2020年新冠疫情加速了“云計算與安全”、“網(wǎng)絡(luò )與安全”的融合趨勢。“云優(yōu)先”時(shí)代，企業(yè)越來(lái)越依賴(lài)云計算。但是對于大多數企業(yè)來(lái)說(shuō)，業(yè)務(wù)上云并不意味著(zhù)安全上云，“靠山山倒”，要想確保云服務(wù)的安全，僅僅依靠或信賴(lài)云服務(wù)商是遠遠不夠的。企業(yè)還需要完成傳統網(wǎng)絡(luò )安全思維的轉變：“云安全始于云原生思維方式，這種思維方式不再面向網(wǎng)絡(luò )，而更多地面向身份、數據和應用程序。”

2021年，云與安全，網(wǎng)絡(luò )與安全將如何進(jìn)一步融合演進(jìn)?企業(yè)如何應對這場(chǎng)宏大而深刻的變革?以下我們整理了多位云安全專(zhuān)家和分析師的觀(guān)點(diǎn)供大家參考：

SaaS默認設置的風(fēng)險

大多數云安全問(wèn)題都可歸入三類(lèi)：云風(fēng)險管理、基礎架構即服務(wù)(IaaS)安全和軟件即服務(wù)(SaaS)控制。IaaS通常受開(kāi)發(fā)人員控制，相應的安全供應商數量較少。而業(yè)務(wù)線(xiàn)通?？刂浦?zhù)SaaS，并且可以從更多的安全提供商中進(jìn)行選擇。

安全專(zhuān)家Riley指出：“不幸的是，許多IT專(zhuān)業(yè)人員寧愿無(wú)視新興的SaaS市場(chǎng)，盡管在大多數情況下，SaaS代表的計算領(lǐng)域比私有云中的IaaS更為重要。”SaaS市場(chǎng)的龐大規模應引起安全團隊的關(guān)注，因為他們通常無(wú)法控制員工下載那些應用以及如何使用這些應用。

所有云服務(wù)都可以在外部共享對象，但是默認配置是個(gè)例外。

Riley指出，數量驚人的SaaS應用程序不僅允許外部共享，而且默認可以打開(kāi)。對于用戶(hù)而言，這屬于設計缺陷還是人員弱點(diǎn)存在爭議。企業(yè)可以修改默認配置，但是前提是必須有這樣做的意愿。

Riley認為：爭論云服務(wù)的初始默認配置應該是什么沒(méi)有意義。企業(yè)終究要面對云服務(wù)的風(fēng)險，安全團隊必須意識到這一點(diǎn)并采取相應措施。關(guān)閉開(kāi)放式的文件共享是企業(yè)可以采取的最有效的云安全初始措施。

SaaS重在維護

Riley認為：SaaS是公共云服務(wù)的主體，也是企業(yè)最難控制的形式，這使得SaaS運維業(yè)務(wù)成為“最重大的安全挑戰”。盡管大多數云應用都有一定的抵御攻擊的能力，但它們卻不像內部運行的應用程序那樣可控。

使該問(wèn)題進(jìn)一步復雜化的是，大多數業(yè)務(wù)部門(mén)對如何維護云應用程序都不了解。在業(yè)務(wù)部門(mén)的眼里，云應用“就像一尊雕像，應該放在架子上欣賞。”“而專(zhuān)業(yè)人士都知道云應用程序更像是動(dòng)物，需要持續護理的，有生命會(huì )呼吸的生命體。”

SaaS應用程序在其整個(gè)生命周期中都需要關(guān)注和維護。許多組織甚至不知道他們在使用哪些SaaS應用程序，最終為功能重疊的服務(wù)支付了不止一次的費用。

SaaS上的非IT支出也在持續增長(cháng)，從而產(chǎn)生了一系列IT最終必須解決的問(wèn)題。例如，營(yíng)銷(xiāo)團隊可能想要使用一個(gè)很酷的新SaaS應用程序，該應用程序無(wú)法與企業(yè)使用的協(xié)作平臺集成。在這種情況下，業(yè)務(wù)和安全需要找到折衷方案，選擇能與現有業(yè)務(wù)工具集成并且可以由云訪(fǎng)問(wèn)安全代理(CASB)監控的營(yíng)銷(xiāo)工具。

IaaS安全市場(chǎng)持續增長(cháng)

企業(yè)正在從基于操作系統的計算模型過(guò)渡到專(zhuān)注于應用程序的模型。Riley認為，如今大多數開(kāi)發(fā)、測試或生產(chǎn)環(huán)境中至少有一個(gè)基于Linux容器的應用程序。

他補充說(shuō)：“這意味著(zhù)什么?您的云安全策略應該進(jìn)行調整，以提供一致的可見(jiàn)性和對工作負載的控制。”虛擬環(huán)境帶來(lái)了新的安全復雜性，尤其是漏洞管理和網(wǎng)絡(luò )安全方面。

Riley指出：云安全狀態(tài)管理(CSPM)市場(chǎng)中的工具可以評估云控制平面的狀態(tài)，并提出降低風(fēng)險的更改建議，這些功能包括訪(fǎng)問(wèn)管理配置、存儲配置、連接性和控制臺控制。對于大型的基于云的工作負載部署，CSPM功能應該是強制性的，因為它們是錯誤捕捉器。

幾家傳統的端點(diǎn)保護供應商已經(jīng)為云工作負載保護平臺(CWPP)開(kāi)發(fā)了特定的產(chǎn)品。新興公司已經(jīng)開(kāi)始開(kāi)發(fā)具有基于身份細分，應用程序控制，完整性保護和活動(dòng)監視等功能的工具。去年，Gartner估計CWPP市場(chǎng)規模為12.5億美元。預計到2023年，這一領(lǐng)域將達到25億美元。

Riley指出，云安全性轉變“始于云原生思維方式，這種思維方式不是面向網(wǎng)絡(luò )，而更多地面向身份、數據和應用程序。”

網(wǎng)絡(luò )安全的未來(lái)在云中

安全訪(fǎng)問(wèn)服務(wù)邊緣(SASE)的采用日趨廣泛。隨著(zhù)越來(lái)越多的企業(yè)采用類(lèi)似Microsoft 365和Salesforce這樣的SaaS應用程序，企業(yè)正在購買(mǎi)更多的云(交付)安全服務(wù)，在物理安全設備上的支出則不斷縮水。

Gartner分析師預計，到2023年，企業(yè)將在SaaS應用上花費800億至1000億美元，這將導致對WAN的重新設計和架構。

Orans說(shuō)，圍繞“上云”的討論很多。這些討論通常聚焦如何將工作負載從私有數據中心轉移到公共云。盡管這些過(guò)渡至關(guān)重要，但企業(yè)將更多的錢(qián)都花在了SaaS應用程序上，這是“改變網(wǎng)絡(luò )安全的關(guān)鍵驅動(dòng)力”。

SD-WAN應用隨著(zhù)云的普及而增長(cháng)

追蹤SD-WAN市場(chǎng)的分析人士預測，到2024年SD-WAN將會(huì )強勁增長(cháng)。

安全專(zhuān)家Orans指出：“當我詢(xún)問(wèn)如何采用這些基于云的安全服務(wù)時(shí)，我聽(tīng)到最多的是，結合WAN架構，將安全從數據中心轉移到云計算。”

SASE正在推動(dòng)網(wǎng)絡(luò )安全市場(chǎng)趨同。網(wǎng)絡(luò )即服務(wù)和網(wǎng)絡(luò )安全即服務(wù)是經(jīng)常同時(shí)進(jìn)行的兩個(gè)項目。當用戶(hù)轉移到云交付的安全Web網(wǎng)關(guān)或CASB服務(wù)時(shí)，通常也意味著(zhù)SD-WAN項目的完成。

網(wǎng)絡(luò )與安全的融合對于不同的人可能有著(zhù)不同的含義。Orans指出，一些網(wǎng)絡(luò )安全廠(chǎng)商正在購買(mǎi)SD-WAN廠(chǎng)商，因此一些收購正在鞏固市場(chǎng)?；锇殛P(guān)系還將網(wǎng)絡(luò )和網(wǎng)絡(luò )安全供應商聚集在一起。對于許多企業(yè)而言，將安全性轉移到云中時(shí)，最重要的決策是選擇云安全Web網(wǎng)關(guān)或云代理。

重新思考云SOC

安全分析師Sadowski指出：到2025年，安全運營(yíng)中心(SOC)的傳統功能將與現在大不相同。隨著(zhù)安全性變得更具可編程性，企業(yè)將在各個(gè)部門(mén)之間重新分配傳統的SOC功能。結果，安全的所有權將發(fā)生變化。例如，新冠疫情和遠程辦公加速了“固有的中心化安全模式的消失。”“現在，網(wǎng)絡(luò )安全不是以日志管理為中心，而是以威脅檢測和響應為中心。”

而SaaS應用程序的廣泛使用給威脅檢測和響應帶來(lái)了新的問(wèn)題：“當企業(yè)中的某人購買(mǎi)了SaaS應用程序，不告訴任何人并且正在生產(chǎn)環(huán)境中運行，SOC如何為這類(lèi)影子SaaS應用程序的威脅檢測和響應負責?”Sadowski問(wèn)道。

顯然，企業(yè)仍然需要威脅檢測和響應，但是有些事情需要改變，云混合SOC最終將成為首選的SOC。Sadowski說(shuō)：“安全將來(lái)自于云，服務(wù)于云，這是一個(gè)重大的改變，將迫使人員、流程和技術(shù)保持一致。”

安全不是外科手術(shù)，安全團隊不應指望“獨角獸”解決方案或云安全領(lǐng)域的專(zhuān)家。在重新考慮SOC方法時(shí)，企業(yè)可以建立一個(gè)沒(méi)有SOC“中心”的分布式團隊，并開(kāi)發(fā)以云為中心和業(yè)務(wù)為中心的安全技能。企業(yè)依然需要安全團隊，還應打造一個(gè)流動(dòng)性強的按事件處理的團隊，他們將整合不同的技能來(lái)解決問(wèn)題。

避免云SOC技術(shù)堆棧的復雜化

對于SOC的發(fā)展趨勢，Sadowski認為，企業(yè)應該在投資新工具的之前考慮充分利用其現有工具。企業(yè)應該徹底盤(pán)點(diǎn)其安全運營(yíng)職能和工具，包括熱門(mén)的威脅檢測和響應工具在內的所有不同工具和職能。

大型云服務(wù)提供商(CSP)已開(kāi)始提供云檢測和響應(CDR)，但僅在該CSP內以及針對CSP。以Microsoft Azure ATP和Amazon GuardDuty為例，CDR工具可以訪(fǎng)問(wèn)海量遙測數據，提供包括分析、本機響應功能以及發(fā)送警報和上下文的功能，所有這些都可以通過(guò)API來(lái)完成。

Sadowski建議企業(yè)使用云服務(wù)商工具中的CDR功能，堅持要求云服務(wù)商提供全套API，并定義一種層級化的方法來(lái)聚合、分析和處理所有本地和微觀(guān)事件。企業(yè)應該避免過(guò)快過(guò)多買(mǎi)入新的安全工具或功能，導致SOC的復雜化。

Sadowski指出：“不要積累太多的技術(shù)債務(wù)，因為它確實(shí)在快速發(fā)展。”“安全技術(shù)正在加速發(fā)展…因此，請密切關(guān)注并保持領(lǐng)先。”

您真的需要SIEM嗎?

企業(yè)是否必須擁有SIEM?還是可以使用可管理安全檢測和響應服務(wù)(MDR)?安全專(zhuān)家Sadowski認為，SOC堆棧的焦點(diǎn)是安全事件和事件管理(SIEM)工具。但是企業(yè)需要考慮所需要的威脅檢測類(lèi)型。很多企業(yè)專(zhuān)注于勒索軟件等“商品化攻擊”威脅，而不是特定于業(yè)務(wù)的威脅，因此不必攝取業(yè)務(wù)應用程序日志。但是，某些企業(yè)需要高級功能，例如檢測特定威脅和監視來(lái)自業(yè)務(wù)應用程序的事件的功能。

對于準備上馬SIEM的企業(yè)，還必須考慮他們是否有資源來(lái)管理SIEM。SIEM需要有人來(lái)運行，調整和監視，云端的SaaS SIEM也是如此。

對于擔心缺乏足夠資源應對常規威脅的組織，Sadowski建議選擇MDR。那些擔心常規威脅并擁有資源的企業(yè)可以將SIEM視為備選，如果選擇(或者配合)端點(diǎn)檢測和響應(EDR)，網(wǎng)絡(luò )檢測和響應(NDR)以及合同生命周期管理(CLM)可能會(huì )發(fā)揮更好的作用。

Sadowski指出，那些擔心高級威脅并擁有資源的企業(yè)應該投資SIEM。即使是沒(méi)有資源的企業(yè)，SIEM仍然是應對高級威脅的首選，但可考慮共同管理的SIEM和可管理安全服務(wù)(MSS)。

復雜性推動(dòng)云安全整合

深受多云環(huán)境復雜性和安全問(wèn)題困擾的企業(yè)正在通過(guò)減少使用的供應商數量來(lái)簡(jiǎn)化其環(huán)境。

安全專(zhuān)家Orans指出：“假設您有多個(gè)通過(guò)云交付服務(wù)的安全供應商，一個(gè)用于安全Web網(wǎng)關(guān)，一個(gè)用于零信任，一個(gè)用于CASB，甚至還有更多，公司必須確定如何獲取這些服務(wù)所需的流量，這通常需要在每個(gè)用戶(hù)設備上安裝一個(gè)代理，隨著(zhù)代理數量的增加，這可能會(huì )變得復雜。”

現在，企業(yè)正在堅持一種或兩種基于云的安全服務(wù)，通常是安全Web網(wǎng)關(guān)供應商和/或單獨的CASB供應商。兩個(gè)市場(chǎng)正在融合，因此企業(yè)最終可能會(huì )選擇讓一家供應商提供上述兩種服務(wù)。

【本文是51CTO專(zhuān)欄作者“安全牛”的原創(chuàng )文章，轉載請通過(guò)安全牛（微信公眾號id:gooann-sectv）獲取授權】