你能談?wù)効梢?jiàn)性在管理云安全中的作用嗎?為什么它是當(dāng)今CISO面臨的重大挑戰(zhàn)?
由于云基礎(chǔ)設(shè)施的性質(zhì)，對(duì)安全態(tài)勢(shì)的可見(jiàn)性對(duì)保持領(lǐng)先于云攻擊者至關(guān)重要。云基礎(chǔ)設(shè)施在很大程度上是由API驅(qū)動(dòng)的，由主要分布在廣泛攻擊面的動(dòng)態(tài)資源組成。這些因素和許多其他因素的結(jié)合對(duì)有效的云安全構(gòu)成了巨大的挑戰(zhàn)。因此，確保云安全的一個(gè)核心要求是實(shí)現(xiàn)可靠的可見(jiàn)性。可以利用幾種機(jī)制來(lái)增強(qiáng)可見(jiàn)性，包括實(shí)施日志記錄和監(jiān)控機(jī)制、啟用跟蹤云資源和配置中的所有更改的更改管理策略，以及實(shí)施威脅檢測(cè)和事件響應(yīng)策略。
DevOps的動(dòng)態(tài)環(huán)境，特別是微服務(wù)和容器的引入，如何增加確保云環(huán)境的清晰可見(jiàn)性的復(fù)雜性?
盡管具有優(yōu)勢(shì)，但微服務(wù)和容器引入了幾個(gè)抽象層，這增加了云原生系統(tǒng)的復(fù)雜性。Kubernetes安全團(tuán)隊(duì)使用“云本地安全的4C”的概念來(lái)解釋這一現(xiàn)象。微服務(wù)和容器在由多種技術(shù)組成的各種抽象層上運(yùn)行，這些技術(shù)包括不同類(lèi)型的通信協(xié)議。安全機(jī)制通常旨在解決特定技術(shù)中的安全問(wèn)題。
因此，這限制了抽象層的安全機(jī)制的有效性。最終，在云本地基礎(chǔ)設(shè)施中，需要幾種安全機(jī)制才能實(shí)現(xiàn)可見(jiàn)性。然而，這些安全機(jī)制通常是孤立運(yùn)行的，因此難以提供統(tǒng)一的可見(jiàn)性。要克服這些挑戰(zhàn)，需要在各種抽象層中跨不同的安全機(jī)制部署通信通道。此外，微服務(wù)和容器被設(shè)計(jì)為動(dòng)態(tài)的，因此跟蹤和確?？梢?jiàn)性是具有挑戰(zhàn)性的。
考慮到威脅參與者利用錯(cuò)誤配置滲透到企業(yè)中的趨勢(shì)日益增長(zhǎng)，CISO應(yīng)該采取哪些戰(zhàn)略來(lái)降低其云環(huán)境中的這些風(fēng)險(xiǎn)?
威脅的流行率和復(fù)雜性正在迅速增加，這是許多企業(yè)非常擔(dān)心的問(wèn)題。沒(méi)有一刀切的方法來(lái)克服這些挑戰(zhàn)，擁有足夠安全預(yù)算的成熟企業(yè)也未能幸免，因此解決方案不僅僅是擁有足夠的預(yù)算來(lái)獲得同類(lèi)最佳的安全解決方案?；镜陌踩O(shè)置是降低相關(guān)風(fēng)險(xiǎn)的基礎(chǔ)。企業(yè)需要通過(guò)培養(yǎng)網(wǎng)絡(luò)安全文化來(lái)確保這一點(diǎn)。此外，鑒于不能保證實(shí)現(xiàn)100%的安全，“假定違約”的概念勢(shì)在必行。
企業(yè)需要實(shí)施持續(xù)驗(yàn)證安全機(jī)制效率的安全機(jī)制。可以利用幾種安全解決方案來(lái)持續(xù)驗(yàn)證安全效率，包括安全混亂工程、對(duì)手模擬和威脅追蹤。我想提到的最后一點(diǎn)是從網(wǎng)絡(luò)安全轉(zhuǎn)向網(wǎng)絡(luò)彈性。網(wǎng)絡(luò)安全旨在檢測(cè)和防止攻擊，網(wǎng)絡(luò)韌性推動(dòng)阻止或適應(yīng)攻擊，同時(shí)在面臨逆境時(shí)實(shí)現(xiàn)業(yè)務(wù)連續(xù)性。
使用多個(gè)公有云和私有云以及內(nèi)部部署環(huán)境如何增加管理復(fù)雜性和運(yùn)營(yíng)成本?
使用多個(gè)公有云和私有云以及內(nèi)部部署環(huán)境會(huì)帶來(lái)各種挑戰(zhàn)，從而增加企業(yè)的管理復(fù)雜性和運(yùn)營(yíng)成本。雖然多云和混合環(huán)境具有各種優(yōu)勢(shì)，如靈活性、可擴(kuò)展性和彈性，但它們也伴隨著必須仔細(xì)管理的固有復(fù)雜性。使用多個(gè)公有云和私有云，包括內(nèi)部部署環(huán)境，意味著使用不同API、技術(shù)等的不同基礎(chǔ)設(shè)施。
在這種多樣化的環(huán)境中保持一致的安全態(tài)勢(shì)是非常具有挑戰(zhàn)性的。每個(gè)云的安全機(jī)制各不相同，管理這些機(jī)制所需的技能也同樣不同。這種多樣化環(huán)境的影響橫跨人員、流程和技術(shù)，并可能造成攻擊者可以利用的盲點(diǎn)。同樣，在這種多樣化的基礎(chǔ)設(shè)施中暴露出來(lái)的攻擊面也對(duì)治理構(gòu)成了挑戰(zhàn)。
你能描述一下企業(yè)在臨時(shí)添加云服務(wù)時(shí)可能面臨的問(wèn)題嗎?如何改進(jìn)這種做法?
云服務(wù)為企業(yè)提供了大量?jī)r(jià)值。然而，添加更多云服務(wù)的決定不僅需要從功能角度進(jìn)行治理和考慮，還需要從安全角度進(jìn)行考慮。應(yīng)該堅(jiān)持默認(rèn)安全的概念，特別是在云服務(wù)往往具有重疊功能的情況下。因此，在沒(méi)有充分規(guī)劃的情況下添加更多服務(wù)可能會(huì)導(dǎo)致冗余、資源浪費(fèi)和現(xiàn)有攻擊面的擴(kuò)展。
可以通過(guò)采用幾種安全實(shí)踐來(lái)避免這些問(wèn)題，包括安全架構(gòu)和設(shè)計(jì)審查以及威脅建模練習(xí)，以證明需要這些服務(wù)是合理的。解決此問(wèn)題的其他方法包括使用云服務(wù)提供商提供的服務(wù)來(lái)執(zhí)行企業(yè)范圍的策略。有了這樣的服務(wù)，可以應(yīng)用嚴(yán)格的治理，以避免故意或錯(cuò)誤地使用先前未計(jì)劃的云服務(wù)。
由于幾乎沒(méi)有IT團(tuán)隊(duì)擁有管理包含多個(gè)公有云、私有云和內(nèi)部部署環(huán)境的混合部署所需的專(zhuān)業(yè)知識(shí)，CISO如何做好應(yīng)對(duì)潛在問(wèn)題的準(zhǔn)備?可以進(jìn)行哪些培訓(xùn)或技能提升?
如今，該行業(yè)面臨的一個(gè)巨大挑戰(zhàn)是缺乏足夠的技能?？梢圆扇醉?xiàng)措施來(lái)應(yīng)對(duì)這一挑戰(zhàn)，包括為工作人員提供教育預(yù)算和培訓(xùn)機(jī)會(huì)，以獲得與其工作職責(zé)有關(guān)的知識(shí)和技能。有幾個(gè)在線(xiàn)培訓(xùn)計(jì)劃可以為企業(yè)提供云培訓(xùn)計(jì)劃。企業(yè)可以通過(guò)訂閱此類(lèi)計(jì)劃并鼓勵(lì)員工注冊(cè)和參加這些計(jì)劃來(lái)利用這些機(jī)會(huì)。
此外，還可以在企業(yè)內(nèi)部組織云培訓(xùn)，邀請(qǐng)外部或內(nèi)部主題專(zhuān)家分享他們的知識(shí)。這可以是理論和實(shí)踐的混合，以提升員工的云計(jì)算技能。
關(guān)于企業(yè)網(wǎng)D1net(m.r5u5c.cn)：
國(guó)內(nèi)主流的to B IT門(mén)戶(hù)，同時(shí)在運(yùn)營(yíng)國(guó)內(nèi)最大的甲方CIO專(zhuān)家?guī)旌椭橇敵黾吧缃黄脚_(tái)-信眾智(www.cioall.com)。同時(shí)運(yùn)營(yíng)19個(gè)IT行業(yè)公眾號(hào)(微信搜索D1net即可關(guān)注)。
版權(quán)聲明：本文為企業(yè)網(wǎng)D1Net編譯，轉(zhuǎn)載需在文章開(kāi)頭注明出處為：企業(yè)網(wǎng)D1Net，如果不注明出處，企業(yè)網(wǎng)D1Net將保留追究其法律責(zé)任的權(quán)利。
京公網(wǎng)安備 11010502049343號(hào)