云安全面臨的問題
3.6日，來自云安全公司MacKeeper的研究人員Chris Vickery發(fā)Twitter稱在美國(guó)發(fā)生一起“14億身份信息泄漏案”。據(jù)預(yù)測(cè)在國(guó)際上除了中國(guó)和印度外，其它受害者預(yù)測(cè)可能有：facebook、whatsapp、蘋果、微軟、雅虎、微信、qq、阿里巴巴、oracle、salesforce 等這類擁有龐大的個(gè)人和企業(yè)數(shù)據(jù)庫的公司。
針對(duì)如此海量的數(shù)據(jù)泄漏，云端數(shù)據(jù)存儲(chǔ)的安全性問題就不得不引起人們的重視，另外也突顯出云端的安全性問題也越來越嚴(yán)重，并且不能完成寄安全問題于云提供商。
目前程序人員開發(fā)的應(yīng)用程序、辦公文檔、筆記、企業(yè)文件共享等信息都以明文的方式存儲(chǔ)在云端，這對(duì)企業(yè)來說已經(jīng)完全失去了對(duì)其的控制權(quán)。
針對(duì)云安全的解決方案
2016年RSA大會(huì)上，企業(yè)首席信息安全官們探討了云訪問安全代理的價(jià)值，他們認(rèn)為云訪問安全代理模式是全面云安全的關(guān)鍵。
在Garter公司副總裁兼分析師Neil MacDonald主持下，由首席信息安全官和安全主管組成的專題小組探討了為什么他們部署云訪問安全代理以及他們?nèi)绾问褂迷圃L問安全代理。
首席信息安全官們一致認(rèn)為：加密組件是云訪問安全代理中的核心功能，要確保企業(yè)外的人(包括云提供商)無法查看或訪問這些數(shù)據(jù)，當(dāng)數(shù)據(jù)離開企業(yè)的的安全環(huán)境進(jìn)入云服務(wù)提供商環(huán)境時(shí)，企業(yè)可以加密所有數(shù)據(jù)，并且只有企業(yè)有密鑰。
基于這些認(rèn)識(shí)，我們也看到一些國(guó)際大型的云安全廠商及云服務(wù)供應(yīng)商都提出以加密保護(hù)為基礎(chǔ)的技術(shù)路線：
1、以敏感數(shù)據(jù)加密為基礎(chǔ)，包括身份證號(hào)、姓名、住址、銀行卡、信用卡、社會(huì)保險(xiǎn)號(hào)、手機(jī)號(hào)等;
2、以安全可靠、體系完善的密鑰管理系統(tǒng)為核心;
3、以三權(quán)分立、敏感數(shù)據(jù)訪問控制為主要手段;
4、輔助數(shù)據(jù)庫防火墻、數(shù)據(jù)脫敏、審計(jì)等邊界系統(tǒng)，規(guī)范和監(jiān)控?cái)?shù)據(jù)的訪問行為;
核心在于“密鑰由誰控制、在哪里管理”，同時(shí)需要解決系統(tǒng)的運(yùn)行效率、系統(tǒng)部署和應(yīng)用改造的代價(jià)問題。
因此，我們建議的解決方案：
密鑰的管理和存儲(chǔ)都是在用戶自己的手里，云服務(wù)供應(yīng)商無法獲取密鑰對(duì)用戶的數(shù)據(jù)進(jìn)行加密及解密，這種方案針對(duì)企業(yè)用戶來說安全性是最好的。
為了保障數(shù)據(jù)的安全性，大型企業(yè)一般會(huì)采用該種方案，以最大限度地在滿足員工辦公高效的同時(shí)，降低企業(yè)核心數(shù)據(jù)泄漏的風(fēng)險(xiǎn)，基于該方案的部署架構(gòu)如下圖所示：
企業(yè)采購云訪問安全代理產(chǎn)品，部署在企業(yè)辦公區(qū)域及云服務(wù)中間，并獨(dú)立管理KMS系統(tǒng)及相應(yīng)的安全策略，在不改變用戶使用云應(yīng)用的體驗(yàn)并保留全部原生功能的情況下通過云訪問安全代理訪問云端的應(yīng)用，云訪問安全代理對(duì)上送至云端的關(guān)鍵數(shù)據(jù)進(jìn)行加密，對(duì)由云端進(jìn)入企業(yè)的數(shù)據(jù)進(jìn)行解密，保障存儲(chǔ)在云端的關(guān)鍵數(shù)據(jù)都是密文存儲(chǔ)，有效防止未授權(quán)人員、黑客、網(wǎng)絡(luò)服務(wù)商、云服務(wù)商都無法獲取用戶數(shù)據(jù)。
根據(jù)Gartner預(yù)測(cè)到2018年51%的企業(yè)應(yīng)用服務(wù)會(huì)托管到云上，2022年這個(gè)比例將達(dá)到85%。伴隨著IT云化的浪潮，企業(yè)的IT架構(gòu)也發(fā)生整體的轉(zhuǎn)變，這種轉(zhuǎn)變帶來的結(jié)果是整個(gè)IT基礎(chǔ)設(shè)施及服務(wù)逐漸遷移到云端，虛擬化、云化、Saas化。因此，整體的針對(duì)企業(yè)的安全解決方案也發(fā)生重大的改變，云服務(wù)商在對(duì)于云服務(wù)的安全方便比較偏重于基礎(chǔ)設(shè)施的安全，如提供防火墻、防病毒、防DDos等基礎(chǔ)的安全服務(wù)，而對(duì)于企業(yè)IT向SaaS全面遷移之后，對(duì)于云端與終端的身份認(rèn)證、權(quán)限、數(shù)據(jù)安全(Cloud-DLP)、操作審計(jì)、安全事件審計(jì)等也成為必須要關(guān)注的問題。云訪問安全代理作為云端遷移的安全入口，云訪問安全代理將成為企業(yè)向云上遷移的重要驅(qū)動(dòng)力。
CASB 產(chǎn)品功能范圍介紹
云訪問安全代理(CASB)是什么?
Gartner對(duì)CASB定義：
作為部署在云服務(wù)使用者和提供商之間的“經(jīng)紀(jì)人”， CASB(云安全接入代理，cloud access security broker)能夠嵌入企業(yè)安全策略，通過整合云服務(wù)發(fā)現(xiàn)&評(píng)級(jí)，單點(diǎn)登錄，設(shè)備&行為識(shí)別，加密，憑證化等多種安全技術(shù)，在云上資源被連接訪問的過程中并加以監(jiān)控和防護(hù)。
明朝萬達(dá)認(rèn)為CASB產(chǎn)品的核心能力如下：
云服務(wù)可視化：應(yīng)用程序和數(shù)據(jù)的可見性以及云計(jì)算的使用模式分析
云服務(wù)訪問控制：通過基于角色的訪問策略來控制對(duì)云服務(wù)和數(shù)據(jù)的訪問是數(shù)據(jù)保護(hù);
數(shù)據(jù)保護(hù)：通過加密機(jī)制對(duì)出入云端的數(shù)據(jù)進(jìn)行加密、解密和標(biāo)記化，防止數(shù)據(jù)在傳送、存儲(chǔ)過程中非常數(shù)據(jù)獲取行為;
KMS：密鑰管理，實(shí)現(xiàn)企業(yè)對(duì)密鑰的統(tǒng)一管理，而非將管理權(quán)限交給云服務(wù)供應(yīng)商，有效控制數(shù)據(jù)安全;
危脅保護(hù)：可以通過尋找異常行為和已知的命令控制簽名來監(jiān)控流量，尋找是否有惡意軟件和網(wǎng)絡(luò)攻擊
儀表盤及報(bào)告：CASB平臺(tái)都應(yīng)該提供一個(gè)易于使用的擁有各種報(bào)告選項(xiàng)的儀表板。所有CASB的提供商都應(yīng)該提供一整套“封裝好的”用于詳細(xì)描述用戶活動(dòng)，檢測(cè)或受保護(hù)的數(shù)據(jù)，惡意流量檢測(cè)并阻止，等等的報(bào)表。
