混合云安全基础知识：人们需要了解的4件事

与任何重大的IT变化一样，采用混合云模式需要企业重新审视其安全实践。如果实施的好，混合云应该有助于企业提高安全性。多个云计算环境带来的灵活性(每种环境都有其自身的优势和附带成本)可以使IT领导人能够将某种类型的敏感数据或关键数据保留在内部部署的数据中心中，并同时拥有私有云和公共云的巨大潜力。

但是，安全性必须成为企业整体混合云战略中可见的一部分，否则可能会在没有采取适当措施减轻风险的情况下带来新风险。

“无可否认，混合云基础设施是新业务面临现实的一部分。”Unbound公司研发副总裁兼联合创始人Guy Peer表示，“因此，企业的IT领导者必须将混合云安全作为优先事项，如果他们还没有实施的话。”

以下是企业IT领导者应该了解的关于混合云安全的核心问题，并且能够向组织中的其他人进行解释，将其视为“混合云安全101”。并介绍管理这些问题的策略问题，以及如何加强企业的混合云安全态势。

企业面临的四个关键的混合云安全问题：

1.周边安全措施不足

简而言之，当企业采用可能包括私有云和公共云环境以及本地部署或传统数据中心基础设施的混合模型时，采用保护企业网络边界的传统工具和策略已不再适用。

“IT领导者需要明白，他们仔细定义和维护的网络范围已经不够用了。”Cyxtera公司的副总裁兼首席信息安全官副总裁David Emerson说，“混合云正在成为企业基础设施的新常态，这些企业必须适应，而不是抗拒变革，并坚持采用传统的安全措施。”

随着混合云架构变得越来越普遍，IT专业人员将需要重新启动他们的面向外围安全的方法，因为其外围已经大大扩展和改变。

Unbound公司的Peer说：“大多数企业都会在不同的公共云或私有云上使用内部部署与多种云计算工作负载的组合。有了这种类型的环境，可能保证其周围边界安全。”

2.企业的威胁面现在分布广泛

传统的周边安全性在混合云基础设施中无法满足的一个根本原因是：企业现在在不同的环境中运行工作负载，跨越传统的本地基础设施、私有云和公共云。鉴于灵活性是混合云的强大吸引力之一，企业可能还会根据不断变化的业务和技术需求在这些不同环境之间移动数据。

Cavirin公司工程副总裁Brajesh Goyal说：“攻击面现在分布广泛，无限，并且不断变化。”

这意味着需要采用新的方法和最佳实践来确保跨不同环境的数据安全性。即使企业采用传统流程(如安全修补程序和更新)的处理方式也需要重新审视。正如Red Hat公司首席架构师Matt Smith最近指出的那样，对于希望在混合时代明智地处理更新的企业来说，自动化起着关键作用。

混合架构中的每种类型的环境(甚至每个潜在的提供者)都有不同的安全考虑和风险。没有统一的混合云安全方法，因为企业不再使用统一的基础设施。

“IT领导者应该知道，他们有不同的安全需求，取决于工作负载是什么，以及它所处的环境。”Flexential公司首席产品官Michael Fuhrman说，“而采用一种‘一刀切’的策略对于妥善保护企业的工作量不会有效。”

这本质上是一种成本效益的折衷，将再次伴随着任何重大的IT变化。

以下是瞻博网络公司全球安全战略总监Laurence Pitt列举的一个简单例子。“混合云所提供的规模和灵活性意味着用户可以访问多个环境，但这也会为部门带来在IaaS上形成‘影子IT’服务器的风险，而这些服务器对于企业IT来说是不可见或无法管理的安全策略。”他解释说。

将企业整体安全策略与混合云策略保持一致时，请将这些考虑放在首位。

3.思考新的工具、流程和政策

简而言之，企业采用混合云模式需要新的安全工具和实践，不应该抛弃其整个安全策略，但需要重新修改它。

Goyal说：“组织需要接受新的工具、策略和思维方式，以实现内部部署和云端的所有基础设施投资的健康安全态势。”

例如，在混合部署时代，各种基础设施的统一管理和资源共享成为关键，Red Hat公司技术传教士Gordon Haff写道，“即使某个组织尚未使用公共云资源，它们可能已经在运行多种基础设施平台(如虚拟化)的意义上是混合的，混合云管理可以帮助将这些统一在一个管理界面下。”他指出，“统一管理还可以为IT部门提供分布在不同地理位置的虚拟化资源的统一视图，以便进行分配、容量规划和计费。”

也许企业已经在调整其安全流程以适应DevOps的工作方式，而在开发过程的早期就开始关注安全：它通常被称为DevSecOps。

而越来越多的混合云采用，以及容器和微服务等相关趋势，是人们对DevSecOps兴趣日益增长的关键原因。

这是DevOps文化的逻辑演进，因为IT领导者意识到在持续交付和持续集成以及日益分布的环境和体系结构的时代，需要新的安全方法。

4.谨防提供“转机”的思维方式

对于IT资源有限或没有太多资源的小型企业来说，盲目信任云计算提供商可能是一个值得关注的问题。

另一方面，企业的首席信息官和其他IT领导者必须避免混淆分布式或共享风险和完全卸载风险的诱惑。

“采用混合云的最大风险是企业将这视为一个安全转机，相信云计算提供商将具有安全标准以确保持续的保护和合规性。”瞻博网络的Pitt说。

企业的云计算提供商提供的服务减缓一些风险，并不意味着企业实际上已经采取任何措施来解决这一风险。“这意味着企业需要努力让自己的供应商对他们的控制负责。”SAS公司的首席信息安全官Brian Wilson说，“企业如何知道供应商将永远无法访问未加密的数据?他们是否可以确认在没有额外支付或要求企业通过云访问安全代理(CASB)的情况下是可行的?企业要确保合同中详细说明了这些细节，并定期审查这些合同和供应商政策。”