From terminal protection to network security, to cloud security, to multi-cloud security and cloud-native security, it is very important for every enterprise. This article analyzes how to increase cloud security protection capabilities in a multi-cloud environment from the perspective of an enterprise.
What is multi-cloud security?
Multi-cloud security is the set of policies, strategies and solutions that companies rely on to ensure security in multi-cloud environments. This type of security enables enterprises to enjoy the benefits of multi-cloud without exposing data and assets to cyber threats.
The biggest challenge of multi-cloud security is managing and securing assets and environments from different cloud providers. Multiple vendors with different capabilities and rules complicate cloud security tasks, including but not limited to
- Ensure consistent security controls.
- Set up solid access management.
- Identify and respond to vulnerabilities.
- Maintain a holistic view of security.
Typically, the cloud provider is responsible for the security of the cloud (network traffic, operational logs, compliance, etc.), while the customer is responsible for security in the cloud (services, application activity, workloads, open source and licenses, etc.). The supplier's job is to
- Ensure cloud infrastructure is secure and reliable.
- Protect hosts and data centers.
- Provide customers with the ability to protect data (multi-factor authentication vectors, access management software, encryption tools, etc.).
A multi-cloud company is responsible for how teams use and store data in each cloud infrastructure, and internal teams need to
- Design the overall security architecture.
- Ensure operations comply with relevant laws and regulations.
- Define access rules and permissions.
- Handles cloud monitoring.
- Set backup.
- Identify and respond to security incidents.
- Design a secure deployment process.
- Keep third-party tools updated.
- Set up Data Loss Prevention (DLP).
- Identify steps for cloud disaster recovery. Most companies try to organize several roles internally to handle these tasks, spreading responsibility among CISOs, DevOps teams, and security operations centers (SOCs).
Multi-cloud Security Risks
The main risks of failing to establish proper multi-cloud security are
- Loss of sensitive data due to lack of protection or human error.
- Pay fines for failing compliance checks.
- Compromise customer experience due to prolonged downtime or poor application performance.
- Falling victim to malware leading to data breaches.
- Allow unauthorized users to access internal data.
- Reputation hit due to loss of private user data.
The risks mentioned above are very common in the use of cloud computing in a single-cloud or multi-cloud environment. Taking it a step further, in multi-cloud, companies must protect a larger attack surface, and the complexity of their environment makes problems more likely to occur. Here are the key challenges that make multi-cloud more risky than single cloud
- Teams must configure, secure and manage more than one infrastructure.
- 每个平台都需要持续的维护。
- 每个供应商都有独特的安全政策、控制和颗粒度。
- 攻击者有更多的方法渗透到设置中。
- 监控必须考虑到云部署的全部范围。
- 该团队必须连接和整合来自不同供应商的各种服务。
实现多云数据安全的最佳实践
公司需要一个健全的安全策略，以确保多云不会导致漏洞。以下是11个多云安全最佳实践，可以帮助你在多个云提供商中，合理地分散安全工作。
围绕合规性建立安全战略
在多云中实现合规性的第一步是了解适用于您的业务的标准和法规。公司需要考虑的法规的常见例子是数据隐私法(即GDPR和CPA)、HIPAA和PCI等等。
法规适用于特定的行业和地点，所以在开始部署之前，要知道你的多云需要遵守什么。一旦你知道期望是什么，就利用法律要求来
- 概述相关数据的生命周期。
- 定义安全控制。
- 设置访问管理。
- 对所有的云数据进行分类。
- 组织足够的存储空间。
记住，每个云平台都有不同的合规功能和认证。你甚至可能在一个云上运行具有不同合规规则的独立工作负载。考虑使用一个自动化的工具来持续审计跨云的合规性，并生成关于潜在违规行为的报告。
智能策略管理
公司应制定一套安全策略，在所有云环境中执行，并简化安全操作。包括通过策略定义
- 可接受的数据类型。
- 云的所有权。
- 认证和访问规则。
- 云工作负载安全和网关。
- 安全分析。
- 监管规则和当前的合规状态。
- 云迁移协议。
- 威胁建模、优先排序和情报。
- 针对每种攻击类型的响应计划。
虽然环境之间的一些不兼容是很常见的，但使用一个标准化的政策作为起点，有助于
- 加快配置和部署。
- 减少疏忽和人为错误的风险。
- 确保多云间的一致性。
如果你在多个云中运行相同的操作，你应该同步策略。例如，当使用多云以确保可用性时，两个云应具有相同的安全设置。团队应该使用一个工具来同步两个供应商之间的设置，并创建一个具有适用于两个云的通用定义的政策。
充分利用自动化
多云安全的一个重要风险因素是人为错误。通过将尽可能多的任务自动化，有助于一个企业
- 减少员工犯错的可能性。
- 增加团队的敏捷性。
- 加快与云有关的进程。
- 确保跨环境的一致性。 自动化应该在多云安全方面发挥重要作用。例如，每个新的容器或虚拟机可以通过自动安全扫描。另一种使用自动化的方式是运行测试安全控制的连续检查。
采用`DevSecOps`是公司开始思考自动化在云计算安全中的作用的绝佳方式。DevSecOps将安全作为一个核心考虑因素，而不是事后考虑，这种方法是保持多云安全的理想选择。
简化多云工具栈
与其依赖供应商的本地工具和第三方解决方案的组合方案，你应该将精力放在一个单一的总体平台，提供跨多云的无缝安全。否则，你将面临以下的风险
- 整合不力，导致安全漏洞。
- 人为错误的机会增加。
- 雇佣超过你所需要的员工。
- 给团队带来过多的维护负担。
确保你选择的平台可以做到。
- 与不同的云服务无缝集成。
- 与你的应用程序和工作负载一起扩展。
- 提供数据活动的实时更新。
此外，你的安全工具应该有一个统一的视窗和安全大屏，管理员可以从统一的入口那里管理跨云的应用程序和数据。一个单一视角的工具可以简化繁杂的工作，使安全团队更加有效。
设置多云监控
多云需要强大的监控，将不同平台的事件、日志、通知和警报整合到一个位置。另一个重要的功能是拥有一个可以自动解决问题或在补救期间提供合理的策略。
充分利用审计日志
审计日志记录了与云租户有关的所有变化，包括
- 增加新的用户。
- 访问权的授予。
- 登录持续时间。
- 登录期间的用户活动。
审计日志对多云安全至关重要，因为这种活动有助于。
- 识别恶意行为。
- 在网络攻击开始之前发现漏洞。
- 揭示代码或云相关问题。
- 运行操作故障排除。供指导的工具。
除了整合和自动修复，你的监控工具还应该。
- 具有可扩展性，以满足不断增长的云基础设施和数据量。
- 提供连续的实时监控。
- 为所有警报提供背景。
- 允许团队创建自定义通知。
依靠数据加密和保密计算
加密是保护数据的一种有效方法，无论是在企业内部还是在云端。多云安全策略应在静态和传输中对数据进行加密。
- 静止状态下的加密可以保护没有在网络中移动的存储数据。如果入侵者破坏了数据库，没有解密密钥就不可能破译数据。
- 传输中的加密方式在信息通过网络移动时保护数据。如果入侵者以中间人攻击或窃听的方式截获数据，数据仍然安全。
除了保护静止和移动数据的安全，你还应该对所有的调度、监控和路由通信进行加密。彻底的加密可以确保关于你的基础设施和应用程序的信息保持秘密。
除了对静止和传输中的数据进行加密，多云安全策略还应该包括保密计算，以确保数据在使用过程中不会变得脆弱。使用中的加密通过在处理过程中对工作负载进行加密，对云数据进行全面保护。
实践租户隔离
租户隔离是提高多云安全的一个简单而有效的方法。租户隔离要求团队确保
- 每个应用程序都在一个单独的租户中运行。
- 所有环境(开发、测试、暂存、生产等)都在单独的租户内运行。 为了获得额外的安全性和敏捷性，你也可以使用登陆区。登陆区允许团队快速建立一个多租户环境，并预先定义访问管理、数据安全、治理和日志规则的基线。
执行最小特权原则
每位员工只应访问该员工履行其职责所需的资源。这种最小特权原则有几个目的，包括
- 隔离关键任务和敏感数据。
- 减少攻击者在入侵账户时在系统中横向移动的能力。
- 帮助企业遵守数据隐私和安全法律。
在多云中，使用云供应商的本地工具来控制访问并不是一个好主意。来自不同供应商的解决方案不能很好地协同工作，并创造出增加风险的孤岛。相反，使用一个整体的工具，集中所有云的访问控制。
要注意不要用缺失的访问权限或缓慢的审批程序来阻碍团队的工作。相反，创建一个简单而透明的访问权限分配流程，帮助保护多云，而不拖累运营。
定期备份云数据
定期进行数据和系统的云备份。无论你决定在内部还是在云端存储备份，你都应该遵循几个良好的做法。
- 使用不可变的备份，以确保攻击者即使攻破多云也无法加密或删除数据。
- 每天多次备份数据。
- 为每个云保存一个单独的备份，以简化恢复工作。
- 使用零信任策略来保持备份的安全性。
- 使用一种工具，持续扫描备份中的恶意数据。
除了备份，多云安全策略还需要一个灾难恢复计划。设计一个既能快速恢复数据又能在备用云上保持服务可用的计划。
建立一个持续改进的文化
每个多云安全策略都必须经过定期评估，以确保防御措施跟上最新标准。为了确保安全不会落后太多，一个团队应该做到
- 定期检查软件更新。
- 密切关注公司如何保护数据以及犯罪分子如何入侵系统，从而了解最新的网络安全趋势。
- 定期进行漏洞评估，包括与外包专家合作和在内部进行。
- 确保所有第三方工具都是最新的更新。
- 不断寻找新的方法，使安全更加自动化和高效。
除了以上提到的方案，还包括云堡垒机，态势感知等方式去保证多云环境下的安全。
总结
安全热词
- 一致性
- 统一性
- 可见性
- 资产
- 漏洞
- 配置和基线
- 合规
- 安全策略
- 自动化
- DevSecOps
- 审计日志
- 流量日志
- 监控
- 数据加密
- 租户隔离
- 最小权限
- 备份
- 检测
- 调查
- 响应
- 态势感知
- 云堡垒机
热词解释说明
1.合规性-自动化的工具来持续审计跨云的合规性，并生成关于潜在违规行为的报告。
2.安全配置策略-用同一个工具同步多个供应商之间的设置，并创建一个具有适用于多个云的通用定义策略
3.DevSecOps-充分利用自动化，将DevSecOps作为核心考虑
4.统一的安全平台-集成多维度的云安全工具和解决方案，是一个总体的工具
5.监控-使用监控，将不同平台的事件、日志、通知和警报整合到位置，并提供自动化解决问题或补救建议
6.审计日志-充分利用审计日志，全面了解云租户的有关变化
7.数据加密-加密静态数据，以及对传输过程的数据进行加密保护
8.租户隔离-通过租户隔离，限制有限的访问管理，数据安全，治理和日志规则的基线
9.最小权限-创建一个简单而透明的访问权限分配流程。即收集需求配置最小权限，识别过度权限，提供最小权限建议
10.数据备份-设计数据和系统的云备份策略，并按照计划实施，并支持配置灾难恢复计划
11.资产-识别云上所有的资产，包括影子IT，并建立有效的拓扑关系
12.态势感知-态势感知 (Situation Awareness，SA) 为用户提供统一的威胁检测和风险处置平台。帮助用户检测云上资产遭受到的各种典型安全风险，还原攻击历史，感知攻击现状，预测攻击态势，为用户提供强大的事前、事中、事后安全管理能力
13.云堡垒机-云堡垒机(CBH)，即运维审计系统。为用户提供集中运维管理解决方案；运维人员可通过堡垒机远程访问云主机，实现对访问账号的集中管理，并做精细的权限规划和运维审计；提升企业的内部运维风险控制水平
我正在参与掘金技术社区创作者签约计划招募活动，点击链接报名投稿。