你知道嗎？65%的企業都認為他們無法同時兼顧安全和創新，因為他們認為開發人員需要擁有訪問所有資源的權限才能獲得更大的開發自由，那么有沒有辦法既能夠確保開發程序的安全性同時也能保留敏捷所需的資源呢？在瞬息萬變且日益復雜的云計算生態中能否實作呢？是否同時也讓 DevOps 團隊便于管理呢？或許我們可以從云安全管理中找到答案，
什么是云安全管理？
云安全管理是一個多步驟流程，目的在于主動應對潛在的安全漏洞，它需要跨越整個組織的云依賴關系，從會議、電子郵件和客戶管理服務到開發團隊使用的 PaaS（平臺即服務），
云資產的安全管理還需要包括資料加密、保護員工使用的各種設備以及管理用戶憑據，最重要的是，云安全管理是一個持續的程序，因此，需要定期更新和維護，
為何 DevOps 應該關心云安全管理？
大部分人會理所當然的認為云安全管理是安全團隊的作業，但實際上，云安全應該是每個人的責任，IT 安全策略有時無法滿足開發人員的需求，尤其是在作業負載平衡 docker 和容器方面，這就是 DevOps，或者更準確地說，是 DevSecOps 和 CloudOps 的作用所在，
往往企業認為不間斷的開發節奏會更加高效，因此傾向于將安全放在軟體開發周期的最后，但這樣的做法通常導致完全相反的結果，因為在 DevOps 周期末尾時的安全評估往往會指出不合規問題，而處理這些問題會導致產品無法按時面市，而由于開發周期已經結束，有些企業的高管有時會冒著沒有合適安全預防措施的情況下將產品推向市場，
而在云安全方面，只有不到60%的企業為開發人員明確了安全策略，而這其中只有四分之一的企業認真執行了這些策略，使用云能夠企業帶來許多優勢，但其對應的安全風險也不容忽視，DevOps 必須在開發周期內制定明確的安全計劃和指南，來避免或主動解決已知或潛在的安全問題，
企業應當實施的5個云安全管理策略
與傳統計算不同，云計算十分復雜，這是一個永無止境的安全和合規之旅，直白來說，每個處理云工具和環境的 DevOps 專業人士都應該了解一些云安全基本知識，
1. 使用第三方安全服務
如今，大多數企業都采用多云基礎架構，和不止一個云基礎架構提供商進行合作，每個平臺都有一套自己的安全工具，來保護特定云平臺提供的服務安全，隨著采用的云提供商和解決方案數量的增加，多個日志中的警報和通知也越來越多，因此企業需要確定報告的哪些風險和威脅實際上值得跟進和處理，這往往需要花費大量的時間和成本，因為企業需要為這些風險和威脅開發對應的威脅建模方法，
除了平臺自帶的安全工具，可以選擇外部專業安全服務，這些服務能夠幫助企業節省管理多個儀表盤和監控系統的時間和精力，外部安全服務提供商的目標是與所有云服務和平臺集成，以接觸最廣泛的客戶群體，這也外部安全服務成為集中式云安全管理的理想解決方案，
2. 保護云憑據
敏感資訊如果被（有意或無意）放在錯誤的地方將會導致災難性事件，由于安全漏洞，敏感資訊被上傳到代碼存盤庫，Uber 有5700萬條資訊被泄露，
DevOps 和開發人員在設計流水線時關注速度和效率，而安全性是資訊安全團隊和 IT 部門經常關心的問題，開發時，企業的注意力常常放在產品和客戶端的安全性上，而不是云工具的安全性上，這可能導致云憑據丟失、泄露、暴露和濫用，
因此，企業十分有必要加強員工的保護云憑據的意識，同時在內部進行安全宣教，教育員工如何識別網路釣魚，一旦員工有意識保護憑據資訊，企業則更容易執行安全策略，同時企業可以實施密鑰和密碼輪換，并確保密鑰/密碼安全性高且不易被暴力破解，
Gartner Inc. 研究發現高達 95%的云資料泄露是人為錯誤（例如配置錯誤）造成的，為了保護云憑據免受這些錯誤的影響，DevOps 團隊需要確保將憑據掃描工具集成到 CI/CD 流水線中，
3. 掃描 IaC、容器及鏡像以查找錯誤配置
易受攻擊的組態檔往往是和缺乏相應的專業知識掛鉤，而忘記關閉公開訪問權限的事情也時常發生，事實上，在掃描的 CloudFormation （AWS IaC）組態檔中接近一半存在錯誤配置，這也表明錯誤配置是普遍現象，
圖片來源：Palo Alto Networks
有時開發人員需要設定一些公共讀取權限，來檢查某些內容是否正常運行，而事后忘記修改權限，為了避免配置出錯，企業可以使用自動化工具來掃描組態檔，相比手動掃描組態檔，自動化工具能夠高效且有效地掃描檔案并查找錯誤，
4. 實施最小訪問權限原則
讓每個人可以無限制地訪問所有內容，的確讓開發程序更加通暢，但也讓開發程序安全隱患重重，并不是每個人在此程序中都明確知道自己做了什么，做錯了什么，因此執行最小訪問權限原則（least access privilege principle）可以大大減少發生錯誤的概率和區域，
以下是企業可以采取減少訪問權限的措施：
-
取消終端用戶機器上的管理員權限
-
保護賬戶憑據
-
監控特權訪問確保其合理使用
-
限制授予開發人員對其特定需求的訪問權限
-
限制對生產系統的訪問
權限訪問管理（Privilege Access Management, PAM）可以將上述措施的程序自動化，其中包括生命周期內特權訪問的監控、審計和強制合規，PAM 的實施可以讓企業在開發程序中隨時增加或取消訪問權限，確保隨著時間的推移保持最小訪問權限，
5. 在 CI/CD 流水線中實作持續的安全性
在談論性能、產品設計或代碼時，“Start now, optimize later” （先啟動，再優化）并不是個壞的選擇，但涉及安全時，“optimize later” 可能意味著巨大的安全風險，在 CI/CD 中盡早實施安全策略有助于維護開發周期的安全性，還能極大地減少合規和配置錯誤的問題，
“持續安全”指在整個開發程序中測驗安全性的方法，使開發程序保持敏捷的同時，允許開發人員及時回應發現的任何問題，通過保障開發的合規性和安全性，企業在需要時可以安全地在云上進行拓展，
圖片來源: HyTrust
同時企業需要嚴格把控權限管理，確保僅在人員有訪問需要時授予權限，以及確保組態檔具有適當的限制性，
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/500923.html
標籤：其他
上一篇：API 與 SDK 之間的區別