混合云架构下的安全风险分析和安全解决措施建议
发布时间：2022-01-13 17:06:33 所属栏目：云计算 来源：互联网
导读：01.混合云架构下的安全风险分析 1. 混合云架构下的安全风险分析 企业混合云环境，一般包括一个或多个公有云厂商以及自建的私有云平台，从信息安全风险管理角度来看，实施混合云涉及到IT基础架构和应用架构的重大变更，因此需要重新进行风险评估。混合云环境
|
如果选择原生Openstack或基于openstack二次开发的私有云平台，如需实现统一的混合云安全管理平台，就会涉及公有云厂商安全服务API接入开发，所选硬件安全厂商提供的安全API接入开发，甚至需要硬件安全厂商的二次支持开发，目前来看，开发工作量和实现难度很大。 1.6 统一的混合云运维管理通道 对运维人员来说，混合云架构意味着需要在一个或多个公有云环境和私有云环境分别进行系统安装、服务部署、应用发布及日常的更新维护工作。针对私有云环境进行运维时，需要登录公司内部堡垒机进行操作，针对公有云环境进行运维时，需要登录公有云厂商提供的管理平台进行操作。同时对于公司安全管理部门来说，也需要在多点部署安全设备或安全工具，实现运维账号和运维权限管理，用户登录和操作日志审计等方面的安全管理工作。 混合云环境下，运维或安全管理部门，可选择一款多云管理平台(如新钛云服提供的TiOps多云管理平台等)，运维人员可以通过统一的平台入口，实现多云资源(包括公有云、私有云、物理机和容器)管理、自动化运维、k8s管理、公有云成本管理、CMDB、监控告警等运维工作，同时实现用户角色和权限管理、用户登录和操作审计及回放等安全功能。 1.7 混合云环境下的安全合规需求 不同类型的信息安全法律法规条款或安全合规认证内容，都是基于其关心的安全目标和定义的安全检查对象，通过具有不同安全侧重点和不同安全要求的多个检查项，对信息系统及其支撑、运行环境进行安全检查、测试和审计，以确认信息系统及其支撑运行环境中，采取的各类安全措施是否符合需要的安全要求。混合云环境的合规检查对象，一般都会涉及公有云厂商基础架构、公有云业务、私有云平台和私有云业务。 比如混合云环境下的等保2.0合规认证，需要分别考虑公有云环境和私有云环境下的等保合规问题。对于公有云业务，首先要求作为提供基础设施服务(云计算平台)的公有云厂商，必须具备不低于应用系统等保定级级别的网络安全等级保护资质，然后再对企业的公有云业务(云租户信息系统)进行等保测评工作。对于自建私有云业务，也是首先需要对云计算平台进行定级和测评，然后再对私有云用户业务系统(云租户信息系统)进行定级测评，同样需要私有云平台的安全保护等级不低于其所支撑的业务系统的最高等级。 类似地，混合云环境下的应用系统如果计划申请PIC-DSS认证、需要满足欧盟GDPR数据保护条例等合规或法律要求时，也是需要提供基础架构服务的公有云厂商具备相应的PCI-DSS认证资质、符合GDRP合规要求，同时对私有云基础架构(云计算平台)和用户业务系统(包括公有云和私有云上的云租户信息系统)进行对应的合规性检测。 因此混合云环境下，企业需要根据自身合规需要，选择具有对应资质的公有云厂商，同时根据不同合规检查项，对自建私有云平台进行安全自查、安全加固或安全整改，以确保私有云平台和运行的用户业务系统符合合规要求。 1.8 云安全产品的选择 混合云环境下，许多传统的安全理念、安全产品和安全解决方案已经不再适合，或者说是不能有效解决混合云环境下产生的各类安全风险问题。与此同时，业界对云安全的研究，也促进了不少新的，更加适合云环境的安全理念、安全模型、云原生安全产品和针对性的混合云安全解决方案，比如gartner推荐的多种安全技术，包括多云管理平台，云工作保护平台(CWPP)，云访问安全代理(CASB)，云安全配置管理(CSPM)，零信任安全解决方案(SDP)等等。 对于计划或已经采用混合云架构的企业安全管理、安全技术人员，特别是安全架构师而言，需要不断跟进最前沿的云安全技术，熟悉不同的云安全产品功能和特性，以及水平参差不齐的混合云安全解决方案，同时结合企业自身的业务特性、安全目标和实际风险情况，进行测试并谨慎选择合适的云安全服务、云安全产品或混合云安全解决方案，这同样是一件具有很大挑战性和很高风险的任务。 02.混合云安全解决方案建议 考虑到混合云环境下安全服务、安全技术、安全产品、安全平台、安全合规等安全风险的复杂性，建议企业在规划、构建和实施混合云架构时，可以使用第三方云服务商的安全咨询服务(如新钛云服等)，从专业角度帮助企业了解不同公有云厂商、公有云产品和服务、私有云平台选型、私有云安全能力建设以及不同混合云安全解决方案的优缺点、适用场景、实施成本等，以减少混合云选型、落地实施及后续运维运营管理等多方面的安全问题。 合理的混合云安全解决方案，仍然应该遵循最基本的安全建设理念，即合理的安全规划，分阶段进行实施，关注和防范重点风险。从实际项目经验来看，我们建议混合云安全解决方案大体可以分四个阶段进行实施： 第一阶段：混合云安全架构调研、测试、规划和实施。包括公有云服务商及公有云安全服务的测试和选型，私有云平台选型、私有云安全解决方案的测试和选型，统一的混合云安全管理平台等; 第二阶段： 混合云架构下的基础安全防范和服务能力建设。一般需要包括FW、WAF、CWPP、数据库审计服务或产品、多云管理平台等，以至少覆盖网络层安全、主机/容器安全、应用层安全、数据安全和运维通道的安全管理，从而构建基本的纵深安全防范体系; 图一：混合云基础安全/加强安全防范和服务能力 第三阶段：根据企业自身业务特性，加强重点风险防范能力。如针对游戏业务的抗DDOS服务、基于SDK的安全解决方案，针对电商行业的风控平台和数据安全解决方案等，需要重点考虑。 第四阶段：适合企业混合云具体应用特性的安全强化,日常安全运维运营及安全合规工作。如针对SaaS业务的CASB产品，对高安全要求应用考虑实施SDP解决方案，敏感数据自动发现和动态脱敏，统一的安全中心和合规工作等。 信息安全本身就是一个不断进化的动态过程，不可能一蹴而就，也不存在百分百的安全保障。如何科学的构建和管理混合云安全，需要更多的风险评估、安全管理、安全研究、安全运营、安全开发等多方经验的总结和交流，也非常欢迎各位就混合云安全涉及到的方方面面多多交流! （编辑：淮安站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |