如今，超過60%的組織報告說，大部分新應(yīng)用程序都是在云中構(gòu)建的。這對安全意味著什么?

盡管人們普遍認(rèn)為使用云計算會帶來安全風(fēng)險，但企業(yè)越來越依賴云原生應(yīng)用程序。那么，安全漏洞在哪里?哪些問題是最重要的?

這些數(shù)據(jù)來自“云原生安全狀態(tài)”，這是由Capsule8、DuoSecurity和SignalSciences公司贊助的一項(xiàng)新研究。研究人員對來自8個行業(yè)(其中包括金融服務(wù)、科技、教育、零售、政府、非營利組織、制造、運(yùn)輸、)收入為2.5億美元到10億美元的企業(yè)的486名高級決策者和安全專家進(jìn)行了調(diào)查。

調(diào)查發(fā)現(xiàn)62%的公司依靠云原生應(yīng)用程序(CNA)占其應(yīng)用程序的一半以上，預(yù)計這一數(shù)字將在未來三年內(nèi)達(dá)到80%。超過一半的受訪者認(rèn)為云原生應(yīng)用程序(CAN)會增加風(fēng)險，并將安全視為采用的障礙。

[[245247]]

對網(wǎng)絡(luò)攻擊的可見性是最重要的一個安全問題：73%的受訪者表示他們?nèi)狈ν{和持續(xù)攻擊的可操作洞察力。Capsule8公司首席執(zhí)行官JohnViega解釋說，在網(wǎng)絡(luò)層面，可見度低導(dǎo)致出現(xiàn)虛假警報。隨著網(wǎng)絡(luò)攻擊的增加，安全通知的增加也是如此：只有三分之一的受訪企業(yè)表示能夠處理他們公司收到的75%以上的警報。

誤報是困擾IT和安全環(huán)境的另一個關(guān)鍵問題：46%的受訪者表示超過一半的生產(chǎn)環(huán)境警報是誤報。據(jù)近一半的安全和IT專家調(diào)查顯示，糟糕的分析是誤報的主要因素。

Viega解釋說，在更傳統(tǒng)環(huán)境中，員工“通過算法解決問題，并嘗試收集和處理更多數(shù)據(jù)，以此作為改進(jìn)威脅檢測的手段。

然而，在云原生環(huán)境中，“我們發(fā)現(xiàn)最大的勝利來自于在改進(jìn)算法之前首先提高數(shù)據(jù)質(zhì)量，”他說。使用云原生應(yīng)用程序(CNA)的公司無需高速評估大量流量，而是可以訪問云計算提供商的API，并且可以以不影響系統(tǒng)性能的方式分析數(shù)據(jù)。

隨著云計算基礎(chǔ)設(shè)施和應(yīng)用程序在生產(chǎn)環(huán)境中發(fā)揮更大作用，安全性成為更重要的優(yōu)先事項(xiàng)。這里最大的擔(dān)憂是服務(wù)器上的惡意軟件(32%)，來自已知威脅行為者的針對性攻擊(17%)和零日攻擊(12%)。

近一半(48%)的受訪者表示，網(wǎng)絡(luò)攻擊對生產(chǎn)環(huán)境造成了破壞，導(dǎo)致系統(tǒng)損壞(48%)，客戶數(shù)據(jù)丟失(44%)和財務(wù)數(shù)據(jù)丟失(31%)。

激勵企業(yè)遷移到云端

研究人員指出了遷移到云原生應(yīng)用程序的三個主要驅(qū)動因素：近40%的受訪者表示他們“正在實(shí)現(xiàn)業(yè)務(wù)最關(guān)鍵部分的現(xiàn)代化”。31%的受訪者表示新的軟件開發(fā)，并指出這是現(xiàn)在軟件的構(gòu)建方式，29%的受訪者表示可以節(jié)省運(yùn)營成本。

組織規(guī)模越大，就越有可能依靠云原生應(yīng)用程序進(jìn)行新部署。例如，55%的公司收入在2.5億美元到4.99億美元之間，其大部分新應(yīng)用都以云原生的形式運(yùn)行。對于收入為5億美元至9.99億美元的公司，這一數(shù)字躍升至60%，收入為10億至49億美元的公司為63%，收入為50億至99億美元的公司為71%。

但是，這就是事情發(fā)生轉(zhuǎn)折點(diǎn)。專家報告稱，年收入超過200億美元的企業(yè)更為“保守一點(diǎn)”。只有61%的企業(yè)表示將超過一半的應(yīng)用程序部署為云原生，23%的企業(yè)表示使用不到四分之一的云原生應(yīng)用。

云原生應(yīng)用程序(CNA)的使用也因行業(yè)而異。例如，政府機(jī)構(gòu)最不可能廣泛使用它們，只有46%的人表示他們的大多數(shù)新應(yīng)用都是云原生的。報告表明，一些行業(yè)領(lǐng)域更加依賴云原生應(yīng)用程序(CNA)，例如教育行業(yè)(70%)，金融服務(wù)和科技(各為67%)，以及零售公司(65%)。

“一些公司沒有受到監(jiān)管，并構(gòu)建了大量軟件，”Viega以在云計算環(huán)境中成長的媒體公司和科技公司為例。受監(jiān)管環(huán)境中的企業(yè)傾向于首先將較少關(guān)鍵任務(wù)的應(yīng)用程序遷移到云中。

“對于一家大型金融機(jī)構(gòu)而言，面向消費(fèi)者的平臺可能是最后的事情之一，因?yàn)檫@將獲得大量的監(jiān)督。”他舉例說。

重新考慮安全問題

研究人員發(fā)現(xiàn)，與去年相比，今年接受過調(diào)查的企業(yè)經(jīng)歷的網(wǎng)絡(luò)攻擊至少是去年的兩倍。Viega表示，其增長不一定是由于云計算。

“在許多方面，攻擊者都是一樣的，都使用相同的技術(shù)。”他解釋道。15年前，應(yīng)用程序由90%的自定義代碼和10%的開源代碼組成。如今，應(yīng)用程序由80%到90%的開源和一些自定義代碼組成。他補(bǔ)充說，這肯定會改變這個方程式，因?yàn)闊o論應(yīng)用程序是否在云中運(yùn)行，攻擊者都可能更好地了解可能利用的內(nèi)容。

他建議企業(yè)在采用云服務(wù)時重新考慮安全性，而不是像在傳統(tǒng)環(huán)境中那樣進(jìn)行“提升和轉(zhuǎn)移”。他說，人們會發(fā)現(xiàn)它不具備可擴(kuò)展性和成本效益。