云原生应用保护平台融合无代理与基于代理的云安全

云安全形势已变。过去，公司仰仗各个单点解决方案保护云环境中的各个元素；如今，云安全形势看起来似乎有点不一样了。
复杂多云环境已变得更为普遍，因此，攻击面也大幅扩张。一开始，很多安全团队转向供应商整合和原生工具统一，想以此简化工作流程并整合来自不同解决方案的安全信号。然而，随着网络攻击日益复杂且愈趋频繁，网络防御人员很快便被不断涌入的安全警报压得不堪重负。
因此，业界开始推动上下文化安全，网络安全人员可藉此获得对关键攻击路径的可见性、基于风险的优先级排序、可标记潜在云错误配置的自动化警报等能力。实现上下文化安全的关键在于以统一的云原生应用保护平台（CNAPP）综合利用无代理和基于代理的保护措施。

01

为什么无代理和基于代理的保护相结合效果更好

在网络安全界，无代理保护和基于代理的保护是个老话题了。一些公司青睐基于代理的保护所提供的深度可见性、实时威胁防护和对各个工作负载的全面监测。这种模式还可以结合安全信息与事件管理（SIEM）软件，让安全团队能够在调查复杂跨平台安全事件时综合并关联数据。但其他公司就需要无代理保护的敏捷性和灵活性了。
特别是，无代理方法可在大规模复杂环境中提供诸多优势，越来越多的新兴云安全技术都采用了无代理方法。无代理安全采用云镜像分析、日志文件分析和API连接等非侵入性方法收集安全数据。这种方式减少了人工管理或持续维护的需求，可以更高效地利用资源。对于部署强化资源和无法安装云安全代理的企业而言，无代理防护也尤为有效。
但是，与其在基于代理和无代理之间二选一，二者结合或许是更好的方法。部署能够综合使用基于代理和无代理保护的CNAPP，企业便可两全其美。CNAPP不仅更为稳健，也更为灵活，可以按需优化其对基于代理或无代理安全的使用，适应企业云环境的特定需求。这就使企业不仅能够获得基于代理的安全所提供的深度可见性与保护，同时亦于动态多云环境有益。
以金融服务企业为例。银行往往需要处理社保卡号和信用卡号等不能暴露到公网上的敏感数据。这种情况下，可以采用无代理安全来保护敏感数据，同时帮助安全团队了解上下文及相关风险。此外，企业还可以利用基于代理的安全，通过关于暴力攻击或数据过滤的实时警报（如恶意软件活动），加强对当前和未来攻击的检测与响应。企业的DevOps安全团队可以进一步安全左移，将恶意软件扫描功能集成进DevOps各个阶段，实现代码到云的保护。

02

上下文化云安全的力量

除了灵活的云保护措施，企业还需要上下文化的安全。安全管理员的任务是保持多云环境安全，并维护健康的云安全态势。然而，态势改善建议数不胜数，安全管理员很难知道该从哪里入手，该首先关注什么。上下文化的云安全态势管理（CSPM）可以根据对业务的潜在影响排定风险缓解优先次序，给予安全管理员一定的帮助和指引。
排定安全建议优先级的方法之一就是考察攻击者可能会用来入侵企业环境并损害重要资产的潜在路径。上下文化的CSPM会识别这种攻击路径，根据互联网暴露、所需权限和横向移动等潜在风险因素对其进行优先级排序，并就可以阻断路径并防止成功入侵的修复措施提出建议。
采用纳入上下文化CSPM功能的统一CNAPP，企业不仅可以更好地设定安全建议的优先级，还可以在整个企业范围主动嵌入最佳安全实践。除了CSPM，CNAPP还能结合DevOps安全管理、云工作负载保护、云基础设施授权管理和网络安全功能。安全运营中心（SOC）分析师、安全管理员和开发人员均可利用CNAPP提高协作效率。
开发人员和管理员可携手将安全主动嵌入到应用程序代码中，而SOC分析师则可以深入而广泛地获取预测潜在安全风险和实时应对威胁所需的信息。其成果就是形成端到端保护，帮助公司在不断发展、快速变化的云环境中更加安全地运营。

* 本文为nana编译，原文地址：https://www.darkreading.com/cloud-security/combining-agentless-and-agent-based-cloud-security-in-cnapps

注：图片均来源于网络，无法联系到版权持有者。如有侵权，请与后台联系，做删除处理。

— 【 THE END 】—

原文始发于微信公众号（数世咨询）：云原生应用保护平台融合无代理与基于代理的云安全