混合云安全已经经过一段时间的发展。云计算带来了各种维度，这些维度需要一种方法来扩展当前的政策、实践和技能。必须采取以企业为中心的视图，以实现集中可见性、保护控制和控制风险。
图中列表与下文中的描述一致。
文章图片
1、安全策略
拥有私有云和公共云环境（混合云和多云）的企业应明确定义云安全策略以监控和执行保护控制。该政策应涵盖监管合规要求（例如 PCI、HIPAA、ISO、FFIEC、GDPR、政府或国家级要求等）、企业控制、数据驻留、隐私评估的需求。
他们应根据云服务提供商定义的共享责任模型和必须纳入的客户团队责任来确定覆盖范围。监管政策不断变化，企业风险和合规团队必须监控、评估和整合这些变化。
2、网络弹性计划
企业还应将其网络弹性计划扩展到云。他们必须考虑针对云环境的额外响应方案。风险管理人员应在计划中包括频繁的进攻性测试、桌面练习、员工教育，并将所有云环境纳入其中。
3、安全互连
拥有多个私有数据中心设施的企业将通过支持电信的网络连接在它们之间实现安全连接。强烈建议从数据中心扩展支持电信的连接，利用云原生连接，例如（直接连接、快速路由）以及 Equinix 等互连位置。
连接方法将支持私有云和公共云之间的安全传输。在互连处启用深度数据包检查可以提供额外的保证，以监控和管理受信任和不受信任区域之间的连接和流量管理。
通过这种方法，通过企业标识和访问管理工具扩展用户访问权限将得到简化。对漫游用户连接到云和私有云环境的额外监控将加强企业监控。
文章图片
4、保护控制平面
云服务提供商控制平面或门户是风险面之一。主账户和其他高级特权账户可以访问在云本地启用的计算、存储元素、数据、格式模板、安全性和合规性配置。
对控制平面拥有更高权限的用户可以在移动部门或离开公司时拥有相同的访问权限。如果用户是恶意的或意外删除、修改了基于云的资产，对用户的这种访问可能会使企业面临风险。
企业应该了解所有签约的云服务提供商和相关的控制平面。风险管理人员应保管云服务提供商提供的主帐户。安全管理人员应仅通过公司 ID 严格管理启用具有较高权限的个人。
用户的入职和离职必须按照安全策略的定义进行管理。积极就业和持续业务需要访问，或者提升特权必须经常审查。强烈建议使用多因素身份验证并扩展到企业身份以降低风险。
也建议使用 Privileged-id 管理和监控其使用情况，以跟踪用户行为并防止对云资源的无意删除或修改。
5、保护数据平面
除了支持第三方供应商提供商安全工具之外，云服务提供商还支持原生云安全功能。每个云服务提供商都在这些功能上都有细微差别；它们被深入到工作负载部署方法的自动化过程中。
迄今为止发生的大多数数据泄露事件都是云配置错误造成的。VPC、安全组、IAM 控制、密钥管理服务等功能的配置由客户端负责。
它们必须根据工作负载部署进行适当设计，并持续监控与设计标准的任何偏差，并应立即采取纠正措施。
云原生安全功能是服务提供商支持的类似产品的特性。这些是云环境结构的一部分。需要专业的云服务提供商知识来启用、创建、执行策略并持续监控它们。所以建议对应用程序开发和安全团队的技能开发进行投资。
6、卫生监控和补救
缺乏基本卫生是利用混合多云环境的企业的最高风险因素。卫生的定义范围从识别为 COTS 软件（操作系统、应用程序、中间件）的一部分的漏洞、自定义应用程序、访问管理控制、根据公司安全策略进行的系统强化。
作为公司政策的一部分，应根据基于风险的漏洞排名持续监控卫生状况和适当的漏洞管理、对零日漏洞实施二级控制、识别操作系统上的偏差、应用程序级强化并通过自动化立即修复它们。
7、集成的安全和合规管理
云控制平面、工作负载、应用程序的安全和合规是相互交织的。必须以自动化和集成的方式监控和评估本机到云配置和工作负载配置的所有资产、合规性状况。监控、漂移分析并利用补救措施来保护环境，同时利用补救措施来证明环境的合规性状态。
文章图片
11、监控自动化
使用形成模板进行自动化部署，使用云服务提供商功能、元服务、API、微服务、访问分配和密钥监控和管理云原生的工作负载是云结构的一部分。
建议企业为这些服务启用审计日志记录。安全运营管理者应将来自这些来源的遥测数据汇总到支持云服务提供商的安全分析平台或客户端 SIEM，以检测和管理异常活动。
利用自动化来监控和管理自动化。利用 SRE、Chaos Monkey、渗透测试等技术不断检查自动化和实用程序。
12、左移
创新、应用程序现代化、快速应用程序开发和部署的发生主要归功于业务部门决策和负责BU的 DevOps 团队。
DevOps 团队主要专注于通过云可用功能、开源实用程序、采用持续集成/持续交付工具来改进应用程序增强。综合安全性和合规性尚未考虑或纳入该方法。
DevOps 团队还可能假设云提供的基础架构足以保证安全，并且主要集中在应用层控制上。在工作负载分析期间，建议企业了解新构建或将工作负载迁移到云的应用程序安全性、公司合规性、法规合规性和隐私要求。客户必须评估共享责任，即作为云的一部分内置，由客户添加以满足需求。
部署在公共云中的工作负载必须利用云配置、原生云安全功能或第三方供应商产品来保护，即使在开发/测试/预生产模式下也是如此。
文章图片
13、人与文化
只有当人的文化、流程和工具得到增强并适应采用云环境带来的细微差别时，以上所有才可能实现。开发人员应采用安全设计或威胁建模概念来识别生命周期早期的漏洞，以便他们可以在部署易受攻击的应用程序之前对其进行补救。坚持严格的卫生和谨慎使用云配置将有助于团队避免意外的数据泄露。
14、专注于技能提升
云和云安全为行业现有的技能差距带来了另一个维度。在整合云配置、利用本地到云提供的安全功能时，需要具备深厚的云服务提供商环境专业知识。
进入云计算领域的企业应该投资于提高现有员工的技能，或者通过计划来获取技能熟练的员工，以规划的方式将他们整合到当前的团队中。
必须向团队提供适当的培训，让他们在利用特定云服务提供商标准的同时，利用企业定义的标准。
【详解混合云安全性与合规性，降低风险的指导原则】通过应用这些指导原则，大多数风险都会得到缓解。随着混合云的进一步发展，可以在这些基本原则的基础上构建其他原则。
推荐阅读
- 【云原生】—— 学习云计算应用开发你需要掌握的五大技能
- 直播回顾（准确性提升到 5 秒级，ssar 独创的 load5s 指标有多硬核（| 龙蜥技术））
- 最佳实践丨三种典型场景下的云上虚拟IDC（私有池）选购指南
- 云数据管理将会打破存储孤岛和团队孤岛
- 云计算|【Zabbix】基于CentOS 7.9系统安装部署Zabbix 5.0LTS版本监控系统（详细教程）
- 阿里云万郁香（多样付费选择构筑成本最优的弹性体验）
- 后端|Spring Cloud（Dubbo？还是K8s？）
- 多云是否有意义（企业应该如何抉择？）
- hadoop|Hive 安装、配置、数据导入和使用