Check Point：云安全解決方案部署十大思考要素

Check Point安全專(zhuān)家推出了在選擇云網(wǎng)絡(luò )安全平臺時(shí)應特別關(guān)注的十大重要思考要素，闡述了企業(yè)如何在享有云計算優(yōu)勢的同時(shí)，保障自身核心應用與數字資產(chǎn)不受侵害與損失。

近期，隨著(zhù)全球各地疫情控制日趨好轉，企業(yè)恢復生產(chǎn)、扭虧為盈的需求也在不斷提升。在業(yè)務(wù)回歸常態(tài)的進(jìn)程中，深化云落地、確保已成為保障業(yè)務(wù)發(fā)展的關(guān)鍵之一。Check Point 2020 年云安全報告顯示，75% 的受訪(fǎng)組織非常擔心或極度擔心云安全問(wèn)題。下圖說(shuō)明了組織應建立的一種多層的統一云安全平臺，以保護其云部署并確保強大的云安全防護。同樣，Forrester 最近開(kāi)展的一項研究指出，云安全信心是采用更多的主要驅動(dòng)因素。

圖 1：統一云原生安全平臺的多個(gè)層級

在Check Point看來(lái)，企業(yè)決策者與網(wǎng)絡(luò )管理者要確保云安全就必須采用責任共擔模式。在基礎設施層面 (IaaS)，云提供商負責保護其計算-網(wǎng)絡(luò )-存儲基礎設施資源，而企業(yè)用戶(hù)則需負責保護部署在基礎設施上的數據、應用及其他資產(chǎn)。云提供商為幫助用戶(hù)實(shí)施責任共擔模式而提供的工具和服務(wù)是任何云解決方案的重要組成部分。但云提供商并不精于安全保護;這些云提供商工具和服務(wù)必須輔以合作伙伴解決方案才可實(shí)現企業(yè)級網(wǎng)絡(luò )安全。

如圖 1 所示，關(guān)鍵基礎層是云網(wǎng)絡(luò )安全，其中企業(yè)應部署虛擬安全網(wǎng)關(guān)，以提供高級威脅防護、流量檢查及微分段。此類(lèi)安全解決方案采用多層安全技術(shù)，包括防火墻、IPS、應用控制 及 DLP 等。

通過(guò)互聯(lián)網(wǎng)安全長(cháng)期經(jīng)驗積累以及用戶(hù)直接反饋，Check Point安全專(zhuān)家推出了在選擇云網(wǎng)絡(luò )安全平臺時(shí)應特別關(guān)注的十大重要思考要素，闡述了企業(yè)如何在享有云計算優(yōu)勢的同時(shí)，保障自身核心應用與數字資產(chǎn)不受侵害與損失。

1. 高級威脅防護和深度安全保護

用戶(hù)應注意威脅檢測的不足，以有效保護當今復雜網(wǎng)絡(luò )安全環(huán)境中的云資產(chǎn)。企業(yè)需要對已知和未知(零日)漏洞實(shí)施多層實(shí)時(shí)威脅防護。解決方案必須能夠通過(guò)細粒度和深度流量檢查、增強型威脅情報及沙盒(可在驗證或攔截可疑流量之前對其進(jìn)行隔離)提供深度安全保護。這些高級功能必須部署在南北向(傳入/傳出)和東西向(橫向)流量通道上。

2. 無(wú)邊界

即使在最復雜的多云和混合(公有云/私有云/本地)環(huán)境中，解決方案也必須透明、一致地運行。統一的管理界面(有時(shí)稱(chēng)為“單個(gè)管理平臺”)應提供唯一的云網(wǎng)絡(luò )安全真實(shí)信息來(lái)源以及集中命令和控制臺。

3. 細粒度流量檢查和控制

選擇使用新一代防火墻 (NGFW) 功能，例如精細匹配細粒度(不僅限于基本白名單)、深度檢查(以確保流量傳輸符合允許的端口用途)、基于 URL 地址的高級過(guò)濾功能以及端口級和應用級控制。

4. 自動(dòng)化

為了滿(mǎn)足 DevOps 的速度和可擴展性要求，解決方案必須支持高度自動(dòng)化，包括安全網(wǎng)關(guān)的編程命令和控制、CI/CD 流程的無(wú)縫集成、自動(dòng)威脅響應和修復工作流及無(wú)需人工干預的動(dòng)態(tài)策略更新。

5. 集成和易用性

解決方案必須可以很好地與企業(yè)的配置管理堆棧搭配使用，包括支持基礎設施即代碼部署。此外，該解決方案還必須能夠緊密集成云提供商的產(chǎn)品。通常，您的目標應是最大限度地減少必須單獨部署和管理的單點(diǎn)安全解決方案的數量，從而簡(jiǎn)化運營(yíng)并提高易用性。

6. 可視性

解決方案的儀表盤(pán)、日志及報告應在事件發(fā)生時(shí)提供切實(shí)可行的端到端可視性。例如，日志和報告應使用易于解析的云對象名稱(chēng)，而非模糊的 IP 地址。如果出現安全漏洞，這種可視性對于增強的取證分析也很重要。

7. 可擴展的安全遠程訪(fǎng)問(wèn)

解決方案必須使用多重身份驗證、端點(diǎn)合規性?huà)呙杓皞鬏斨袛祿用艿忍匦员Ｗo對公司的云環(huán)境的遠程訪(fǎng)問(wèn)。此外，遠程訪(fǎng)問(wèn)還必須能夠快速擴展，以便在發(fā)生新冠肺炎疫情等突發(fā)情況時(shí)，確保任何數量的遠程員工均可高效、安全辦公。

8. 上下文感知型安全管理

云網(wǎng)絡(luò )安全解決方案必須能夠匯總并關(guān)聯(lián)整個(gè)環(huán)境(公有云和私有云及本地網(wǎng)絡(luò ))中的信息，從而讓安全策略具有上下文感知性和一致性。網(wǎng)絡(luò )、資產(chǎn)或安全組配置變更應自動(dòng)反映在其相關(guān)安全策略中。

9. 廠(chǎng)商支持和行業(yè)認可

除了解決方案本身的特性和功能以外，進(jìn)一步了解廠(chǎng)商也非常重要。該廠(chǎng)商是否贏(yíng)得了獨立行業(yè)分析公司和第三方安全測試公司的高度評價(jià)?能否滿(mǎn)足企業(yè)的 SLA 要求?是否經(jīng)過(guò)時(shí)間檢驗?能否提供增值服務(wù)，如網(wǎng)絡(luò )安全咨詢(xún)服務(wù)?能否幫助企業(yè)支持全球運營(yíng)?是否致力于創(chuàng )新以提供面向未來(lái)的解決方案?其軟件是否成熟且漏洞極少，是否及時(shí)提供修復程序?

10. 總體擁有成本

總體擁有成本取決于一系列因素，所有這些因素均應在采購時(shí)加以考慮：許可模式的靈活性、云安全平臺與現有 IT 系統的無(wú)縫集成程度和利用率、管理系統所需的人員水平和規模以及廠(chǎng)商的 MTTR 和可用性 SLA 等。企業(yè)需要云安全平臺能夠簡(jiǎn)化運營(yíng)、優(yōu)化工作流，并在增強安全級別的同時(shí)降低成本。

越來(lái)越多的企業(yè)與機構正遷移到云端以滿(mǎn)足自己的業(yè)務(wù)需求。這些機構希望能夠控制自己的數據和保護數據隱私、防范網(wǎng)絡(luò )威脅，并安全地連接其云環(huán)境與傳統本地網(wǎng)絡(luò )，同時(shí)始終滿(mǎn)足法規要求。采用可滿(mǎn)足上述要求的云網(wǎng)絡(luò )安全解決方案將有助于組織在越來(lái)越復雜的威脅環(huán)境中持續獲得可靠保護。