進行了第七次研究，該研究揭示了云計算應用程序中仍有很多未修補的漏洞。研究發(fā)現(xiàn)，生產中近三分之二（63%）的代碼庫存在未修補的高或嚴重漏洞，11%暴露在公有云中的主機也存在高或嚴重漏洞。

云網(wǎng)絡安全的這些缺點背后是技術和安全團隊如何與網(wǎng)絡攻擊者作斗爭。即使在經驗豐富的團隊中，同樣的一些危險行為也會反重出現(xiàn)，包括不受限制的防火墻策略、暴露的數(shù)據(jù)庫和未強制的多因素身份驗證。

這些安全錯誤持續(xù)存在的原因是，執(zhí)行安全補救工作既耗時又有問題。從安全團隊分享的情況來看，超過一半（60%）的企業(yè)需要四天以上的時間來解決安全問題。當出現(xiàn)安全警報時，安全團隊通常需要幾天的時間來解決?？紤]到網(wǎng)絡安全威脅行為者可以在幾小時內利用新披露的漏洞，修復漏洞可能需要幾天的時間，這是一個值得重點關注的事實。

隨著企業(yè)通過提升和轉移內部部署應用程序，從早期的步驟發(fā)展到采用適當?shù)脑圃鷳贸绦?，有機會重新審視云網(wǎng)絡安全。然而，只有企業(yè)采取系統(tǒng)措施加強其云網(wǎng)絡安全態(tài)勢，以及處理困擾云網(wǎng)絡安全多年的問題，才能確保云網(wǎng)絡安全。

云原生的主要區(qū)別在于它為云計算工作負載添加令人難以置信的動態(tài)性。這方面的最新數(shù)據(jù)令人震驚。在發(fā)布的云原生安全狀態(tài)報告中，三分之二的受訪企業(yè)表示，在過去一年中，部署頻率有所增加或顯著增加。此外，38%的企業(yè)每天將代碼部署到生產環(huán)境或發(fā)布給最終用戶，17%的企業(yè)每天部署多次。

為了確保這些更新和部署是安全的，需要在快速發(fā)展的開發(fā)環(huán)境中嵌入安全性。大多數(shù)開發(fā)人員都意識到他們具有更大的安全責任，但很明顯，他們的主要工作是交付滿足商業(yè)需求的新代碼，并且必須快速部署。這些雙重需求暴露了云網(wǎng)絡安全的新的緊張局勢，安全和開發(fā)團隊正確地轉向工具來保證安全，但他們發(fā)現(xiàn)過度使用工具會使工作變得更加困難，甚至會產生安全問題。

同樣，云原生安全狀況調查表明，近75%的企業(yè)認為他們使用的云安全工具的數(shù)量造成了盲點，影響了他們優(yōu)先考慮風險和預防威脅的能力。更令人擔憂的是，60%以上的受訪企業(yè)已經在云計算環(huán)境中運行了三年以上。

那么，正在發(fā)展云計算環(huán)境的企業(yè)如何才能跟上網(wǎng)絡安全的步伐呢?

任何解決方案都需要認識到相關各方所面臨的挑戰(zhàn)。安全團隊必須幫助應用團隊保護他們的工作負載，同時還要保護云計算環(huán)境。如今的云計算環(huán)境變得越來越復雜，由多層組成，包括基礎設施、網(wǎng)絡、虛擬機、容器、無服務器功能、數(shù)據(jù)、API、web應用程序、代碼、開源庫等。

考慮到這些，建議企業(yè)采取以下五個步驟：

·在應用程序生命周期的早期嵌入安全性的回報是巨大的，因為它顯著地降低了生產中的風險。然而，為了獲得成功，安全團隊需要清楚地了解他們的企業(yè)如何在云中構建和部署代碼和應用程序。了解了這一點，他們就可以確定將安全性注入持續(xù)集成/持續(xù)交付管道的破壞性最小的地方。

·消除盲點至關重要，可以通過確保云計算環(huán)境的全面可見性來實現(xiàn)。這從發(fā)現(xiàn)云計算資產、識別和修復錯誤配置和漏洞開始。但也需要時刻保持警惕，追蹤那些暗示存在安全隱患的奇怪或可疑行為。可見性是連續(xù)的，接近實時的，因此團隊可以回答與何人、什么、何時、何地相關的安全問題。

·研究表明，云計算環(huán)境中仍有太多未修補的漏洞，但修復這些漏洞的努力不足以防止網(wǎng)絡威脅。這意味著需要采用威脅防御策略來阻止零日攻擊，并在出現(xiàn)漏洞時阻止黑客的橫向移動。計算跨云資源的權限，以遵循最低權限訪問的最佳實踐，并圍繞所有關鍵任務應用程序部署預防解決方案。

·避免陷入為每個新的直接用例獲取新的安全技術的陷阱。這增加了不能很好地互操作的安全工具的蔓延，這給安全團隊增加了負擔，而不是增強了能力，并且使他們更難以看到真正發(fā)生了什么。更好的方法是退后一步，回顧企業(yè)在未來幾年的云采用目標，以找到能夠真正滿足當前和未來優(yōu)先級的解決方案。

·在云網(wǎng)絡安全領域，過度使用工具是一個日益嚴重的問題?？紤]工具整合以推進上述所有步驟。對于安全團隊來說，這可以幫助自動化關聯(lián)，并解決整個應用程序生命周期中最重要的安全問題。它還可以更快地識別和解決安全問題和警報，減少響應威脅所需的時間。將數(shù)據(jù)和安全控制統(tǒng)一到一個平臺上有助于使企業(yè)的云計算之旅與安全性保持一致。一個公共平臺將安全和開發(fā)團隊聚集在一起，以實現(xiàn)構建、改進和運行成功的云環(huán)境的共同目標。

將業(yè)務遷移到公有云不僅為企業(yè)提供了靈活性和可擴展性，而且比內部部署數(shù)據(jù)中心的安全性更好?，F(xiàn)代安全特性在保護云計算工作負載方面做得很好，但前提是實現(xiàn)正確并管理良好。

云網(wǎng)絡安全的挑戰(zhàn)來自于采用速度如何與管理混合云和多云技術堆棧的日益復雜相沖突。一些企業(yè)發(fā)現(xiàn)很難跟上步伐，并無意中引入了安全漏洞。好消息是，云網(wǎng)絡安全的現(xiàn)代方法可以解決這些問題，并使企業(yè)在他們選擇的云計算環(huán)境中蓬勃發(fā)展。