構(gòu)建云化安全能力的3個建議

李柔婉

2021年11月12日，深信服智安全創(chuàng)新峰會在云端拉開帷幕，深信服創(chuàng)始人&CEO何朝曦在《構(gòu)建云化時代的安全能力》主題演講中指出，業(yè)務(wù)云化已成為用戶實現(xiàn)數(shù)字化轉(zhuǎn)型與變革的重要方式，這種跨時代的變遷對用戶的安全能力提出了更高的要求，而構(gòu)建云化時代的安全能力，可以從采用云化交付的安全產(chǎn)品和服務(wù)、構(gòu)建適合云和云原生應(yīng)用的保護能力、采用適配于云時代的IT基礎(chǔ)設(shè)施這3個方面著手。

直面云化安全挑戰(zhàn)，何以就緒

云計算之所以被稱為變革性技術(shù)，因為它給業(yè)務(wù)帶來的是全方位的改變。第一個改變是更廣泛，云化時代業(yè)務(wù)部署的環(huán)境更廣泛，組織需要管理的終端類型也更多樣化。第二個是更快速，云時代IT資源和能力可快速應(yīng)用到業(yè)務(wù)創(chuàng)新上，應(yīng)用的迭代速度也變得前所未有地快。最后是更復雜，云原生架構(gòu)和開源代碼的廣泛應(yīng)用，讓IT架構(gòu)和應(yīng)用變得越來越復雜。

何朝曦指出，云化時代的這種巨大變化，為用戶的安全工作帶來了許多新的挑戰(zhàn)。首先，傳統(tǒng)的安全問題，到了云化時代依然存在，而上云之后，新的安全問題接踵而至，例如對容器、對API的攻擊等，而傳統(tǒng)的安全產(chǎn)品大多無法直接部署到云環(huán)境中。其次，多云、多終端的環(huán)境下，安全保護和運營管理是割裂的。再次，傳統(tǒng)的不能迭代的安全產(chǎn)品和服務(wù)已經(jīng)跟不上云化時代業(yè)務(wù)變化的速度和攻擊的速度。最后，云化架構(gòu)的復雜性，也使安全保護變得更復雜，成本更高，需要有更簡化的方式來實現(xiàn)安全保護。

云化時代安全能力建設(shè)的三個建議

針對云化時代用戶面臨的種種挑戰(zhàn)，何朝曦提出了3個建議，助力用戶構(gòu)建云化時代的安全能力。

采用云化交付的安全產(chǎn)品和服務(wù)。

云化的業(yè)務(wù)需要云化的安全來保護，絕大多數(shù)安全產(chǎn)品的能力實際上都可以用云化的方式進行交付。比如網(wǎng)關(guān)安全、終端安全可以被SASE、云化的XDR來代替，而傳統(tǒng)的人工安全服務(wù)，也可以使用永久在線、持續(xù)對抗的MSS安全托管服務(wù)來代替。云化的安全產(chǎn)品和服務(wù)能夠快速部署、快速演進，大幅簡化用戶在產(chǎn)品交付和運維上的工作。

在云化時代，深信服已率先將自己的安全能力進行全面云化，為用戶提供云化的交付產(chǎn)品和方案。2018年，深信服在國內(nèi)率先發(fā)布了MSS托管式安全運營服務(wù)，通過3年的積累，深信服率先將MSS升級到2.0時代，打造隨需可得的托管式安全運營能力，覆蓋組織安全工作的核心場景，包括日常安全運營、實戰(zhàn)攻防運營、等保合規(guī)運營以及勒索專項運營等等。并實現(xiàn)標準化、規(guī)?；桓赌芰?，服務(wù)用戶超過1 000家。未來，深信服還將持續(xù)升級安全運營中心的能力，通過打造超級自動化平臺、云端智能機器人及云端高級專家團等方式持續(xù)提升平臺的安全能力。

同時，深信服的SASE業(yè)務(wù)將具備豐富的安全棧，包括防火墻、VPN、SD-WAN、全網(wǎng)行為管理、終端安全以及失陷主機檢測等多種常用的安全保護能力，未來還會加入零信任、數(shù)據(jù)保護等新的安全棧。截止到今年9月，深信服在全國部署了超過25個POP節(jié)點，覆蓋了大部分省份，用戶累計超過3 500家，在線保護的終端超過50萬個。

構(gòu)建適合云和云原生應(yīng)用的保護能力。

何朝曦認為，在多云共存時代，用戶的安全策略也應(yīng)當是跨云的，需要統(tǒng)一進行管理，實現(xiàn)統(tǒng)一的安全保護。因此，用戶最好選擇可以SaaS化交付的、實現(xiàn)統(tǒng)一跨云環(huán)境的安全保護產(chǎn)品和平臺。

在云原生時代，如果想充分發(fā)揮出DevOps在業(yè)務(wù)開發(fā)上的敏捷性和響應(yīng)力，就必須將IT安全防護融入業(yè)務(wù)的整個生命周期中，因此DevSecOps應(yīng)運而生。安全不應(yīng)該是業(yè)務(wù)上線和運維階段才考慮的問題，而是在業(yè)務(wù)規(guī)劃、開發(fā)、測試、上線、運維的每一個環(huán)節(jié)，都嵌入安全開發(fā)機制，從而更早發(fā)現(xiàn)風險，更早修復，大幅提升業(yè)務(wù)安全性。何朝曦表示，深信服在采用了DevSecOps的開發(fā)模式之后，產(chǎn)品的安全性得到了大幅提升，也非常愿意向所有用戶開放在DevSecOps方面積累的能力和經(jīng)驗。

此外，云化環(huán)境下，傳統(tǒng)的網(wǎng)絡(luò)邊界已經(jīng)消失，幾乎所有的終端、網(wǎng)絡(luò)都是不安全的環(huán)境，因此在云的時代，要重新建立新的安全保護模型。零信任架構(gòu)是目前業(yè)界廣泛認可的用來實現(xiàn)跨云保護的一種安全模式。何朝曦指出，零信任很美好，但是落地往往不如意，用戶在建設(shè)零信任體系時，要充分考慮相關(guān)產(chǎn)品和方案的可落地性，不能選擇過度復雜的產(chǎn)品導致方案無法落地。

深信服已經(jīng)將全網(wǎng)行為管理、VPN等多款安全品與各種系統(tǒng)和終端做進行適配，在零信任方面積累了很多成熟的技術(shù)。因此，深信服在落地零信任方案時，可以極大簡化用戶的工作。僅今年，深信服落地的超過5 000點的大型零信任方案就有50多個。

采用適配于云時代的IT基礎(chǔ)設(shè)施。

何朝曦強調(diào)，如果基礎(chǔ)設(shè)施能夠內(nèi)置安全能力，可以大幅減少用戶在云時代下的安全風險。用戶本地建設(shè)的基礎(chǔ)設(shè)施，包括私有云平臺、超融合等，安全能力和基礎(chǔ)設(shè)施幾乎是完全解耦的，需要單獨考慮安全建設(shè)問題。用戶需要更多采用天生具有安全保護能力的數(shù)字化基礎(chǔ)設(shè)施，比如能夠內(nèi)置防勒索的存儲，內(nèi)置微隔離的網(wǎng)絡(luò)，具備虛擬補丁的計算平臺等。

當然，這種適配于云時代的IT基礎(chǔ)設(shè)施建設(shè)，并非要把企業(yè)已有安全設(shè)施全部替換掉。企業(yè)已有安全設(shè)施在云下的環(huán)境中仍然發(fā)揮作用，而把傳統(tǒng)安全產(chǎn)品的部分能力云化并納入跨云管理平臺，就能夠成為云化環(huán)境安全保護的一部分，不但大幅提升安全效果，也簡化了交付的復雜性。

深信服智安全護航云化時代

回歸云化時代用戶對安全的最本質(zhì)訴求，何朝曦表示，就是要有效，不但要有效保護業(yè)務(wù)，還能有效對抗攻擊。

雖然安全本身不會給業(yè)務(wù)創(chuàng)造價值，但安全缺失給業(yè)務(wù)造成的損失將遠超想象。因此安全一定要足夠簡單，同時又足夠可靠，要讓用戶越來越省心，而不是越來越復雜。這也一直是深信服智安全所倡導的“簡單有效、省心可靠”理念。

即使是在更加復雜、變化更加快速的云化時代，深信服智安全將堅守“簡單有效、省心可靠”這個理念，持續(xù)研發(fā)創(chuàng)新的技術(shù)和產(chǎn)品，讓每一位用戶的數(shù)字化更簡單，更安全。