多云策略帶來了新的安全問題。因此，企業(yè)需要在其安全措施的每個(gè)階段解決這些問題。

隨著越來越多的企業(yè)將其云計(jì)算戰(zhàn)略擴(kuò)展到私有云、公共云、內(nèi)部部署數(shù)據(jù)中心和邊緣站點(diǎn)的混合，從而將多云作為其數(shù)字化轉(zhuǎn)型計(jì)劃的一部分，新的安全挑戰(zhàn)出現(xiàn)了，必須在安全計(jì)劃的每個(gè)階段考慮。

在云中運(yùn)營提供了多種好處，任何組織，無論是公共部門、私有企業(yè)還是政府機(jī)構(gòu)，目前都使用某種類型的云平臺(tái)來完成至少部分業(yè)務(wù)功能。

根據(jù)2023年應(yīng)用程序戰(zhàn)略狀態(tài)(SOA)報(bào)告中的數(shù)據(jù)，85%的企業(yè)使用多個(gè)架構(gòu)運(yùn)行應(yīng)用程序，并在分布式環(huán)境中部署它們。在云中運(yùn)營帶來了一些安全挑戰(zhàn)，并且在多云環(huán)境中復(fù)雜性進(jìn)一步增加，因?yàn)樾枰獙⑦\(yùn)行在不同環(huán)境中的應(yīng)用程序與可能不同的安全策略、治理和合規(guī)性需求集連接起來。

高級(jí)云安全

除了使用多云帶來的安全性和復(fù)雜性挑戰(zhàn)之外，單片應(yīng)用程序也逐漸被拋棄，轉(zhuǎn)而支持提供更大靈活性和易于配置和取消配置的微服務(wù)。這增加了已經(jīng)存在的挑戰(zhàn)，擴(kuò)大了網(wǎng)絡(luò)攻擊面，降低了對(duì)應(yīng)用程序運(yùn)行狀況和性能的端到端可見性，并且增加了運(yùn)營復(fù)雜性。

建筑設(shè)計(jì)差異帶來的挑戰(zhàn)

每個(gè)環(huán)境中存在的差異使得跨環(huán)境應(yīng)用一致的安全策略變得更加困難。在私有云、公共云或邊緣計(jì)算環(huán)境中，對(duì)工作負(fù)載安全性、應(yīng)用程序安全性和API安全性的需求不一定是協(xié)調(diào)一致的。

對(duì)許多企業(yè)來說，協(xié)調(diào)跨不同云平臺(tái)的安全策略仍然是一個(gè)挑戰(zhàn)，對(duì)監(jiān)視和可見性的影響更大。

使用分布式云技術(shù)，有時(shí)被稱為超級(jí)云，正在日益普及。

正如調(diào)研機(jī)構(gòu)研究人員所描述的那樣，“超級(jí)云是一種云架構(gòu)，它支持將應(yīng)用程序遷移為跨不同可用區(qū)域或云計(jì)算提供商的服務(wù)。超級(jí)云提供了分配、遷移和終止資源(如虛擬機(jī)和存儲(chǔ))的接口，并提供了將這些資源綁定在一起的同質(zhì)網(wǎng)絡(luò)。超級(jí)云可以跨越所有主要的公共云提供商，如亞馬遜EC2、微軟Azure、谷歌計(jì)算引擎、Rackspace等，以及私有云?！?/p>

云安全模型

公共云提供商使用共享安全模型，其中云計(jì)算提供商負(fù)責(zé)“云平臺(tái)”的安全，消費(fèi)者負(fù)責(zé)“云平臺(tái)”中數(shù)據(jù)的安全。

該模型意味著云計(jì)算提供商負(fù)責(zé)平臺(tái)的安全性，包括硬件和所有管理程序組件?？蛻糌?fù)責(zé)他們自己的安全策略和治理模型，并為他們的應(yīng)用程序、數(shù)據(jù)和API保護(hù)設(shè)置正確的控制。這還包括DDOS保護(hù)、Web應(yīng)用防火墻(WAF)、客戶操作系統(tǒng)和客戶數(shù)據(jù)存儲(chǔ)管理的配置管理。

在這個(gè)模型中，數(shù)據(jù)、應(yīng)用程序、API和工作負(fù)載安全性的挑戰(zhàn)落在了客戶的肩上。縮小私有云、公共云、混合云和多云之間的知識(shí)差距所需的學(xué)習(xí)曲線可能很快成為潛在弱點(diǎn)的原因。Gartner公司最近的一項(xiàng)研究估計(jì)，到2025年，99%的云安全故障將是客戶的錯(cuò)。這可以歸因于在不同運(yùn)營環(huán)境中執(zhí)行安全策略的困難，以及無法將云治理、風(fēng)險(xiǎn)管理和監(jiān)視集成到現(xiàn)有的信息安全生命周期方法中。

從單片到微服務(wù)過渡帶來的挑戰(zhàn)應(yīng)用服務(wù)和數(shù)據(jù)

傳統(tǒng)上，網(wǎng)絡(luò)防火墻、入侵檢測系統(tǒng)(IDS)和Web應(yīng)用程序防火墻已被用于為企業(yè)基礎(chǔ)設(shè)施提供安全性，并取得了不同程度的成功;然而，將這種防御機(jī)制適應(yīng)微服務(wù)體系結(jié)構(gòu)是企業(yè)面臨的最大挑戰(zhàn)之一，在微服務(wù)架構(gòu)中，新的應(yīng)用程序可以動(dòng)態(tài)地進(jìn)行供應(yīng)或解除供應(yīng)。隨著微服務(wù)架構(gòu)增加的復(fù)雜性，為新的工作負(fù)載和應(yīng)用程序應(yīng)用一致的企業(yè)安全策略變得更加困難。

大多數(shù)任務(wù)需要自動(dòng)化，需要實(shí)現(xiàn)云原生工具(如Kubernetes集群)來自動(dòng)部署和編排新應(yīng)用程序，并為新服務(wù)實(shí)施安全策略。

正確運(yùn)行Kubernetes等云原生工具需要訓(xùn)練有素的云和安全專業(yè)人員，這本身就是企業(yè)面臨的另一個(gè)重要挑戰(zhàn)。

云計(jì)算和信息安全專業(yè)人員技能差距帶來的挑戰(zhàn)

大多數(shù)企業(yè)在其技術(shù)投資策略中默認(rèn)采用多云，到2023年，云計(jì)算技術(shù)投資將比2017年增長49%。Gartner公司還估計(jì)，到2023年，IT支出將增加到4.6萬億美元，但I(xiàn)T投資的增長面臨著一個(gè)重大挑戰(zhàn)，即缺乏訓(xùn)練有素的專業(yè)人員來管理、運(yùn)營和保護(hù)日益復(fù)雜的基礎(chǔ)設(shè)施。

默認(rèn)情況下，多云正在成為企業(yè)的一種明顯的IT策略。然而，大多數(shù)專業(yè)人員并不具備管理這些跨越公共云、私有云、內(nèi)部部署數(shù)據(jù)中心和邊緣計(jì)算工作負(fù)載的現(xiàn)代解決方案所需的云計(jì)算專業(yè)知識(shí)。正如以上所述，多云環(huán)境創(chuàng)建了一個(gè)復(fù)雜的網(wǎng)絡(luò)安全環(huán)境，大多數(shù)企業(yè)都沒有準(zhǔn)備好處理。

技術(shù)技能短缺的兩個(gè)最主要的技術(shù)是網(wǎng)絡(luò)安全和云計(jì)算。然而，盡管增加了對(duì)技術(shù)的投資，特別是在云計(jì)算技術(shù)方面的投資，但很多企業(yè)并沒有投資提高員工的技能，以縮小技術(shù)技能差距。

縮小技能差距的一個(gè)解決方案是，企業(yè)通過提供學(xué)習(xí)平臺(tái)和沙盒環(huán)境，對(duì)現(xiàn)有員工進(jìn)行培訓(xùn)和教育，讓他們可以使用云計(jì)算和網(wǎng)絡(luò)安全技術(shù)進(jìn)行練習(xí)，以便更好地為生產(chǎn)環(huán)境和現(xiàn)實(shí)生活中的云和安全挑戰(zhàn)做好準(zhǔn)備。

安全即服務(wù)(SECaaS)的救援

遷移到公共云提供了不必?fù)?dān)心物理基礎(chǔ)設(shè)施的安全性(云計(jì)算的安全性)的優(yōu)勢，但是基礎(chǔ)設(shè)施安全性仍然是多云模型中采用私有云企業(yè)的責(zé)任。此外，無論是在公共云中還是在私有云中，應(yīng)用程序仍然容易受到常見威脅的攻擊。勒索軟件攻擊、針對(duì)應(yīng)用程序和API端點(diǎn)的DDOS攻擊、以前未知漏洞的零日攻擊、憑證填充或重放攻擊仍然是一個(gè)挑戰(zhàn)，并且攻擊的數(shù)量正在增加。據(jù)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)投資公司稱，每39秒就有一次數(shù)據(jù)泄露，每14秒就有一次勒索軟件攻擊。

為了在與網(wǎng)絡(luò)犯罪分子的競爭中保持領(lǐng)先地位，企業(yè)正在轉(zhuǎn)向安全即服務(wù)(SECaaS)提供商，以幫助保持其數(shù)字資產(chǎn)的安全，其原因是，根據(jù)2023年5月應(yīng)用程序戰(zhàn)略狀態(tài)(SOAS)報(bào)告的數(shù)據(jù)，這是因?yàn)樾枰俣群腿狈?nèi)部技能。

結(jié)論

由于多云在大多數(shù)組織的IT戰(zhàn)略中占據(jù)中心位置，這種新方法帶來的復(fù)雜性帶來了更多的安全挑戰(zhàn)。云基礎(chǔ)設(shè)施由Kubernetes等云原生工具自動(dòng)化，用于部署和編排工作負(fù)載和應(yīng)用程序。然而，以安全的方式實(shí)現(xiàn)這一策略需要熟練的專業(yè)人員，但是熟練專業(yè)人員的可用性并沒有以縮小云和安全領(lǐng)域中存在的技能差距所需的速度增長。

企業(yè)需要投入更多資金來提高現(xiàn)有員工的技能，以幫助緩解技能差距的挑戰(zhàn)。其他企業(yè)正在轉(zhuǎn)向安全即服務(wù)(SECaaS)提供商，以跟上在惡意行為者利用漏洞之前修補(bǔ)漏洞所需的速度。