云端迁移的安全策略
关键要点
- 云迁移不仅仅是“抬起和转移”，更需要“抬起、适应和转移”。
- 风险管理必须在云环境下进行调整，特别是当安全责任转移给研发团队时。
- 采用整体的云安全策略，从开发过程开始直到运行时可以增强组织的安全态势。
在讨论云迁移时，许多人将其视为一种简单的“抬起和转移”方式；实际上，它更像是“抬起、适应和转移”。特别是首席信息安全官（CISO）必须进行适应。以云速度和规模进行风险管理需要一定的调整，同时在将安全责任转移给设计和部署云资源的研发团队时，CISO们也需要承担更多的责任。
根据我领导一次大型云迁移的经验，如果操作得当，云迁移可以提升一个组织的安全态势。企业应该从开发过程的第一步开始，采用整体的云安全策略，持续到运行时。
以下是安全云迁移的三个基本步骤：
步骤 | 描述
—|—
假设公司会被攻击 | 尽管这种思维方式并不独特，但云环境拥有不同且数量更为庞大的攻击载体、漏洞和攻击速度。
实施超出云服务提供商所提供的主动措施 | 无论云服务提供商的工具有多好，仅依赖这些工具来保护公司的关键资产都是有风险的。
制定管理责任与权威之间摩擦的计划 | 在云环境中，这两者并不总是兼容。这个话题非常重要，值得深入探讨，但我们需要在开发和安全团队之间进行根本性调整，以便CISO能够有效保护云系统并管理风险。
安全团队能否阻止潜在的云攻击？
在云安全领域发生的许多创新都集中在“向左移动”或在开发过程中早期融入安全性。然而，当我的团队进行云迁移时，我们在运行时安全方面遇到了重大障碍。这一点至关重要，因为无论组织通过何种方式被攻击，攻击总是在运行时展开。
不幸的是，旨在检测云攻击的现有产品最初都是基于特定的目标，例如态势管理或终端安全。这些技术被相互堆叠起来，随着功能的扩展，这样的构建方式需要不可持续的配置和维护量。此外，我们已经知道，拼凑的安全工具会产生漏洞和盲点。
尽管存在技术上的限制，但诸如扩展伯克利数据包过滤器（eBPF）等云技术的进步推动了云安全的发展。简单来说，eBPF为组织提供了“云中的
boots”来应对下一波云攻击。不管攻击者如何入侵组织，网络攻击在运行时展开。
云环境与本地网络有不同的属性，云攻击的表现也与传统系统完全不同。云攻击看似随机，攻击者并不会使用预先设计的战术、工具和流程（TTP），因为这些在云环境中通常不起作用。因此，成熟的攻击检测工具，如终端检测和响应（EDR）产品，在检测这些攻击时的效果大打折扣。
同时，云攻击者通常会有一个明确的目标，比如放置一个加密矿工或一个空的虚拟机。但当他们有机会接管某个账户、访问关键资产或外泄数据时，就会立即采取行动，超出防御者的应对能力。更严重的是，他们通常会伪装成合法用户。诸如
、
和 的攻击让我们看到未来可能出现的威胁，这也反过来影响下一代云防御的构建。
总体而言：运行时为云安全引入了新的发展方向。当强大的风险管理和安全能力融入数字转型过程——从开发到运行时——时，打破了我们总是要在强安全性和高度生产力之间进行权衡的神话。
