|
新聞中心
當前位置：網(wǎng)站首頁 > 新聞中心
安全即服務：云端安全的優(yōu)勢與風險
信息安全領域向我們隱藏了一個黑暗秘密：我們正在打一場必輸?shù)膽?zhàn)爭，并且以驚人的速度以數(shù)據(jù)泄露的形式失去我們的陣地。這并不是因為我們在保護企業(yè)資產(chǎn)方面不夠努力，而是歸結于一個簡單的事實：與我們的防御相比，攻擊者有更多的時間和工具發(fā)動攻擊。一些企業(yè)根本沒有足夠的資金投資于信息安全計劃所需的資源，而其他企業(yè)則試圖以最少的人員和預算部署“半吊子”信息安全計劃，以滿足合規(guī)要求。
然而，時代在改變，現(xiàn)在安全專業(yè)人士的“武器庫”中出現(xiàn)了新的武器來打擊不斷增加的網(wǎng)絡攻擊風險—云計算。越來越多的企業(yè)開始部署云計算，來幫助降低成本、提高靈活性和提供業(yè)務專業(yè)技能?；谠朴嬎愕陌踩找簿哂邢嗤膬?yōu)勢。這種新興的安全即服務模式為網(wǎng)絡攻擊和網(wǎng)絡防御提供了前所未有的公平競爭環(huán)境。不過，需要注意的是，部署企業(yè)云解決方案所涉及的風險同樣存在于部署基于云計算的安全服務中。那么，你知道何時安全即服務適合你的企業(yè)嗎？企業(yè)需要考慮基于云計算的安全服務的優(yōu)點和缺點。安全即服務的優(yōu)勢
1.人員力量增強
信息安全是一種勞動密集型工作。我們可以自動化很多工作，但最終總是需要人來做出判斷。我們需要從服務器、網(wǎng)絡設備、防火墻和入侵檢測系統(tǒng)收集日志，這些都要求工作人員完全集中注意力。勞動力是安全計劃中最繁忙的。數(shù)據(jù)泄露隨時可能會發(fā)生，而系統(tǒng)始終“忠誠地”記錄著信息，直到有人有足夠的時間來轉譯這些日志信息。最近發(fā)生了很多涉及系統(tǒng)滲透的數(shù)據(jù)泄露事故，這些泄露數(shù)月后才被安全團隊發(fā)現(xiàn)。并且，這些數(shù)據(jù)泄露事故的報告往往來自外部第三方，因為內部沒有人有時間來轉譯這些日志數(shù)據(jù)。
這也是安全即服務派上用場的地方。云計算主要是共享資源以實現(xiàn)規(guī)模經(jīng)濟。安全即服務解決方案可以指派團隊處理特定活動(例如監(jiān)控日志)，并在很多不同客戶間分攤成本，為大家降低單位成本。安全計劃現(xiàn)在可以提供一個專門的日志監(jiān)控小組，如果沒有基于云計算的模式，這是不可能實現(xiàn)的。這提高了安全計劃的有效性，并且讓內部人員有更多時間放在更高層次的風險管理工作上。
2.提供先進的安全工具
我們都做過這樣的事：下載需要投入大量時間以降低安全風險的開源安全工具。這些開源工具是免費的，并且也不需要其他預算。開源技術并沒有問題，甚至非常好用。不幸的是，開源技術需要花費大量時間來在生產(chǎn)環(huán)境中安裝和維護。例如，你花了多少小時來試圖找到一個Snort規(guī)則，以讓你的IDS服務啟動?
在另一個領域，部署安全即服務也十分有效：你的安全計劃還可以通過云計算規(guī)模經(jīng)濟獲得先進的安全工具。這些可用安全工具的質量和種類可以與其他企業(yè)內部部署的商業(yè)產(chǎn)品媲美，且花費沒那么多。更重要的是，這些工具將由云服務供應商來維護，所以你有足夠的時間來利用這些工具的優(yōu)勢。
3.提供專業(yè)技術知識
信息安全是一個廣泛的話題，不可能有人了解各個方面的各個細節(jié)。例如，一些安全專業(yè)人士專注于取證，而另一些則專注于Web應用安全。其他人則因為在企業(yè)的安全計劃中缺乏足夠的人力資源，而僅有全面但不精細的安全知識。這種知識方面的差距可能導致嚴重的盲點無法察覺到風險，更別提緩解風險。
安全即服務可以幫助解決這個問題。提供基于云計算的安全的供應商主要側重于信息安全的特定方面。例如，一些供應商提供基于云的漏洞掃描儀(由專家維護)來檢測互聯(lián)網(wǎng)中可利用的系統(tǒng)。其他云供應商則圍繞抵御拒絕服務(DoS)攻擊來建立自己的整個網(wǎng)絡。企業(yè)沒有足夠的資金聘請相關安全專家或部署資源，而安全即服務讓企業(yè)可以利用這些專家和資源的優(yōu)勢，這使得內部安全人員不用過多關注技術細節(jié)，而更多地關注如何戰(zhàn)略性地管理企業(yè)的信息安全風險。
4. 將信息安全定位為業(yè)務推動力
信息安全部門通常被認為是在企業(yè)活動中設置路障的部門，造成這種想法的原因有很多，而這實際上可能并不是信息部門的錯誤。企業(yè)中的一些人可能不理解用于保護機密數(shù)據(jù)的加密或防火墻技術的重要性。即使他們明白這些技術背后的原因，他們肯定也不明白部署這些安全技術所需要的時間。
安全即服務也可以幫助解決這個問題。它不能讓企業(yè)其他部門了解安全需求，但它能確保更快的部署安全技術，而這可以減少既定的企業(yè)項目的影響。這是所有基于云計算的安全服務的一個關鍵優(yōu)勢，安全計劃必須利用這一優(yōu)勢。例如，虛擬服務器可以快速自動地通過相同的防火墻規(guī)則來配置。這還可以讓信息安全部門與企業(yè)領導建立不同的關系，并可以改變人們對信息安全的看法，將其視為業(yè)務推動者，而不是障礙。
5.一種新方法
除了安全即服務的諸多好處外，一些新類型基于云計算的安全也具有一定的優(yōu)勢。除了傳統(tǒng)的電子郵件和Web過濾安全即服務外，還有一些新服務值得企業(yè)關注，它們可以幫助解決安全行業(yè)一直在努力解決而未見成效的老問題。云計算模式的引入為我們提供了一種新方法，也許可以幫助我們解決這些難題。
6.身份管理
密碼是眾多老問題中的一個，它幾乎與多用戶計算同時出現(xiàn)。在20世紀80年代的一部電影中，我們看到了一個黑客從便利貼竊取系統(tǒng)密碼，現(xiàn)在，員工仍然將寫有密碼的便利貼放在其鍵盤下。用戶管理單個密碼都有困難，更別提現(xiàn)代環(huán)境中讓他們背負10個密碼。對于系統(tǒng)管理員和人力資源部門而言，管理員工賬戶并不是簡單的工作。新員工都在等待訪問系統(tǒng)以完成其工作，而有時候，當員工離職后，其賬戶可能沒有被及時禁用。這種復雜的手動系統(tǒng)給系統(tǒng)管理員和人力資源兩方面都帶來安全風險。
有幾個可靠的安全即服務產(chǎn)品可以加快賬戶管理過程，并提供單點登錄功能。它們可以與云端的系統(tǒng)以及內部網(wǎng)絡中的系統(tǒng)配合使用。這些服務利用了開放標準協(xié)議(例如SAML)，甚至允許結合內部微軟Active Directory基礎設施。通過這種混合方法，即內部和外部服務從同一來源進行身份驗證，企業(yè)可以節(jié)省時間和資金，簡化密碼過程，同時還降低整體風險。
7.虛擬機管理
在單個硬件服務器運行多個虛擬服務器是信息技術領域最具顛覆性的改變。企業(yè)迅速部署私有云、公共云和混合云來取代擠滿數(shù)據(jù)中心的物理硬件。然而，這項技術也可能給信息安全帶來破壞性的影響，同時帶來更多新的挑戰(zhàn)。
在公共云或私有云管理虛擬服務器的挑戰(zhàn)之一是配置管理。配置管理包括通過基于企業(yè)政策的安全方法配置和維護服務器，這些方法有防火墻政策、文件系統(tǒng)權限和安裝的服務。支持這一過程的技術已經(jīng)充斥在數(shù)據(jù)中心中?；谠朴嬎愕呐渲霉芾硐到y(tǒng)需要能夠跨多個云服務供應商和內部數(shù)據(jù)中心提供這種功能。
用于配置管理的基于云計算的安全服務提供這種功能。它們用越來越多針對Windows服務器的功能提供對Linux的完整控制，它們還可以用于不同服務商的托管服務器。令人驚訝的是，這些新的基于云的配置管理系統(tǒng)更易于配置，并且與之前內部托管系統(tǒng)一樣強大。這是值得安全專業(yè)人士關注的另一個基于云計算的安全服務，即使他們只有內部服務器資源需要管理。
8.網(wǎng)絡層保護
在過去幾年中，保護對基于互聯(lián)網(wǎng)的資產(chǎn)的網(wǎng)絡連接變得越來越迫切。現(xiàn)在，網(wǎng)站正越來越多地受到網(wǎng)絡犯罪分子和黑客組織的攻擊。黑客組織使用低技術工具對各種企業(yè)發(fā)動DoS攻擊，這種類型的攻擊主要對象還是基于互聯(lián)網(wǎng)訪問的云計算應用。
對這種針對云資產(chǎn)的攻擊的最好防御其實是云本身。一些安全即服務解決方案通過利用大量帶寬和智能協(xié)議路由，來提供針對DoS攻擊的保護。這些服務還可以將Web服務器隱藏在其前端服務器后，防止遭受路過式攻擊。其他基于云計算的安全包括PCI DSS、數(shù)據(jù)標記化、web應用防火墻以及隱藏DNS服務器。
安全即服務的風險
對于緩解安全風險，世界上并不存在完美的工具，安全即服務也不例外?；谠朴嬎愕陌踩蘸退衅渌品障嗤陌踩L險一樣，主要分為以下幾個類別：
1. 云供應商對你的數(shù)據(jù)擁有一定程度的訪問權限。云供應商必須謹慎處理安全相關的數(shù)據(jù)，因為這些數(shù)據(jù)的泄露可能導致多個數(shù)據(jù)泄露事故。更全面的云計算服務應使用加密技術，但這里仍然存在供應商密鑰管理的問題。對于需要擁有最高數(shù)據(jù)保密性的應用的企業(yè)，最好考慮使用內部解決方案。
2. 安全即服務將是從互聯(lián)網(wǎng)訪問。對于內部系統(tǒng)，安全專業(yè)人員不需要考慮這個風險，在過去，將內部防火墻管理工具暴露在互聯(lián)網(wǎng)從來都是不被接受的做法。這些服務器的身份驗證系統(tǒng)必須提供強大的多因素身份驗證，以確保適當?shù)谋Ｗo水平。你還需要考慮潛在的DoS攻擊，如果沒有強大的保護，攻擊者可能會修改服務或者阻止企業(yè)管理或訪問這些服務。
3. 安全即服務供應商間輸出服務的開放標準不太可能。使用這些服務的企業(yè)需要明白供應商間的任何切換將是完全手動的操作，包括在新供應商處重新建立防火墻規(guī)則、虛擬機配置和身份驗證方法。
4. 企業(yè)應該進行詳細的供應商盡職調查審計，以對待任何其他云服務供應商的方式來對待安全即服務。企業(yè)應該仔細選擇供應商，并調查其財務狀況，徹底檢查服務供應商的信息安全狀態(tài)，確保他們不會突然人間蒸發(fā)。企業(yè)需要完全信任云供應商，所以，這種審計是至關重要的。
5. 對于基于云計算的安全服務，合規(guī)是另一個難以解決的問題。一個服務可以提供一流的審計報告，并滿足所有盡職調查的技術要求，然而，卻可能仍然不能滿足合約或法律協(xié)議，例如HIPAA法案要求的商業(yè)伙伴合約；這種情況正在改善，但企業(yè)必須了解安全即服務供應商將如何滿足其特定的合規(guī)要求。
很多信息安全專業(yè)人士對部署任何類型的外包服務都充滿焦慮，這是安全即服務需要考慮的。目前的經(jīng)濟發(fā)展讓很多類型的員工產(chǎn)生一定的抗拒，安全專業(yè)人士擔心自己被云服務取代。然而，這些新服務可以讓安全專業(yè)人士將時間和精力投入到更高水平的戰(zhàn)略性安全項目中，而不是每天的日常維護工作。這將有助于安全計劃實現(xiàn)更高的效率，而這實際上還可能增加工作安全性。此外，誰真的愿意花整晚的時間來編制另一個更新版本的Snort?
|
