详解混合云安全性与合规性，降低风险的指导原则

混合云安全已经经过一段时间的发展。云计算带来了各种维度，这些维度需要一种方法来扩展当前的政策、实践和技能。必须采取以企业为中心的视图，以实现集中可见性、保护控制和控制风险。

图中列表与下文中的描述一致。

1、安全策略

拥有私有云和公共云环境（混合云和多云）的企业应明确定义云安全策略以监控和执行保护控制。该政策应涵盖监管合规要求（例如 PCI、HIPAA、ISO、FFIEC、GDPR、政府或国家级要求等）、企业控制、数据驻留、隐私评估的需求。

他们应根据云服务提供商定义的共享责任模型和必须纳入的客户团队责任来确定覆盖范围。监管政策不断变化，企业风险和合规团队必须监控、评估和整合这些变化。

2、网络弹性计划

企业还应将其网络弹性计划扩展到云。他们必须考虑针对云环境的额外响应方案。风险管理人员应在计划中包括频繁的进攻性测试、桌面练习、员工教育，并将所有云环境纳入其中。

3、安全互连

拥有多个私有数据中心设施的企业将通过支持电信的网络连接在它们之间实现安全连接。强烈建议从数据中心扩展支持电信的连接，利用云原生连接，例如（直接连接、快速路由）以及 Equinix 等互连位置。

连接方法将支持私有云和公共云之间的安全传输。在互连处启用深度数据包检查可以提供额外的保证，以监控和管理受信任和不受信任区域之间的连接和流量管理。

通过这种方法，通过企业标识和访问管理工具扩展用户访问权限将得到简化。对漫游用户连接到云和私有云环境的额外监控将加强企业监控。

4、保护控制平面

云服务提供商控制平面或门户是风险面之一。主账户和其他高级特权账户可以访问在云本地启用的计算、存储元素、数据、格式模板、安全性和合规性配置。

对控制平面拥有更高权限的用户可以在移动部门或离开公司时拥有相同的访问权限。如果用户是恶意的或意外删除、修改了基于云的资产，对用户的这种访问可能会使企业面临风险。

企业应该了解所有签约的云服务提供商和相关的控制平面。风险管理人员应保管云服务提供商提供的主帐户。安全管理人员应仅通过公司 ID 严格管理启用具有较高权限的个人。

用户的入职和离职必须按照安全策略的定义进行管理。积极就业和持续业务需要访问，或者提升特权必须经常审查。强烈建议使用多因素身份验证并扩展到企业身份以降低风险。

也建议使用 Privileged-id 管理和监控其使用情况，以跟踪用户行为并防止对云资源的无意删除或修改。

5、保护数据平面

除了支持第三方供应商提供商安全工具之外，云服务提供商还支持原生云安全功能。每个云服务提供商都在这些功能上都有细微差别；它们被深入到工作负载部署方法的自动化过程中。

迄今为止发生的大多数数据泄露事件都是云配置错误造成的。VPC、安全组、IAM 控制、密钥管理服务等功能的配置由客户端负责。

它们必须根据工作负载部署进行适当设计，并持续监控与设计标准的任何偏差，并应立即采取纠正措施。

云原生安全功能是服务提供商支持的类似产品的特性。这些是云环境结构的一部分。需要专业的云服务提供商知识来启用、创建、执行策略并持续监控它们。所以建议对应用程序开发和安全团队的技能开发进行投资。

6、卫生监控和补救

缺乏基本卫生是利用混合多云环境的企业的最高风险因素。卫生的定义范围从识别为 COTS 软件（操作系统、应用程序、中间件）的一部分的漏洞、自定义应用程序、访问管理控制、根据公司安全策略进行的系统强化。

作为公司政策的一部分，应根据基于风险的漏洞排名持续监控卫生状况和适当的漏洞管理、对零日漏洞实施二级控制、识别操作系统上的偏差、应用程序级强化并通过自动化立即修复它们。

7、集成的安全和合规管理

云控制平面、工作负载、应用程序的安全和合规是相互交织的。必须以自动化和集成的方式监控和评估本机到云配置和工作负载配置的所有资产、合规性状况。监控、漂移分析并利用补救措施来保护环境，同时利用补救措施来证明环境的合规性状态。

8、“关键资产”的发现和保护

客户必须了解关键资产，并对其进行分类。随着企业利用混合多云环境来支持他们的工作负载，也可以通过云访问核心数据和关键客户数据。

客户需要发现这些资产的使用情况，启用额外的全天候监控和管理措施，例如安全访问、传输、监控和管理云配置、防止数据丢失以保护和防止任何对核心数据的入侵和数据泄露。

9、企业安全可见性和响应

对于具有混合环境工作负载（VM、基于容器的工作负载、无服务器功能）的企业客户，用户活动和数据移动发生在私有到云、多云环境之间。通常，云服务提供商支持对云中的工作负载、用户活动和本机服务进行日志记录和遥测。

必须使用 SIEM 或安全分析工具将基于云的遥测集成到私有和多云遥测中。通过安全分析工具应用的关联规则将识别异常活动、配置偏差、对用户或基于云的配置的过多权限以及数据泄露等。

监控工具成为单一窗口，为混合多云环境提供企业可见性。通过响应自动化平台或云原生功能实现自动化执行策略将有助于立即进行保护并将风险降至最低。

10、影子 IT 和影子数据的可见性和保护

访问云控制平面可帮助用户灵活地以云速度部署工作负载。标准工作负载保护、卫生控制、强化、网络安全、云原生配置可能不会作为工作负载部署的一部分启用。

未经适当分类、驻留监控、隐私评估而存储在不同云服务中的数据会导致更高的安全风险，并可能使客户面临适用于 GDPR 的罚款。

在没有适当监控的情况下实施 IT 并将数据从私有环境移动到公共环境会产生影子 IT 和影子数据。影子IT通常成为入侵者利用系统进行攻击的最脆弱攻击面，并将其用作通过合法连接进一步扩展到客户端混合环境的途径，或使用这些系统发起外部攻击。

客户应该有一个企业安全策略来启动具有基本保护和卫生控制的工作负载。安全监控和管理工具应通过全天候监控和自动响应系统检测并防止影子 IT 和数据。

安全管理者应强制执行编排器、代理、具有内置安全和合规技术的形成模板、策略监控和管理服务，以使用户遵循公司标准并将其链接到全天候的监控和管理。

11、监控自动化

使用形成模板进行自动化部署，使用云服务提供商功能、元服务、API、微服务、访问分配和密钥监控和管理云原生的工作负载是云结构的一部分。

建议企业为这些服务启用审计日志记录。安全运营管理者应将来自这些来源的遥测数据汇总到支持云服务提供商的安全分析平台或客户端 SIEM，以检测和管理异常活动。

利用自动化来监控和管理自动化。利用 SRE、Chaos Monkey、渗透测试等技术不断检查自动化和实用程序。

12、左移

创新、应用程序现代化、快速应用程序开发和部署的发生主要归功于业务部门决策和负责BU的 DevOps 团队。

DevOps 团队主要专注于通过云可用功能、开源实用程序、采用持续集成/持续交付工具来改进应用程序增强。综合安全性和合规性尚未考虑或纳入该方法。

DevOps 团队还可能假设云提供的基础架构足以保证安全，并且主要集中在应用层控制上。在工作负载分析期间，建议企业了解新构建或将工作负载迁移到云的应用程序安全性、公司合规性、法规合规性和隐私要求。客户必须评估共享责任，即作为云的一部分内置，由客户添加以满足需求。

部署在公共云中的工作负载必须利用云配置、原生云安全功能或第三方供应商产品来保护，即使在开发/测试/预生产模式下也是如此。

13、人与文化

只有当人的文化、流程和工具得到增强并适应采用云环境带来的细微差别时，以上所有才可能实现。开发人员应采用安全设计或威胁建模概念来识别生命周期早期的漏洞，以便他们可以在部署易受攻击的应用程序之前对其进行补救。坚持严格的卫生和谨慎使用云配置将有助于团队避免意外的数据泄露。

14、专注于技能提升

云和云安全为行业现有的技能差距带来了另一个维度。在整合云配置、利用本地到云提供的安全功能时，需要具备深厚的云服务提供商环境专业知识。

进入云计算领域的企业应该投资于提高现有员工的技能，或者通过计划来获取技能熟练的员工，以规划的方式将他们整合到当前的团队中。

必须向团队提供适当的培训，让他们在利用特定云服务提供商标准的同时，利用企业定义的标准。

通过应用这些指导原则，大多数风险都会得到缓解。随着混合云的进一步发展，可以在这些基本原则的基础上构建其他原则。