本地安全与云安全的差异

本地安全管理与云安全管理的区别类似于传统国际象棋和三维国际象棋之间的差异。也就是说，尽管策略相似，目标也一致（减少风险、保护机密数据、满足合规要求等），但云环境的独特架构、变更控制的不足，以及不同云平台之间基本设计和运营的差异，都增加了云安全的复杂性。这种复杂性完全改变了云安全的动态。
尽管如今的云迁移技术已经十分成熟，但一些在本地环境中接受培训的技术人员或管理人员仍会将本地环境的操作偏见带到云安全管理中。然而，云计算的核心特点，如虚拟化、弹性和多租户性质，使得云环境与本地环境截然不同。这也注定了传统的本地安全思维方式无法有效地适用于云环境。

01

三种云，三种环境

为了满足不同的运营需求、实现价格性能的优化，或者获取专业功能服务，组织通常会采用多云战略，购买来自多个云供应商的云服务。在实际情况中，大多数中到大型组织都会同时使用两个或更多的云服务，这种情况被称为多云，并且通常会与本地服务器和基础设施相结合使用，形成混合云环境。
选择适合的云计算平台取决于不同应用程序的需求和用例，每个平台都具有其独特的优势和特点。例如，Microsoft Azure 对于运行 Windows 应用程序的组织来说是首选的云计算平台。Azure提供了与Windows紧密集成的云服务和工具，使Windows应用程序的迁移和管理更加便捷。此外，当组织不再有必要在本地数据中心添加更多机架以满足需求时，Azure的弹性和可扩展性也使其成为了最佳选择。
对于大规模的Web应用程序，组织则更倾向于选择Amazon Web Services（AWS）。AWS提供广泛的计算和存储资源，适用于需要处理高流量和大规模数据的用例。另一方面，Google Cloud Platform（GCP）也适用于大规模Web应用程序，并以其强大的数据分析能力（例如BigQuery）而著称。一些组织将GCP专门用作数据湖，进行高级数据分析。
为了有效地保护所有的云环境，网络安全团队必须掌握多种不同类型云环境的安全治理技术与能力。然而，守护多个云环境所需的额外工作量通常明显超出了最初的估计，这是因为每个云环境都具有其独特的攻击面。因此，与将所有工作负载集中在单个云环境中相比，将工作负载分散到两个云环境中几乎会使所需的知识和工作量翻倍增加。

02

DMZ 差异

另一个不同之处在于，本地数据中心有一个隔离区（Demilitarized Zone，DMZ）来保护面向外部的服务，而云环境往往不具备该功能。
一个典型的物理数据中心通常会有一个明确的（通常是物理的）隔离区（DMZ），该区域通常会部署多层的安全控制和监控措施。数据中心设定了明确的进出通道，攻击者必须通过这些通道进行攻击控制，并且数据流出也必须经过这些通道。这一布局确保了数据中心的安全性，防止未经授权的访问和数据泄露。
与传统的本地网络不同，云环境中的DMZ更多地是一个逻辑概念，而非物理区域。通常情况下，DMZ的实际情况与组织的思维模型并不完全吻合。这可能会导致预期之外的漏洞或风险，从而将组织的数据暴露在云环境之外。管理云环境中的DMZ需要特定的专业知识，而那些专注于本地网络的安全架构师往往缺乏这方面的经验。

03

云服务中的漏洞

攻击者可以利用云计算服务中的多租户模型，通过云服务来进行恶意活动。多租户意味着多个组织或租户共享相同的云基础设施，因此攻击者可以利用这一点来绕过传统的网络隔离。举一个经典的例子，当攻击者入侵AWS环境并成功提升其访问权限后（无论是来自互联网还是另一个AWS租户），攻击者便能够访问S3存储器，并从中读取大量数据，而租户的网络安全控制却无法察觉到这一行为。这是因为这些操作发生在云服务提供商的后端基础设施中，对于租户来说几乎是不可见的。然而，在本地环境中，同样的安全事件会被监测和报警系统捕获，并通知给安全团队。
在云环境中，确保云存储服务拥有适当的安全控制措施看起来还算是个可以解决的问题。然而，每个云服务都具有其独特的性质和控制措施，其中一些可能会隐藏外部通信，从而导致潜在的安全风险。组织中的安全团队则需要找出所有的此类服务，并确保已经建立了必要的安全控制和监控措施。

04

更新所带来的问题

云服务提供商通常会定期提供更新服务，例如添加新服务、改进现有服务的功能，或更改服务的默认设置。即使组织不打算使用某些服务，它们也可能会将组织暴露于风险之中。入侵组织环境的攻击者可以利用不安全的服务来建立外部通信。还有一种情况，云服务提供商可能会将某个服务的默认配置从限制性策略更改为宽松策略，从而盲目地引入安全风险。
在本地数据中心中，组织通常有更多的控制权和责任，能够更加精确地决定哪些软件或服务会被安装和更新。此时，组织通常不会安装不打算使用的软件，以减少潜在的风险和管理负担。然而，本地数据中心面临的挑战在于需要决定对于哪些漏洞的修补是至关重要的，以便尽可能减少攻击面，并以尽可能少的软件更新数量来实现这一目标。

05

保护云环境

深刻理解本地和云操作之间的结构和运营差异至关重要。虽然让每个业务部门自行决定其首选的云平台可能看似符合业务需求，但每个新的云平台都会引入大量额外的工作，以确保其安全性。一旦忽视了这些潜在风险（包括培训和人员配置的优先事项），组织将更容易成为威胁的目标。考虑到未来可能会出现越来越多的新型云攻击，因此必须谨慎思考和有效管理云安全措施。

数世咨询点评

在传统的本地环境中，安全重心通常集中于物理安全和内部网络控制上。但随着组织数字资产上云脚步的加快，安全策略的面貌也发生了显著的变化。

首先，云引入了虚拟资源的概念，如云实例和容器，这要求安全团队更加强调虚拟资源的安全性，包括访问控制、漏洞管理和虚拟网络的安全性等。其次，云采用了共享责任模式，安全责任由云提供商和用户共同承担，这就需要以不同的思维方式来确保各方的责任得到妥善管理。

此外，由于云的弹性和自动化，传统的静态控制方法已不再适用，取而代之的是那些具有自适应性的，能够随着环境变化而调整的动态安全策略。云环境所具备的这些特性，使得安全团队需要对安全策略进行重新审视和定义。

然而，尽管存在显著的差异，云安全和本地安全都共同关注着数据的安全性、漏洞的管理以及对员工的培训。在如今的信息化环境中，综合考虑这些因素是确保组织安全的关键。

* 本文为茉泠编译，原文地址：https://www.darkreading.com/cloud/understanding-the-differences-between-on-premises-and-cloud-cybersecurity

注：图片均来源于网络，无法联系到版权持有者。如有侵权，请与后台联系，做删除处理。

— 【 THE END 】—

原文始发于微信公众号（数世咨询）：本地安全与云安全的差异