應(yīng)用

技術(shù)

物聯(lián)網(wǎng)世界 >> 物聯(lián)網(wǎng)新聞 >> 物聯(lián)網(wǎng)熱點(diǎn)新聞
企業(yè)注冊(cè)個(gè)人注冊(cè)登錄

云計(jì)算面臨的可見(jiàn)性挑戰(zhàn)及如何在多云中獲得可見(jiàn)性

2021-09-01 15:31 企業(yè)網(wǎng)D1Net

導(dǎo)讀:根據(jù)云計(jì)算安全聯(lián)盟最近對(duì)200名IT和安全專業(yè)人員進(jìn)行的調(diào)查,三分之二的人對(duì)云計(jì)算可見(jiàn)性缺乏信心。云計(jì)算安全聯(lián)盟在其“云計(jì)算的主要威脅”中列出了云計(jì)算使用可見(jiàn)性。

事實(shí)表明,人們無(wú)法保護(hù)看不到的東西。正在將業(yè)務(wù)遷移到公有云或已經(jīng)在云平臺(tái)運(yùn)行的企業(yè)面臨可見(jiàn)性的挑戰(zhàn)。在云安全策略方面,可見(jiàn)性就是一切。在理想的運(yùn)營(yíng)環(huán)境中,跨多云的端到端可見(jiàn)性為企業(yè)提供了有效管理風(fēng)險(xiǎn)所需的場(chǎng)景知識(shí)。

根據(jù)云計(jì)算安全聯(lián)盟最近對(duì)200名IT和安全專業(yè)人員進(jìn)行的調(diào)查,三分之二的人對(duì)云計(jì)算可見(jiàn)性缺乏信心。云計(jì)算安全聯(lián)盟在其“云計(jì)算的主要威脅”中列出了云計(jì)算使用可見(jiàn)性。此外,與可見(jiàn)性相關(guān)的風(fēng)險(xiǎn)導(dǎo)致缺乏治理、意識(shí)和安全性,從而導(dǎo)致云中的數(shù)據(jù)泄露。

云計(jì)算可見(jiàn)性的挑戰(zhàn)

企業(yè)目前是否希望了解哪些人員可以訪問(wèn)其云平臺(tái)中的數(shù)據(jù)?而這并不是孤例。很多企業(yè)在云平臺(tái)的數(shù)據(jù)都缺乏可見(jiàn)性,從而導(dǎo)致更多的風(fēng)險(xiǎn)。以下是企業(yè)面臨的一些主要挑戰(zhàn):

挑戰(zhàn)1:確保人類與非人類身份的安全

云安全團(tuán)隊(duì)在身份驗(yàn)證(例如訪問(wèn)者的身份和位置、是人類還是非人類等考慮因素)及其有效權(quán)限方面面臨可見(jiàn)性挑戰(zhàn)。例如,云計(jì)算架構(gòu)在任何時(shí)候都有數(shù)百個(gè)資源在運(yùn)行,而大量的人類或非人類的身份都可以訪問(wèn)。如何確保所有這些身份的安全訪問(wèn),對(duì)于云安全團(tuán)隊(duì)來(lái)說(shuō)是一項(xiàng)獨(dú)特的挑戰(zhàn)。

身份可以承擔(dān)具有特定權(quán)限的角色。首先,很多人過(guò)度使用權(quán)限。其次,由于云計(jì)算的短暫性,其權(quán)限的濫用可以完全隱藏在具有間歇性的審計(jì)時(shí)間框架的監(jiān)控服務(wù)中。最后,更復(fù)雜的是特權(quán)身份可以根據(jù)需要切換角色,產(chǎn)生未經(jīng)檢查的升級(jí)特權(quán)的臨時(shí)權(quán)限鏈。

其解決方案是采用持續(xù)有效的權(quán)限監(jiān)控。安全團(tuán)隊(duì)依賴于以“一個(gè)用戶(人類),一個(gè)身份”的概念構(gòu)建身份管理規(guī)則。這種類型的管理可以防止特定于云平臺(tái)的新型特權(quán)濫用。身份的潛在訪問(wèn)路徑不是線性的,而是相互關(guān)聯(lián)的角色、特權(quán)升級(jí)能力、權(quán)限、信任關(guān)系和用戶組網(wǎng)絡(luò)的一部分。提供對(duì)每個(gè)身份的詳細(xì)可見(jiàn)性的圖形功能是確保最低權(quán)限執(zhí)行的唯一方法。

挑戰(zhàn)2:確保數(shù)據(jù)安全

企業(yè)的團(tuán)隊(duì)必須跟蹤在多云環(huán)境中訪問(wèn)的大量數(shù)據(jù)。因此,在任何給定時(shí)刻,每個(gè)身份都會(huì)訪問(wèn)大量數(shù)據(jù)。所有這些沒(méi)有多云端到端可見(jiàn)性的數(shù)據(jù)訪問(wèn)都會(huì)導(dǎo)致風(fēng)險(xiǎn)。

傳統(tǒng)的數(shù)據(jù)保護(hù)工具缺乏對(duì)數(shù)據(jù)的場(chǎng)景理解,例如敏感性或雙因素身份驗(yàn)證。例如,企業(yè)可能會(huì)將敏感的數(shù)據(jù)保存在配置錯(cuò)誤的AWS S3存儲(chǔ)桶中,而該存儲(chǔ)桶未標(biāo)記。如果沒(méi)有對(duì)企業(yè)的數(shù)據(jù)的場(chǎng)景可見(jiàn)性,就不會(huì)知道是否受到保護(hù)。

即使知道敏感數(shù)據(jù)在哪里,云安全團(tuán)隊(duì)也面臨著了解其去向的挑戰(zhàn)。因?yàn)閿?shù)據(jù)可以在多云環(huán)境中駐留和移動(dòng)。然而,云安全團(tuán)隊(duì)會(huì)發(fā)現(xiàn)在沒(méi)有標(biāo)準(zhǔn)化的單一數(shù)據(jù)移動(dòng)視圖的情況下持續(xù)監(jiān)控?cái)?shù)據(jù)具有挑戰(zhàn)性。

挑戰(zhàn)3:克服復(fù)雜性

最重要的是,云計(jì)算在本質(zhì)上是復(fù)雜的。而負(fù)載計(jì)算工作可能在幾分鐘甚至幾秒鐘內(nèi)加速和減速。因此,云計(jì)算的短暫性使得以完全可見(jiàn)的方式持續(xù)監(jiān)控資源變得更加困難。

也就是說(shuō),當(dāng)開(kāi)發(fā)人員在沒(méi)有預(yù)先考慮引入復(fù)雜性的情況下迅速加快生產(chǎn)進(jìn)度時(shí),云計(jì)算的復(fù)雜性就會(huì)增加。利益相關(guān)者通常希望加快開(kāi)發(fā)速度,以添加具有無(wú)數(shù)端點(diǎn)的身份和資源。他們的理解是云計(jì)算提供了無(wú)限的可擴(kuò)展性,但他們誤認(rèn)為云計(jì)算是始終保持資產(chǎn)安全的最終解決方案,事實(shí)并非如此。

不幸的是,云計(jì)算的復(fù)雜性繼續(xù)增長(zhǎng)。當(dāng)身份是邊界時(shí),安全團(tuán)隊(duì)需要一種簡(jiǎn)化的方式來(lái)查看身份如何訪問(wèn)資源。

挑戰(zhàn)4:各個(gè)云計(jì)算供應(yīng)商的不同安全模型

每個(gè)云計(jì)算提供商的云安全模型處理方式不同,并沒(méi)有實(shí)現(xiàn)標(biāo)準(zhǔn)化。他們的云安全模型不涉及第三方數(shù)據(jù)存儲(chǔ)。云計(jì)算供應(yīng)商通常需要使用低級(jí)工具,其中一個(gè)錯(cuò)誤配置就會(huì)導(dǎo)致災(zāi)難性的結(jié)果。云計(jì)算提供商安全工具一旦離開(kāi)云平臺(tái)就不會(huì)跟蹤數(shù)據(jù),從而導(dǎo)致可見(jiàn)性差距。

如何在多云中獲得可見(jiàn)性

企業(yè)在公有云中獲得可見(jiàn)性的能力取決于從云平臺(tái)中獲取所需數(shù)據(jù)的訪問(wèn)權(quán)限。IT專業(yè)人員可以使用涵蓋云計(jì)算資源的云安全平臺(tái)解決方案來(lái)做到這一點(diǎn)。

(1)Sonrai安全可以提供幫助

Sonrai Dig可以提供跨多云的完整可見(jiàn)性,當(dāng)企業(yè)處理成百上千個(gè)帳戶時(shí),采用Sonrai Dig可以了解跨越多個(gè)云平臺(tái)的身份和數(shù)據(jù),提供跨多云的規(guī)范化視圖以及對(duì)云計(jì)算身份和數(shù)據(jù)訪問(wèn)的控制。

(2)身份安全

Sonrai Dig發(fā)現(xiàn)、規(guī)范化并在圖表上顯示AWS賬戶、Azure訂閱和GCP項(xiàng)目的所有結(jié)果。其圖表公開(kāi)了所有身份,并提供了對(duì)每個(gè)角色、特權(quán)、權(quán)限、信任關(guān)系和組的詳細(xì)可見(jiàn)性。這讓團(tuán)隊(duì)了解他們的有效權(quán)限。Sonrai提供對(duì)身份鏈的可見(jiàn)性。人們可以看到身份、他們所屬的組、策略和信任關(guān)系,可以了解他們的權(quán)限如何增加訪問(wèn)權(quán)限。有了這種理解,團(tuán)隊(duì)就有了一個(gè)可行的路線圖來(lái)實(shí)現(xiàn)最小特權(quán)。

(3)數(shù)據(jù)安全

借助Sonrai Dig,企業(yè)的團(tuán)隊(duì)可以發(fā)現(xiàn)并持續(xù)監(jiān)控?cái)?shù)據(jù)存儲(chǔ),以圖形方式映射哪些數(shù)據(jù)存在、存在于何處(包括敏感的數(shù)據(jù))、可以訪問(wèn)它的內(nèi)容、發(fā)生了什么以及它去了哪里。團(tuán)隊(duì)可以鎖定結(jié)構(gòu)化數(shù)據(jù)和非結(jié)構(gòu)化數(shù)據(jù),并通過(guò)跨多云的深入分析功能對(duì)其進(jìn)行持續(xù)監(jiān)控。

企業(yè)的團(tuán)隊(duì)可以識(shí)別敏感數(shù)據(jù),并將其分類。通過(guò)對(duì)數(shù)據(jù)進(jìn)行分類,他們可以確定哪些數(shù)據(jù)已經(jīng)鎖定,哪些數(shù)據(jù)需要鎖定,并采取措施降低風(fēng)險(xiǎn)。

(4)智能云安全態(tài)勢(shì)管理(CSPM)

Sonrai Dig的智能云安全態(tài)勢(shì)管理(CSPM) 可以為企業(yè)提供完整的可見(jiàn)性,其中包括其環(huán)境的場(chǎng)景知識(shí)。將會(huì)發(fā)現(xiàn)所有資源并確保企業(yè)安全地配置他們采用的多云。因此,該平臺(tái)提供何時(shí)發(fā)生漂移的檢測(cè),如果與既定的安全基線有偏差,Sonrai Dig會(huì)提醒企業(yè)立即進(jìn)行審查和修復(fù)。

智能云安全態(tài)勢(shì)管理(CSPM) 平臺(tái)擁有開(kāi)箱即用的框架。而內(nèi)部治理控制(NISTCSF、ISO27001)、既定的監(jiān)管框架(HIPAA、PCI-DSS、SOC2)和法律(歐盟GDPR)可以顯著地減少實(shí)施這些框架所需的繁重工作。

(5)治理自動(dòng)化

Sonrai Dig提供智能工作流程和自動(dòng)修復(fù)功能,與左移安全方法保持一致。企業(yè)能夠以多云的速度和復(fù)雜性解決風(fēng)險(xiǎn),在問(wèn)題變得更加嚴(yán)重之前發(fā)現(xiàn)并解決。

企業(yè)通過(guò)治理自動(dòng)化可以在正確的時(shí)間將正確的問(wèn)題發(fā)送給負(fù)責(zé)的團(tuán)隊(duì),這樣可以減少警報(bào)疲勞。在原有的方法中,企業(yè)團(tuán)隊(duì)需要對(duì)持續(xù)積壓的問(wèn)題進(jìn)行分類和修復(fù)。

Sonrai還集成了企業(yè)的持續(xù)集成(CI)/持續(xù)交付(CD)管道,以真正了解多云中的風(fēng)險(xiǎn)。當(dāng)然,如果存在無(wú)法看到的風(fēng)險(xiǎn),Sonrai Dig就會(huì)發(fā)現(xiàn)。Sonrai可以通過(guò)提醒負(fù)責(zé)的團(tuán)隊(duì)或自動(dòng)修復(fù)來(lái)解決問(wèn)題。此外,企業(yè)還可以利用Sonrai的內(nèi)置預(yù)防機(jī)器人進(jìn)行管理。