關鍵業務上雲後，真的安全嗎？
雲上如果存在漏洞，那資料洩露、業務中斷、勒索威脅等問題随時都有可能發生。
即使通過外挂的漏掃裝置進行不定期巡檢，掃描結果誤報、掃描結果資訊混亂無法跟資産關聯、問題太多無人力逐一排查等問題緊随而來。
是以，如何有效地管理雲上漏洞？
深信服超融合6.8.0給出了答案。
一、上線即安全
在業務雲化過程中，全面監控雲上資産，可以有效發現脫離安全政策的“漏網之魚”。
深信服超融合内建的雲安全中心能夠自動給所有虛拟機安裝agent，進而實作資産系統識别、應用識别，并接受下發的漏洞檢測修複、病毒清除等指令，達到虛拟機上線即安全的效果。
為了保證agent能夠不受環境限制能夠給所有虛拟機裝上去實作監控，深信服超融合自研G2H子產品間通信方式。
雲安全中心可通過virtio-serial或virtio-vsock打通虛拟機、實體主機之間的網絡通信，并借助實體主機上的代理服務将虛拟機的請求，經由實體主機轉發給終端安全防護子產品和雲安全中心，實作在虛拟機沒有打通與終端安全防護子產品、雲安全中心網絡的情況下，自動給虛拟機安裝agent。
在監控能力方面，雲安全中心提供了資産識别能力，以便使用者能夠根據不同的資産進行不同的安全響應。
資産識别依賴于安裝的agent，agent裡調用了VMTools與終端安全防護子產品能力，通過VMTools背景自動收集虛拟機上的資訊，再由應用識别子產品識别作業系統、web應用、資料庫、中間件及相應版本，通過G2H隧道将所收集的資産指紋資訊定期同步給雲安全中心平台。
是以，隻需通過虛拟機上輕量化的agent，雲安全中心可以做到從終端、系統到應用層面的全面監控。
二、漏洞管理
防護動作不應隻局限在終端，而是需要終端、網絡、雲端三位一體全方位防護。
針對終端漏洞管理，深信服超融合雲安全中心通過自動安裝的agent與創新的子產品通信方式，支援對全平台主流漏洞進行實時檢測。
深信服超融合通過識别資産變更，能自動對終端安全防護子產品下發漏洞掃描任務，使用者也可選擇通過界面主動手動觸發漏洞掃描。虛拟機終端上的agent會實時将任務進度、漏洞資訊回傳給雲安全中心，并幫助使用者可視化地了解資産中的漏洞和風險情況，識别虛拟機目前存在的漏洞風險。
通過内建的終端安全防護子產品，深信服超融合提供漏洞一鍵修複功能或建議，引導使用者向導化完成掃描修複動作。修複前自動調用超融合自身底層快照接口進行修複前快照兜底，修複後如果業務異常可以及時恢複到快照點。
在網絡防護上，深信服超融合提供了網絡可視化功能，能夠對業務間複雜的通路流量進行分析，準确地繪制出業務系統之間的通路關系。
流量采集器通過旁路方式部署在虛拟網絡層，采集到的流量導入到流量收集器，再由流量分析子產品對收集的流量進行解析，之後将流量資訊存儲在資料庫中供調用，并以圖形化的方式将通路關系呈現出來。
通過通路關系，管理運維人員可以識别異常通路流量，排查意外暴露的端口，并可在排查處置前通過内置的分布式防火牆對漏洞虛拟機進行封堵，防止潛在威脅進一步擴散。
另外，深信服超融合也提供了流量鏡像功能，可将東西向流量鏡像到安全審計裝置做七層流量分析。
未來，深信服超融合将推出虛拟更新檔功能，在網絡層面，用軟體定義的方式檢測防禦利用漏洞進行攻擊的流量，在保證業務不中斷的情況下，也能封堵漏洞。
在深信服超融合本身提供的主機防護和網絡防護能力基礎上，深信服7*24小時威脅情報中心也在雲端向超融合雲安全中心實時推送全球最新的威脅情報。
使用者隻需将終端安全防護子產品連通威脅情報中心，虛拟機無需另外連接配接公網即可擷取到最新的漏洞資訊與處置建議，確定超融合所有虛拟機漏洞可第一時間暴露出來，幫助運維人員及時處置響應。
基于深信服在安全領域二十餘年的積累，深信服超融合打造了雲、網、端多元度防護的雲安全中心，将安全能力真正“融合”在超融合中，并不斷提供豐富的安全事件閉環方案，幫助使用者業務實作上線即安全。
以上就是本期《信服雲黑闆報》的分享，關注“深信服科技”公衆号，持續擷取更多技術幹貨内容。