王英哲

地球上每4個(gè)組織中就有3個(gè)有某種云的存在。根據(jù)2018年IDG的一項(xiàng)調(diào)查，77 %的企業(yè)現(xiàn)在在云中至少有一個(gè)應(yīng)用程序或部分企業(yè)計(jì)算基礎(chǔ)設(shè)施。在同一份報(bào)告中還透露，他們計(jì)劃在云應(yīng)用、平臺(tái)和服務(wù)上平均投資350萬美元。

展望未來，包括制造業(yè)、高科技和電信在內(nèi)的技術(shù)依賴型行業(yè)的高管管理正日益朝著100 %支持云計(jì)算的方向發(fā)展。這也意味著，除了那些以完整的基于云的基礎(chǔ)架構(gòu)開始的新創(chuàng)業(yè)公司之外，大多數(shù)組織目前正在積極地將基礎(chǔ)架構(gòu)和/或應(yīng)用程序遷移到云，并嘗試在本地物理層之間橋接其業(yè)務(wù)流程、應(yīng)用程序和工作流。網(wǎng)絡(luò)和駐留在公共云中的一個(gè)或多個(gè)網(wǎng)絡(luò)，如果他們現(xiàn)在沒有這么做，將來也會(huì)去做。

這些組織面臨的挑戰(zhàn)之一是在本地和基于云的資源之間創(chuàng)建一致的安全態(tài)勢(shì)。事實(shí)上，并不是所有的安全策略都能在多云環(huán)境中成功實(shí)現(xiàn)，尤其是在使用多種工具時(shí)。這是因?yàn)榇蠖鄶?shù)供應(yīng)商解決方案并不支持所有主要云平臺(tái)，許多還不支持本地云集成。當(dāng)工作流和應(yīng)用程序在不同的云環(huán)境中移動(dòng)時(shí)，可能會(huì)在執(zhí)行一致性和策略定義方面帶來挑戰(zhàn)，從而導(dǎo)致安全漏洞和盲點(diǎn)。

成功地將安全性遷移到云

將基礎(chǔ)設(shè)施、應(yīng)用程序或服務(wù)遷移到云，而不擴(kuò)展攻擊面或增加安全開銷，需要仔細(xì)準(zhǔn)備。首先要理解任何基于云的部署，無論是構(gòu)建新的基礎(chǔ)設(shè)施還是構(gòu)建新的應(yīng)用程序，都需要在業(yè)務(wù)、IT和安全團(tuán)隊(duì)之間進(jìn)行清晰的通信。如果沒有關(guān)于業(yè)務(wù)需求和目標(biāo)的清晰溝通，沒有對(duì)相關(guān)威脅的坦率討論，組織就會(huì)面臨一系列新的風(fēng)險(xiǎn)，包括針對(duì)云資源的拒絕服務(wù)攻擊、云惡意軟件注入、Web應(yīng)用程序開發(fā)、云API攻擊以及帳戶或服務(wù)劫持。

成功的云遷移還需要將安全性遷移到云，從而使組織能夠部署和管理跨越整個(gè)多云基礎(chǔ)設(shè)施的安全框架。以下是組織在規(guī)劃云采用或云遷移策略時(shí)都應(yīng)該考慮的7個(gè)步驟：

步驟1：在遷移到云之前確定您的安全性

很多組織圍繞隔離安全設(shè)備構(gòu)建的安全架構(gòu)，但都是分散管理并且安全策略不一。如果您的組織屬于這種情況，則需要首先控制安全蔓延并實(shí)施中央安全策略。一旦到位，您需要提出以下問題：

是否了解當(dāng)前的安全狀況及其對(duì)未來業(yè)務(wù)目標(biāo)的影響？

是否為當(dāng)前和未來的環(huán)境制定了適當(dāng)?shù)恼吆统绦?？是否?duì)云將如何改變您的安全范例進(jìn)行了差距分析？分布式，基于云的網(wǎng)絡(luò)對(duì)風(fēng)險(xiǎn)管理有何影響？

步驟2：規(guī)劃帶寬要求

您需要建模并了解數(shù)據(jù)流和帶寬要求，以確保安全解決方案能夠滿足性能要求，尤其是對(duì)于需要通過虛擬專用網(wǎng)絡(luò)（VPN）隧道的延遲敏感型服務(wù)。

步驟3：了解合規(guī)性問題

對(duì)于在云上處理和存儲(chǔ)的數(shù)據(jù)，以及在不同云和物理網(wǎng)絡(luò)環(huán)境之間移動(dòng)的數(shù)據(jù)，您需要滿足哪些要求？在開始構(gòu)建或采用任何類型的云計(jì)劃之前，咨詢您的法律團(tuán)隊(duì)至關(guān)重要。

步驟4：提供高可用性和災(zāi)難恢復(fù)

在解決安全問題之后，大多數(shù)尋求云解決方案的組織最擔(dān)心的是基于云資源的可用性。您還需要了解是否需要?jiǎng)討B(tài)擴(kuò)展以及安全解決方案是否可以滿足新的性能要求。最后，需要考慮流對(duì)稱和負(fù)載平衡等問題，尤其是對(duì)于遺留應(yīng)用程序，以便保持可用性，性能和保護(hù)———即使在使用基于動(dòng)態(tài)云的服務(wù)時(shí)也是如此。

步驟5：在正確的地方應(yīng)用正確的安全

云安全性不僅需要在云基礎(chǔ)架構(gòu)的周邊放置防火墻。根據(jù)運(yùn)行的應(yīng)用程序和使用的服務(wù)，需要應(yīng)用各種安全解決方案。下一代防火墻解決方案是最常用的安全工具，但通常還需要其他解決方案，包括WAF，IPS / IDS，CASB。

步驟6：建立生命周期管理框架

確保安全解決方案與策略實(shí)施之間的一致性，尤其是跨越多個(gè)環(huán)境時(shí)至關(guān)重要。安全工具需要特別選擇，不僅因?yàn)樗麄兡軌蛟谔囟ǖ脑破脚_(tái)中本地運(yùn)行，而且還因?yàn)樗麄兡軌蛟谡麄€(gè)安全策略生命周期內(nèi)與其他環(huán)境中部署的姐妹解決方案無縫進(jìn)行互操作。包括：一致的安全更改策略、動(dòng)態(tài)配置和擴(kuò)展、單點(diǎn)管理（包括與中央ITSM解決方案的集成以及中央日志的收集和關(guān)聯(lián)。

步驟7：不要讓云的易用性使你陷入快捷安全

采用云服務(wù)就像點(diǎn)擊鏈接一樣簡(jiǎn)單。添加新的基于云的基礎(chǔ)架構(gòu)雖然復(fù)雜得多，但卻比構(gòu)建物理對(duì)應(yīng)簡(jiǎn)單得多。但這可能過于簡(jiǎn)單化，太多的組織在沒有仔細(xì)考慮與安全性相關(guān)挑戰(zhàn)的情況下，就匆忙地采用新的云解決方案，為此付出了代價(jià)。從向網(wǎng)絡(luò)開放新的攻擊載體，到對(duì)新的基于云的威脅毫無準(zhǔn)備，再到因未能對(duì)新的遵從性考慮做好充分準(zhǔn)備而受到的罰款和處罰，不一而足。

在開始構(gòu)建新的云基礎(chǔ)架構(gòu)、平臺(tái)或服務(wù)之前，仔細(xì)準(zhǔn)備可以節(jié)省時(shí)間、金錢和聲譽(yù)，使您能夠在當(dāng)今的新數(shù)字市場(chǎng)中有效競(jìng)爭(zhēng)。