本文來(lái)自微信公眾號(hào)“科技云報(bào)道”。
云安全，無(wú)論何時(shí)提起，其重要性都不容小覷。
根據(jù)網(wǎng)絡(luò)安全機(jī)構(gòu)Sophos的研究，云安全事件正在時(shí)刻發(fā)生。
根據(jù)該公司發(fā)布的《2021年云安全狀況》顯示，近四分之三的企業(yè)遭受了云安全攻擊，其中惡意軟件、勒索軟件、云泄漏和配置錯(cuò)誤是最大的威脅。
此外，運(yùn)行多云環(huán)境也是企業(yè)遭受云安全事件影響的因素之一。
2022年，當(dāng)各行各業(yè)掀起上云狂潮后，云安全的概念隨之爆發(fā)。據(jù)Gartner預(yù)測(cè)，到2023年，云安全市場(chǎng)規(guī)模將增長(zhǎng)10倍，達(dá)到124億美元（相比之下，2020年為12億美元）。
與此同時(shí)，越拉越多的中小企業(yè)也在增加對(duì)網(wǎng)絡(luò)安全方面的投入，無(wú)形中助推了云安全從一個(gè)小眾市場(chǎng)走向主流的步伐。
01
需求爆發(fā)式增長(zhǎng)
云安全首次突破百億元大關(guān)
在國(guó)內(nèi)，云安全市場(chǎng)持續(xù)保持高速增長(zhǎng)，2021年云安全市場(chǎng)規(guī)模首次突破百億元大關(guān)，達(dá)到117.7億元，同比增長(zhǎng)46.4%。綜合來(lái)看，云安全市場(chǎng)的高速增長(zhǎng)，是多種因素共同推動(dòng)的結(jié)果。
在政策層面，國(guó)內(nèi)數(shù)據(jù)安全相關(guān)的法律法規(guī)日益完善，面向高速發(fā)展的市場(chǎng)給出了引導(dǎo)規(guī)范和明確標(biāo)準(zhǔn)。
近幾年，國(guó)家陸續(xù)出臺(tái)了《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》等法規(guī)，從通用型法律法規(guī)，到重點(diǎn)行業(yè)相關(guān)條例、指南、標(biāo)準(zhǔn)等，為企業(yè)上云用數(shù)安全提出了更高要求。
其次，企業(yè)對(duì)云安全的市場(chǎng)需求迎來(lái)爆發(fā)期。伴隨著云服務(wù)模式的深化應(yīng)用，細(xì)分領(lǐng)域和場(chǎng)景的安全實(shí)踐推動(dòng)云安全市場(chǎng)需求水漲船高。
混合多云、云原生、AI、IoT等新技術(shù)的應(yīng)用，催生了更細(xì)化的安全場(chǎng)景和更豐富的安全需求。
此外，充分的市場(chǎng)競(jìng)爭(zhēng)也促使云服務(wù)商、安全廠商不斷投入云安全新技術(shù)、新應(yīng)用的研發(fā)與實(shí)踐，加速了云安全市場(chǎng)的增長(zhǎng)。
在上一個(gè)時(shí)代領(lǐng)跑的安全公司（如奇安信、深信服、綠盟科技、亞信科技、啟明星辰等），憑借深度扎根云安全領(lǐng)域畫出了第二增長(zhǎng)曲線；在平臺(tái)類公司中，阿里、騰訊、華為、百度等玩家貼身肉搏競(jìng)爭(zhēng)激烈；在新興公司中，微步在線、青藤云安全等公司憑借差異化優(yōu)勢(shì)成長(zhǎng)為安全獨(dú)角獸。
安全是一個(gè)高速迭代和進(jìn)化的領(lǐng)域，任何企業(yè)都需要保持對(duì)新興安全技術(shù)的敏感。
比如綠盟科技就根據(jù)云安全時(shí)代的需求，推出智慧安全3.0理念體系，構(gòu)建“全場(chǎng)景、可信任、實(shí)戰(zhàn)化”的安全運(yùn)營(yíng)能力，在零信任、關(guān)鍵信息基礎(chǔ)設(shè)施、5G安全、車聯(lián)網(wǎng)等新賽道取得突破，并重磅推出28款安全產(chǎn)品，為客戶構(gòu)建成熟可靠的一體化安全解決方案。
在實(shí)際的技術(shù)應(yīng)用中，身份與訪問(wèn)控制、監(jiān)控與檢測(cè)、基礎(chǔ)架構(gòu)防護(hù)、數(shù)據(jù)保護(hù)、事件響應(yīng)、合規(guī)審計(jì)等是云安全熱點(diǎn)應(yīng)用領(lǐng)域。
具體產(chǎn)品方面，國(guó)內(nèi)部署最多的云安全產(chǎn)品分別為數(shù)據(jù)加密、網(wǎng)絡(luò)加密以及安全信息與事件管理。
02
想說(shuō)愛你不容易
云安全道阻且長(zhǎng)行則將至
云計(jì)算給業(yè)務(wù)帶來(lái)的是全方位改變。隨著云化時(shí)代業(yè)務(wù)部署的環(huán)境更廣泛，組織需要管理的終端類型也更多樣化。
同時(shí)，云時(shí)代IT資源和能力可以快速應(yīng)用到業(yè)務(wù)創(chuàng)新上，應(yīng)用的迭代速度也變得更加迅速。而云原生架構(gòu)和開源代碼的廣泛應(yīng)用，則讓企業(yè)IT架構(gòu)和應(yīng)用變得越來(lái)越復(fù)雜。
這一系列變化，為企業(yè)安全帶來(lái)了許多新的挑戰(zhàn)。當(dāng)企業(yè)的業(yè)務(wù)上云之后，傳統(tǒng)安全產(chǎn)品大多無(wú)法直接部署到云環(huán)境中，對(duì)于容器、API攻擊等云時(shí)代語(yǔ)境下的安全問(wèn)題已經(jīng)失效。
在多云、多終端的環(huán)境下，需要安全保護(hù)和運(yùn)營(yíng)管理兩個(gè)緊密集成但又相互分離的生態(tài)系統(tǒng)，這就造成復(fù)雜的操作環(huán)境，而使用多種不同技術(shù)平臺(tái)運(yùn)行并行環(huán)境，會(huì)在監(jiān)控、安全和生產(chǎn)支持等領(lǐng)域帶來(lái)持續(xù)的運(yùn)營(yíng)復(fù)雜性。
而云化架構(gòu)本身的復(fù)雜性，也會(huì)使得安全保護(hù)變得更加復(fù)雜、成本更高，因此需要有更簡(jiǎn)化的方式來(lái)實(shí)現(xiàn)安全保護(hù)。
從主機(jī)到虛擬機(jī)，從虛擬機(jī)到容器，云安全好像無(wú)所不能，貫穿了云時(shí)代的全部歷史。綠盟科技集團(tuán)副總裁曹嘉認(rèn)為，云看似安全，實(shí)則非常容易成為突破口。
無(wú)論是公有云、私有云還是混合云，沉淀著大量的自研開發(fā)業(yè)務(wù)，此類應(yīng)用安全問(wèn)題將會(huì)突顯。
同時(shí)，70%的企業(yè)會(huì)采用一些開源組件去構(gòu)建軟件應(yīng)用，第三方組件也會(huì)引入安全風(fēng)險(xiǎn)，從而打破業(yè)務(wù)與安全的平衡。API開放的大量公開信息也可能會(huì)被攻擊者利用，形成新的安全風(fēng)險(xiǎn)。
因此，對(duì)于任何想要構(gòu)建云上安全體系的企業(yè)，云安全戰(zhàn)略正在變得日益重要。
如今，越來(lái)越多的企業(yè)認(rèn)識(shí)到，構(gòu)建云安全戰(zhàn)略是一項(xiàng)持續(xù)性工作，云安全需要有自上而下的頂層設(shè)計(jì)，要以安全為出發(fā)點(diǎn)構(gòu)建所有云上應(yīng)用。
在戰(zhàn)略優(yōu)先級(jí)上，企業(yè)應(yīng)該將云安全作為“零號(hào)任務(wù)”貫穿云旅程的全過(guò)程。從最初的技術(shù)理念，到管理機(jī)制，再到企業(yè)文化，每個(gè)云服務(wù)從設(shè)計(jì)階段就要將云安全作為優(yōu)先考慮事項(xiàng)。
對(duì)于企業(yè)，構(gòu)建云化時(shí)代的安全能力，可以從采用云化交付的安全產(chǎn)品和服務(wù)、構(gòu)建適合云和云原生應(yīng)用的保護(hù)能力、采用適配于云時(shí)代的IT基礎(chǔ)設(shè)施這三個(gè)方面著手。
曹嘉認(rèn)為，云化的業(yè)務(wù)需要用云化的安全來(lái)保護(hù)，絕大多數(shù)安全產(chǎn)品的能力實(shí)際上都可以用云化的方式進(jìn)行交付。
比如網(wǎng)關(guān)安全、終端安全可以被SASE、SSE、云化的XDR來(lái)代替，而傳統(tǒng)的人工安全服務(wù)，也可以使用永久在線、持續(xù)對(duì)抗的MSS安全托管服務(wù)來(lái)代替。云化的安全產(chǎn)品和服務(wù)能夠快速部署、快速演進(jìn)，大幅簡(jiǎn)化用戶在產(chǎn)品交付和運(yùn)維上的工作。
在多云共存時(shí)代，企業(yè)的安全策略也應(yīng)當(dāng)是跨云的，需要統(tǒng)一進(jìn)行管理，實(shí)現(xiàn)統(tǒng)一的安全保護(hù)。
云安全不應(yīng)該是業(yè)務(wù)上線和運(yùn)維階段才考慮的問(wèn)題，而是在業(yè)務(wù)規(guī)劃、開發(fā)、測(cè)試、上線、運(yùn)維的每一個(gè)環(huán)節(jié)，都嵌入安全開發(fā)機(jī)制，從而更早發(fā)現(xiàn)風(fēng)險(xiǎn)，更早修復(fù)，大幅提升業(yè)務(wù)安全性。
在云化環(huán)境下，傳統(tǒng)的網(wǎng)絡(luò)邊界已經(jīng)消失，幾乎所有的終端、網(wǎng)絡(luò)都是不安全的環(huán)境，因此在云時(shí)代，要重新建立新的安全保護(hù)模型。
零信任架構(gòu)是目前業(yè)界廣泛認(rèn)可的用來(lái)實(shí)現(xiàn)跨云保護(hù)的一種安全模式。雖然零信任很美好，但目前落地往往不盡如人意，企業(yè)在建設(shè)零信任體系時(shí)，要充分考慮相關(guān)產(chǎn)品和方案的可落地性，不能選擇過(guò)度復(fù)雜的產(chǎn)品導(dǎo)致方案無(wú)法落地。
此外，如果基礎(chǔ)設(shè)施能夠內(nèi)置安全能力，可以大幅減少企業(yè)在云時(shí)代下的安全風(fēng)險(xiǎn)。
企業(yè)本地建設(shè)的基礎(chǔ)設(shè)施，包括私有云平臺(tái)、超融合等，安全能力和基礎(chǔ)設(shè)施幾乎是完全解耦的，需要單獨(dú)考慮安全建設(shè)問(wèn)題。
在云化時(shí)代下，企業(yè)需要更多采用天生具有安全保護(hù)能力的數(shù)字化基礎(chǔ)設(shè)施，比如能夠內(nèi)置防勒索的存儲(chǔ)、內(nèi)置微隔離的網(wǎng)絡(luò)、具備虛擬補(bǔ)丁的計(jì)算平臺(tái)等。
當(dāng)然，這種適配于云時(shí)代的IT基礎(chǔ)設(shè)施建設(shè)，并非要把企業(yè)已有安全設(shè)施進(jìn)行全部替換，而是把傳統(tǒng)安全產(chǎn)品的部分能力云化并納入跨云管理平臺(tái)，使之成為云化環(huán)境安全保護(hù)的一部分，不但大幅提升安全效果，也簡(jiǎn)化了交付的復(fù)雜性。
回歸云化時(shí)代企業(yè)對(duì)安全的最本質(zhì)訴求，就是要有效，不但要有效保護(hù)業(yè)務(wù)，還能有效對(duì)抗攻擊。
雖然安全本身不會(huì)給業(yè)務(wù)創(chuàng)造價(jià)值，但安全缺失給業(yè)務(wù)造成的損失將遠(yuǎn)超想象。因此，安全一定要足夠簡(jiǎn)單，同時(shí)又足夠可靠，要讓用戶越來(lái)越省心，而不是越來(lái)越復(fù)雜。
