多云環(huán)境下的安全挑戰(zhàn)與防護建議
隨著云計算技術的廣泛應用，業(yè)務系統(tǒng)上云給企業(yè)帶來了諸多便利。但在上云過程中，越來越多的企業(yè)不愿意“將雞蛋全都放在一個籃子里”，而是會根據不同業(yè)務系統(tǒng)的特性、對網絡帶寬質量的要求、數據的敏感性以及政策合規(guī)等多方面原因，選擇多個云或者混合云模式來部署不同的業(yè)務系統(tǒng)。這使得多云技術架構應用得到了快速發(fā)展，同時也引入了新的安全問題，給企業(yè)多云環(huán)境應用帶來新的風險和挑戰(zhàn)。
多云環(huán)境的安全挑戰(zhàn)
云計算的應用會存在安全漏洞，不法分子可能會利用這些漏洞來謀取利益。而應用多云環(huán)境的組織，除了會面臨傳統(tǒng)的云安全威脅，也需要面對多云環(huán)境自身的應用挑戰(zhàn)：
不同云之間的統(tǒng)一化管理
每家云提供商都用一套專有方式來識別云上資產，難以通過統(tǒng)一的規(guī)則來命名一些關鍵屬性。例如，為了識別實例，AWS使用了“實例ID”，Azure使用了“虛擬機ID”，而GCP則使用“虛擬機實例ID”。因此對于采用多云策略的組織來說，如何實現統(tǒng)一化的管理、報告和分析，具有很大的挑戰(zhàn)性。
多云使用增加安全隱患
不同云環(huán)境之間的應用差異仍然較為嚴重，安全能力、安全策略、安全操作習慣等均有較大的不同，用戶難以通過統(tǒng)一的方式對龐大的資產進行運維和管理，因此可能因為安全策略不統(tǒng)一導致安全管理工作的疏漏，并由此引發(fā)新的安全風險。
統(tǒng)一安全運營難度大
大多數云服務商提供的內置服務只適用于自身的云平臺上。當業(yè)務需求驅使組織采用多云策略時，這種孤島現象可能導致嚴重問題，勢必需要一種滿足安全需求的有效控制措施。為了保持競爭優(yōu)勢，各大CSP（Cloud Service Provider，云服務提供商）都提供各自的安全工具供客戶使用，但是實現方式差異很大，沒有統(tǒng)一的標準，企業(yè)學習、使用的難度較大。同時，不同云之間使用了不同的運營術語，這無疑也增加了多云環(huán)境的安全運營難度。
傳統(tǒng)云安全風險依然存在
傳統(tǒng)云環(huán)境中存在主機安全、應用安全和數據安全等問題，在多云環(huán)境中依舊存在，而在網絡層，由于業(yè)務層面通過隧道或代理打通多云或云上云下環(huán)境，讓多云環(huán)境的安全防護邊界更加模糊。
多云安全的防護建議
企業(yè)組織需要進一步保障多云架構下業(yè)務運行安全，在原有云安全能力基礎上，全面升級為統(tǒng)一服務、統(tǒng)一運營、統(tǒng)一運維、統(tǒng)一調度、統(tǒng)一配置以及統(tǒng)一權限的多云安全一體化防護體系。
1.全面洞察不同云上的資產
“看不見的東西往往難以保護”，所以應該洞察盡可能多的資產。企業(yè)組織應該積極與CSP（云計算服務提供商）合作以獲得更全面的云資產可見性，也可以考慮購買或訂購第三方云原生解決方案，以實現持續(xù)收集數據，并通過統(tǒng)一的管理中心控制所有云應用的配置管理。企業(yè)的安全團隊和運營團隊還應該選擇可以同時管理內部資產和云資產的工具。
2.實現自動化的安全管理流程
為了加強多云安全，企業(yè)應該實施自動化安全流程，以處理日常任務，并實施能自行修復安全問題的編排程序。組織可以通過自動化、機器學習和人工智能來幫助安全團隊開展運營工作，技術創(chuàng)新可以幫助安全團隊提升工作效率，處理更多事務，比如規(guī)范數據、建立基準、檢測異常、自動執(zhí)行重復任務、快速檢索信息以及自動執(zhí)行標準化安全策略和配置。
3.將云上的安全防護左移
組織需要將自動化安全流程集成到編程和應用程序開發(fā)中，將安全能力融入到云應用的開發(fā)中。通過安全能力左移，可以將安全測試和安全技術遷址到軟件開發(fā)的早期階段。在多云安全領域，安全“左移”需要把更多的自動化、安全和網絡功能直接融入到應用程序開發(fā)中，以便安全人員根據應用程序要求，匹配相應的安全能力和措施。
4.與每個云服務商共同承擔責任
每家CSP對于其所需要承擔的安全責任都會有不同的想法。企業(yè)要充分了解這些具體的責任，并相應地制定云安全策略：首先，云服務提供商應該提供關于客戶如何考慮和降低風險的有效建議并加以實施，同時還應該對如何管理風險實施自己的內部控制；其次，云供應商應該列出各種風險及各自的解決方案，提供完善的服務水平協(xié)議，隱私保護政策等能夠承擔責任的說明；最后，多云企業(yè)用戶應該明確自身和多云廠商的責任和角色，能夠清楚的說明每個云服務提供商的責任有哪些。
5.了解每家CSP的服務特點
組織需要搞清楚每家CSP的基礎設施、安全工具（比如谷歌云安全指揮中心或Azure安全中心）、API接口規(guī)范及其他技術事項。企業(yè)只有了解到每家服務提供商的工作原理及特點后，才能實現統(tǒng)一的資源管理、訪問控制策略設計、統(tǒng)一操作模式，同時簡化安全運營和管理的難度。
6.加固多云基礎設施
企業(yè)應該通過鎖定端口、訪問途徑、應用程序接口等方式加固云基礎設施，并將基礎設施即代碼（IaC）解決方案集成到云管理流程中。組織不應該讓任何不需要的端口保持敞開，也不應該讓任何休眠賬戶保持活躍，更不能讓第三方軟件處于失控的狀態(tài)，IaC將幫助企業(yè)安全團隊管理這些問題。在多云架構應用中，任何云應用程序和實例都應該按運營策略嚴格鎖定起來，運行最少的服務并不斷審視配置狀態(tài)及管理要求，以確保任何基于云的基礎設施盡可能具有彈性。
7.統(tǒng)一身份和訪問管理
構建多云環(huán)境下的統(tǒng)一身份權限管控平臺，是企業(yè)開展多云架構應用必須要解決的問題。組織需要能夠通過單一系統(tǒng)控制用戶訪問云和內部平臺上的所有資產，實現這個目標不僅要實現單點登錄，還要考慮統(tǒng)一身份管控、統(tǒng)一權限管控和云上用戶行為審計，這對企業(yè)來說具有一定的挑戰(zhàn)性。企業(yè)可以將基于角色或屬性的權限控制整合到多云管理控制臺中，或采用零信任的思路構建身份管理能力。
8.記錄一切能夠審計的數據
組織可能需要查閱大量日志來修復安全問題及其他問題，這需要消耗大量的存儲容量，但是卻非常有必要，以便威脅搜索和調查。目前，市面上已經有了大量價格更便宜的云存儲服務，企業(yè)可以用更低的預算投入，實現對所有日志信息的記錄。
參考鏈接：
??https://www.darkreading.com/zscaler/5-ways-cybersecurity-for-cloud-workloads-will-evolve-in-2023??
