關(guān)于監(jiān)控云安全的一些方法和措施

（文章來源：企業(yè)網(wǎng)）

如今，很多企業(yè)致力于提高云計算安全指標(biāo)的可見性，這是由于云計算的安全性與本地部署的安全性根本不同，并且隨著企業(yè)將應(yīng)用程序、服務(wù)和數(shù)據(jù)移動到新環(huán)境，需要不同的實踐。

安全廠商Threat Stack公司產(chǎn)品管理副總裁Chris Ford表示，人們不能再將安全視為一種可以“圍繞一切的圍欄”。他說，“在基礎(chǔ)設(shè)施這個高度變化的新世界中，人們需要了解基礎(chǔ)設(shè)施的所有不同區(qū)域，在這些區(qū)域中檢測風(fēng)險，并開始采取安全措施。這一切都取決于人們觀察行為的能力?！?/p>

CloudKnox公司首席執(zhí)行官Balaji Parimi表示，當(dāng)涉及到當(dāng)今的云安全實踐時，很多企業(yè)處于“被動模式”。他們主要是通過使用能夠提供異?；顒涌梢娦缘墓ぞ邅肀Ｗo云環(huán)境，然后對異常活動做出響應(yīng)。Parimi說，“雖然這些‘反應(yīng)式’工具有一些優(yōu)點，但企業(yè)必須優(yōu)先考慮先發(fā)制人的措施，以防止災(zāi)難性的情況發(fā)生。”他建議，企業(yè)評估有助于防止或至少最小化與配置不當(dāng)?shù)纳矸菹嚓P(guān)的風(fēng)險的工具。

監(jiān)視過度配置或錯誤配置的身份是企業(yè)改進云安全監(jiān)控的方法之一。在這里，專家們分享了他們在云計算中如何實施云安全監(jiān)控的最佳實踐。企業(yè)應(yīng)與供應(yīng)商進行溝通，以澄清安全責(zé)任的誤解。Ford說， “很多企業(yè)希望與云計算提供商溝通，并準(zhǔn)確理解共享責(zé)任模式所涵蓋的內(nèi)容。”他指出，很多企業(yè)可能對基礎(chǔ)設(shè)施的某些領(lǐng)域視而不見。

除了詢問涵蓋哪些安全領(lǐng)域之外，他還建議詢問哪些工具可以提供有助于識別更復(fù)雜的攻擊行為的洞察力。Parimi提供了一個用戶詢問云計算服務(wù)提供商的問題列表：“你們負責(zé)哪些安全性，以及我們負責(zé)的是什么？你們的產(chǎn)品和服務(wù)符合哪些安全和隱私標(biāo)準(zhǔn)？你們是否保留了已簽名的審計跟蹤，其中包含哪些身份通過其UI和API執(zhí)行哪些操作以及何時執(zhí)行？你們對日志提供什么訪問權(quán)限？”

“亞馬遜公司如今是最強大的云計算供應(yīng)商?！盡ogull說。 CloudTrail涵蓋幾乎所有API調(diào)用，Config隨時間處理配置狀態(tài)監(jiān)控，CloudWatch涵蓋基本核心日志記錄，GuardDuty查看用戶永遠無法訪問的有關(guān)Amazon資產(chǎn)的數(shù)據(jù)。Microsoft Azure提供了各種日志服務(wù)，但它的大部分日志記錄都是由Azure安全中心提供的，Mogull稱其比CloudTrail更難從中獲取數(shù)據(jù)。

Mogull在網(wǎng)絡(luò)研討會上表示，云計算帶來的變化率與傳統(tǒng)數(shù)據(jù)中心的變化率大不相同，其發(fā)展速度對監(jiān)控安全威脅提出了挑戰(zhàn)。例如，許多傳統(tǒng)工具沒有跟上發(fā)展步伐，因為它們不支持API，或者它們無法隨時管理數(shù)據(jù)。他指出，云計算技術(shù)的波動性意味著靜態(tài)庫存工具的用處不大。

一些企業(yè)認為他們可以采用現(xiàn)有的安全堆棧并將其移至云端，但他不建議這樣做。例如，這樣做會提示如何處理無服務(wù)器架構(gòu)或處理未管理容器服務(wù)器平臺上的容器的問題。Threat Stack公司的Ford表示，超過一半的用戶似乎愿意用安全換取速度和靈活性。企業(yè)將面臨最大限度降低風(fēng)險而不妨礙快速行動的挑戰(zhàn)。他說，“我認為這是我們必須直接面對的挑戰(zhàn)之一?！?/p>

在安全監(jiān)控方面，大多數(shù)企業(yè)完全依賴于他們從云計算提供商那里獲得的信息，F(xiàn)ord稱這種方法可能會在可見性方面留下空白，特別是在工作負載方面。他解釋說：“用戶應(yīng)該有能力觀察云計算基礎(chǔ)設(shè)施每一層的行為。”這其中包括主機可見性、容器可見性、對控制平臺的可見性以及對應(yīng)用程序?qū)拥目梢娦?，以查看跨站點腳本、SQL注入和其他威脅。

Mogull建議將云監(jiān)控視為是一種望遠鏡，而不是顯微鏡。他說，“用戶不要認為可以捕獲環(huán)境中每個部分的數(shù)據(jù)。龐大的數(shù)據(jù)量可能變得無法管理?！盩hreat Stack公司Ford說，“重要的是要了解得不到什么。”他警告說，不要讓可見度帶來一種虛假的安全感。這可能讓組織很難知道對于給定的數(shù)據(jù)集采取哪些操作，而且在處理云安全數(shù)據(jù)時，場景是必不可少的。對于從多個供應(yīng)商或提供容器的供應(yīng)商處獲得服務(wù)的組織來說將會增加復(fù)雜性。

Ford表示，僅僅依靠來自安全工具的警報是不夠的。他說，“用戶需要提供警報的深層次場景，這樣才能理解產(chǎn)生警報時發(fā)生的事情?！盕ord解釋說，例如，某個組織收到亞馬遜網(wǎng)絡(luò)服務(wù)公司的GuardDuty關(guān)于有問題連接的警報。除非可以確定哪個用戶啟動了創(chuàng)建連接的進程，否則很難有足夠的場景來使這些警報進行操作。他建議通過安全編排平臺或SIEM與其他工具的組合，盡可能多地訪問遙測數(shù)據(jù)，以收集所需的數(shù)據(jù)量。

如果組織正在研究網(wǎng)絡(luò)流，那么用戶和應(yīng)用程序行為的知識可以幫助其確定什么是正常與異常行為。另一個例子是，F(xiàn)ord指出可以查看權(quán)限提升的配置。如果組織注意到權(quán)限升級與未經(jīng)授權(quán)的文件修改相結(jié)合，那么對其配置的查看更加緊迫。
? ? ?（責(zé)任編輯：fqj）