压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

云計(jì)算于創(chuàng)新有益，卻給安全部門制造了麻煩。

云計(jì)算正從 IT 服務(wù)交付可選項(xiàng)演變?yōu)槭聦?shí)標(biāo)準(zhǔn)。企業(yè)戰(zhàn)略集團(tuán) (ESG) 最近發(fā)布的《2019公共云趨勢(shì)》報(bào)告指出，過去八年來(lái)，基礎(chǔ)設(shè)施及服務(wù)環(huán)境采用率激增，企業(yè)采納率從 17% 上升到 58%；39% 的企業(yè)報(bào)告稱其技術(shù)部署完全采用云優(yōu)先策略。

這對(duì)創(chuàng)新而言當(dāng)然是大大的利好，但對(duì)掙扎于追趕云技術(shù)、架構(gòu)和用例持續(xù)發(fā)展變化的安全部門而言，就不那么美妙了。他們面臨的大部分挑戰(zhàn)都與可見性有關(guān)。云安全聯(lián)盟最近的報(bào)告顯示，在公共云上托管有資產(chǎn)的公司中，3/4 將可見性缺乏列為主要挑戰(zhàn)。

我們不妨來(lái)看看都有哪些造成可見性困擾的云安全盲點(diǎn)。

1. 業(yè)務(wù)管理IT

忘了 “影子 IT” 或 “流氓 IT” 吧。由業(yè)務(wù)線利益相關(guān)者購(gòu)買和管理云資產(chǎn)的技術(shù)采購(gòu)模式，正被很多公司企業(yè)視為創(chuàng)新驅(qū)動(dòng)力，熱切稱之為 “業(yè)務(wù)管理 IT”。《2019 Harvey Nash/畢馬威 CIO 聯(lián)合調(diào)查》也報(bào)告稱，當(dāng)下超過 2/3 的公司企業(yè)要么鼓勵(lì)，要么允許業(yè)務(wù)管理 IT。因?yàn)檫@么做的公司企業(yè)在市場(chǎng)上打敗競(jìng)爭(zhēng)對(duì)手的概率，比不這么做的公司企業(yè)高 58%，提供積極員工體驗(yàn)的概率也高 38%。

問題在于，缺乏來(lái)自 IT 和網(wǎng)絡(luò)安全人員的協(xié)作，這些云技術(shù)可能成為公司企業(yè)的巨大安全盲點(diǎn)。這些公司創(chuàng)新更快，但其安全風(fēng)險(xiǎn)暴露面也是其他公司的兩倍。

2. 云錯(cuò)誤配置

基礎(chǔ)設(shè)施即服務(wù) (IaaS) 和云數(shù)據(jù)存儲(chǔ)的錯(cuò)誤配置，是當(dāng)今重大云數(shù)據(jù)泄露和暴露的主要原因。無(wú)論是關(guān)閉云提供商標(biāo)準(zhǔn)化的默認(rèn)安全設(shè)置、使用默認(rèn)密碼、特定服務(wù)開放不受限訪問，還是其他什么操作，錯(cuò)誤配置引入的大量隱藏風(fēng)險(xiǎn)，往往是許多令人難堪的安全事件背后的主因。最新出爐的《2019 云安全報(bào)告》指出，約 40% 的公司企業(yè)認(rèn)為云平臺(tái)錯(cuò)誤配置是他們的主要安全顧慮。

3. 混合架構(gòu)

云安全聯(lián)盟最新報(bào)告表明，約 55% 的公司企業(yè)運(yùn)營(yíng)著采用混合架構(gòu)的云計(jì)算環(huán)境?；旌霞軜?gòu)為大型企業(yè)提供了逐步過渡到云的良好途徑，但也引入了安全可見性問題，因?yàn)楣竞茈y在整個(gè)架構(gòu)上跟蹤資產(chǎn)，也難以跨無(wú)數(shù)復(fù)雜混合云連接監(jiān)視其上行為。事實(shí)上，F(xiàn)iremon 今年早些時(shí)候拋出的一個(gè)報(bào)告顯示，80% 的企業(yè)受到混合環(huán)境安全監(jiān)管工具復(fù)雜性和有限性的困擾。

4. 多云采購(gòu)

云安全聯(lián)盟報(bào)告顯示，越來(lái)越多的公司企業(yè)參與多云采購(gòu)，依賴多家提供商的云環(huán)境。大約 66% 的公司企業(yè)擁有多云環(huán)境，約 36% 依賴多云和混合技術(shù)。

這就進(jìn)一步遮蔽了安全人員的雙眼。Securosis 分析師，云安全公司 DisruptOps 產(chǎn)品副總裁 Rich Mogull 寫道：“安全人員面臨的問題在于，不同提供商的安全模型和控制區(qū)別很大，而且往往文檔不全，還完全不兼容。誰(shuí)要是告訴你通過幾節(jié)培訓(xùn)課程，在幾周或幾個(gè)月時(shí)間里讓你掌握所有提供商產(chǎn)品的細(xì)微差別，那他要么是無(wú)知，要么是在撒謊。只有幾年時(shí)間的實(shí)踐經(jīng)驗(yàn)才能真正理解一家云提供商的安全細(xì)節(jié)。

5. 容器與容器編排

隨著公司企業(yè)利用容器化的瞬時(shí)靈活性與可擴(kuò)展性，滿足軟件開發(fā)持續(xù)集成/持續(xù)交付 (CI/CD) 快速發(fā)展的需要，云中容器化工作負(fù)載和容器編排的使用也飛速躍升。但 Kubernetes 這樣的新平臺(tái)，向云環(huán)境引入新型錯(cuò)誤配置與漏洞的速度，超出了安全團(tuán)隊(duì)保護(hù)容器技術(shù)工作方式的能力。AimPoint Group 受 StackRox 委托進(jìn)行的調(diào)查顯示，40% 的公司企業(yè)如今仍處于規(guī)劃容器環(huán)境安全策略或其基礎(chǔ)實(shí)施階段，另有 19% 根本就沒有容器環(huán)境安全策略。

6. 暗數(shù)據(jù)

未分類未托管的數(shù)據(jù)也稱為 “暗數(shù)據(jù)”，是當(dāng)今大多數(shù)企業(yè)的嚴(yán)重問題，不管這些數(shù)據(jù)是在現(xiàn)場(chǎng)還是在云端。根本不知道的資產(chǎn)是無(wú)法保護(hù)的，所以公司企業(yè)在暗數(shù)據(jù)保護(hù)方面束手無(wú)策。Vanson Bourne 近期為 Veritas 所做的調(diào)查中，暗數(shù)據(jù)問題在公共云環(huán)境中尤為尖銳，3/5 的公司稱其公共云數(shù)據(jù)中已分類部分少于一半。

7. 取證與威脅追捕遙測(cè)

安全團(tuán)隊(duì)如今面對(duì)的一些重大云盲點(diǎn)，與取證和威脅追捕遙測(cè)相關(guān)。公司企業(yè)不僅難以從各種不同云資源獲取恰當(dāng)信息饋送，即便能夠獲取到正確的信息饋送，他們面臨的也是一場(chǎng)硬仗。僅僅是整合數(shù)據(jù)，并將之與現(xiàn)場(chǎng)遙測(cè)關(guān)聯(lián)就已經(jīng)是一場(chǎng)噩夢(mèng)——某種形式的多儀表盤盲區(qū)呈現(xiàn)在事件響應(yīng)和威脅追捕團(tuán)隊(duì)面前。

SANS 研究所指出，一半以上的公司企業(yè)無(wú)法從其云提供商處獲得用于取證的低級(jí)別日志和系統(tǒng)信息；能夠?qū)⒆杂腥∽C與事件響應(yīng)工具與其公共云環(huán)境集成的公司企業(yè)不到 1/3。

《2019公共云趨勢(shì)》報(bào)告：

https://www.esg-global.com/hubfs/pdf/ESG-Research-Report-2019-Public-Cloud-Trends-Apr-2019.pdf?hsCtaTracking=cb4a5b98-896d-42b4-8da2-4cc325170ba3|2e2d925a-9721-4a66-8dbd-9bb8dd6bdd30

云安全聯(lián)盟報(bào)告：

https://cloudsecurityalliance.org/artifacts/cloud-security-complexity

《2019 Harvey Nash/畢馬威 CIO 調(diào)查》：

https://www.hnkpmgciosurvey.com/

AimPoint Group 為 StackRox 所做調(diào)查研究：

https://www.stackrox.com/kubernetes-adoption-and-security-trends-and-market-share-for-containers/

Vanson Bourne 為 Veritas 所做調(diào)查研究：

https://www.veritas.com/form/whitepaper/realizing-the-power-of-enterprise-data

SANS 研究所調(diào)查：

https://www.sans.org/webcasts/109760?utm_medium=Referral&utm_source=PR+Log&utm_content=Analyst+Program+Webcasts+PR+04+2019+Cloud+Security+Survey&utm_campaign=Analyst+Program+Webcasts