侵權(quán)投訴
訂閱
糾錯
加入自媒體

一文讀懂CWPP云安全平臺

隨著企業(yè)將工作負(fù)載轉(zhuǎn)移到云上,保護(hù)云環(huán)境已成為當(dāng)務(wù)之急。近年來,CWPP(云工作負(fù)載安全防護(hù)平臺)成為云安全領(lǐng)域的關(guān)注熱點。

Gartner報告指出,美國2021年CWPP市場規(guī)模達(dá)到16.99億美元,而目前中國的市場規(guī)模要遠(yuǎn)低于這個數(shù)字。

IDC報告顯示,2021年,中國云工作負(fù)載安全市場實現(xiàn)規(guī)模和增速雙爆發(fā),市場規(guī)模達(dá)到2.8億美元(18.74億元),相較2020年同比增長57.9%。這表明中國CWPP市場還有巨大的發(fā)展?jié)摿Α?/p>

什么是CWPP?

要理解云工作負(fù)載保護(hù)平臺是什么,首先需要了解什么是工作負(fù)載。一般來說,工作負(fù)載指的是功能或能力的原子單位,以及運行它所需的任何東西——即數(shù)據(jù)、網(wǎng)絡(luò)連接等。

實際上,工作負(fù)載可以是任何東西,可以是VM(如在傳統(tǒng)的IaaS或私有云中),也可以是容器化的應(yīng)用程序,即在容器引擎(如Docker)中運行的應(yīng)用程序及其支持的中間件。

隨著云的發(fā)展,如今的工作負(fù)載已經(jīng)不是單純的服務(wù)器,還包括虛擬機、容器、無服務(wù)(serverless)等,部署的模式也有公有云、私有云、混合云、甚至多云等,因此之前的那一套安全產(chǎn)品已經(jīng)無法滿足需求了,于是開始誕生了CWPP。

CWPP是以工作負(fù)載為主體,以一致的方式保護(hù)混合云、多云架構(gòu)下工作負(fù)載的安全產(chǎn)品。

簡單來說,CWPP就是云上工作負(fù)載的全家桶。和傳統(tǒng)部署在網(wǎng)絡(luò)邊界上的安全產(chǎn)品不一樣,CWPP部署在操作系統(tǒng)層,因此可以橫跨物理機、公有云、私有云、混合云等多種數(shù)據(jù)中心環(huán)境,部署方式更加靈活、防護(hù)層面更加豐富。

它提供了一種集成的方式,通過使用單個管理控制臺和單一方式表達(dá)安全策略,來保護(hù)這些工作負(fù)載,而不用考慮工作負(fù)載運行的位置。

云工作負(fù)載保護(hù)平臺的優(yōu)點

CWPP作為云上工作負(fù)載的安全“全家桶”,具有很多優(yōu)勢:

降低復(fù)雜度

傳統(tǒng)安全工具在物理服務(wù)器或托管端點上運行,這些工具在設(shè)計時并未考慮容器、虛擬化、無服務(wù)器功能或云開發(fā)。

現(xiàn)代工作負(fù)載保護(hù)必須跨越公有云中的虛擬機、容器、無服務(wù)器工作負(fù)載和其他計算部分。

由于CWPP整合了來自所有工作負(fù)載的數(shù)據(jù),因此安全人員可以更輕松地分析來自整個環(huán)境的安全數(shù)據(jù),這也意味著安全團隊可以更高效地運營。

跨云環(huán)境的一致性

從使用角度來看,微服務(wù)架構(gòu)會產(chǎn)生大量較小的工作負(fù)載;DevOps導(dǎo)致每個工作負(fù)載的生命周期縮短;多云和混合云導(dǎo)致環(huán)境變得更為復(fù)雜,這些變化都降低了工作負(fù)載的可見度。

但無論有多少工作負(fù)載或它們位于何處,CWPP都提供了對工作負(fù)載安全性的一致可見性,即使他們在多云環(huán)境中處理多個位置的大量工作負(fù)載也是如此。

 安全的可移植性

CWPP可以在不影響安全性的情況下在環(huán)境之間移動工作負(fù)載。

例如,今天運行在本地hypervisor中的工作負(fù)載,明天會轉(zhuǎn)移到IaaS云中;或者今天在私有云IaaS上運行的容器,明天將轉(zhuǎn)移到公有云容器實例中。使用CWPP,它仍然是在遷移前后持續(xù)保護(hù)的相同工作負(fù)載。

確定風(fēng)險的優(yōu)先級,減少警報疲勞

強大的CWPP提供了漏洞與云其他部分的關(guān)系背景信息。

這種上下文可以更好地確定風(fēng)險的優(yōu)先級。

通過上下文進(jìn)入身份、數(shù)據(jù)和平臺配置,如果CVSS分?jǐn)?shù)為6.5的工作負(fù)載暴露在 網(wǎng)絡(luò)上,并且其身份嚴(yán)重超出許可,可以訪問客戶數(shù)據(jù),則該工作負(fù)載很快就會成為關(guān)鍵風(fēng)險。這種嚴(yán)重程度的等級劃分有助于安全團隊及時評估風(fēng)險。

        獨立的CWPP就足夠了嗎?

       Gartner在《2021 年云工作負(fù)載保護(hù)平臺市場指南(CWPP)》中指出:工作負(fù)載保護(hù)必須涵蓋公共云和私有云中的虛擬機、容器和無服務(wù)器工作負(fù)載。

安全和風(fēng)險管理領(lǐng)導(dǎo)者應(yīng)該了解對跨越開發(fā)和運行時的保護(hù)需求,包括云安全態(tài)勢管理。

同樣,F(xiàn)orrester的一份報告指出:云安全不應(yīng)該是不同工具的大雜燴,廠商應(yīng)提供融合了云工作負(fù)載保護(hù)(CWPP)、運行時和運行時前容器安全性以及云安全態(tài)勢管理(CSPM)的解決方案,而不是不同的工具。

兩家咨詢機構(gòu)都指出,CWPP作為獨立解決方案是不夠的,推薦將CSPM、CWPP、DLP等產(chǎn)品組合到集成方案中。這是因為CWPP是在數(shù)據(jù)面對云工作負(fù)載進(jìn)行保護(hù),CSPM是在控制面對云工作負(fù)載進(jìn)行保護(hù),只看數(shù)據(jù)平面還不夠,還需要注意控制平面。

隨著CWPP帶來的安全掃描將安全在開發(fā)階段中進(jìn)行了左移(包括掃描開源漏洞、庫、可執(zhí)行漏洞、依賴性、硬編碼機密、以及惡意軟件),掃描云配置發(fā)現(xiàn)其他風(fēng)險同樣重要。

因此,數(shù)據(jù)面和控制面的云安全產(chǎn)品通過相互融合組成統(tǒng)一的解決方案,能夠更好地保護(hù)多云和多租戶。

CNAPP(云原生應(yīng)用保護(hù)平臺)正是這樣一種產(chǎn)物。

作為Gartner新定義的一個品類,是在CSPM和CWPP的融合中引入了應(yīng)用程序和數(shù)據(jù)上下文,以保護(hù)主機和工作負(fù)載,包括VM、容器和無服務(wù)器(serverless)功能。當(dāng)然對于CNAPP還有一種理解方式:CWPP進(jìn)行左移與CSPM融合,就變成了CNAPP。因此CNAPP是對開發(fā)、發(fā)布、部署和運營等整個生命周期進(jìn)行保護(hù)。

嚴(yán)格實施云安全最佳實踐

CSPM、CWPP、CNAPP等技術(shù)固然很重要,但是技術(shù)不能取代嚴(yán)格實施最佳實踐來減少云中的攻擊面,因此行業(yè)專家建議從以下幾個方面著手去加固安全防線:

部署適當(dāng)?shù)木W(wǎng)絡(luò)分段和安全性

在每個環(huán)境中建立安全區(qū)域,并僅允許流量通過防火墻,用于所需和范圍。

至少為每個應(yīng)用程序和環(huán)境配備單獨的VPC,但也應(yīng)考慮為每個應(yīng)用程序環(huán)境(開發(fā)、暫存和生產(chǎn))分配自己的云帳戶。 

利用最小特權(quán)原則

有目的地分配訪問權(quán)限和資源。例如,僅部署代碼的開發(fā)人員不應(yīng)具有整個云帳戶的管理權(quán)限;開發(fā)人員也不應(yīng)該持續(xù)訪問生產(chǎn)環(huán)境,僅提供他們需要的東西。

盡量減少計算機資源的安裝

基礎(chǔ)安裝必需的,刪除不需要的。

例如,對于容器,僅安裝應(yīng)用程序需要運行的包和庫,因為攻擊者可以使用任何多余的東西來攻擊。

及時打補丁以修復(fù)漏洞

修補是必不可少的,但它并不能解決每個漏洞。

它取決于在野外看到的脆弱性;如果您的軟件版本具有零日威脅,則它對您沒有任何作用。而且,一旦補丁發(fā)布,在攻擊者有機會在系統(tǒng)中發(fā)現(xiàn)和利用該漏洞之前,就是與時間賽跑。

通過運行時應(yīng)用自我保護(hù)(RASP)阻止受攻擊者影響代碼

真正的RASP能充當(dāng)安全網(wǎng),它會強制執(zhí)行應(yīng)用程序應(yīng)該執(zhí)行的操作,并在攻擊發(fā)生之前實時停止它不應(yīng)該執(zhí)行的操作。

攻擊者在利用已知或未知的軟件漏洞或利用配置錯誤、過時的安全策略、范圍不當(dāng)?shù)脑L問權(quán)限以及身份或憑據(jù)管理不足之前,就會被阻止。因此,攻擊者沒有機會安裝惡意軟件或泄露數(shù)據(jù)。

結(jié)語

在Gartner的技術(shù)成熟度曲線中,CWPP、CSPM等品類已經(jīng)進(jìn)入了光明的爬坡期,產(chǎn)品和市場也越來越成熟,而CNAPP才剛剛起步。隨著云原生安全的發(fā)展,各種平臺的能力也在相互融合。總而言之,上云的服務(wù)越來越多,云原生安全發(fā)展任重而道遠(yuǎn)。

【科技云報道原創(chuàng)】

轉(zhuǎn)載請注明“科技云報道”并附本文鏈接


       原文標(biāo)題 : 一文讀懂云工作負(fù)載安全平臺CWPP

聲明: 本文由入駐維科號的作者撰寫,觀點僅代表作者本人,不代表OFweek立場。如有侵權(quán)或其他問題,請聯(lián)系舉報。

發(fā)表評論

0條評論,0人參與

請輸入評論內(nèi)容...

請輸入評論/評論長度6~500個字

您提交的評論過于頻繁,請輸入驗證碼繼續(xù)

暫無評論

暫無評論

安防 獵頭職位 更多
文章糾錯
x
*文字標(biāo)題:
*糾錯內(nèi)容:
聯(lián)系郵箱:
*驗 證 碼:

粵公網(wǎng)安備 44030502002758號