2018云安全回首 | 新技术系统逐步成熟 新热点方向不休产生 ——2018年云安全六大热点技术分析
颁布功夫 2019-01-07
随着国内表对云市场器沉水平的提升，从公有云到私有云到多云混合云，从政务云到智慧城市，云市场进一步发展，而随之带来的安全问题同样日益受到器沉 。
全球驰名的IT钻研与照拂征询公司Gartner预测，到2022年全球云安全市场规模将从2017年的58亿美元达到近120亿美元 。伴随市场需要的提升，近几年云安全新方向与技术也层出不穷 。
在岁末岁首之际，本文萦绕对2018年云安全领域的观察和分析，总结回首了2018年云安全领域的六大热点技术方向 。
近年来，国内险些所有安全厂商的云安全解决规划中都能看到云安全资源池的身影 。信通院颁布的《云推算安全白皮书(2018)》中指出，2017年国内云推算整体市场规模达691.6亿元，其中私有云市场规模达426.8亿元，占总体市场的61.7% 。国内私有云市场仍旧占有主导职位，而云安全资源池这种出格合用于兼容多种云厂商、安全资源独立的云安全产品及其带来的云安全解决规划在私有云场景中拥有无可比力的优势，这也不难理解云安全资源池在国内云安全市场的主导职位 。
云安全资源池为云推算或虚构化资源池环境提供池化安全能力，能够满足云推算环境的器材向及南北向安全监测与防护需要 。其技术路线为选取虚构化技术，将安全产品的软件从硬件中分离出来并运行在池化的虚构环境中，使得多种安全产品能够直接运行在通用的物理服务器上，并由多台设备共同组成资源池，可同时实现安全能力的弹性扩大和统一调度 。
安全资源池化技术不只能够充分继承传统安全领域技术多年来的技术堆集，也可作为新技术运营的平台，与其说云安全资源池是一类安全产品，不如说其是一种安整个系，有着兼容并包和与时俱进的能力 。当然资源池技术也有自身的弊端和局限，在适配多云平台时受限于云厂商自有的接口和自有的流量技术，必要与云厂商进行肯定的适配和合作 。
我们先来看一下Gartner对云工作负载防护平台做的根基界说：
（Cloud Workload Protection Platforms）
Modern data centers support workloads thatrun in physical machines, virtual machines (VMs), containers, private cloudinfrastructure and almost always include some workloads running in one or morepublic cloud infrastructure as a service (IaaS) providers. Hybrid cloudworkload protection platforms (CWPP) provide information security leaders withan integrated way to protect these workloads using a single management consoleand a single way to express security policy, regardless of where the workloadruns.
现代数据中心支持运行在物理设备、虚构机（VM）、容器以及私有云基础架构中的各类工作负载，并且险些总是涉及一些在一个或多个公有云基础设施即服务（IaaS）提供商中运行的工作负载 。云工作负载防护平台（CWPP）市场界说为基于主机的解决规划，重要满足现代混合数据中心架构中，服务器工作负载的防护要求 。它为信息安全辅导者提供了一种集成的方式，通过使用单一治理节造台和统一安全战术来�；ふ庑┕ぷ鞲涸�，而不用思考工作负载运行的地位 。
安全技术的发展势必跟随着网络环境和架构的变动而变动，随着2018年云推算大环境产生的各类变动，CWPP技术也产生了好多新的需要和发展方向 。如容器化、无服务架构等技术的发展势必导致CWPP必要提供相应的防护支持 。又如GDPR、PCI等成分的存在，合规查抄和提供合规汇报等能力也被参与CWPP产品需要中 。
在此，本文总结了一些CWPP在当前云推算大环境中可能的发展趋向和需要：
? 对分歧工作负载拥有分歧安全需要实现独立的防护
? 多云环境的尺度化适配
? 特殊云环境（例如加密环境等）的防御适配
? 除了IaaS云环境表的其他环境支持，蕴含容器、无服务推算、原生云蹬爪用支持
? 自动化CWPP治理
? 合规要求和合规汇报支持
? 提供数据安全防护
? 威胁谍报、建议及相应配套措施
? 身份认证
微隔离使用战术驱动的防火墙或者网络加密技术来隔离数据中心、公有云IaaS和容器中的工作负载、利用和过程 。微隔离的发展离不开云推算环境和数据中心器材向流量安全越来越被受器沉，微隔离技术突破传统防火墙技术，利用统一的治理和AI技术能够治理拥有大规模网络节点的数据中心网络，这在传统技术领域中可能会耗费大量的人力、金钱和功夫资源 。同时，微隔离技术还能形成网络中的可视化流量，更利于治理员对大规模网络的整体情况把控 。
从市场规模来看，美国草创公司Illumio能够说是国表微隔离创业公司的代表，从2013年成立至今，5年功夫已经成长为融资2.67亿美元的独角兽，充分注明微隔离技术的市场空间 。
但是微隔离技术从某种意思上来说，职能太过单一，大部门厂商仅实现了基于战术的接见节造职能，更大的意思在于可视化的流量展示，从安全能力的角度来说还比力弱 。现有的一些厂商也在积极地做着能力的扩充，如缝隙治理、攻击链可视化等，但是离用户对其的等待还有差距 。因而我们以为现阶段的微隔离技术必须共同其他安全技术能力形成整体上的安全解决规划，以保险云上安全 。
容器安全针对容器环境进行安全防护、测试和节造，宽泛意思上的容器安全�；ぷ什腿萜髂谌莸目尚� 。容器重要面对的安全威胁蕴含容器提权、容器缝隙、特权容器、回绝服务、资源耗尽等，而现有针对容器安全问题业界的伎俩也重要集中在针对容器安全扫描、提供安全镜像、基于容器行为的异常检测、容器安全编排、基线查抄等 。
RSA2018创新沙盒决赛厂商StackRox则利用散布式架构对容器场景下的利用数据进行网络和分析，从而阻止攻击，可能做到整个容器性命周期的安全，并解决runtime的问题 。
国表类似StackRox专一于容器安全的厂商也越来越多，如Aqua Security则使用额表的区域隔离实现容器到容器的通讯安全，又如NeuVector则侧沉于容器运行时的安全防护 。
软件界说天堑（SDP）是云安全同盟（CSA）2013年提出的云安全架构，界说了安全推算领域内的分歧的、网络衔接的实体的逻辑集中，CSA还抛出了一个安全实现步骤，该步骤融合了设备身份验证、基于身份的接见和动态配置衔接 。
传统的远程接见安全通常由防火墙、VPN等安全设备提供，但是在云推算环境中，各类资源体现出的动态性让传统的身份认证步骤无法合用 。例如对标传统网络中服务器的虚构机资源能够在云推算环境中随时漂移，而传统的防火墙和VPN等安全设备难以进行动态的战术配置，并且在云推算环境中IP资源也是浮动且可变的，传统基于IP的身份认证方式也无法合用 。因而SDP的身份认证技术要求提供多种身份认证属性（功夫、地位等）以此鉴别用户身份，同时SDP所提供的接见授权能够限度至具体利用，而不是针对整个网络，从而降低了攻击面 。
2018年国内表产生过多起数据中心苦难变乱，腾讯云故障致客户数据迷失；狂风引发IDC停电导致AWS故障；阿里云因bug禁用内部IP导致大规模故障……在业界大量依赖于云环境的此刻，一旦云上服务和数据产生苦难，后果不胜设想，因而苦难复原及服务也顺理成章的列在了2018年云安全热点技术中 。
苦难复原及服务（Disaster Recovery as a Service，DRaaS）是基于云的复原服务，供给商掌管治理虚构机备份、虚构机激活和复原 。除此之表，好多服务提供商还提供针对复原配置的主机服务治理，蕴含物理和虚构服务器 。
据估计DRaaS在2018年全球市场收入为24亿美元，预计到2022年将达到37亿美元，足以见得其受器沉水平 。Gartner对DRaaS提供的建议是在设计苦难复原能力时必要同时兼容Window和Linux系统产品，提供尺度化的治理服务以及通过额表服务器和专用存储设备进行基于云的苦难复原规划 。
在2018年，险些没有全新的云安全技术产生，但是随着用户业务向云推算环境的迁徙增快，以及技术成熟度发展的必然法规，云安全热点技术也在不休产生新的热点和趋向 。以容器、无服务、云原生为代表的新架构的鼓起与成熟，相应的安全技术必然必要对其提供支持 。
云推算动态矫捷的个性持续要求着各类安全技术与能力必要适应这样的环境，新的身份认证方式、新的授权方式、新的接见节造技术等需要愈加紧迫 。与此同时，2018年出现的多个安全事务及安全威胁，以及国内表针对网络安全的相应司法律规出台，要求云中安全必须提高到新的高度以满足当前的网络空间发展局势，安全任沉而路远 。
全球驰名的IT钻研与照拂征询公司Gartner预测，到2022年全球云安全市场规模将从2017年的58亿美元达到近120亿美元 。伴随市场需要的提升，近几年云安全新方向与技术也层出不穷 。
在岁末岁首之际，本文萦绕对2018年云安全领域的观察和分析，总结回首了2018年云安全领域的六大热点技术方向 。
· 01 ·
云安全资源池技术
云安全资源池为云推算或虚构化资源池环境提供池化安全能力，能够满足云推算环境的器材向及南北向安全监测与防护需要 。其技术路线为选取虚构化技术，将安全产品的软件从硬件中分离出来并运行在池化的虚构环境中，使得多种安全产品能够直接运行在通用的物理服务器上，并由多台设备共同组成资源池，可同时实现安全能力的弹性扩大和统一调度 。
安全资源池化技术不只能够充分继承传统安全领域技术多年来的技术堆集，也可作为新技术运营的平台，与其说云安全资源池是一类安全产品，不如说其是一种安整个系，有着兼容并包和与时俱进的能力 。当然资源池技术也有自身的弊端和局限，在适配多云平台时受限于云厂商自有的接口和自有的流量技术，必要与云厂商进行肯定的适配和合作 。
· 02 ·
云工作负载防护平台（CWPP）
（Cloud Workload Protection Platforms）
Modern data centers support workloads thatrun in physical machines, virtual machines (VMs), containers, private cloudinfrastructure and almost always include some workloads running in one or morepublic cloud infrastructure as a service (IaaS) providers. Hybrid cloudworkload protection platforms (CWPP) provide information security leaders withan integrated way to protect these workloads using a single management consoleand a single way to express security policy, regardless of where the workloadruns.
现代数据中心支持运行在物理设备、虚构机（VM）、容器以及私有云基础架构中的各类工作负载，并且险些总是涉及一些在一个或多个公有云基础设施即服务（IaaS）提供商中运行的工作负载 。云工作负载防护平台（CWPP）市场界说为基于主机的解决规划，重要满足现代混合数据中心架构中，服务器工作负载的防护要求 。它为信息安全辅导者提供了一种集成的方式，通过使用单一治理节造台和统一安全战术来�；ふ庑┕ぷ鞲涸�，而不用思考工作负载运行的地位 。
安全技术的发展势必跟随着网络环境和架构的变动而变动，随着2018年云推算大环境产生的各类变动，CWPP技术也产生了好多新的需要和发展方向 。如容器化、无服务架构等技术的发展势必导致CWPP必要提供相应的防护支持 。又如GDPR、PCI等成分的存在，合规查抄和提供合规汇报等能力也被参与CWPP产品需要中 。
在此，本文总结了一些CWPP在当前云推算大环境中可能的发展趋向和需要：
? 对分歧工作负载拥有分歧安全需要实现独立的防护
? 多云环境的尺度化适配
? 特殊云环境（例如加密环境等）的防御适配
? 除了IaaS云环境表的其他环境支持，蕴含容器、无服务推算、原生云蹬爪用支持
? 自动化CWPP治理
? 合规要求和合规汇报支持
? 提供数据安全防护
? 威胁谍报、建议及相应配套措施
? 身份认证
· 03 ·
微隔离
从市场规模来看，美国草创公司Illumio能够说是国表微隔离创业公司的代表，从2013年成立至今，5年功夫已经成长为融资2.67亿美元的独角兽，充分注明微隔离技术的市场空间 。
但是微隔离技术从某种意思上来说，职能太过单一，大部门厂商仅实现了基于战术的接见节造职能，更大的意思在于可视化的流量展示，从安全能力的角度来说还比力弱 。现有的一些厂商也在积极地做着能力的扩充，如缝隙治理、攻击链可视化等，但是离用户对其的等待还有差距 。因而我们以为现阶段的微隔离技术必须共同其他安全技术能力形成整体上的安全解决规划，以保险云上安全 。
· 04 ·
容器安全
容器安全针对容器环境进行安全防护、测试和节造，宽泛意思上的容器安全�；ぷ什腿萜髂谌莸目尚� 。容器重要面对的安全威胁蕴含容器提权、容器缝隙、特权容器、回绝服务、资源耗尽等，而现有针对容器安全问题业界的伎俩也重要集中在针对容器安全扫描、提供安全镜像、基于容器行为的异常检测、容器安全编排、基线查抄等 。
RSA2018创新沙盒决赛厂商StackRox则利用散布式架构对容器场景下的利用数据进行网络和分析，从而阻止攻击，可能做到整个容器性命周期的安全，并解决runtime的问题 。
国表类似StackRox专一于容器安全的厂商也越来越多，如Aqua Security则使用额表的区域隔离实现容器到容器的通讯安全，又如NeuVector则侧沉于容器运行时的安全防护 。
· 05 ·
软件界说天堑
软件界说天堑（SDP）是云安全同盟（CSA）2013年提出的云安全架构，界说了安全推算领域内的分歧的、网络衔接的实体的逻辑集中，CSA还抛出了一个安全实现步骤，该步骤融合了设备身份验证、基于身份的接见和动态配置衔接 。
传统的远程接见安全通常由防火墙、VPN等安全设备提供，但是在云推算环境中，各类资源体现出的动态性让传统的身份认证步骤无法合用 。例如对标传统网络中服务器的虚构机资源能够在云推算环境中随时漂移，而传统的防火墙和VPN等安全设备难以进行动态的战术配置，并且在云推算环境中IP资源也是浮动且可变的，传统基于IP的身份认证方式也无法合用 。因而SDP的身份认证技术要求提供多种身份认证属性（功夫、地位等）以此鉴别用户身份，同时SDP所提供的接见授权能够限度至具体利用，而不是针对整个网络，从而降低了攻击面 。
· 06 ·
苦难复原及服务
苦难复原及服务（Disaster Recovery as a Service，DRaaS）是基于云的复原服务，供给商掌管治理虚构机备份、虚构机激活和复原 。除此之表，好多服务提供商还提供针对复原配置的主机服务治理，蕴含物理和虚构服务器 。
据估计DRaaS在2018年全球市场收入为24亿美元，预计到2022年将达到37亿美元，足以见得其受器沉水平 。Gartner对DRaaS提供的建议是在设计苦难复原能力时必要同时兼容Window和Linux系统产品，提供尺度化的治理服务以及通过额表服务器和专用存储设备进行基于云的苦难复原规划 。
总结
在2018年，险些没有全新的云安全技术产生，但是随着用户业务向云推算环境的迁徙增快，以及技术成熟度发展的必然法规，云安全热点技术也在不休产生新的热点和趋向 。以容器、无服务、云原生为代表的新架构的鼓起与成熟，相应的安全技术必然必要对其提供支持 。
云推算动态矫捷的个性持续要求着各类安全技术与能力必要适应这样的环境，新的身份认证方式、新的授权方式、新的接见节造技术等需要愈加紧迫 。与此同时，2018年出现的多个安全事务及安全威胁，以及国内表针对网络安全的相应司法律规出台，要求云中安全必须提高到新的高度以满足当前的网络空间发展局势，安全任沉而路远 。
京公网安备11010802024551号