云安全面臨的問題
3.6日，來自云安全公司MacKeeper的研究人員Chris Vickery發(fā)Twitter稱在美國發(fā)生一起“14億身份信息泄漏案”。據預測在國際上除了中國和印度外，其它受害者預測可能有：facebook、whatsapp、蘋果、微軟、雅虎、微信、qq、阿里巴巴、oracle、salesforce 等這類擁有龐大的個人和企業(yè)數據庫的公司。
針對如此海量的數據泄漏，云端數據存儲的安全性問題就不得不引起人們的重視，另外也突顯出云端的安全性問題也越來越嚴重，并且不能完成寄安全問題于云提供商。
目前程序人員開發(fā)的應用程序、辦公文檔、筆記、企業(yè)文件共享等信息都以明文的方式存儲在云端，這對企業(yè)來說已經完全失去了對其的控制權。
針對云安全的解決方案
2016年RSA大會上，企業(yè)首席信息安全官們探討了云訪問安全代理的價值，他們認為云訪問安全代理模式是全面云安全的關鍵。
在Garter公司副總裁兼分析師Neil MacDonald主持下，由首席信息安全官和安全主管組成的專題小組探討了為什么他們部署云訪問安全代理以及他們如何使用云訪問安全代理。
首席信息安全官們一致認為：加密組件是云訪問安全代理中的核心功能，要確保企業(yè)外的人(包括云提供商)無法查看或訪問這些數據，當數據離開企業(yè)的的安全環(huán)境進入云服務提供商環(huán)境時，企業(yè)可以加密所有數據，并且只有企業(yè)有密鑰。
基于這些認識，我們也看到一些國際大型的云安全廠商及云服務供應商都提出以加密保護為基礎的技術路線：
1、以敏感數據加密為基礎，包括身份證號、姓名、住址、銀行卡、信用卡、社會保險號、手機號等;
2、以安全可靠、體系完善的密鑰管理系統(tǒng)為核心;
3、以三權分立、敏感數據訪問控制為主要手段;
4、輔助數據庫防火墻、數據脫敏、審計等邊界系統(tǒng)，規(guī)范和監(jiān)控數據的訪問行為;
核心在于“密鑰由誰控制、在哪里管理”，同時需要解決系統(tǒng)的運行效率、系統(tǒng)部署和應用改造的代價問題。
因此，我們建議的解決方案：
密鑰的管理和存儲都是在用戶自己的手里，云服務供應商無法獲取密鑰對用戶的數據進行加密及解密，這種方案針對企業(yè)用戶來說安全性是最好的。
為了保障數據的安全性，大型企業(yè)一般會采用該種方案，以最大限度地在滿足員工辦公高效的同時，降低企業(yè)核心數據泄漏的風險，基于該方案的部署架構如下圖所示：
企業(yè)采購云訪問安全代理產品，部署在企業(yè)辦公區(qū)域及云服務中間，并獨立管理KMS系統(tǒng)及相應的安全策略，在不改變用戶使用云應用的體驗并保留全部原生功能的情況下通過云訪問安全代理訪問云端的應用，云訪問安全代理對上送至云端的關鍵數據進行加密，對由云端進入企業(yè)的數據進行解密，保障存儲在云端的關鍵數據都是密文存儲，有效防止未授權人員、黑客、網絡服務商、云服務商都無法獲取用戶數據。
根據Gartner預測到2018年51%的企業(yè)應用服務會托管到云上，2022年這個比例將達到85%。伴隨著IT云化的浪潮，企業(yè)的IT架構也發(fā)生整體的轉變，這種轉變帶來的結果是整個IT基礎設施及服務逐漸遷移到云端，虛擬化、云化、Saas化。因此，整體的針對企業(yè)的安全解決方案也發(fā)生重大的改變，云服務商在對于云服務的安全方便比較偏重于基礎設施的安全，如提供防火墻、防病毒、防DDos等基礎的安全服務，而對于企業(yè)IT向SaaS全面遷移之后，對于云端與終端的身份認證、權限、數據安全(Cloud-DLP)、操作審計、安全事件審計等也成為必須要關注的問題。云訪問安全代理作為云端遷移的安全入口，云訪問安全代理將成為企業(yè)向云上遷移的重要驅動力。
CASB 產品功能范圍介紹
云訪問安全代理(CASB)是什么?
Gartner對CASB定義：
作為部署在云服務使用者和提供商之間的“經紀人”， CASB(云安全接入代理，cloud access security broker)能夠嵌入企業(yè)安全策略，通過整合云服務發(fā)現(xiàn)&評級，單點登錄，設備&行為識別，加密，憑證化等多種安全技術，在云上資源被連接訪問的過程中并加以監(jiān)控和防護。
明朝萬達認為CASB產品的核心能力如下：
云服務可視化：應用程序和數據的可見性以及云計算的使用模式分析
云服務訪問控制：通過基于角色的訪問策略來控制對云服務和數據的訪問是數據保護;
數據保護：通過加密機制對出入云端的數據進行加密、解密和標記化，防止數據在傳送、存儲過程中非常數據獲取行為;
KMS：密鑰管理，實現(xiàn)企業(yè)對密鑰的統(tǒng)一管理，而非將管理權限交給云服務供應商，有效控制數據安全;
危脅保護：可以通過尋找異常行為和已知的命令控制簽名來監(jiān)控流量，尋找是否有惡意軟件和網絡攻擊
儀表盤及報告：CASB平臺都應該提供一個易于使用的擁有各種報告選項的儀表板。所有CASB的提供商都應該提供一整套“封裝好的”用于詳細描述用戶活動，檢測或受保護的數據，惡意流量檢測并阻止，等等的報表。
