云環境與公司最熟悉的本地數據中心截然不同，這些差異帶來了獨特的安全挑戰，需要以云為中心的安全解決方案來解決。同時，公司還需要能夠將其云安全架構與本地安全基礎架構相集成，以在整個 IT 基礎架構中實現一致的安全可見性、管理和策略實施。以下云安全最佳實踐可以幫助您的組織將其云部署的網絡安全風險降至最低。

#1。理解共同責任模型

云計算的主要賣點之一是它允許組織將其 IT 基礎架構的部分責任外包給云服務提供商。但是，云提供商不會對其客戶的基礎架構或保護它承擔全部責任。

清楚地了解云共享責任模型是云安全策略的重要基礎。責任共擔模型分解了云提供商和客戶之間對各種云服務模型的責任，例如基礎設施即服務 (IaaS)、平臺即服務 (PaaS) 和軟件即服務 (SaaS)。了解模型及其分配給客戶的職責使組織能夠制定戰略來履行其職責。

#2。采用零信任控制

零信任安全模型旨在限制組織的網絡安全風險。在零信任模型下，所有用戶和設備都被視為潛在威脅，經過身份驗證的用戶的每個訪問請求都會根據基于角色的訪問控制和環境因素進行獨立評估。

采用基于云的基礎設施擴大了組織的攻擊面，而云的獨特性質意味著基于云的基礎設施比本地資源更容易受到外部威脅。采用和實施零信任安全模型有助于通過降低入侵的可能性和影響來改善網絡安全風險。

#3。優化正常運行時間和性能

影子 IT 是許多組織中的一個問題。造成這種情況的最常見原因是公司服務不能滿足員工的需求，因此他們尋找替代方案和變通辦法，使他們能夠高效地完成工作。然而，這些替代方案通常也會使公司面臨風險。

將影子 IT 風險降至最低的一種方法是努力消除導致員工尋求替代方案的痛點。優化云服務的性能和正常運行時間有助于確保員工擁有順暢的體驗，從而無需搜索更可用但安全性較低的替代方案。

#4。承認可見性和可觀察性的重要性

在云中很難實現可見性。云服務提供商控制底層基礎設施，因此無法在云數據中心內部署安全設備。可見性和可觀察性在云環境中與在本地環境中同樣重要。云安全的一個重要方面是在組織的整個 IT 生態系統中實現一致的可見性。這需要部署為本地和云環境提供支持的安全解決方案。

#5。制定安全態勢和治理策略

隨著遷移到云，組織的網絡攻擊面和暴露于網絡威脅。防范這些威脅需要明確定義的安全策略。制定此策略的第一步是確定組織的目標安全態勢和治理要求。從那里，公司可以開發和實施策略和安全控制，例如云安全態勢管理(CSPM) 解決方案，可以在云端和本地環境中實現這些目標。

#6。執行一致的安全策略

保護云可能比在內部部署網絡中更困難。在云中，企業缺乏對底層基礎設施的控制，這意味著更難以設計滿足其需求的網絡和部署安全設備。

然而，盡管存在這些困難，但必須在組織的整個 IT 生態系統（包括本地和基于云的環境）中創建和實施一致的安全策略。在現代企業中，本地環境和云部署緊密相關。如果一家公司沒有在其整個環境中始終如一地實施安全措施，則攻擊者可以利用公司網絡一部分的安全漏洞進行初始訪問，然后利用其與本地或其他云環境的連接橫向移動并訪問其他公司 IT資產。

#7。實現監管要求的合規性

大多數公司需要遵守至少一項或可能多項法規。近年來，PCI-DSS和 HIPAA 等現有法規隨著越來越多旨在保護某些類型的敏感數據的新要求（GDPR、CCPA、CMMC 等）而得到擴充。

在大多數情況下，受這些法規保護的數據是在組織的基于云的基礎設施上存儲、處理或傳輸的。這些云部署也在合規審計范圍內，必須滿足合規要求。

通常，合規性要求將決定組織使用的云基礎設施的選擇，例如公共云或私有云。此外，公司必須確定并實施必要的安全控制措施來保護云端和本地的數據（加密、訪問控制等）。

#8。部署集中身份管理

擴展到云給組織的 IT 基礎架構帶來了極大的復雜性。通常，公司采用多云基礎設施和來自不同供應商的解決方案。企業還可以在不同的服務模式下部署云解決方案，例如 SaaS、PaaS 和 IaaS 服務。

隨著這種額外的復雜性，需要在所有這些新服務中管理用戶的身份。集中身份管理對云安全至關重要，因為它允許公司確保正確配置和取消配置用戶帳戶，并根據需要更新權限。強制用戶對每項服務單獨進行身份驗證會降低可用性并增加過度權限被濫用的風險。

#9。保護基礎設施

由于云服務提供商和云客戶之間的關系，云中的基礎設施安全性很復雜。正如云共享責任模型概述的那樣，云客戶根據所選的云服務模型（SaaS、PaaS、IaaS 等）對其云中的基礎架構承擔不同程度的責任。

也就是說，保護云中的基礎架構對于保護構建在其之上的服務至關重要。除了根據責任共擔模型管理其控制下的基礎設施級別外，公司還應考慮保護網絡并選擇最適合其安全要求的云平臺。在某些情況下，由于能夠更好地控制對底層基礎設施的訪問，安全策略和監管要求可能會強制使用私有云或混合云模型而不是公共云。

#10。使用強大的網絡控制

云基礎設施可直接從公共互聯網訪問，位于傳統網絡邊界之外。此外，基于云的服務通常會與其他云環境和本地系統進行通信。這使得公司更難限制對基于云的資源的訪問，并使強大的云網絡安全控制變得至關重要。

應根據各種云資源的用途、風險級別和敏感性對云網絡進行分段。通過實施網絡分段，組織不僅能夠監控、檢查和加強對南北向流量的安全控制，還可以對分段之間的東西向流量進行監控、檢查和實施安全控制。這種更細粒度的可見性和安全實施對于零信任安全策略至關重要，并使公司能夠將風險和潛在入侵其網絡的行為區分開來。

#11。保護工作負載

公司越來越多地采用基于云的工作負載，以充分利用云的潛力和優勢。無服務器和容器化應用程序通常比傳統應用程序更敏捷和可擴展，使它們更適合快速的 DevOps 開發周期。

這些云工作負載具有獨特的安全需求，傳統的內置云安全解決方案可能無法滿足這些需求。作為云安全戰略的一部分，公司必須部署應用程序安全解決方案，以提供其云工作負載所需的精細可見性和安全性。

#12。防止警覺疲勞

大多數企業安全運營中心 (SOC)都被來自其安全解決方案陣列的警報淹沒。平均每個企業每天收到 10,000 個警報，這遠遠超過 SOC 團隊進行分類、調查和響應的能力。因此，真正的威脅在噪音中消失了，其他重要的工作也沒有完成，因為 SOC 分析師將時間浪費在處理誤報檢測上。

隨著遷移到云端，企業安全基礎設施可能會變得更加復雜，導致警報量進一步增加。確保公司能夠保持安全可見性并保護自己免受網絡威脅需要刻意努力來管理警報量。通過選擇使用人工智能和預防性控制來最大程度減少誤報警報的集成安全解決方案，組織可以確保警報量保持可管理，并且分析師的工作集中在可以為企業提供最大利益的地方。

#13。利用云智能、取證和威脅搜尋

大多數云安全控制都是保護性和檢測性的，旨在幫助防止威脅或在威脅進入網絡后對其進行檢測。然而，這些控制措施提供的保護并不完善，還需要通過更主動的安全措施加以增強。

響應式和主動式云安全都需要訪問有關威脅的高質量信息以及實時響應這些威脅的能力。因此，威脅情報源和自動化是云安全策略的重要組成部分。自動威脅檢測和響應系統可以獲取日志數據和威脅情報，并采取措施預防、補救或隔離對組織的潛在威脅。

威脅情報和自動化還支持主動和人為驅動的安全工作，例如威脅搜尋和取證調查。自動收集和處理來自整個 IT 環境的數據的能力為威脅獵手和調查人員提供了有價值的背景信息，并支持更快速、可擴展和可持續的威脅檢測和響應。