云安全面臨的問題
3.6日，來自云安全公司MacKeeper的研究人員Chris Vickery發(fā)Twitter稱在美國發(fā)生一起“14億身份信息泄漏案”。據(jù)預(yù)測在國際上除了中國和印度外，其它受害者預(yù)測可能有：facebook、whatsapp、蘋果、微軟、雅虎、微信、qq、阿里巴巴、oracle、salesforce 等這類擁有龐大的個人和企業(yè)數(shù)據(jù)庫的公司。
針對如此海量的數(shù)據(jù)泄漏，云端數(shù)據(jù)存儲的安全性問題就不得不引起人們的重視，另外也突顯出云端的安全性問題也越來越嚴(yán)重，并且不能完成寄安全問題于云提供商。
目前程序人員開發(fā)的應(yīng)用程序、辦公文檔、筆記、企業(yè)文件共享等信息都以明文的方式存儲在云端，這對企業(yè)來說已經(jīng)完全失去了對其的控制權(quán)。
針對云安全的解決方案
2016年RSA大會上，企業(yè)首席信息安全官們探討了云訪問安全代理的價值，他們認(rèn)為云訪問安全代理模式是全面云安全的關(guān)鍵。
在Garter公司副總裁兼分析師Neil MacDonald主持下，由首席信息安全官和安全主管組成的專題小組探討了為什么他們部署云訪問安全代理以及他們?nèi)绾问褂迷圃L問安全代理。
首席信息安全官們一致認(rèn)為：加密組件是云訪問安全代理中的核心功能，要確保企業(yè)外的人(包括云提供商)無法查看或訪問這些數(shù)據(jù)，當(dāng)數(shù)據(jù)離開企業(yè)的的安全環(huán)境進(jìn)入云服務(wù)提供商環(huán)境時，企業(yè)可以加密所有數(shù)據(jù)，并且只有企業(yè)有密鑰。
基于這些認(rèn)識，我們也看到一些國際大型的云安全廠商及云服務(wù)供應(yīng)商都提出以加密保護(hù)為基礎(chǔ)的技術(shù)路線：
1、以敏感數(shù)據(jù)加密為基礎(chǔ)，包括身份證號、姓名、住址、銀行卡、信用卡、社會保險號、手機(jī)號等;
2、以安全可靠、體系完善的密鑰管理系統(tǒng)為核心;
3、以三權(quán)分立、敏感數(shù)據(jù)訪問控制為主要手段;
4、輔助數(shù)據(jù)庫防火墻、數(shù)據(jù)脫敏、審計(jì)等邊界系統(tǒng)，規(guī)范和監(jiān)控?cái)?shù)據(jù)的訪問行為;
核心在于“密鑰由誰控制、在哪里管理”，同時需要解決系統(tǒng)的運(yùn)行效率、系統(tǒng)部署和應(yīng)用改造的代價問題。
因此，我們建議的解決方案：
密鑰的管理和存儲都是在用戶自己的手里，云服務(wù)供應(yīng)商無法獲取密鑰對用戶的數(shù)據(jù)進(jìn)行加密及解密，這種方案針對企業(yè)用戶來說安全性是最好的。
為了保障數(shù)據(jù)的安全性，大型企業(yè)一般會采用該種方案，以最大限度地在滿足員工辦公高效的同時，降低企業(yè)核心數(shù)據(jù)泄漏的風(fēng)險，基于該方案的部署架構(gòu)如下圖所示：
企業(yè)采購云訪問安全代理產(chǎn)品，部署在企業(yè)辦公區(qū)域及云服務(wù)中間，并獨(dú)立管理KMS系統(tǒng)及相應(yīng)的安全策略，在不改變用戶使用云應(yīng)用的體驗(yàn)并保留全部原生功能的情況下通過云訪問安全代理訪問云端的應(yīng)用，云訪問安全代理對上送至云端的關(guān)鍵數(shù)據(jù)進(jìn)行加密，對由云端進(jìn)入企業(yè)的數(shù)據(jù)進(jìn)行解密，保障存儲在云端的關(guān)鍵數(shù)據(jù)都是密文存儲，有效防止未授權(quán)人員、黑客、網(wǎng)絡(luò)服務(wù)商、云服務(wù)商都無法獲取用戶數(shù)據(jù)。
根據(jù)Gartner預(yù)測到2018年51%的企業(yè)應(yīng)用服務(wù)會托管到云上，2022年這個比例將達(dá)到85%。伴隨著IT云化的浪潮，企業(yè)的IT架構(gòu)也發(fā)生整體的轉(zhuǎn)變，這種轉(zhuǎn)變帶來的結(jié)果是整個IT基礎(chǔ)設(shè)施及服務(wù)逐漸遷移到云端，虛擬化、云化、Saas化。因此，整體的針對企業(yè)的安全解決方案也發(fā)生重大的改變，云服務(wù)商在對于云服務(wù)的安全方便比較偏重于基礎(chǔ)設(shè)施的安全，如提供防火墻、防病毒、防DDos等基礎(chǔ)的安全服務(wù)，而對于企業(yè)IT向SaaS全面遷移之后，對于云端與終端的身份認(rèn)證、權(quán)限、數(shù)據(jù)安全(Cloud-DLP)、操作審計(jì)、安全事件審計(jì)等也成為必須要關(guān)注的問題。云訪問安全代理作為云端遷移的安全入口，云訪問安全代理將成為企業(yè)向云上遷移的重要驅(qū)動力。
CASB 產(chǎn)品功能范圍介紹
云訪問安全代理(CASB)是什么?
Gartner對CASB定義：
作為部署在云服務(wù)使用者和提供商之間的“經(jīng)紀(jì)人”， CASB(云安全接入代理，cloud access security broker)能夠嵌入企業(yè)安全策略，通過整合云服務(wù)發(fā)現(xiàn)&評級，單點(diǎn)登錄，設(shè)備&行為識別，加密，憑證化等多種安全技術(shù)，在云上資源被連接訪問的過程中并加以監(jiān)控和防護(hù)。
明朝萬達(dá)認(rèn)為CASB產(chǎn)品的核心能力如下：
云服務(wù)可視化：應(yīng)用程序和數(shù)據(jù)的可見性以及云計(jì)算的使用模式分析
云服務(wù)訪問控制：通過基于角色的訪問策略來控制對云服務(wù)和數(shù)據(jù)的訪問是數(shù)據(jù)保護(hù);
數(shù)據(jù)保護(hù)：通過加密機(jī)制對出入云端的數(shù)據(jù)進(jìn)行加密、解密和標(biāo)記化，防止數(shù)據(jù)在傳送、存儲過程中非常數(shù)據(jù)獲取行為;
KMS：密鑰管理，實(shí)現(xiàn)企業(yè)對密鑰的統(tǒng)一管理，而非將管理權(quán)限交給云服務(wù)供應(yīng)商，有效控制數(shù)據(jù)安全;
危脅保護(hù)：可以通過尋找異常行為和已知的命令控制簽名來監(jiān)控流量，尋找是否有惡意軟件和網(wǎng)絡(luò)攻擊
儀表盤及報告：CASB平臺都應(yīng)該提供一個易于使用的擁有各種報告選項(xiàng)的儀表板。所有CASB的提供商都應(yīng)該提供一整套“封裝好的”用于詳細(xì)描述用戶活動，檢測或受保護(hù)的數(shù)據(jù)，惡意流量檢測并阻止，等等的報表。
