https://www.anquanke.com/post/id/194220
近年來，隨着雲計算市場的發展，不少企業都開始選擇業務上雲，並且企業並不只是采用一種雲，而是采用多種雲相互結合的方式，例如，公有雲、私有雲、混合雲等等。企業采用多雲方式已發展為主流趨勢。
然而，業務上雲之后也並非一勞永逸。由於雲安全策略的制定總是滯后於雲服務的使用，存儲在雲中的客戶數據的泄露風險也相應增加。國內外的類似安全事件也層出不窮，例如今年，AWS托管的Capital One美國和加拿大1.06億客戶的個人數據發生泄露。下圖比較形象地展示出，雲計算還面臨多賬號權限管理、可視化問題以及一系列合規問題。
圖1：雲服務使用的理想狀態和現實狀況的差別
由於“雲安全”的概念所涉范圍非常廣，本文只針對Gartner提出的比較流行的三類雲安全產品進行闡述。Gartner曾提出三大雲安全管理工具，分別是CASB、CSPM和CWPP。雖然這三大工具在一些功能上有所重疊，但三者之間更多是起到互補作用。下文首先簡單介紹了三大安全工具在應用場景上的差別，然后介紹了三大雲安全工具的詳細應用情況。對於這三類產品不熟悉的讀者可以閱讀后文的詳細內容。
責任共擔與三大雲安全工具的應用場景
為了切實解決雲安全問題，供應商和企業都需要共同承擔責任，雙方各自負責處於其控制之下的技術。雙方各自需要承擔哪些職責，是由具體場景決定的：本地部署、IaaS、PaaS或SaaS（請參見圖2）：
在傳統的企業級IT場景下，所有基礎架構均在本地運行，企業負責所有安全措施；
在IaaS場景下，雲提供商負責保護后端數據中心、網絡、服務器和虛擬化；企業負責保護有效負載，例如操作系統、數據庫、安全性和應用程序。這種情況下，企業要負責保護自己在公有雲中運行的工作負載；
而在PaaS這種無服務器場景下，企業則主要負責保護應用程序；
對於SaaS場景，應用程序和數據的安全性全部由服務提供商負責，而訪問安全性則取決於企業及其用戶。
圖2：提供商和企業之間的職責划分
根據上文對企業和供應商責任的划分，我們可以針對不同場景選擇不同的安全工具。圖3很好地說明了三大安全工具適合哪類場景。首先從覆蓋面積看，CWPP只覆蓋了IaaS場景，這說明CWPP只適合IaaS服務。而CASB則覆蓋了SaaS、PaaS、IaaS三個區域，但是主要覆蓋面積體現在SaaS上，其應用場景也不言而喻。最后，根據CSPM的覆蓋情況，也可以了解其主要是解決IaaS安全問題，同時能解決部分PaaS安全問題。
圖3：三大雲安全工具的覆蓋范圍關系圖
CASB作為部署在客戶和雲服務商之間的安全策略控制點，是在訪問基於雲的資源時企業實施的安全策略。而CSPM產品通常使用自動化方式來解決雲配置和合規性問題。CWPP作為一項以主機為中心的解決方案，主要是滿足這些數據中心的工作負載保護需求，因此，主要適用於IaaS層。
下文將對適用於不同層面的三大安全工具分別進行詳細講解。
雲訪問安全代理（CASB）
CASB出現最早是為解決影子資產問題，尤其是隨着SaaS服務的快速發展，從底層硬件資源到上層軟件資源，最終用戶都無法實施控制。而CASB能很好解決此類問題，並且很多用戶在使用CASB產品之后，發現自身企業的雲服務數量是他們所認知十倍之多。良好的使用效果，使CASB產品得到了快速發展。Gartner也曾預測，到2022年，將有60％的大型企業使用CASB。
CASB的功能主要是作為SaaS應用程序提供，偶爾也會用於本地的虛擬機和物理設備。在大多數用例中，SaaS交付明顯更受歡迎。CASB核心價值是解決深度可視化、數據安全、威脅防護、合規性這四類問題。
圖4：CASB的四大支柱
(1) 深度可視化—CASB提供了影子IT發現、組織機構雲服務格局的統一視圖以及從任何設備或位置訪問雲服務中數據的用戶的詳細信息。
(2) 數據安全性—CASB能夠實施以數據為中心的安全策略，以防止基於數據分類、數據發現以及因監控敏感數據訪問或提升權限等用戶活動而進行有害活動。通常是通過審計、警報、阻止、隔離、刪除和只讀等控制措施來實施策略。DLP（數據丟失防護）功能很普遍，並且是僅次於可視化的最常用的一項控制措施。
(3) 威脅防護—CASB通過提供AAC來防止有害設備、用戶和應用程序版本來訪問雲服務。可以根據登錄期間和登錄之后觀察到的信號來更改雲應用程序功能。CASB此類功能的其他示例包括通過嵌入式UEBA識別異常行為、威脅情報、網絡沙箱以及惡意軟件識別和緩解。
(4) 合規性—CASB可幫助組織機構證明，是組織機構在管理雲服務的使用情況。CASB提供了信息來確定雲風險偏好並確定雲風險承受能力。通過各種可視化、控制和報告功能，CASB有助於滿足數據駐留和法律合規性要求。
CASB可以通過API、轉發代理、反向代理等方式來實現，如下圖所示。
圖5：CASB功能和架構集成模式概覽
雲安全配置管理（CSPM）
公有雲IaaS和PaaS服務中的高度自動化和用戶自助服務，更加突出了正確的雲配置和合規性的重要性。一個錯誤就可能立即暴露出數千個系統或大量敏感數據。雲服務的采用率不斷增長，加之平台服務的數量不斷增加，而雲技能（包括安全性）卻相對匱乏，這讓企業信息和工作負載暴露無遺。雪上加霜的是，對程序化雲基礎架構缺乏全面了解，這意味着很長一段時間都不會發現配置不正確和不合規問題。這就導致了，即便底層的雲提供商基礎架構本身是安全的，但大多數企業都沒有准確的流程、成熟工具或規模來確保安全使用雲服務。
CSPM能夠對基礎設施安全配置進行分析與管理。這些安全配置包括賬號特權、網絡和存儲配置、以及安全配置（如加密設置）。如果發現配置不合規，CSPM會采取行動進行修正。如圖6所示，應該將CSPM視為一個持續改進和適應雲安全態勢的過程，其目標是降低攻擊成功的可能性，以及在攻擊者獲得訪問權限的情況下降低發生的損害。
由於雲基礎架構始終處於變化之中，因此，CSPM策略應該是在雲應用的整個生命周期中進行持續評估和改進的一個策略，從研發開始一直延伸到運維（圖6中從左到右），並在需要時做出響應和改進。同樣，由於不斷提出新的雲功能，不斷頒發新法規，雲使用安全的策略也在不斷變化。圖6的頂部顯示，CSPM策略應不斷發展並適應新的情況、不斷發展的行業標准和外部威脅情報，並根據在開發和運維中觀察到的風險進行改進。
圖6：CSPM的持續全生命周期方式
雲工作負載保護平台（CWPP）
雲工作負載保護平台（CWPP）市場是指以工作負載為中心的安全產品，旨在解決現代混合雲、多雲數據中心基礎架構中服務器工作負載的獨特保護要求。CWPP應該不受地理位置的影響，為物理機、虛擬機、容器和無服務器工作負載提供統一的可視化和控制力。CWPP產品通常結合使用網絡分段、系統完整性保護、應用程序控制、行為監控、基於主機的入侵防御和可選的反惡意軟件保護等措施，保護工作負載免受攻擊。（關於CWPP產品市場近幾年來的發展演進，請參考之前的《干貨|CWPP產品市場演進》。）
圖7顯示了現代混合多雲數據中心架構中工作負載保護策略的主要構成要素。
圖7：CWPP控制措施層級結構圖
圖7是一個分層金字塔，底部是一個矩形基座。服務器工作負載的安全性源於陰影基礎中良好的運維習慣。任何工作負載保護策略都必須從此處開始，並確保滿足以下條件：
任何人（攻擊者或管理員）都很難從物理和邏輯上訪問工作負載。
工作負載鏡像僅包含所需的代碼。服務器鏡像中應禁止使用瀏覽器和電子郵件。
需要通過嚴格管理流程，才能更改服務器工作負載，並且通過強制性強身份驗證來嚴格控制管理訪問。
收集和監控OS和應用程序日志。
對工作負載進行固化、縮小容量及打補丁，減少攻擊面。
總結
目前，Gartner提出的三大雲安全工具CASB、CSPM、CWPP，針對基礎架構中IaaS、PaaS和SaaS層中的不同安全問題，給出了針對性的解決方案。雖然這三大工具不一定能全面覆蓋所有安全問題，卻也為企業在采用雲服務時，加強安全控制措施指明了方向，提供了思路，可以更好地針對具體問題制定具體的解決方案。
當然未來，隨着雲服務的不斷發展，安全控制措施肯定也會緊跟雲服務的發展步伐，為雲服務的發展保駕護航。