IT权威专家必须了解,怎样维护混和云安全性

2021-03-15 14:31

针对公司来讲,将其数据信息和手机软件服务平台转移到云端其实不是1个非此即彼的认为。1些公司的IT单位正在探寻和学习培训运作內部独享云和第3方公共性云服务的组成。伴随着公司测算要求和成本费的转变,建立混和云服务平台可以使工作中负载在独享云和公共性云之间挪动,从而为公司出示更大的灵便性和更多的数据信息布署选项。

混和云具备自身的优缺陷。混和云在为技术性员出示便捷性和融入性的另外带来了1些成本费:安全性精英团队务必维护公司数据信息,而且在很多状况下,务必维护好几个自然环境中的特有过程。

Voodoo Security企业首席咨询顾问Dave Shackleford和SANS企业剖析师决策在SANS白皮书“维护混和云:传统式专用工具vs.新专用工具和对策”中处理这些难题。

“伴随着愈来愈多的机构选用混和云方式,她们必须将其內部安全性操纵和步骤调剂为公共性云服务出示商自然环境。”Shackleford写道,“最先,公司应当升级风险性评定和剖析实践活动,以持续核查列出的新项目。”

下列列出这些新项目:

云计算技术出示商安全性操纵、作用和合规情况

•內部开发设计和编排专用工具友谊台

•经营管理方法和监管专用工具

•內部布署和云端安全性专用工具和操纵

这两家企业在白皮书中依然沒有明确公司還是云计算技术出示商最后负责云中的安全性。

Shackleford适用云计算技术服务出示商和她们的顾客相互担负义务。针对顾客,Shackleford觉得其安全性精英团队务必:

•充足掌握当今正在应用的安全性操纵对策;

•更好地掌握她们务必改动哪些安全性操纵才可以在混和云自然环境中取得成功运作。

至于缘故,Shackleford解释说:“基本上能够确保1些安全性操纵不容易像她们在內部布署实行的方法那样运作,或不容易在云计算技术服务出示商自然环境中运作。”

內部全过程IT精英团队应开展查验

Shackleford提议查验下列內部步骤。

配备评定:Shackleford说,在涉及到安全性性时,下列配备尤其关键:

•实际操作系统软件版本号和修复程序流程级別

•当地客户和组

•重要文档的管理权限

•正在运作的强化互联网服务

系统漏洞扫描仪:Shackleford提议系统软件应不断扫描仪,并汇报案例中性命周期限内发现的任何系统漏洞。至于扫描仪和评定任何调研結果,Shackleford指出,混和云自然环境中一般应用下列方式之1。

•传统式系统漏洞扫描仪程序流程的1些供货商早已调剂了她们的商品以在云出示商自然环境中工作中,一般借助API来防止人力恳求在方案或临时性基本上实行更多侵入式扫描仪。

•依靠根据主机的代理商,能够持续扫描仪各有的虚似机。

安全性监管:混和云自然环境基本上一直存在于虚似化多租户服务器上,这使得她们无法监管每一个客户的进攻状况。“监管虚似基本设备产生在几个地区之1:虚似机/器皿、虚似互换机、管理方法程序流程或物理学互联网。”Shackleford写道,“在基本上全部的云计算技术自然环境中,大家唯1可以真实触碰到的地区便是云计算技术出示商出示的虚似机/器皿或手机软件界定互联网。”

“有关怎样搭建监管专用工具的考虑到要素包含互联网带宽、专用联接和数据信息汇总/剖析方式。” Shackleford再次说道,“云案例中的服务、运用程序流程和实际操作系统软件转化成的系统日志和恶性事件应全自动搜集,高并发送到中间搜集服务平台。”

Shackleford觉得,针对全自动化远程控制系统日志纪录来讲,大多数数安全性精英团队早已对搜集适度的系统日志,将它们推送到安全性的中间系统日志纪录服务或根据云的恶性事件管理方法服务平台和应用SIEM和/或剖析专用工具开展紧密监控层面有一定的掌握。

依据Shackleford的说法,必须1些遭受监控的限定。他觉得下列应当有优先选择权:

•不寻常的客户登陆或登陆不成功

•很多数据信息导入或导出来云自然环境

•权利客户主题活动

•变更已准许的系统软件映像

•浏览和变更数据加密密匙

•权利和身份配备的变更

•变更系统日志纪录和监控配备

•云计算技术出示商和第3方威协情报

孤岛和点处理计划方案是1个难题

人们喜爱选用1个服务或商品。出于一样的缘故,Shackleford明显提议防止在不一样供货商和自然环境中出示灵便性的单1供货商或云原生态选项。

“1些供货商的商品只能在特殊的自然环境下工作中,而大多数数云供货商的内嵌服务只能在她们自身的服务平台上运作。”他解释说,“当业务流程要求促进机构执行多云发展战略时,这类孤岛状况将会会致使比较严重的难题,因而必须再次选用合乎规定的安全性操纵对策。”

Shift-left安全性性

Shackleford是1个Shift-left安全性的强劲适用者,这是1个很难完成的简易定义,但这个念头是将安全性考虑到移到商品开发设计环节。“换句话说,安全性性真实与开发设计和经营实践活动和基本设备(有时称为SecDevOps或DevSecOps)相融合,”Shackleford写道,“安全性和DevOps精英团队应当为很多行业界定和公布IT机构规范,在其中包含准许应用的运用程序流程库和实际操作系统软件配备。”

最终的警示

除一切正常的敬业调研以外,Shackleford提议公司在将数据信息和/或步骤迁移到公共性云以前进行对全部现有操纵和步骤的全面核查,从而产生标准。“这将使她们还有机会充足维护所涉及到的数据信息,并在公共性云自然环境中找寻同样的安全性作用。”Shackleford提议说,“找寻可协助公司在1个地区管理方法內部布署财产和云计算技术财产的专用工具,由于安全性和经营精英团队一般很分散化,没法在1个或好几个云出示商自然环境中管理方法好几个管理方法和监管专用工具。”



扫描二维码分享到微信

在线咨询
联系电话

020-66889888