云訪問(wèn)安全代理的“真正”價(jià)值

　　在2016年RSA大會(huì)上，企業(yè)首席信息安全官探討了云訪問(wèn)安全代理CASB的價(jià)值，他們認(rèn)為CASB模式是全面云安全的關(guān)鍵。

　　在Garter公司副總裁兼分析師NeilMacDonald主持下，由首席信息安全官和安全主管組成的專(zhuān)題小組探討了為什么他們部署CASB以及他們?nèi)绾问褂肅ASB。該小組成員包括SallieMae公司高級(jí)副總裁兼首席安全官JerryArcher;MorganStanley公司全球首席信息安全官GerardBrady;Stryker公司首席信息安全官AlissaJohnson;以及通用電氣安全運(yùn)營(yíng)和網(wǎng)絡(luò)智能高級(jí)主管RichardPuckett。

　　在討論開(kāi)始時(shí)，MacDonald介紹了最近幾年出現(xiàn)的CASB如何變成企業(yè)對(duì)其用戶使用的眾多云應(yīng)用及服務(wù)的控制點(diǎn)。他解釋了云訪問(wèn)安全代理如何利用各種不同的功能來(lái)保護(hù)企業(yè)，例如云應(yīng)用發(fā)現(xiàn)、用戶身份驗(yàn)證、使用量監(jiān)控以及數(shù)據(jù)保護(hù)--包括加密和數(shù)據(jù)丟失防護(hù)DLP功能。

　　MacDonald還表示，CASB市場(chǎng)已經(jīng)擴(kuò)大至包含18到20家供應(yīng)商的市場(chǎng)，這些供應(yīng)商的收入估計(jì)達(dá)到1.8億美元。

　　MacDonald表示：“在過(guò)去的四年中，這個(gè)市場(chǎng)從零發(fā)展成真正的市場(chǎng)。”

　　云訪問(wèn)安全代理的商業(yè)案例

　　MacDonald詢問(wèn)小組成員，什么在推動(dòng)他們各自企業(yè)中CASB的部署?Archer表示，合規(guī)性是他們部署CASB的最大原因，“這里的主要驅(qū)動(dòng)力是合規(guī)性的需要，就我們而言，這是FFIEC信息安全手冊(cè)?！?/br>

　　Archer還說(shuō)道，SallieMae的目標(biāo)是加密所有財(cái)務(wù)數(shù)據(jù)，但仍然保持提供員工需要的企業(yè)云服務(wù)。他表示，加密組件很關(guān)鍵，因?yàn)镾allieMae想要確保企業(yè)外的人包括云提供商無(wú)法查看或訪問(wèn)這些數(shù)據(jù)?！爱?dāng)數(shù)據(jù)離開(kāi)我們的環(huán)境并進(jìn)入云服務(wù)提供商環(huán)境時(shí)，我們可以加密所有數(shù)據(jù)，并且只有我們有密鑰，”Archer表示，“該云服務(wù)提供商不能以任何形式透露任何信息，因?yàn)閿?shù)據(jù)被完全加密?！?/br>

　　MorganStanley公司的Brady表示，影子云使用的問(wèn)題非常緊迫，其公司正在同時(shí)開(kāi)展多個(gè)CASB項(xiàng)目--與不同的供應(yīng)商?！拔覀兪紫葧?huì)查看可視性，這讓我們可圍繞事件相應(yīng)構(gòu)建流程，還可以管理云使用，”他表示，“我們使用CASB也是因?yàn)樵缙诘募用埽覀兛赡苓€會(huì)在未來(lái)幾個(gè)月整合這些項(xiàng)目到單個(gè)CASB項(xiàng)目?！?/br>

　　Johnson表示，當(dāng)她去年加入Stryker時(shí)，她被要求確定“容易被攻擊者得手的”安全問(wèn)題，“我認(rèn)為，在云訪問(wèn)安全代理后，唾手可得的安全問(wèn)題是影子IT，”她稱(chēng)，“我發(fā)現(xiàn)我們?cè)谑褂贸^(guò)2000云服務(wù)，我甚至不知道存在2000個(gè)服務(wù)?！?/br>

　　Puckett表示，他的公司主要面對(duì)的挑戰(zhàn)是防止數(shù)據(jù)從GE環(huán)境轉(zhuǎn)移到?jīng)]有任何控制的云環(huán)境。

　　“如果你不采取任何形式的測(cè)量，你就無(wú)法了解風(fēng)險(xiǎn)情況，”P(pán)uckett表示，“當(dāng)GE評(píng)估風(fēng)險(xiǎn)時(shí)，我們發(fā)現(xiàn)大規(guī)?？缭铺峁┥痰谋姲?，從軟件即服務(wù)SaaS到平臺(tái)即服務(wù)PaaS以及基礎(chǔ)設(shè)施即服務(wù)IaaS，正是這些云服務(wù)讓我們擔(dān)心數(shù)據(jù)泄露?！?/br>

　　Puckett還好指出，單靠云安全政策來(lái)防止員工使用未經(jīng)批準(zhǔn)的服務(wù)或參與高風(fēng)險(xiǎn)活動(dòng)簡(jiǎn)直是“天方夜譚”。

　　處理影子云服務(wù)

　　Puckett稱(chēng)，自通用電氣開(kāi)始使用CASB以來(lái)，該公司對(duì)于官方批準(zhǔn)的云計(jì)算服務(wù)“更加積極

　　”。該安全團(tuán)隊(duì)可能會(huì)發(fā)現(xiàn)員工在使用IT部門(mén)尚未批準(zhǔn)的影子云服務(wù)，但Puckett表示，只要云服務(wù)使用可受到監(jiān)控以及在GE安全政策控制范圍內(nèi)，該公司就不會(huì)阻止這些服務(wù)。他說(shuō)：“我們?cè)试S和容忍特定未經(jīng)批準(zhǔn)的云計(jì)算提供商在商業(yè)環(huán)境中使用，只要他們遵循正確的做法?！?/br>

　　Johnson表示，Stryker并沒(méi)有立即阻止對(duì)未經(jīng)批準(zhǔn)云應(yīng)用和服務(wù)的訪問(wèn);相反，該公司的CASBSkyhighNetworks會(huì)提醒員工這種使用可能違反Stryker的安全政策，MacDonald稱(chēng)這是“軟控制”，而不是硬控制。他說(shuō)道：“我們希望這會(huì)讓政策變得更容易接受以及同意，而不是讓人們感到生氣，因?yàn)槟阕柚沽怂麄兊姆?wù)使用?！?/br>

　　Brady稱(chēng)，MorganStanley阻止很多云計(jì)算應(yīng)用和服務(wù)，但與GE一樣，該金融服務(wù)公司會(huì)對(duì)有意義的使用批準(zhǔn)特例。但由于MorganStanley發(fā)現(xiàn)員工使用的未經(jīng)授權(quán)云服務(wù)“數(shù)以千計(jì)”，Brady稱(chēng)該公司必須部署某種硬控制來(lái)防止企業(yè)數(shù)據(jù)通過(guò)這些服務(wù)被泄露。

　　Archer稱(chēng)，SallieMae嘗試對(duì)云服務(wù)進(jìn)行白名單化，而不是阻止未經(jīng)授權(quán)的服務(wù)，但他也表示其公司對(duì)待云服務(wù)未經(jīng)授權(quán)使用非常嚴(yán)格?！拔覀兊恼咭?guī)定，如果任何人在企業(yè)外部使用未經(jīng)批準(zhǔn)的服務(wù)導(dǎo)致敏感數(shù)據(jù)泄露，他們將受到紀(jì)律處分并可能被辭退，”他表示，“如果我們抓到他們?cè)谑褂肈LP，他們講接受?chē)?yán)格的調(diào)查處理?！?/br>

　　但Archer表示他的安全團(tuán)隊(duì)會(huì)通過(guò)其CASB的DLP功能查看所有離開(kāi)企業(yè)環(huán)境轉(zhuǎn)移到云的數(shù)據(jù)，這可以阻止員工誤操作，但并不能夠阻止外部威脅行為者滲出數(shù)據(jù)。Archer說(shuō)：“大家都知道，DLP基本會(huì)阻止員工錯(cuò)誤的行為，但并不能阻止真正的攻擊者，所以我們會(huì)盡可能抓出錯(cuò)誤行為，而員工也將為此付出代價(jià)?！?/br>

　　Puckett稱(chēng)，云訪問(wèn)安全代理生成的數(shù)據(jù)可以幫助企業(yè)審核潛在的云服務(wù)。例如，云服務(wù)可能不只是缺乏安全控制例如SSL或加密，它們還可能有對(duì)企業(yè)不利的使用條款。他表示：“某些多租戶供應(yīng)商可能會(huì)說(shuō)，‘如果你把數(shù)據(jù)放在我們提供商處，那就屬于我們。’”

　　但他也表示，管理云服務(wù)的問(wèn)題“并沒(méi)有隨著時(shí)間的推移而得到改善”，因?yàn)榘踩芾砣藛T不僅需要監(jiān)控企業(yè)到云的連接。他看到越來(lái)越多的云服務(wù)之間通信以及發(fā)送企業(yè)數(shù)據(jù)，例如從IaaS工作負(fù)載轉(zhuǎn)移到SaaS，然后到存儲(chǔ)服務(wù)。

　　“這些離網(wǎng)操作越來(lái)越難監(jiān)控，因?yàn)樗鼈冋谝詭缀嗡俣葦U(kuò)展，”他表示，“我們需要開(kāi)始談?wù)撨@種CASB模式的下一個(gè)演進(jìn)，因?yàn)檫@不是我們可以追逐的問(wèn)題?！?/br>

　　最后，該小組成員表示云訪問(wèn)安全代理已經(jīng)成為其公司安全態(tài)勢(shì)的不可或缺的組成部分，并為觀眾提供有關(guān)CASB的建議。Archer稱(chēng)，企業(yè)在使用CASB時(shí)，需要保持靈活性。他說(shuō)：“我認(rèn)為最重要的事情是，不要完全承諾到一個(gè)供應(yīng)商，因?yàn)橐磺卸紩?huì)變化--速度超過(guò)你的想象?！?/br>

　　Brady同意稱(chēng)，雖然CASB提供重要的云安全控制，企業(yè)應(yīng)該記住，這個(gè)領(lǐng)域勢(shì)必會(huì)波動(dòng)和轉(zhuǎn)變。Brady稱(chēng)：“這個(gè)市場(chǎng)還不是一個(gè)成熟的市場(chǎng)?！?/br>

　　Puckett建議企業(yè)在部署CASB模式之前，需要制定戰(zhàn)略用于處理未經(jīng)批準(zhǔn)和經(jīng)過(guò)批準(zhǔn)的云服務(wù)，退出云服務(wù)，以及處理加密密鑰。他說(shuō)：“如果你沒(méi)有這三樣?xùn)|西，那么祝你好運(yùn)，因?yàn)槊看挝幕紩?huì)勝過(guò)安全?！?/br>

　　Johnson鼓勵(lì)觀眾在與其他安全小組成員以及與高管人員的討論中，使用CASB提供的可視性和指標(biāo)來(lái)說(shuō)服他們。她說(shuō)道：“這種對(duì)話的最佳方式是用數(shù)據(jù)說(shuō)法，我從云訪問(wèn)安全代理獲取的數(shù)據(jù)幫助我說(shuō)服了高級(jí)領(lǐng)導(dǎo)團(tuán)隊(duì)?！?/br>

來(lái)源：TechTarget

　　版權(quán)及免責(zé)聲明：凡本網(wǎng)所屬版權(quán)作品，轉(zhuǎn)載時(shí)須獲得授權(quán)并注明來(lái)源“中國(guó)產(chǎn)業(yè)經(jīng)濟(jì)信息網(wǎng)”，違者本網(wǎng)將保留追究其相關(guān)法律責(zé)任的權(quán)力。凡轉(zhuǎn)載文章，不代表本網(wǎng)觀點(diǎn)和立場(chǎng)。版權(quán)事宜請(qǐng)聯(lián)系：010-65363056。

延伸閱讀