摘要：簡(jiǎn)而言之，公司需要采取主動(dòng)系統(tǒng)的方法，使網(wǎng)絡(luò)安全功能可以適應(yīng)公共云。將開(kāi)發(fā)運(yùn)維應(yīng)用于網(wǎng)絡(luò)安全如果開(kāi)發(fā)人員可以在短短幾秒內(nèi)啟動(dòng)服務(wù)器，但必須等待兩周的時(shí)間才能讓安全團(tuán)隊(duì)認(rèn)同配置，這會(huì)削弱公共的云靈活性所帶來(lái)的價(jià)值。

隨著企業(yè)不斷擴(kuò)大對(duì)公共云的使用，它們必須反思如何保護(hù)數(shù)據(jù)和應(yīng)用程序，并實(shí)施四項(xiàng)關(guān)鍵實(shí)踐。

經(jīng)過(guò)長(zhǎng)時(shí)間的實(shí)驗(yàn)，龍頭企業(yè)正在認(rèn)真考慮大規(guī)模采用公共云。在過(guò)去幾年中，很多公司已經(jīng)改變了IT戰(zhàn)略，將越來(lái)越多的應(yīng)用程序和數(shù)據(jù)轉(zhuǎn)移到公共云基礎(chǔ)設(shè)施和平臺(tái)上。然而，公共云的使用顛覆了很多公司多年來(lái)積累的傳統(tǒng)網(wǎng)絡(luò)安全模型。因此，隨著公司漸漸利用公共云，它們需要大力發(fā)展網(wǎng)絡(luò)安全方面的實(shí)踐，從而以這樣的方式使用公共云——既能保護(hù)關(guān)鍵數(shù)據(jù)又能充分利用這些服務(wù)所帶來(lái)的速度和敏捷性。

雖然迄今為止公共云的采用仍然受到限制，但未來(lái)的前景卻大不同。在我們研究的公司中，只有40％的公司在公共云平臺(tái)上的工作負(fù)載超過(guò)10％；相比之下，80％的公司計(jì)劃在三年內(nèi)在公共云平臺(tái)上的工作負(fù)載將達(dá)到10％，或計(jì)劃將云滲透率提高一倍。我們將這些公司稱為“立志使用云端的公司”。這些公司得出的結(jié)論是，公共云為很多工作負(fù)載和實(shí)施方案帶來(lái)了更多的技術(shù)靈活性和更簡(jiǎn)單的擴(kuò)展。在某些情況下，使用公共云還可以降低IT運(yùn)營(yíng)成本。因此，公司正在云中構(gòu)建新的應(yīng)用程序和分析功能，并逐漸將現(xiàn)有的工作負(fù)載和技術(shù)棧遷移到公共云平臺(tái)上。

盡管公共云平臺(tái)有諸多好處，但人們對(duì)公共云的網(wǎng)絡(luò)安全性一直心存擔(dān)憂，這阻礙了公司向云端遷移的步伐。在我們對(duì)2016年的云采用的研究中，高管們將安全性視為云遷移的主要障礙之一，其它障礙包括對(duì)變革進(jìn)行管理的復(fù)雜性，為云的采用制定引人注目的業(yè)務(wù)案例的難度。

有趣的是，我們對(duì)首席信息安全官（CISO）進(jìn)行的研究表明，他們的目光變得更長(zhǎng)遠(yuǎn)了，不再局限于“云安全嗎？”這樣的問(wèn)題。在很多情況下，他們承認(rèn)，云服務(wù)提供商（CSP）的安全資源遠(yuǎn)勝一籌，他們?nèi)缃竦囊蓡?wèn)是如何安全地使用云服務(wù)，因?yàn)樗麄兒芏喱F(xiàn)有的安全實(shí)踐和架構(gòu)在云端不見(jiàn)得會(huì)更高效。如果某些本地控件（例如安全日志記錄）沒(méi)有重新配置，這些控件就不太可能適用于公共云平臺(tái)。采用公共云還有可能放大某些類型的風(fēng)險(xiǎn)。云服務(wù)為開(kāi)發(fā)人員提供的速度和靈活性也可以（在沒(méi)有適當(dāng)?shù)呐渲弥卫淼那闆r下）用來(lái)創(chuàng)建不受保護(hù)的環(huán)境，很多公司都發(fā)現(xiàn)了這樣的事實(shí)，這讓它們十分尷尬。

簡(jiǎn)而言之，公司需要采取主動(dòng)、系統(tǒng)的方法，使網(wǎng)絡(luò)安全功能可以適應(yīng)公共云。多年來(lái)我們一直在云計(jì)算網(wǎng)絡(luò)安全計(jì)劃上與大型組織展開(kāi)合作，并與網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者進(jìn)行交流，我們相信，以下四種做法有助于公司制定一致、高效的公共云網(wǎng)絡(luò)安全性方面的方法：

開(kāi)發(fā)以云為中心的網(wǎng)絡(luò)安全模型：如何在云中管理邊界；在多大程度上為應(yīng)用程序重新設(shè)計(jì)架構(gòu)，使風(fēng)險(xiǎn)承受能力和現(xiàn)有的應(yīng)用程序架構(gòu)、可用資源和整體云戰(zhàn)略保持一致，公司必須為此做出選擇。

為公共云重新設(shè)計(jì)一整套網(wǎng)絡(luò)安全控件：對(duì)每個(gè)多帶帶的控件而言，公司都要確定應(yīng)該由誰(shuí)來(lái)提供控件，要達(dá)到怎樣的嚴(yán)格程度。

與提供商的做法相比較，明確網(wǎng)絡(luò)安全的內(nèi)部責(zé)任：公共云需要一個(gè)共享的安全模型，提供商及其客戶各自負(fù)責(zé)特定的功能。公司必須了解這種責(zé)任分配的做法（這與傳統(tǒng)的外包安排有很大的不同）并相應(yīng)地對(duì)內(nèi)部流程進(jìn)行重新設(shè)計(jì)。

將開(kāi)發(fā)運(yùn)維應(yīng)用于網(wǎng)絡(luò)安全：如果開(kāi)發(fā)人員可以在短短幾秒內(nèi)啟動(dòng)服務(wù)器，但必須等待兩周的時(shí)間才能讓安全團(tuán)隊(duì)認(rèn)同配置，這會(huì)削弱公共的云靈活性所帶來(lái)的價(jià)值。公司必須通過(guò)API為開(kāi)發(fā)人員提供高度自動(dòng)化的安全服務(wù)，就像他們?yōu)榛A(chǔ)架構(gòu)服務(wù)所做的那樣。

開(kāi)發(fā)以云為中心的網(wǎng)絡(luò)安全模型

對(duì)一家初涉公共云的公司來(lái)說(shuō)，使用內(nèi)部部署的系統(tǒng)已有的控件來(lái)構(gòu)建公共云網(wǎng)絡(luò)安全模型，這種做法是很誘人。但這可能會(huì)引發(fā)問(wèn)題，因?yàn)閮?nèi)部部署的控件在沒(méi)有進(jìn)行重新配置的情況下不太可能適用于公共云平臺(tái)。即使在重新配置之后，這些控件也無(wú)法在所有工作負(fù)載和云平臺(tái)上提供可見(jiàn)性和保護(hù)。由于認(rèn)識(shí)到這些局限性，這些立志使用云端的公司正在對(duì)一系列安全策略和架構(gòu)進(jìn)行試驗(yàn)，有一些原型已經(jīng)問(wèn)世了。

最有效的方法是根據(jù)兩個(gè)因素對(duì)公司的網(wǎng)絡(luò)安全模型進(jìn)行重新評(píng)估：如何定義網(wǎng)絡(luò)邊界以及是否需要針對(duì)公共云來(lái)更改應(yīng)用程序架構(gòu)。邊界的定義決定了云網(wǎng)絡(luò)安全模型的拓?fù)浜瓦吔纭Ｅc應(yīng)用程序架構(gòu)有關(guān)的選擇可以對(duì)應(yīng)用程序中的安全控件的結(jié)合起指導(dǎo)作用。這兩個(gè)關(guān)鍵選擇也會(huì)相互影響。例如，公司可以做出這樣的選擇——通過(guò)添加安全功能來(lái)使應(yīng)用程序具有更高的安全性，這些功能可以在處理數(shù)據(jù)時(shí)最大限度地減少敏感數(shù)據(jù)的泄露，并且不會(huì)對(duì)應(yīng)用于已知環(huán)境的安全控件做出任何臆斷。

為周邊的安全性選擇一個(gè)模型

在這些立志使用云端的公司中，以下三種周邊設(shè)計(jì)模型脫穎而出：

回傳：通過(guò)內(nèi)部部署的網(wǎng)絡(luò)對(duì)流量進(jìn)行回傳或路由，半數(shù)立志使用云端的公司就是這么管理周邊安全性的。該模型吸引了需要在內(nèi)部使用大部分云工作負(fù)載的公司，并希望就工作負(fù)載的遷移做出特定的選擇，使其符合它們所擁有的架構(gòu)。在云安全方面經(jīng)驗(yàn)不足的公司也可以從回傳中受益，因?yàn)檫@使它們可以繼續(xù)使用已然熟悉的本地安全工具。但回傳也許不會(huì)長(zhǎng)盛不衰：立志使用云端的公司中只有11％的公司表示，它們可能會(huì)在三年后使用這種模式。

默認(rèn)采用云服務(wù)提供商提供的控件。我們研究的立志使用云端的公司中有36％的公司做出了這樣的選擇。使用云服務(wù)提供商的安全控件的成本可能比使用其它任何一個(gè)周邊模型的成本都要低，但這卻使保護(hù)多云環(huán)境變得更加復(fù)雜。對(duì)規(guī)模更大、更復(fù)雜的組織來(lái)說(shuō)，使用云服務(wù)提供商提供的控件似乎是一種臨時(shí)措施：立志使用云端的公司中有27％的公司表示，它們將在三年內(nèi)使用此模型（比如今的比率下降了36％）。

清理：清理涉及到對(duì)“虛擬邊界”的設(shè)計(jì)并從各種外部提供商提供的解決方案開(kāi)發(fā)云特有的控件。立志使用云端的公司中大約有15％的公司使用這種方法，這種方法使公司能夠應(yīng)用它們能找到的最佳外圍安全解決方案，并根據(jù)需要進(jìn)行切換。由于不斷變化的解決方案會(huì)產(chǎn)生技術(shù)需求，因此公司通常會(huì)在擁有足夠的內(nèi)部網(wǎng)絡(luò)安全專業(yè)方面的知識(shí)來(lái)選擇供應(yīng)商并整合其解決方案時(shí)進(jìn)行清理。盡管這些工作可以減緩工作負(fù)載遷移到云中的速度，但是清理工作似乎正在增加，立志使用云端的公司中大約有47％的公司表示，它們將在三年內(nèi)使用云特有的控件。盡管清理的成本和復(fù)雜性很高，但組織還是選擇了這種方法，以便它們可以支持多云環(huán)境，并在需求發(fā)展時(shí)能更輕松地替換點(diǎn)解決方案（point solution）。

我們研究了眾多立志使用云端的公司，發(fā)現(xiàn)回傳是最受這些公司青睞的周邊安全模型。然而，企業(yè)正在轉(zhuǎn)向虛擬周邊模型，這些模型通過(guò)清理來(lái)開(kāi)發(fā)周邊模型。清理是目前管理周邊安全性最不受歡迎的做法，但越來(lái)越多的高管表示，他們將在未來(lái)三年內(nèi)使用清理，而不是其它模型。

決定是否為應(yīng)用程序重新設(shè)計(jì)應(yīng)用程序的架構(gòu)

另一個(gè)選擇是定義公司的云網(wǎng)絡(luò)安全方面的立場(chǎng)：通過(guò)重寫代碼或改變應(yīng)用程序的架構(gòu)（或兩者都做）來(lái)重新構(gòu)建公共云中的應(yīng)用程序。我們采訪的高管中只有27％的人表示他們的公司會(huì)這樣做。這樣做的好處是可以兼容所有的云服務(wù)提供商（例如容器架構(gòu)）、有更強(qiáng)的安全性（使用散列檢測(cè)篡改檢測(cè)，內(nèi)存釋放以及調(diào)用之間的數(shù)據(jù)流加密），優(yōu)越的性能（例如，通過(guò)允許水平擴(kuò)展）公共云，更低的運(yùn)營(yíng)成本（因?yàn)閼?yīng)用級(jí)別的安全保護(hù)減少了公司選擇最佳安全解決方案的需求）。但是，重新設(shè)計(jì)云應(yīng)用程序的架構(gòu)可能會(huì)降低公司的遷移率。因此，在我們的調(diào)查中，絕大多數(shù)企業(yè)（78％）都在遷移應(yīng)用程序而不是對(duì)公共云的架構(gòu)進(jìn)行重新設(shè)計(jì)。

周邊安全設(shè)計(jì)的選擇（以及是否使應(yīng)用程序適配公共云的選擇）為云網(wǎng)絡(luò)安全創(chuàng)建了六個(gè)原型。我們的經(jīng)驗(yàn)表明，只要有五個(gè)主要標(biāo)準(zhǔn)，企業(yè)就能知道其對(duì)整體云網(wǎng)絡(luò)安全模型所做的決策：公共云安全性方面的有效性、希望達(dá)到的云遷移率、支付額外安全成本的意愿、實(shí)施新安全計(jì)劃的所要具備的專業(yè)知識(shí)、以及企業(yè)希望從安全架構(gòu)中獲得的靈活性。

為公共云應(yīng)用程序重新設(shè)計(jì)架構(gòu)可提高安全性，但這可能會(huì)降低遷移速度?；貍鲃t可以將公司已經(jīng)熟悉的現(xiàn)有控件擴(kuò)展到公共云。使用默認(rèn)的云服務(wù)提供商的控件是最簡(jiǎn)單且最具成本效益的方法。清理控件需要大量安全性方面的專業(yè)知識(shí)，但它能為多個(gè)云提供靈活性和支持。組織可以使用這些標(biāo)準(zhǔn)來(lái)選擇最佳方法。也就是說(shuō)，公司不需要將相同的原型應(yīng)用到整個(gè)公共云配置文件。對(duì)具有不同要求的應(yīng)用程序來(lái)說(shuō)，使用不同的原型是可能的，甚至是有利的：為了核心事務(wù)系統(tǒng)來(lái)能夠?qū)崿F(xiàn)更快的遷移和熟悉的控制，同時(shí)使用云服務(wù)提供商提供的安全控件來(lái)降低成本，加快部署面向新客戶的應(yīng)用程序。