关于混合云环境下的一些安全措施

现代企业基本没有完全云端化或压根儿不用云的，随着几乎每家公司都朝着在业务中引入云的方向发展，融合了云服务、云基础设施和公司现场技术的混合环境，便是如今大多数公司的实际情况。微软《2017混合云情况》报告显示，约2/3的公司承认自身运营在混合云环境上，另有18%的公司其IT环境可被归类为混合云。

混合环境正在成为云的默认用例，可以用“实用混合云”（公共云和私有云基础设施的混合）这个词来区分企业IT的混乱现状与混合云的规范定义。并且有人认为，实用混合云是当前的趋势。

融合了公司内部网络和云服务的IT环境一般都比较混乱，难以保证安全。专家称，公司企业需抽象出一定的方法来保护其IT环境安全，并简化基础设施以方便安全措施的部署。很多公司最大的混合云问题就是摊子铺得太大，铺得太快，造成安全被甩在身后望尘莫及的状况。有些公司连试水过程都省了，直接全面铺开，恨不得一口吃成胖子，结果却是云项目开展得万般挣扎。

比如说，管理层直接定调：我们要迈向云；然而，安全策略上的中央管理措施却根本没到位。其结果，只会是云项目演变为巨大而丑陋的一团糟。最好是完全新建一个项目，而不是将原有内部应用转移到云端。虽然很多云安全提供商关注资产盘点，但真的有可能发现公司的所有资产吗？而且，作为起步工作，迁移原有应用的工程量过于庞大了。最明智的方法，莫过于从能搞定的工作量开始。

大多数公司已经开始担心数据在云端的安全程度了。但也正是这些公司，依然假定自己内部基础设施中的数据就不会遭到攻击者染指。然而，不得不承认，攻击者总会在某个时候进入原以为安全的内部网络的。公司企业在安全认知上的最大错误，就是以为内部环境是安全的。这一点已经被Equifax、塔吉特等公司证明过了。

当人们认为自己运营在混合环境中时，他们就已经偏离了正确的认知路线。正确的假定应该是：我拥有的所有东西都暴露在互联网面前，必须在零信任环境中运营。零信任思维应在应用程序上有所反映，所有应用程序都应验证来自其他App的全部通信。随着设备的激增，业务数据可存储的地点数量也呈指数级上涨，从40年前的大型机，到30年前的PC，到最近10年的移动设备和云。

然而，数据还是那些数据，无论数据位于何处，必须保证数据安全，坏人对数据的觊觎之心从未减弱过。很多公司试图通过网络控制限制对信息的访问，以保护数据安全。但在混合环境下，以网络为中心的模式毫无意义。必须专注于真正关心的东西，也就是数据。数据才是公司最重要的资产，网络和设备都不是最重要的，你的数据才是。最好的CISO会假定整个环境都已被感染，在这种前提下进行数据防护。

员工在工作中平均使用36个云服务。想要减少公司混合云和内部环境中的复杂性，就应该尽可能地整合这些身份。大多数云提供商，比如AWS和微软的Azure，都提供整合用户身份的途径。身份管理提供商也会给用户统一的门户来接入各个企业服务。这些功能都可以让公司企业规范其访问控制。联合身份无疑非常重要。你或许不会想做什么疯狂的举动，但一定会想买个联合身份代理。大多数人都希望能从一个Web门户登入其环境。

不过，别指望将内部身份与云身份捆绑到一起，除非有什么简易的措施。内部应用依然保持内部，用一直以来的方式管理就行。除了整合身份和保持一致的数据防护，公司企业还需知晓各种应用连接工作流的方式，也就是拥有对连接的可见性。知道谁在哪些数据上执行什么工作负载，可以提升对整个基础设施的管理水平，并注意到潜在的安全问题。

这可能是其中最难以把握的一点了，但是公司企业必须获得对连接的可见性。可以借助日志文件收集与处理自动化，来提升该可见性。不过，即便如此，也是不太可能观测到企业网络和云基础设施上的所有事的。这是与普通意义上的可见性不同。你不可能随时坐那儿监视你全部的网络流量。

随着用户身份的唯一化，随着每次云项目迭代带来的更多可见性，公司应逐渐将重心放到精炼其策略上来。通过在云端和内部架构上应用统一的策略集，IT安全团队可在较高层级简化安全视图。也就是说，你定义策略时不用考虑数据存储位置，只需将策略映射到特定的服务或存储媒介。通过Exchange共享的数据和通过Slack共享的数据会有不同的规则，但策略是一致的。

这些策略连同增加的可见性，还给了公司捕获异常行为的机会。IT安全团队可以通过设置规则和查找恶意行为来检测攻击，在攻击者造成伤害之前就将其揪出来。想要改善每个云项目每次迭代的安全，公司企业就要有可衡量其所做工作有效性的数据。如何衡量成功非常重要。对云安全来说，可以简化成使用了多少个云服务和这些云服务有多少是被安全策略覆盖的。

没有指标，就谈不上混合基础设施的管理。这与每个驾驶员都需要仪表盘来告诉自己车辆行驶状况一样。随着公司云项目的扩张，可见性的重要性也随之增加。复杂性问题只会越来越严重。因此，公司企业和政府机构最好在复杂性问题不可收拾之前找到应对之策。