在數(shù)字化轉(zhuǎn)型的浪潮中，多云戰(zhàn)略已成為企業(yè)IT架構(gòu)的主流選擇。然而，當組織的業(yè)務橫跨AWS、阿里云、騰訊云等多個平臺時，安全挑戰(zhàn)也隨之倍增。據(jù)Gartner預測，到2027年，90%的企業(yè)機構(gòu)將采用混合云。然而，很多企業(yè)都未能相應地建立有效的安全防護體系。本文為您提供八大實用策略，助您在享受多云靈活性的同時，構(gòu)建堅不可摧的安全屏障。無論您是CISO、IT主管還是云架構(gòu)師，這些來自一線安全專家的建議都將為您的多云云安全治理提供清晰指引。
1.建立集中化的管理團隊
安全最終是一種共同責任。盡管如此，安全服務公司Security Compass的首席產(chǎn)品官Trevor Young指出，多云安全的監(jiān)督和戰(zhàn)略方向在理想情況下應由組織內(nèi)的集中安全團隊或?qū)ｉT人員主導。
這一核心職能部門需負責定義整體安全策略、建立一致的政策標準、選擇管理跨云安全工具，并確保所有云環(huán)境的合規(guī)性。作為協(xié)調(diào)者，他們將與各個應用團隊和云所有者保持緊密合作，共同維護多云環(huán)境的安全架構(gòu)。
2.創(chuàng)建統(tǒng)一的治理架構(gòu)
安全服務公司NCC Group的總監(jiān)兼高級顧問Nigel Gibbons建議，應建立一個統(tǒng)一的安全治理模型，覆蓋所有云環(huán)境，并由集中化的身份管理、可見性、自動化和政策執(zhí)行支持。這種方法通過在云提供商之間創(chuàng)建一致的安全控制來最小化復雜性和孤島。它減少了盲點，通過集中身份(如Microsoft Entra ID或Okta)強制實施最小權(quán)限，實現(xiàn)實時威脅檢測，并通過應用相同的標準簡化合規(guī)性，無論使用何種云平臺。
由CISO或云安全架構(gòu)師領導的集中化云安全團隊或云卓越中心(CCoE)應全面負責各個安全方面。這些團隊需與DevOps、平臺和合規(guī)團隊密切協(xié)調(diào)，以執(zhí)行一致的政策并有效監(jiān)督環(huán)境中的風險。
3.擴展防護邊界
單云安全通常專注于特定提供商提供的安全工具和服務。隨著時間推移，安全團隊會對該生態(tài)系統(tǒng)變得非常熟悉。而多云安全則要面對多個提供商，每個提供商都擁有獨特的安全模型、服務和術語。
Security Compass的Young指出，安全團隊不能僅依賴單一云的原生工具并期望全面覆蓋所有環(huán)境;多云環(huán)境需要更廣泛、更不依賴供應商的安全策略。
然而，許多組織在缺乏連貫策略的情況下，分別采用各提供商的原生安全工具。這種方法可能導致政策不一致、覆蓋范圍出現(xiàn)漏洞，以及難以關聯(lián)跨云的安全事件。這種情況類似于在不同區(qū)域部署互不關聯(lián)的安全警報系統(tǒng)，使整體安全態(tài)勢變得支離破碎。
4.構(gòu)建統(tǒng)一的信任邊界
安全軟件和服務公司XYPRO的CISO Steve Tcherchian認為，應完全停止以云為單位思考，而是將每個環(huán)境，無論是AWS、Azure、本地還是傳統(tǒng)大型機，都視為單一統(tǒng)一信任邊界的組成部分。圍繞身份、數(shù)據(jù)流和上下文構(gòu)建控制，而非圍繞平臺。一旦按云架構(gòu)劃分安全，控制就已被分散，組織將不得不面臨持續(xù)追趕的挑戰(zhàn)。
在設計安全架構(gòu)時，應該建立一個統(tǒng)一的安全邊界，其核心是用戶、數(shù)據(jù)和意圖三大恒定要素。云本質(zhì)上只是管道。那些過度專注于云原生工具的CISO和安全團隊往往最終會在事后不得不用臨時方案來彌補安全漏洞，形成拼湊式的安全架構(gòu)。
5. 落實共擔責任
威脅情報和安全運營提供商SOCRadar的CISO Ensar Seker指出，多云安全應該是CISO、云架構(gòu)師、DevOps和安全工程團隊之間的共同責任;不過，最終責任應該由CISO承擔。CISO必須確保安全政策與技術無關，一致執(zhí)行，并與業(yè)務風險容忍度保持一致。
打破團隊之間的壁壘并確保跨云可見性在統(tǒng)一的SecOps功能下集中化至關重要。多云不僅僅是一種技術策略，它本質(zhì)上是一種業(yè)務彈性策略，其安全態(tài)勢必須反映這一事實。
組織應收集多云環(huán)境特有的威脅情報，同時實施實時監(jiān)控和配置偏差檢測，確保持續(xù)的安全保障。在當今環(huán)境中，沒有統(tǒng)一安全的云蔓延不僅僅是風險，更是一種責任。
6.建立協(xié)作管理環(huán)境
Centric Consulting的安全服務總監(jiān)Brandyn Fisher表示，有效的安全管理需要安全團隊與其他關鍵利益相關者之間的協(xié)作參與。強有力的協(xié)作將確保所有安全措施有效地與更廣泛的業(yè)務目標保持一致，并支持這些目標。
根據(jù)企業(yè)的組織結(jié)構(gòu)和復雜性，協(xié)作的對象通常包括解決方案架構(gòu)師、云專家和系統(tǒng)管理員。Fisher強調(diào)，最有效的方法是明確責任劃分。
通常，安全團隊負責定義需求和治理框架，而具體實施則由專業(yè)技術團隊執(zhí)行。這種平衡方法既明確了責任歸屬，又促進了跨職能協(xié)作，滿足多云環(huán)境下全面安全管理的需求。
隨著云技術的快速發(fā)展，組織容易陷入自滿。保持警覺和主動性至關重要，這要求團隊通過參與行業(yè)會議、培訓活動和專業(yè)社區(qū)交流來持續(xù)提升技能。
7.考慮統(tǒng)一的檢測和響應策略
在網(wǎng)絡安全平臺提供商Intezer的現(xiàn)場CISO Mitchem Boles看來，在所有云環(huán)境中實施統(tǒng)一的威脅檢測和響應策略，通過集中化的安全運營中心進行管理，是應對高級威脅的有效方法。這種整合式方法能夠跨不同云平臺提供一致的安全監(jiān)控、分析和應對能力，有效識別和攔截那些試圖利用多云環(huán)境復雜性的復雜攻擊。
將來自AWS、Azure、Google Cloud Platform等不同提供商的警報和行為數(shù)據(jù)整合到集中系統(tǒng)中，能讓安全團隊專注于真正的威脅，避免警報疲勞問題。這種方法之所以有效，在于它能夠穿透繁雜的云原生警報，通過基于行為的關聯(lián)分析和自動化技術快速識別真正的威脅。團隊因此能更迅速響應安全事件，同時減少在復雜環(huán)境中進行手動分類的工作量。
多云安全管理面臨著跨提供商的工具、日志和身份模型不一致的挑戰(zhàn)，這可能導致安全盲點。與單云環(huán)境不同，多云架構(gòu)需要建立統(tǒng)一視圖，以確保全面的可見性、一致的策略執(zhí)行和高效的事件分類。
8. 控制云訪問
數(shù)字工作空間提供商Kasm Technologies的首席技術傳道者Jaymes David解釋，控制云訪問是為了縮小攻擊面。
通過實施短期隔離會話限制對云資源的訪問，組織可有效降低惡意軟件持久化和未授權(quán)訪問的風險。當這種方法與會話記錄、SIEM集成、數(shù)據(jù)泄露防護和水印技術相結(jié)合時，將形成一個完整的安全框架，確保環(huán)境可跟蹤、可執(zhí)行且可審計。
攻擊者在選擇目標時并不區(qū)分單云或多云環(huán)境。然而，從運營角度看，多云架構(gòu)確實增加了管理復雜性。在多個平臺上保持一致的策略執(zhí)行是最主要的挑戰(zhàn)。值得注意的是，過度依賴單一云環(huán)境而不建立適當?shù)膹椥詸C制，實際上可能比管理多云環(huán)境帶來更大的安全風險。
未來，多云格局還將持續(xù)演進。隨著量子計算、人工智能和邊緣處理等技術的進步，多云環(huán)境將變得更加復雜，安全態(tài)勢也將更為嚴峻。借助上述8個技巧，組織可以在某種程度上享受多云靈活性的同時，有效管控安全風險。
參考鏈接：https://www.csoonline.com/article/4003915/8-tips-for-mastering-multicloud-security.html。
