在訪談中，Mitigant的首席技術(shù)官Kennedy Torkura討論了確保云環(huán)境的清晰可見性的復(fù)雜性，為什么它會(huì)給CISO帶來如此大的挑戰(zhàn)，以及他們?nèi)绾螠?zhǔn)備解決潛在問題。

你能談?wù)効梢娦栽诠芾碓瓢踩械淖饔脝?為什么它是當(dāng)今CISO面臨的重大挑戰(zhàn)?

(資料圖)

由于云基礎(chǔ)設(shè)施的性質(zhì)，對(duì)安全態(tài)勢(shì)的可見性對(duì)保持領(lǐng)先于云攻擊者至關(guān)重要。云基礎(chǔ)設(shè)施在很大程度上是由API驅(qū)動(dòng)的，由主要分布在廣泛攻擊面的動(dòng)態(tài)資源組成。這些因素和許多其他因素的結(jié)合對(duì)有效的云安全構(gòu)成了巨大的挑戰(zhàn)。因此，確保云安全的一個(gè)核心要求是實(shí)現(xiàn)可靠的可見性。可以利用幾種機(jī)制來增強(qiáng)可見性，包括實(shí)施日志記錄和監(jiān)控機(jī)制、啟用跟蹤云資源和配置中的所有更改的更改管理策略，以及實(shí)施威脅檢測(cè)和事件響應(yīng)策略。

DevOps的動(dòng)態(tài)環(huán)境，特別是微服務(wù)和容器的引入，如何增加確保云環(huán)境的清晰可見性的復(fù)雜性?

盡管具有優(yōu)勢(shì)，但微服務(wù)和容器引入了幾個(gè)抽象層，這增加了云原生系統(tǒng)的復(fù)雜性。Kubernetes安全團(tuán)隊(duì)使用“云本地安全的4C”的概念來解釋這一現(xiàn)象。微服務(wù)和容器在由多種技術(shù)組成的各種抽象層上運(yùn)行，這些技術(shù)包括不同類型的通信協(xié)議。安全機(jī)制通常旨在解決特定技術(shù)中的安全問題。

因此，這限制了抽象層的安全機(jī)制的有效性。最終，在云本地基礎(chǔ)設(shè)施中，需要幾種安全機(jī)制才能實(shí)現(xiàn)可見性。然而，這些安全機(jī)制通常是孤立運(yùn)行的，因此難以提供統(tǒng)一的可見性。要克服這些挑戰(zhàn)，需要在各種抽象層中跨不同的安全機(jī)制部署通信通道。此外，微服務(wù)和容器被設(shè)計(jì)為動(dòng)態(tài)的，因此跟蹤和確保可見性是具有挑戰(zhàn)性的。

考慮到威脅參與者利用錯(cuò)誤配置滲透到企業(yè)中的趨勢(shì)日益增長(zhǎng)，CISO應(yīng)該采取哪些戰(zhàn)略來降低其云環(huán)境中的這些風(fēng)險(xiǎn)?

威脅的流行率和復(fù)雜性正在迅速增加，這是許多企業(yè)非常擔(dān)心的問題。沒有一刀切的方法來克服這些挑戰(zhàn)，擁有足夠安全預(yù)算的成熟企業(yè)也未能幸免，因此解決方案不僅僅是擁有足夠的預(yù)算來獲得同類最佳的安全解決方案。基本的安全設(shè)置是降低相關(guān)風(fēng)險(xiǎn)的基礎(chǔ)。企業(yè)需要通過培養(yǎng)網(wǎng)絡(luò)安全文化來確保這一點(diǎn)。此外，鑒于不能保證實(shí)現(xiàn)100%的安全，“假定違約”的概念勢(shì)在必行。

企業(yè)需要實(shí)施持續(xù)驗(yàn)證安全機(jī)制效率的安全機(jī)制。可以利用幾種安全解決方案來持續(xù)驗(yàn)證安全效率，包括安全混亂工程、對(duì)手模擬和威脅追蹤。我想提到的最后一點(diǎn)是從網(wǎng)絡(luò)安全轉(zhuǎn)向網(wǎng)絡(luò)彈性。網(wǎng)絡(luò)安全旨在檢測(cè)和防止攻擊，網(wǎng)絡(luò)韌性推動(dòng)阻止或適應(yīng)攻擊，同時(shí)在面臨逆境時(shí)實(shí)現(xiàn)業(yè)務(wù)連續(xù)性。

使用多個(gè)公有云和私有云以及內(nèi)部部署環(huán)境如何增加管理復(fù)雜性和運(yùn)營(yíng)成本?

使用多個(gè)公有云和私有云以及內(nèi)部部署環(huán)境會(huì)帶來各種挑戰(zhàn)，從而增加企業(yè)的管理復(fù)雜性和運(yùn)營(yíng)成本。雖然多云和混合環(huán)境具有各種優(yōu)勢(shì)，如靈活性、可擴(kuò)展性和彈性，但它們也伴隨著必須仔細(xì)管理的固有復(fù)雜性。使用多個(gè)公有云和私有云，包括內(nèi)部部署環(huán)境，意味著使用不同API、技術(shù)等的不同基礎(chǔ)設(shè)施。

在這種多樣化的環(huán)境中保持一致的安全態(tài)勢(shì)是非常具有挑戰(zhàn)性的。每個(gè)云的安全機(jī)制各不相同，管理這些機(jī)制所需的技能也同樣不同。這種多樣化環(huán)境的影響橫跨人員、流程和技術(shù)，并可能造成攻擊者可以利用的盲點(diǎn)。同樣，在這種多樣化的基礎(chǔ)設(shè)施中暴露出來的攻擊面也對(duì)治理構(gòu)成了挑戰(zhàn)。

你能描述一下企業(yè)在臨時(shí)添加云服務(wù)時(shí)可能面臨的問題嗎?如何改進(jìn)這種做法?

云服務(wù)為企業(yè)提供了大量?jī)r(jià)值。然而，添加更多云服務(wù)的決定不僅需要從功能角度進(jìn)行治理和考慮，還需要從安全角度進(jìn)行考慮。應(yīng)該堅(jiān)持默認(rèn)安全的概念，特別是在云服務(wù)往往具有重疊功能的情況下。因此，在沒有充分規(guī)劃的情況下添加更多服務(wù)可能會(huì)導(dǎo)致冗余、資源浪費(fèi)和現(xiàn)有攻擊面的擴(kuò)展。

可以通過采用幾種安全實(shí)踐來避免這些問題，包括安全架構(gòu)和設(shè)計(jì)審查以及威脅建模練習(xí)，以證明需要這些服務(wù)是合理的。解決此問題的其他方法包括使用云服務(wù)提供商提供的服務(wù)來執(zhí)行企業(yè)范圍的策略。有了這樣的服務(wù)，可以應(yīng)用嚴(yán)格的治理，以避免故意或錯(cuò)誤地使用先前未計(jì)劃的云服務(wù)。

由于幾乎沒有IT團(tuán)隊(duì)擁有管理包含多個(gè)公有云、私有云和內(nèi)部部署環(huán)境的混合部署所需的專業(yè)知識(shí)，CISO如何做好應(yīng)對(duì)潛在問題的準(zhǔn)備?可以進(jìn)行哪些培訓(xùn)或技能提升?

如今，該行業(yè)面臨的一個(gè)巨大挑戰(zhàn)是缺乏足夠的技能。可以采取幾項(xiàng)措施來應(yīng)對(duì)這一挑戰(zhàn)，包括為工作人員提供教育預(yù)算和培訓(xùn)機(jī)會(huì)，以獲得與其工作職責(zé)有關(guān)的知識(shí)和技能。有幾個(gè)在線培訓(xùn)計(jì)劃可以為企業(yè)提供云培訓(xùn)計(jì)劃。企業(yè)可以通過訂閱此類計(jì)劃并鼓勵(lì)員工注冊(cè)和參加這些計(jì)劃來利用這些機(jī)會(huì)。

此外，還可以在企業(yè)內(nèi)部組織云培訓(xùn)，邀請(qǐng)外部或內(nèi)部主題專家分享他們的知識(shí)。這可以是理論和實(shí)踐的混合，以提升員工的云計(jì)算技能。

關(guān)鍵詞：