當今的云安全導航可能很難理解。許多安全專業(yè)人士問自己，保護云安全的最佳方法是什么？Black Hat USA 2023約有400家供應商，今年RSA Conference 約有500家供應商，選擇可能令人眼花繚亂。這個看似簡單的問題后來演變成了一個復雜且定制的答案，通常需要花費數月的時間來確定所有關鍵架構和設計選擇，以便為您的組織做出正確的決策。當您最終決定需要安全關注和資源的關鍵領域時，請花一點時間評估您的風險級別、部署策略和覆蓋區(qū)域。 

跟上時代的變化

我們承認云安全不是靜態(tài)的。云在過去 10 年里已經發(fā)生了很大的變化，未來 10 年它看起來將會非常不同。2000 年代初期，它始于網絡級別，很大程度上是由 SD-WAN 和虛擬網絡設備的進步推動的。我們看到防火墻、網絡入侵檢測和其他隔離方法在云中得到采用，以確保數據的正確分段和資源的隔離。

從早期開始，隨著每月提供越來越多的云服務，安全供應商一直在尋求擴大其覆蓋范圍，以確保適當的覆蓋范圍并響應市場需求。一個很好的例子是，虛擬基礎設施（例如虛擬服務器或數據庫）本身如何支持將大部分設置抽象為文本文件，以便自動配置云資源。然后可以在將這些文本文件部署到云中之前分析其配置錯誤或安全問題。另一個例子是大牌如何隨著時代的變化而變化。Palo Alto 和 Fortinet 從企業(yè)級防火墻開始，現在提供跨許多云安全領域的產品。

我們在云以及云安全市場中看到的內容有三個方面。首先是新技術的快速創(chuàng)建，以跟上不斷變化的云環(huán)境。其次，與現有技術和企業(yè)擴張的重疊。第三，我們看到錯綜復雜的營銷術語，它們試圖幫助教育新技術并將其組合在一起。主要問題之一是所有這些變化都會在市場上造成混亂，通常需要大量的演示、解釋和功能清單。

云羅盤

我提出一個實驗，找兩個安全領導，問CNAPP是什么？根據任期和安全背景的不同，答案會有很大差異。我對“云安全”一詞的看法之一是云安全和企業(yè)安全如今比以往任何時候都更加融合。許多企業(yè)提供混合部署，通常試圖利用云中的可擴展性來節(jié)省數據中心的成本。當我們想到云時，我們需要擺脫對大型云供應商的思考，而只考慮企業(yè)安全的下一步。 

如果您需要幫助，我的建議是將其歸結為四個關鍵領域，以及您采取了哪些保護措施來減輕這些領域的風險。這將幫助您消除疑慮并首先了解您組織的需求，然后再找到適合的解決方案。 

• 工作負載：這是處理數據的正在運行的高價值應用程序。考慮暴露哪些數據以及它們如何相互通信以及與外部通信。
• 身份：這是涉及基礎設施每個點的人員或內容，例如開發(fā)人員或服務帳戶?？紤]一下如何管理、驗證和減少權限。
• 狀態(tài)：這是一個或多個架構中存在的許多配置、設置、網絡、安全組以及所有數百萬個其他部分。想想如何不斷檢查和驗證這些設置。
• 企業(yè)：這是工作負載處于活動狀態(tài)之前的管道、代碼、部署和集成。思考您的供應鏈如何運作以及如何及早發(fā)現問題。 

下次當看到 CNAPP、CASB、WAAS、CSPM 或許多其他短語時，深吸一口氣并認識到企業(yè)安全從來都不是二進制的 1 或 0，這將很有幫助。這從來不是你有這個或那個的問題。圍繞工作負載、身份、狀態(tài)和企業(yè)來構建您的需求可以幫助您更好地了解您的特定需求，并在嘗試與這些其他術語保持一致時處于更好的位置。