混合雲端環境安全的 5 大核心原則

如何打造有效、可擴充且價格合理的混合雲端安全策略。

雲端四處蔓延的問題已成為大多數企業的日常。 隨著企業將工作負載從內部部署的資料中心移至多個公用雲端平台，它們傳統的防禦邊界也變得愈來愈模糊、甚至消失殆盡，產生了雲端四處蔓延的問題與棘手的安全挑戰。

要保護這個沒有邊界的最新混合雲端環境，您必須將安全控管措施移至需要的地方、利用新工具強制執行、並且以這 5 大核心原則為基礎：統一存取管理、自動化、提早執行、資料安全以及零信任。

在這篇部落格貼文中，我們將總結及說明您應如何採用這 5 個原則，這些內容我們在「混合雲端安全的 5 大必要條件 (5 Must-Haves for Hybrid Cloud Security)」網路研討會中也有說明。

原則 1：建立統一的存取管理策略

在雲端運算中，傳統的周邊已移到企業資料中心之外，也因此，身分取代了網路，成為最主要的信任邊界。因此，若要保護雲端的安全，統一的身分與存取管理 (IAM) 策略不可或缺。要達到這個目的，您應該：

• 採用統一的身分策略來確保雲端身分不會存在於不同的目錄或身分驗證系統中
• 對於所有存取強制執行多重因素身分驗證 (MFA)，或者起碼要對特殊權限帳戶採用 MFA
• 使用自動化工具來監控雲端帳戶是否有不尋常的存取，並且強制執行最低權限原則

確保您透過集中的 IAM 系統來追蹤雲端帳戶，並使用自動化工具不斷地掃描是否有未經授權存取雲端帳戶的情形。對於外部可存取的使用者帳戶而言，基本的身分驗證並不足夠，對於所有存取公用雲端的帳戶一定要使用多重因素身分驗證 (MFA)。不然，至少特殊權限帳戶要使用 MFA。

原則 2：將所有雲端的設定與驗證自動化

「極大多數的雲端安全事端都是源自於客戶的錯誤設定或失誤，遠遠超過來自惡意執行者所造成的問題。」

在我身為企業的分析師與顧問的多年經驗中，我發現極大多數的雲端安全事端都是源自於客戶的錯誤設定或失誤，遠遠超過來自惡意執行者所造成的問題。 在雲端的世界中，妥善設定雲端和編寫安全的程式碼同等重要。對於減少錯誤設定的主要建議包括：

• 至少整個環境要使用 CSPM 來確保安全的設定
• 使用統一的安全平台來收集整個環境的資料，例如：Tenable One 曝險管理平台

雲端安全自動化已成為現代安全策略中愈來愈重要的一環。它能讓企業減少管理雲端環境所需的手動工作，同時還能改善企業的安全態勢與擴充的能力。

這也是為什麼我們會觀察到愈來愈多企業採用像是 Tenable Cloud Security 的自動化雲端安全態勢管理 (CSPM) 工具以及此類工具蓬勃發展的原因。CSPM 解決方案不只能用來驗證雲端執行階段設定，而且還進化成可用來掃描 IaC 程式碼存放庫和搜尋身分及存取管理方面的挑戰，例如特權過高的帳戶與角色。

原則 3： 採用 DevSecOps 並提早執行控制機制

「雲端安全不應該是一個分開來的實體，擁有自己的工具與流程。團隊應在單一策略下團結一致，並且使用能夠讓團隊之間彼此認同的工具。」

安全團隊與開發人員想的不一樣。當開發人員想到雲端安全時，他們想的是技術控管措施、開放原始碼產品 (例如 Hashicorp 的 Terraform) 以及能讓他們的雲端原生應用程式在容器或 Kubernetes 上執行的酷炫功能。而當安全團隊想到控管措施時，他們想到的是風險，包含質或是量方面的資訊。他們會想知道有哪些控管措施已部署、要如何監控以及如何驗證。

基於這些理由，讓雲端團隊設計安全控管措施並不是好的做法。納入 DevSecOps 作法以及確保盡可能在開發工作流程的早期建置控管措施，是安全團隊的職責。雲端安全不應該是一個分開來的實體，擁有自己的工具與流程。團隊應在單一策略下團結一致，並且使用能夠讓團隊之間彼此認同的工具。想要「提早執行 (shift- left)」，您必須：

• 使用基礎架構即程式碼 (IaC) 安全工具 (例如：Terrascan),在開發流程中掃描您的基礎架構是否有錯誤設定。
• 將您的基準映像標準化，並且在隔離的開發環境中掃描這些映像
• 提早執行您的控管措施，這樣，您就能在部署至公用雲端平台之前透過提取控管措施並強制執行，擴充至多重雲端

這邊要注意的還有工具的合併。

在提供您正確衡量曝險以及將多個內部部署與公用雲端環境的風險因素標準化方面，盡可能減少所使用的工具是很重要的事。提到公用雲端，市場上的新廠商不斷增加，他們使用創新的技巧來彌補控管措施的落差，而主要廠商則採取更慎重的方式。好在，情況已經和過去不同。像是 Tenable One 這樣的解決方案能同時保護內部部署與公用雲端工作負載，提供您一致性的混合雲端安全平台。

原則 4：強化資料安全

企業必須透過加密所有存放中的資料來保護雲端資料。至少，您應設定雲端服務供應商 (CSP) 原生金鑰管理系統使用客戶控制的主要金鑰。理想上而言，應該在硬體安全模組 (HSM) 或使用公用雲端環境中的虛擬 HSM 核發您自己的主要加密金鑰，並將其保留在內部部署環境。

公用雲端資料安全的金鑰最佳做法包括：

• 加密所有儲存中的資料，但是要掌控加密金鑰
• 與雲端供應商的金鑰管理系統整合
• 您最好使用自己的 HSM 並且將金鑰保留在內部部署環境或在另一個雲端平台上

原則 5：使用零信任來統一策略

零信任是個被過度使用的詞彙，不過，對我們來說，它指的是零默許信任以及在進行身分驗證之後和整個工作階段的生命週期中對所有使用者實體行為的完整能見度。這是雲端的關鍵要求，不過，零信任原則也應導入私有雲端環境。

若要完全獲得零信任的效益：

• 如果可能的話，無論是公用雲端或私有雲端環境都要採用零信任原則
• 淘汰信任的網路以及「默許信任」的想法
• 雲端原生和零信任原則可以是安全轉型的動力，讓您的應用程式在整個混合雲端環境中更加安全

總結

成功的混合雲端安全需要統一的方法。雙層式 IT (Bimodal IT) 在所有公用雲端工作負載中留下了技術負債與安全盲點。安全主管應著眼於透過在整個開發流程以及整個公用與私有雲端環境中，強制執行可靠的標準，在部署至共享基礎架構之前就消除安全問題。

隨著我們持續採用公用雲端，使用從已經嘗試且測試過的安全作業淬鍊的最佳技術來改善我們的安全策略、並且將這些技術結合來自雲端技術的最佳安全作法是十分重要的事。而合併傳統上各自為政的工具也很重要，因為這些工具會產生太多的控管機制、讓您的執行速度變慢以及因為缺乏統一的雲端涵蓋範圍而產生控管缺口。

和技術團隊合作可能很困難，但安全主管必須轉型改採雲端原生及零信任原則。使用這 5 個重要的原則作為基礎，您就能確保相較於內部部署資料中心應用程式，您的混合雲端應用程式更加安全，而且也更容易管理。

如果您正在尋找有關上面建議的 5 個重要原則的更多資訊，歡迎收看隨需網路研討會「混合雲端安全的 5 大必要條件 (5 Must-Haves for Hybrid Cloud Security)」。您也可以深入瞭解 Tenable Cloud Security 並立即註冊免費試用。

(我們的特約作者 Tom Croll 是來自 Lionfish Tech Advisors 的 Tenable 顧問。)