隨著越來越多企業將包含敏感數據的工作負載放上云端，快速維護云端工作負載的安全成為安全和風險(S&R)專家的重中之重。然而，安全不僅只保護工作負載，還必須支持開發運維，滿足自動化的需求。

Cloud Workload Security（云工作負載安全，簡稱CWS）方案能幫助安全和風險（簡稱S&R）專家保障云工作負載安全，同時支持開發運維和自動化。Forrester預測，隨著云的成熟，如今尚未成熟且分散的CWS市場會顯著提升能力、實現標準化。

本文將從3個方面闡述CWS方案的必要性和市場指導建議，并與《一篇文章讀懂企業如何升級到云安全體系》作為姊妹篇，共同為企業云安全保駕護航。

一、云工作負載安全的實現無法依賴傳統安全廠商和云平臺

盡管傳統安全廠商和云平臺也提供了部分安全服務，但由于如下原因，他們無法實行云工作負載安全的實現工作：

S&R專家無法更新IaaS工作負載中的本地安全方案，由于本地和云基礎架構有所不同，本地安全解決方案在云平臺上并不可行。S&R專家無法利用IaaS供應商管理平臺進行安全管理，IaaS供應商平臺一般不提供最基本的網絡安全管控、合規審計、訪問控制等功能，也難以完成打補丁和加固等常見的安全任務。S&R專家無法從IaaS供應商那里尋求多種云的安全支持，因為單獨的IaaS供應商不支持跨平臺安全，并且成本和復雜程度很高，所以很難為用戶行為建模、或為每個云建立基線行為規范，如此，發現網絡攻擊的可能性也大大降低了。S&R專家只能依賴IaaS供應商提供全部安全保障。后者通常提供：

1）管理程序和主機根訪問控制；
2）邊界網絡安全；
3）DDos保護；
4）存儲安全。

但不提供：

1）IDS/IPS；
2）漏洞掃描；
3）配置管理；
4）殺毒和終端保護；
5）補丁和加固；
6）安全監測和日志分析。

而且從擴展性、能力、時間和成本等方面考慮，企業內部也很難獨立建立CWS架構。

二、CWS方案如何應對云上的安全挑戰

CWS方案一般融合了這些能力：1）提供單獨的虛擬管理平臺；2）提供單獨的策略管理接口；3）提供標準審計服務。CWS還會提供很多IaaS安全管控措施（見圖1），詳細如下：

IaaS工作負載中的管理員訪問管理。CWS方案能夠對訪問賬戶和權限提供工作負載層面上的管理。無論工作負載在哪里運行，都能讓用戶利用現有IAM存儲對工作負載的訪問進行強認證。基于文件活躍性的反惡意軟件保護。CWS方案可以監控日志中的可疑行為；追蹤用戶行為；部署傳統反惡意軟件終端agent；在虛擬機上部署agent監測文件事件，檢測可疑行為。持續監控管理配置。CWS方案保證在創建體系和服務時，不會將信任證植入配置管理工具中；通過將云服務載入CWS方案來檢查平臺，自動學習安全配置以及工作負載上服務的結構和特點；管理員可以為工作負載預置系統或自定義配置；檢測工作負載的配置。利用密碼學校驗和檢查文件完整性。CWS agent使用密碼掃描重要的工作負載文件，以免產生突發變化。文件完整性監控一般還包括補丁監控。基于主機的防火墻和軟件定義的網絡化。CWS方案為Linux和Windows系統中的IaaS和PaaS工作負載提供基于主機的防火墻，為本地防火墻增加重要的功能，如集中化策略管理、策略配置試探程序、訪問管理等。進出站API合并。CWS方案可以調用其他SA, IAM, IaaS工作負載管理、虛擬化系統及其管理接口的API；為入站合并和CWS策略管理公開自己的API。集成開發運維配置管理系統。CWS方案在IaaS工作負載的建立和配置過程中，直接集成了這些開發運維工具來管理安全配置參數，從而使安全成為工作負載的固有部分。監測網絡流量的IPS和配置變化。CWS方案檢測入侵行為的方式是：監測進出工作負載的網絡流量；檢測工作負載上的任意程序變化和配置變化；監測分析工作負載的活動日志。日志檢查。CWS方案有自己的日志分析引擎，并能集成現有客戶的SIM系統或安全分析系統。CWS方案會詳細檢查IaaS和PaaS工作負載的日志，以確定可疑事件。當事件被定義為有風險時，集成現有的SA方案:1）本地基于主機的防火墻日志；2）AWS的SNS網絡服務。

 

CWS高級架構

三、CWS方案選取建議

S&R專家需要CWS來提供全面的云安全。然而，許多CWS廠商剛剛起步，或者推出的方案比較新。如果要評估CWS方案，建議：

為云擴展而設計。管理云工作負載配置和安全不是要放過漏洞、避免大規模安全配置錯誤。要求廠商為你提供個性化指導意見：如果你部署了覆蓋1000個工作負載的方案，會發生什么？在任何環境下都能工作，必須確保本地、私有云、SaaS、PaaS和IaaS環境下工作負載的安全。提到云安全時，避免廠商鎖定是S&R專家部署CWS方案的眾多原因之一。CWS至少該覆蓋AWS、Azure、IBM SoftLayer、Rackspace和VMware管理程序。作為服務交付。CWS策略服務器的本地維護成本較高，不僅包括固定的許可證費用，更重要的是還要承擔昂貴的維修人員的費用。Forrester預計，將CWS作為服務來部署將會減少30%-50%的云安全相關的勞動力成本。在單一方案中提供廣泛而集中的管控措施。在云安全領域中，CWS方案的功能應該盡可能廣泛，至少包括：1）文件、配置的管理和完整性監控；2）網絡安全；3）打補丁；4）入侵檢測；5）日志文件分析；6）虛擬化管理程序安全；7）認證集成開發運維工具如ChefPuppet等