关于监控云安全的一些方法和措施

（文章来源：企业网）

如今，很多企业致力于提高云计算安全指标的可见性，这是由于云计算的安全性与本地部署的安全性根本不同，并且随着企业将应用程序、服务和数据移动到新环境，需要不同的实践。

安全厂商Threat Stack公司产品管理副总裁Chris Ford表示，人们不能再将安全视为一种可以“围绕一切的围栏”。他说，“在基础设施这个高度变化的新世界中，人们需要了解基础设施的所有不同区域，在这些区域中检测风险，并开始采取安全措施。这一切都取决于人们观察行为的能力。”

CloudKnox公司首席执行官Balaji Parimi表示，当涉及到当今的云安全实践时，很多企业处于“被动模式”。他们主要是通过使用能够提供异常活动可见性的工具来保护云环境，然后对异常活动做出响应。Parimi说，“虽然这些‘反应式’工具有一些优点，但企业必须优先考虑先发制人的措施，以防止灾难性的情况发生。”他建议，企业评估有助于防止或至少最小化与配置不当的身份相关的风险的工具。

监视过度配置或错误配置的身份是企业改进云安全监控的方法之一。在这里，专家们分享了他们在云计算中如何实施云安全监控的最佳实践。企业应与供应商进行沟通，以澄清安全责任的误解。Ford说， “很多企业希望与云计算提供商沟通，并准确理解共享责任模式所涵盖的内容。”他指出，很多企业可能对基础设施的某些领域视而不见。

除了询问涵盖哪些安全领域之外，他还建议询问哪些工具可以提供有助于识别更复杂的攻击行为的洞察力。Parimi提供了一个用户询问云计算服务提供商的问题列表：“你们负责哪些安全性，以及我们负责的是什么？你们的产品和服务符合哪些安全和隐私标准？你们是否保留了已签名的审计跟踪，其中包含哪些身份通过其UI和API执行哪些操作以及何时执行？你们对日志提供什么访问权限？”

“亚马逊公司如今是最强大的云计算供应商。”Mogull说。 CloudTrail涵盖几乎所有API调用，Config随时间处理配置状态监控，CloudWatch涵盖基本核心日志记录，GuardDuty查看用户永远无法访问的有关Amazon资产的数据。Microsoft Azure提供了各种日志服务，但它的大部分日志记录都是由Azure安全中心提供的，Mogull称其比CloudTrail更难从中获取数据。

Mogull在网络研讨会上表示，云计算带来的变化率与传统数据中心的变化率大不相同，其发展速度对监控安全威胁提出了挑战。例如，许多传统工具没有跟上发展步伐，因为它们不支持API，或者它们无法随时管理数据。他指出，云计算技术的波动性意味着静态库存工具的用处不大。

一些企业认为他们可以采用现有的安全堆栈并将其移至云端，但他不建议这样做。例如，这样做会提示如何处理无服务器架构或处理未管理容器服务器平台上的容器的问题。Threat Stack公司的Ford表示，超过一半的用户似乎愿意用安全换取速度和灵活性。企业将面临最大限度降低风险而不妨碍快速行动的挑战。他说，“我认为这是我们必须直接面对的挑战之一。”

在安全监控方面，大多数企业完全依赖于他们从云计算提供商那里获得的信息，Ford称这种方法可能会在可见性方面留下空白，特别是在工作负载方面。他解释说：“用户应该有能力观察云计算基础设施每一层的行为。”这其中包括主机可见性、容器可见性、对控制平台的可见性以及对应用程序层的可见性，以查看跨站点脚本、SQL注入和其他威胁。

Mogull建议将云监控视为是一种望远镜，而不是显微镜。他说，“用户不要认为可以捕获环境中每个部分的数据。庞大的数据量可能变得无法管理。”Threat Stack公司Ford说，“重要的是要了解得不到什么。”他警告说，不要让可见度带来一种虚假的安全感。这可能让组织很难知道对于给定的数据集采取哪些操作，而且在处理云安全数据时，场景是必不可少的。对于从多个供应商或提供容器的供应商处获得服务的组织来说将会增加复杂性。

Ford表示，仅仅依靠来自安全工具的警报是不够的。他说，“用户需要提供警报的深层次场景，这样才能理解产生警报时发生的事情。”Ford解释说，例如，某个组织收到亚马逊网络服务公司的GuardDuty关于有问题连接的警报。除非可以确定哪个用户启动了创建连接的进程，否则很难有足够的场景来使这些警报进行操作。他建议通过安全编排平台或SIEM与其他工具的组合，尽可能多地访问遥测数据，以收集所需的数据量。

如果组织正在研究网络流，那么用户和应用程序行为的知识可以帮助其确定什么是正常与异常行为。另一个例子是，Ford指出可以查看权限提升的配置。如果组织注意到权限升级与未经授权的文件修改相结合，那么对其配置的查看更加紧迫。
     （责任编辑：fqj）