你知道嗎？65%的企業都認為他們無法同時兼顧安全和創新，因為他們認為開發人員需要擁有通路所有資源的權限才能獲得更大的開發自由。那麼有沒有辦法既能夠確定開發過程的安全性同時也能保留靈活所需的資源呢？在瞬息萬變且日益複雜的雲計算生态中能否實作呢？是否同時也讓 DevOps 團隊便于管理呢？或許我們可以從雲安全管理中找到答案。

什麼是雲安全管理？

雲安全管理是一個多步驟流程，目的在于主動應對潛在的安全漏洞。它需要跨越整個組織的雲依賴關系，從會議、電子郵件和客戶管理服務到開發團隊使用的 PaaS（平台即服務）。

雲資産的安全管理還需要包括資料加密、保護員工使用的各種裝置以及管理使用者憑據。最重要的是，雲安全管理是一個持續的過程。是以，需要定期更新和維護。

為何 DevOps 應該關心雲安全管理？

大部分人會理所當然的認為雲安全管理是安全團隊的工作。但實際上，雲安全應該是每個人的責任。IT 安全政策有時無法滿足開發人員的需求，尤其是在工作負載均衡 docker 和容器方面。這就是 DevOps，或者更準确地說，是 DevSecOps 和 CloudOps 的作用所在。

往往企業認為不間斷的開發節奏會更加高效，是以傾向于将安全放在軟體開發周期的最後。但這樣的做法通常導緻完全相反的結果。因為在 DevOps 周期末尾時的安全評估往往會指出不合規問題，而處理這些問題會導緻産品無法按時面市。而由于開發周期已經結束，有些企業的高管有時會冒着沒有合适安全預防措施的情況下将産品推向市場。

而在雲安全方面，隻有不到60%的企業為開發人員明确了安全政策，而這其中隻有四分之一的企業認真執行了這些政策。使用雲能夠企業帶來許多優勢，但其對應的安全風險也不容忽視。DevOps 必須在開發周期内制定明确的安全計劃和指南，來避免或主動解決已知或潛在的安全問題。

企業應當實施的5個雲安全管理政策

與傳統計算不同，雲計算十分複雜。這是一個永無止境的安全和合規之旅。直白來說，每個處理雲工具和環境的 DevOps 專業人士都應該了解一些雲安全基本知識。

1. 使用第三方安全服務

如今，大多數企業都采用多雲基礎架構，和不止一個雲基礎架構提供商進行合作。每個平台都有一套自己的安全工具，來保護特定雲平台提供的服務安全。随着采用的雲提供商和解決方案數量的增加，多個日志中的警報和通知也越來越多。是以企業需要确定報告的哪些風險和威脅實際上值得跟進和處理，這往往需要花費大量的時間和成本，因為企業需要為這些風險和威脅開發對應的威脅模組化方法。

除了平台自帶的安全工具，可以選擇外部專業安全服務。這些服務能夠幫助企業節省管理多個儀表盤和監控系統的時間和精力。外部安全服務提供商的目标是與所有雲服務和平台內建，以接觸最廣泛的客戶群體，這也外部安全服務成為集中式雲安全管理的理想解決方案。

2. 保護雲憑據

敏感資訊如果被（有意或無意）放在錯誤的地方将會導緻災難性事件。由于安全漏洞，敏感資訊被上傳到代碼存儲庫，Uber 有5700萬條資訊被洩露。

DevOps 和開發人員在設計流水線時關注速度和效率，而安全性是資訊安全團隊和 IT 部門經常關心的問題。開發時，企業的注意力常常放在産品和用戶端的安全性上，而不是雲工具的安全性上。這可能導緻雲憑據丢失、洩露、暴露和濫用。

是以，企業十分有必要加強員工的保護雲憑據的意識，同時在内部進行安全宣教，教育員工如何識别網絡釣魚。一旦員工有意識保護憑據資訊，企業則更容易執行安全政策。同時企業可以實施密鑰和密碼輪換，并確定密鑰/密碼安全性高且不易被暴力破解。

Gartner Inc. 研究發現高達 95%的雲資料洩露是人為錯誤（例如配置錯誤）造成的。為了保護雲憑據免受這些錯誤的影響，DevOps 團隊需要確定将憑據掃描工具內建到 CI/CD 流水線中。

3. 掃描 IaC、容器及鏡像以查找錯誤配置

易受攻擊的配置檔案往往是和缺乏相應的專業知識挂鈎，而忘記關閉公開通路權限的事情也時常發生。事實上，在掃描的 CloudFormation （AWS IaC）配置檔案中接近一半存在錯誤配置，這也表明錯誤配置是普遍現象。

圖檔來源：Palo Alto Networks

有時開發人員需要設定一些公共讀取權限，來檢查某些内容是否正常運作，而事後忘記修改權限。為了避免配置出錯，企業可以使用自動化工具來掃描配置檔案。相比手動掃描配置檔案，自動化工具能夠高效且有效地掃描文檔并查找錯誤。

4. 實施最小通路權限原則

讓每個人可以無限制地通路所有内容，的确讓開發過程更加通暢，但也讓開發過程安全隐患重重。并不是每個人在此過程中都明确知道自己做了什麼，做錯了什麼。是以執行最小通路權限原則（least access privilege principle）可以大大減少發生錯誤的機率和區域。

以下是企業可以采取減少通路權限的措施：

• 取消終端使用者機器上的管理者權限
• 保護賬戶憑據
• 監控特權通路確定其合理使用
• 限制授予開發人員對其特定需求的通路權限
• 限制對生産系統的通路

權限通路管理（Privilege Access Management, PAM）可以将上述措施的過程自動化，其中包括生命周期内特權通路的監控、審計和強制合規。PAM 的實施可以讓企業在開發過程中随時增加或取消通路權限，確定随着時間的推移保持最小通路權限。

5. 在 CI/CD 流水線中實作持續的安全性

在談論性能、産品設計或代碼時，“Start now, optimize later” （先啟動，再優化）并不是個壞的選擇。但涉及安全時，“optimize later” 可能意味着巨大的安全風險。在 CI/CD 中盡早實施安全政策有助于維護開發周期的安全性，還能極大地減少合規和配置錯誤的問題。