與網(wǎng)絡(luò)安全公司的首席技術(shù)官相比，還有誰能更好地獲得有關(guān)如何保護企業(yè)云的建議?

將業(yè)務(wù)遷移到云端的企業(yè)將會獲得一些顯著的好處，即冗余、成本節(jié)約、易于集成，但在云端托管應(yīng)用程序帶來的挑戰(zhàn)和安全風(fēng)險也很多。對于企業(yè)的首席技術(shù)官和首席信息安全官來說，缺乏可視性、內(nèi)部或外部威脅因素可能會泄露數(shù)據(jù)，以及合規(guī)性令人擔(dān)憂。但面臨的問題并不只有這些。他們還發(fā)現(xiàn)，與真正將安全性和合規(guī)性集成到云端相比，加強其安全性通常是亡羊補牢的做法，而很多企業(yè)則對傳統(tǒng)的內(nèi)部部署安全控制進行了抨擊，需要更加主動和全面的方法，以便在對云安全有效的至關(guān)重要的所有領(lǐng)域?qū)崿F(xiàn)適當(dāng)級別的控制實施、覆蓋范圍和成熟度。

本文將對企業(yè)如何更有效地保護云中信息進行分析。以下好實踐和見解源于保護財富100強企業(yè)免受數(shù)據(jù)泄露的經(jīng)驗，并且應(yīng)該成為企業(yè)尋求增強其在云中的信息安全態(tài)勢的首要考慮因素。

部署和驗證數(shù)據(jù)丟失預(yù)防功能

對于遷移到云端的公司來說，最重要的考慮因素之一是數(shù)據(jù)丟失預(yù)防(DLP)功能的部署和驗證。對于任何軟件即服務(wù)(saas)解決方案(包括Office 365、Amazon Web Services、Salesforce或Workday)，實現(xiàn)有效數(shù)據(jù)丟失預(yù)防(DLP)的第一步是建立數(shù)據(jù)標(biāo)簽實踐。由于數(shù)據(jù)丟失預(yù)防(DLP)解決方案依賴于正則表達式或基于模式的搜索來識別和保護數(shù)據(jù)丟失，因此無效的數(shù)據(jù)標(biāo)記做法幾乎不可能防范泄漏風(fēng)險。人們建議企業(yè)以大的敏感性處理未標(biāo)記的文檔，并通過創(chuàng)建嚴(yán)格的數(shù)據(jù)丟失預(yù)防(DLP)策略阻止它們離開企業(yè)。這可以通過自動隔離違反這些策略的文件來實現(xiàn)。

維護敏感數(shù)據(jù)安全的組織需要評估由云計算訪問安全代理(CASB)解決方案提供的基于主機的敏感數(shù)據(jù)發(fā)現(xiàn)解決方案和/或基于網(wǎng)絡(luò)的數(shù)據(jù)丟失預(yù)防(DLP)。云計算訪問安全代理(CASB)提供了檢查云計算環(huán)境中所有客戶端到服務(wù)器流量的能力，以揭示隱藏在傳輸層安全性(TLS)加密通信中的威脅或惡意文件。云計算訪問安全代理(CASB)還使系統(tǒng)管理員能夠檢測從云計算到惡意命令和控制(C2)服務(wù)器的未授權(quán)網(wǎng)絡(luò)呼叫。云計算訪問安全代理(CASB)工具提供的審計功能可以輕松地與內(nèi)部企業(yè)分層防御集成。此集成提供整個企業(yè)威脅防護功能的單一控制平臺視圖。

大型跨國公司需要有效保護敏感數(shù)據(jù)免于泄漏，但可能缺乏對其各種云計算解決方案足跡的完整理解。這使得完全保護企業(yè)所需的數(shù)據(jù)丟失預(yù)防(DLP)覆蓋幾乎不可能實現(xiàn)。通過有效的身份和訪問管理實踐(如單點登錄和粒度授權(quán))，企業(yè)可以通過有效的身份和訪問管理實踐(如單點登錄和粒度授權(quán))實現(xiàn)對其云足跡的更大可見性。這些控制有助于企業(yè)確保通過其各種云計算解決方案的敏感流量由云計算訪問安全代理(CASB)檢查。

最近的安全漏洞已經(jīng)強調(diào)了與未能對訪問包含敏感信息的文件實施細(xì)粒度授權(quán)相關(guān)的風(fēng)險。企業(yè)有效地限制對授權(quán)組成員的訪問至關(guān)重要。當(dāng)實施安全策略時，系統(tǒng)管理員還需要考慮對組織內(nèi)每個組執(zhí)行CRUD(“創(chuàng)建、讀取、更新和刪除”)和下載功能。除此之外，還必須對臨時員工實施有條件的訪問，以確保訪問僅限于組織批準(zhǔn)的設(shè)備。

成熟的身份和訪問管理控制

身份和訪問管理(IAM)功能是在云中實現(xiàn)成熟的信息安全狀態(tài)所不可或缺的。作為一個起點，企業(yè)應(yīng)考慮單點登錄(SSO)、訪問請求和企業(yè)和員工自有設(shè)備的認(rèn)證，以及特權(quán)訪問管理。

有效身份和訪問管理(IAM)計劃的一個基本原則是通過集中化可以最有效地實現(xiàn)和維護安全性。單點登錄(SSO)是一種在不同平臺之間統(tǒng)一用戶身份驗證的機制，就是這一概念的一個示例，它提供了一個單一控制平臺視圖，可以了解誰在對企業(yè)服務(wù)器進行身份驗證，同時促進更有效的員工入職和離職。此外，單點登錄(SSO)通過實施多因素身份驗證(MFA)為更嚴(yán)格的身份驗證提供了基礎(chǔ)。

同樣，企業(yè)也應(yīng)考慮從身份和訪問管理(IAM)角度集中管理應(yīng)用程序的舉措(例如訪問請求和認(rèn)證以及定期用戶訪問評審)。根據(jù)經(jīng)驗，此類計劃可以提高整體身份和訪問管理(IAM)成熟度，并確保為應(yīng)用程序和用戶正確實施安全策略。

人們還將特權(quán)訪問管理(PAM)視為身份和訪問管理(IAM)狀態(tài)的核心。特權(quán)訪問管理(PAM)可幫助組織限制和監(jiān)控云中特權(quán)賬戶(包括服務(wù)賬戶)的使用，以降低特權(quán)憑據(jù)被攻擊者濫用的風(fēng)險。人們已經(jīng)看到了財富100強公司的特權(quán)憑證遭到入侵和濫用以在整個網(wǎng)絡(luò)中種植遠程shell的事件?？梢酝ㄟ^實施更細(xì)粒度的身份和訪問管理(IAM)策略來防止這些攻擊。

通過強大的端到端加密保護靜態(tài)數(shù)據(jù)和傳輸

在設(shè)計云安全策略時，企業(yè)需要確定如何使用強大的端到端加密來保護靜態(tài)數(shù)據(jù)和傳輸中的數(shù)據(jù)。

保護云中靜態(tài)數(shù)據(jù)的最關(guān)鍵方面是保護云計算服務(wù)提供商提供的密鑰。許多企業(yè)未能安全地處理這些密鑰。即使在規(guī)模大的公司，仍然在將密鑰的網(wǎng)址輸入互聯(lián)網(wǎng)瀏覽器時而無意中暴露公鑰。這種常見的錯誤可能不僅會導(dǎo)致云平臺的憑據(jù)和配置泄漏，還會導(dǎo)致云實例被攻擊者完全接管。

對于傳輸中的數(shù)據(jù)，大多數(shù)公司已經(jīng)意識到通過TLS等加密通道發(fā)送數(shù)據(jù)的好處。但是需要注意的是，在處理敏感信息(例如醫(yī)療保健或財務(wù)數(shù)據(jù))時，添加另一層加密措施以防止攻擊至關(guān)重要。例如，企業(yè)可能會考慮加密有效負(fù)載并固定TLS證書。

執(zhí)行應(yīng)用程序安全性評估

隨著DevOps等敏捷開發(fā)方法的快速普及，將安全性有效集成到企業(yè)的軟件開發(fā)生命周期對于安全地利用云計算至關(guān)重要。企業(yè)對于云安全方面大的誤解之一是相信云計算服務(wù)提供商將為其托管的應(yīng)用程序和數(shù)據(jù)庫集成提供安全措施。實際上，大多數(shù)云計算服務(wù)提供商(包括AWS、Microsoft和Google)都采取的是共擔(dān)責(zé)任模式，企業(yè)需要承擔(dān)以下安全責(zé)任：

• 消費者數(shù)據(jù);
• 應(yīng)用安全;
• 身份和訪問管理;
• 網(wǎng)絡(luò)和防火墻配置;
• 客戶端配置;
• 服務(wù)器端加密;
• 數(shù)據(jù)完整性身份驗證。

而云計算服務(wù)提供商需要負(fù)責(zé)冗余、存儲、數(shù)據(jù)庫、網(wǎng)絡(luò)的安全。因此，將安全性和合規(guī)性集成到企業(yè)現(xiàn)有的持續(xù)集成和持續(xù)部署管道中變得至關(guān)重要。

為了提高云計算應(yīng)用程序的安全性，企業(yè)應(yīng)首先在安全開發(fā)生命周期(SDLC)中盡早識別安全漏洞。實際上，這意味著企業(yè)應(yīng)該在開發(fā)的最初階段融合安全架構(gòu)審查和安全代碼審查，以推動代碼的安全實施。許多安全解決方案供應(yīng)商已經(jīng)采用這種方法，為開發(fā)人員提供安全工具，其中包括培訓(xùn)、在集成開發(fā)環(huán)境(IDE)和持續(xù)集成管道中集成安全實踐。人們目前看到的問題包括安全解決方案供應(yīng)商的編程語言依賴性，盡管大型企業(yè)的開發(fā)生態(tài)系統(tǒng)中存在過多的編程語言。這些工具無法在不同的編程語言中提供相應(yīng)的質(zhì)量。例如，大型企業(yè)可以利用Node.js和Java安全工具有效識別Node.js漏洞，同時忽略Java中的安全風(fēng)險。面臨這些挑戰(zhàn)的企業(yè)需要優(yōu)先考慮其工具的定制，以實現(xiàn)跨編程語言的統(tǒng)一有效性。此外，企業(yè)可以利用基準(zhǔn)測試工具來了解各種安全解決方案供應(yīng)商的功效。

評估生產(chǎn)安全工具的功效對于保護云計算應(yīng)用程序也至關(guān)重要。建議首先啟動一個針對壓力測試關(guān)鍵安全控制的紫色團隊練習(xí)。這種方法允許企業(yè)識別是否存在可能危及其云實例的攻擊路徑。為了更好地認(rèn)識到企業(yè)可以從安全團隊中獲益，企業(yè)需要了解生產(chǎn)安全評估選項的前景。紅色團隊練習(xí)提供了對手對企業(yè)安全態(tài)勢的看法，藍色團隊練習(xí)提供了維護者的觀點，紫色團隊結(jié)合了對手和防守者的觀點，提供了對信息安全風(fēng)險的全面評估。人們看到企業(yè)尋求建立或增強紫色團隊能力的趨勢，有時在外部專家的幫助下實現(xiàn)。根據(jù)經(jīng)驗，企業(yè)可以通過將人工技術(shù)與自動化方法相結(jié)合，最有效地進行生產(chǎn)中的紫色團隊練習(xí)。這使企業(yè)可以減少因任何已識別的安全問題而導(dǎo)致的停機時間。重要的是，企業(yè)不要在質(zhì)量保證環(huán)境中進行紫色團隊練習(xí)，因為這可能會降低其結(jié)果的有效性。

紫色團隊評估可以幫助識別生產(chǎn)中的安全漏洞和業(yè)務(wù)差距，提供對分層防御(例如Web應(yīng)用程序防火墻(WAF)、安全網(wǎng)關(guān)、安全信息和事件管理(SIEM)、單點登錄和運行)的功效的可見性時間應(yīng)用程序自我保護(RASP)。

保持強大的記錄和監(jiān)控能力

強大的日志記錄和監(jiān)控功能對于組織快速檢測和響應(yīng)影響其云部署的惡意活動至關(guān)重要。傳統(tǒng)上，提供日志收集和分析的安全信息和事件管理(SIEM)系統(tǒng)在安裝和維護方面具有挑戰(zhàn)性，日志保留也非常密集。由于模塊化功能，更新的安全信息和事件管理(SIEM)系統(tǒng)更易于部署。隨著企業(yè)越來越多地將日志存儲在云中，也減少了內(nèi)部部署的存儲。

企業(yè)領(lǐng)導(dǎo)者應(yīng)該努力使用安全信息和事件管理(SIEM)來實現(xiàn)針對云計算應(yīng)用程序和基礎(chǔ)設(shè)施利用的攻擊模式的單一控制平臺視圖。這是通過來自各種發(fā)現(xiàn)源(WAF或RASP)的日志聚合來實現(xiàn)的。企業(yè)應(yīng)該驗證信息和事件管理(SIEM)功能的有效性，以創(chuàng)建連續(xù)的反饋循環(huán)，從而使攻擊之間的共性成為分層防御和/或應(yīng)用程序代碼的規(guī)則集的變化。人們看到許多公司未能建立這種反饋循環(huán)，影響了他們保護云中信息的能力。

屢見不鮮的數(shù)據(jù)泄露事件強調(diào)了這樣一個事實，全球規(guī)模大的企業(yè)也一直在與云安全作斗爭。企業(yè)的領(lǐng)導(dǎo)團隊必須通過在其持續(xù)集成/持續(xù)部署(CI/CD)管道和生產(chǎn)環(huán)境中集成有效的安全控制和流程來應(yīng)對云安全風(fēng)險。此外，安全團隊需要在非生產(chǎn)環(huán)境和生產(chǎn)環(huán)境之間創(chuàng)建一個連續(xù)的反饋循環(huán)，以增強企業(yè)的整體安全態(tài)勢。

網(wǎng)站題目：云安全：每個技術(shù)領(lǐng)導(dǎo)者都需要了解的內(nèi)容
網(wǎng)站網(wǎng)址：http://jinyejixie.com/news/100790.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供虛擬主機、ChatGPT、關(guān)鍵詞優(yōu)化、電子商務(wù)、軟件開發(fā)、自適應(yīng)網(wǎng)站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)