用户|安永：安全管理实践之云基础设施安全保护采用的应对措施_采用的|服务|措施|风险暴露|管

文章图片

云计算已经被普遍应用于诸多行业的信息化建设中，云安全已经得到越来越多云服务提供商和云用户的重视，本文从云安全挑战、云安全态势管理、云访问安全代理、零信任模型和微隔离等角度对云安全进行分析和研究。
关于云基础设施保护总览明确目的
网络安全任务是保护集团网络环境中的用户（客户和员工），并使业务以安全的方式运行。基础设施保护的首要任务是：减少IT基础架构的风险暴露和攻击面。客户和集团的职能部门进行合作，及时确定改进领域，并在所有项目阶段支持技术解决方案的设计和实施。
制定战略
安全管理战略主要从如下方面考虑：终端保护、网络安全、系统和服务器安全、可信服务、云安全、编排与控制。主要需要采用的措施包括：网络安全体系结构增强、安全远程访问、终端检测和响应&威胁搜索设置、网络访问控制增强、电子邮件安全增强、终端配置管理、攻击面可见性和情报、支持的云技术、云基础设施管理、数字密钥管理、策略编排器、漏洞管理等。
切换视角
以人为本，培养团队知识和技能、跨能力和团队合作精神；风险观点，采用基于风险/优先级的方法；自动化，减少执行时间和总体操作工作量；标准化，降低流程和技术复杂性，增强基础设施的恢复能力和控制能力；回到基础，建立一个坚实的基础。

文章图片

开展云基础设施安全管理重点包括：系统安全、终端安全、网络安全、可信服务。
整体架构如下图所示：

文章图片

其中在云安全管理中重点需要在云安全态势管理、云访问安全代理、零信任和微隔离、硬件安全模块四方面开展安全管控工作。

文章图片

01. 云安全态势管理 Cloud Security Posture Management
云安全态势管理解决方案能够自动连续地检查可能导致数据泄漏的配置错误。这种自动化、持续性的检测可以帮助组织进行必要的持续改进。企业应用迁移上云，并不意味着云上安全完全由云服务商负责。云服务商对基础架构云堆栈有保护责任，但云租户也需要负责云上环境的搭建，保护云上应用程序和云数据的安全性。也就是说，云服务商或云用户的任何一方的错误都可能导致数据泄露等安全事故。

文章图片

02. 云访问安全代理 Cloud Access Security Broker
与传统网络安全相比，云访问安全代理能够更深入地了解用户、设备、应用程序、事务和敏感数据，可以通过CASB将现有的安全策略、工作流程和安全措施扩展到云环境，在现有安全生态的基础上提高安全能力。

文章图片

云访问安全代理常见用例：
可视化：正在使用哪些云服务，这对企业有什么风险？
? 影子IT
? 安全态势管理
数据安全：如何将安全控制和策略扩展到正在使用的云服务？
? 数据丢失保护
? 数据加密
合规：对云服务的使用是否符合合规要求？
? 安全态势管理
? 访问控制
威胁防护：如何防御有针对性的攻击和高级威胁？
? 用户行为分析
? 访问控制
03. 零信任模型和微隔离 Zero trust model & Microsegmentation
零信任模型包括始终验证访问任何资源（软件和基础设施）的风险级别。其在网络层面上的采用，使得网络微观分割与网络部分的安全级别一致。零信任模型打破了传统的外围安全方法，这种方法假定在公司外围完成的活动是可信的，并对新的连接场景作出反应，并扩展到云外围和第三方活动。

文章图片

微隔离的优点包括如下几点：