企业上云可以带来诸多好处，有助于企业提升消费效率、提高灵敏性、降落运营老本以及成功环球化的业务笼罩等。但随着企业组织将更多的业务系统和数据转移到云端，它们也必定采取愈加牢靠的安保防护措施，以成功与本地化部署雷同水平的安保性保证。日前，美国国度安保局（NSA）联结颁布了多份网络安保通常指南报告，其中蕴含了基于云环境运行最佳通常的10条安保战略，旨在协助企业组织改善云环境运行的安保态势。
1.严厉听从云安保责任共担模型
随着云计算运行的始终成熟，企业组织开局高度注重云安保的关键性，并开局实施特定的云安保措施来包全云运行安保。同时，云服务提供商（CSP）也愈加关注云安保的落地通常，云安保责任共担模型（SRM）应运而生。该模型旨在明白CSP与租户之间的安保责任划分，让企业能够了解他们在云安保方面的角色，并实施适当的安保措施来包全云资产。
在通常运行时，SRM会因服务而异，也或许因CSP而异，所以对租户而言，关注SRM文档和最佳通常指南必无法少。间接咨询CSP关于租户更好了解其服务形式很有必要。组织应该让CSP对自己的安保上班担任，同时也必定尽心尽责地实行自己的租户安保责任。
2.成功云安保运营一致化、规范化
组织应该充沛思考混合云和多云环境运行时或许发生的复杂性。混合云和多云环境的经常使用曾经十分普遍，往往会带来业务运营孤岛和技艺缺口，这或许造成性能差异、不用要的数据流、不片面的IAM、监控才干不完整以及易被应用的安保缺口。企业应该经常使用网络、IAM和日志最佳通常来保养安保的云基础设备，并且应该借助与云服务商有关的第三方安保治理工具成功云安保运营的一致化和规范化，在一个集中的工具平台上保养和监控多云运行环境安保。
3.踊跃展开云运行智能化部署通常
基础设备即代码（IaC）成功了云资源部署智能化，而缩小手动部署能够大大降落云运行中人为失误造成性能不当和幽灵资产的或许性。IaC还可以协助组织极速地检测未经授权的云性能更改。
经过展开云运行智能部署的通常，可以进一步规范云上服务的安保运行。组织在部署IaC之前，应该创立一个要挟模型以剖析攻打途径，确定IaC模板是申明式还是命令式，然后成功静态运行程序安保测试，并思考集成现有的CI/CD流程。在部署之后，组织还应灵活测试已部署的资源，确保访问和版本控制已启用，防止手动更改，并继续记载和监控资源。
4.在云环境中实施网络分段和加密
经常使用云计算资源的组织必定在其租户环境中实施分段和加密等安保控制机制，以防止和检测恶意攻打者的优惠。应该应用零信赖网络安保通常来包全组织数据，比如评价一切恳求中的身份消息、微分段和端到端加密。对网络要挟的预防上班关键由微分段成功，依据组织团队、运行程序上班流和数据进进去划分资源。只要允许反常性能所必需的通讯门路才干享受资源，这大大限度了恶意攻打者访问租户环境的时机。对进出云和云外部的一切数据启动端到端加密也是包全云端数据的关键。
5.部署有效的云身份和访问治理方案
采取适当的云身份和访问治理（IAM）方案关于包全云资源至关关键。恶意攻打者会经常使用多种技术窃取账户，暴露凭据或弱身份验证明践，以初始访问租户的云系统环境。他们还或许应用宽松的访问控制战略进一步渗入到云环境中，访问和窃取敏感的数据资源。为了防止这种状况，云用户应该经常使用牢靠的身份安保验证措施，比如防网络钓鱼的多要素身份验证（MFA）和妥善治理的暂时凭据。访问控制战略应该仔细性能，以确保为用户授予必要的最小化权限，以包全特意敏感的业务运营和资源。
6.实施弱小的云密钥治理
CSP会提供启动密钥治理的多种方法，从齐全依赖云供应商成功片面委托的主机端加密，到仅在客户端加密的方法不一而足。在大少数状况下，企业会依赖CSP成功密钥治理、加密和解密的上班。但是组织在启动云上密钥治理疑问时，应该充沛了解每种方案的危险和优势，以及如何治理密钥的角色和职责至关关键。
7.片面包全云端数据安保
在恶意攻打者的眼里，云是一个寄存了少量低价值数据的迷人攻打目的。因此，组织应该经过多种手腕确保数据安保，比如选用适合的云存储、防止经过公共IP暴露数据、口头最小权限、经常使用对象版本控制、创立具备复原方案的无法变备份、启用加密，并活期审核数据安保措施。
组织还应该片面了解CSP数据保管战略，然后选用适当的方案来存储敏感数据。此外，组织应该思考启用“软删除”性能，以减小异常删除或恶意删除形成的影响。
8.包全CI/ CD环境安保
云上开发、安保和运营（DevSecOps）程序对云环境安保至关关键。继续集成和继续交付（CI/CD）管道是保证DevSecOps流程安保的关键，经常部署在云端。这类管道是恶意攻打者的关键目的，由于成功闯入CI/CD管道或许会影响基础设备和运行程序。组织应该遵照最佳通常来包全组织的CI/CD管道，比如牢靠的IAM通常、及时降级工具、审计日志、实施安保扫描机制，并妥善处置秘密消息。
9.关注MSP的安保危险
只管托管云服务提供商（MSP）可认为治理、保养及/或包全云环境提供适用的技术允许，但经常使用MSP服务的同时会放大组织的云计算运行攻打面。组织在选用MSP时应该优先思考安保性，以便经过MSP缓解云租户面临的安保要挟。组织应该选用合乎自身云安保规范和通常的服务商。此外，组织应该片面审核云环境中的MSP账户和运营行为，优先思考特权账户及其优惠。组织还应该将MSP服务集成到安保运营、系统复原和事情照应流程中。
10.做好云上日志消息的治理
日志在云环境的要挟检测中表演着关键角色。检测和照应安保事情需彻底了解系统的优惠和行为。组织应该从一切关系的日志源搜集和汇总日志，比如云服务、操作系统和运行程序。云环境通常提供繁难的日志聚合机制，以便将日志数据会集到集中式服务，便于更好的可视化和要挟狩猎。
对不同的云服务而言，自动的日志战略差异很大，因此安保专业人员性能这些战略显得很关键，以确保恶意攻打者在云租户环境中的举动遭到监测。安保专业人员可以经常使用泛滥工具来剖析日志，比如安保消息和事情治理（SIEM）系统、日志剖析软件和异常检测服务，以查找攻陷目的和异常优惠，包括不寻常的登录希图、网络流量形式和异常系统事情。
参考链接：