当今的云安全导航可能很难理解。许多安全专业人士问自己，保护云安全的最佳方法是什么？Black Hat USA 2023约有400家供应商，今年RSA Conference 约有500家供应商，选择可能令人眼花缭乱。这个看似简单的问题后来演变成了一个复杂且定制的答案，通常需要花费数月的时间来确定所有关键架构和设计选择，以便为您的组织做出正确的决策。当您最终决定需要安全关注和资源的关键领域时，请花一点时间评估您的风险级别、部署策略和覆盖区域。
跟上时代的变化
我们承认云安全不是静态的。云在过去 10 年里已经发生了很大的变化，未来 10 年它看起来将会非常不同。2000 年代初期，它始于网络级别，很大程度上是由 SD-WAN 和虚拟网络设备的进步推动的。我们看到防火墙、网络入侵检测和其他隔离方法在云中得到采用，以确保数据的正确分段和资源的隔离。
从早期开始，随着每月提供越来越多的云服务，安全供应商一直在寻求扩大其覆盖范围，以确保适当的覆盖范围并响应市场需求。一个很好的例子是，虚拟基础设施（例如虚拟服务器或数据库）本身如何支持将大部分设置抽象为文本文件，以便自动配置云资源。然后可以在将这些文本文件部署到云中之前分析其配置错误或安全问题。另一个例子是大牌如何随着时代的变化而变化。Palo Alto 和 Fortinet 从企业级防火墙开始，现在提供跨许多云安全领域的产品。
我们在云以及云安全市场中看到的内容有三个方面。首先是新技术的快速创建，以跟上不断变化的云环境。其次，与现有技术和企业扩张的重叠。第三，我们看到错综复杂的营销术语，它们试图帮助教育新技术并将其组合在一起。主要问题之一是所有这些变化都会在市场上造成混乱，通常需要大量的演示、解释和功能清单。
当今各种云安全术语如何相互关联的可视化
云罗盘
我提出一个实验，找两个安全领导，问CNAPP是什么？根据任期和安全背景的不同，答案会有很大差异。我对“云安全”一词的看法之一是云安全和企业安全如今比以往任何时候都更加融合。许多企业提供混合部署，通常试图利用云中的可扩展性来节省数据中心的成本。当我们想到云时，我们需要摆脱对大型云供应商的思考，而只考虑企业安全的下一步。
如果您需要帮助，我的建议是将其归结为四个关键领域，以及您采取了哪些保护措施来减轻这些领域的风险。这将帮助您消除疑虑并首先了解您组织的需求，然后再找到适合的解决方案。
- 工作负载：这是处理数据的正在运行的高价值应用程序。考虑暴露哪些数据以及它们如何相互通信以及与外部通信。
- 身份：这是涉及基础设施每个点的人员或内容，例如开发人员或服务帐户。考虑一下如何管理、验证和减少权限。
- 状态：这是一个或多个架构中存在的许多配置、设置、网络、安全组以及所有数百万个其他部分。想想如何不断检查和验证这些设置。
- 企业：这是工作负载处于活动状态之前的管道、代码、部署和集成。思考您的供应链如何运作以及如何及早发现问题。
下次当看到 CNAPP、CASB、WAAS、CSPM 或许多其他短语时，深吸一口气并认识到企业安全从来都不是二进制的 1 或 0，这将很有帮助。这从来不是你有这个或那个的问题。围绕工作负载、身份、状态和企业来构建您的需求可以帮助您更好地了解您的特定需求，并在尝试与这些其他术语保持一致时处于更好的位置。
