文章6：這些知識點你都了解了嗎？#雲安全CCSK-M6：雲安全運作

内容概述：

雲安全運作。本子產品涵蓋評估、選擇和管理雲計算提供商時的關鍵注意事項。我們還會讨論服務提供商的安全角色以及對雲應急響應的影響。

知識架構圖：

**雲安全運作域包括（源自于：CSA雲安全指南-M6）：

**

一、雲提供者需要提供的内容

IaaS (和多數PaaS) 提供者的關鍵安全能力：API/管理活動日志、彈性和自由伸縮、所有安全特性的API、授權顆粒度、良好的SAML支援、每個客戶有多個賬戶、軟體定義網絡、區域/位置控制、基礎設施模闆/自動化配置

二、安全即服務

SecaaS 包括通過雲服務方式提供的安全産品或服務，要被視為SecaaS，其服務必須滿足域1 中提及的雲計算基本特性。

SecaaS潛在的好處包括：雲計算優勢、人員配置和專業知識、智能共享、部署靈活性、客戶無感覺、伸縮和成本。

SecaaS潛在的問題包括：能見度不足、監管差異、處理監管的資料、資料洩漏、更換供應商、遷移到SecaaS的困難。

雲通路安全代理（CASB，又稱雲安全網關）攔截直接連接配接或通過API連接配接到雲服務的通信，以便監視活動、執行政策以及檢測和/或防止安全問題。

Web安全包括實時保護，通過軟體和/或裝置安裝提供本地化部署或者通過将Web流量代理或重定向（或兩者混合）到雲提供商來提供服務。

電子郵件安全應該提供對入站和出站電子郵件的控制，保護組織免受網絡釣魚和惡意附件等風險的影響，并實施可接受的使用和垃圾郵件防範等公司政策，并提供業務連續性選項。

安全評估是通過雲方式提供對雲服務的第三方或客戶驅動的稽核或對本地部署系統的評估的解決方案。

基于雲的Web 應用程式防火牆（WAF）中，在将流量傳遞到目标Web 應用程式之前，客戶先将流量（使用DNS）重定向到分析和過濾流量的服務。許多雲WAF 還包括反DDoS 功能。

雲IDS / IPS 可以使用本地化安全的現有硬體、雲中的虛拟裝置（有關限制請參閱域7）或基于主機的代理。

安全資訊和事件管理（SIEM）系統聚合（通過推或拉機制）來自虛拟和實體網絡、應用程式和系統的日志和事件資料。然後将該資訊去噪并分析，以提供可能需要人工幹預或其他類型的響應的資訊或事件的實時報告和警報。雲SIEM 通過雲服務收集這些資料，而不是由客戶管理的本地系統。

加密和密鑰管理服務提供加密資料和/或加密密鑰管理服務。它們可能由雲服務提供以支援客戶管理的加密和資料安全。

雲業務連續性和災難恢複服務提供商将資料從單個系統、資料中心或雲服務備份到雲平台，而不是依賴本地存儲或運送錄音帶。

安全服務将傳統的安全管理功能（如終端保護、代理管理、網絡安全、移動裝置管理等）內建到單個雲服務中。這減少或消除了對本地管理伺服器的需求，并且可能特别适合于分布式組織。

大多數DDoS 保護本質上都是基于雲的。它們通過将流量重定向路由到DDoS 服務來實作，以便在影響客戶自己的基礎架構之前吸收攻擊。

**三、事件響應

在雲部署中，事件響應生命周期的每個階段都會受到不同程度的影響。有些階段與需要和第三方協調的外包環境中的事件響應類似。其他差異則與雲的抽象和自動化特性有關。

SLA 和圍繞客戶和提供者職責确定期望是基于雲資源的事件響應的關鍵。明确角色/責任的溝通以及實踐響應和交接是至關重要的。

雲客戶必須建立與提供者溝通的适當路徑，以便在事件發生時使用。現有的開放标準可以促進事件溝通。

雲客戶必須了解雲提供商所提供的用于分析目的資料的内容和格式，并評估現有的驗證資料是否滿足司法證據保管鍊要求。

雲客戶應該采用持續和無伺服器的方式監控雲資源，才能比傳統的資料中心更早地發現潛在的問題。

基于雲的應用程式應利用自動化和業務流程來簡化和加速響應，包括遏制和恢複。

對于使用的每個雲服務提供商，必須在企業事件響應計劃中規劃和描述用于檢測和處理涉及該供應商托管資源的事件的方法。

每個雲服務提供商的SLA 必須保證對事件處理提供支援，以有效地執行企業事件響應計劃。這必須涵蓋事件處理過程的每個階段：檢測、分析、遏制、根除和恢複。

事件響應計劃至少每年或每當應用架構有重大變化時進行測試。客戶應盡可能地将其測試程式與供應商（和其他合作夥伴）的測試程式進行最大程度的整合。

測一測，看看您掌握了多少？

M6：雲安全運作域的相關測試：

https://jinshuju.net/f/y8HvTa