6月24日，信服云云內建安全技術負責人Carlos在信服雲《Tech Talk · 雲技術有話聊》系列直播課上分享了《雲安全中心背後的技術原理》，詳細介紹了雲安全中心現狀及趨勢解析、雲安全中心的技術框架、如何實現上線即安全、安全事件的全生命週期管理等內容。以下是他分享的內容摘要，想要了解更多可以關注“深信服科技”公眾號觀看直播回放。

**一、雲安全現狀**

1.負載應用不斷增加

隨著雲平臺在企業工作負載中的應用不斷增加，雲工作負載配置的複雜性也隨之增強。多個單獨執行的安全解決方案並不能提高安全防護能力，企業仍然面臨安全隱患。雲上的安全方案通常是各自為“戰”，缺乏統一整合，對於安全威脅缺乏一個整體的管理和控制檢視。

2.新舊工具隨意疊加

“新”工具堆疊在“舊”工具上的方法，只能獲得有限的安全防護能力，各類安全威脅依然存在可乘之機，越來越多的企業正在傾向於最佳化和整合以往眾多的安全解決方案。

3.外掛式解決方案存在諸多不足

外掛式解決方案無法適配雲上可變的應用程式架構、服務和臨時工作負載。存在效能下降、代理衝突、代理更新、版本控制、部署等問題，無法滿足動態的雲環境的安全需求。

4.雲原生應用帶來更多的攻擊面暴露

雲原生的出現使雲端計算不斷與具體業務場景整合，其中，容器技術依賴大量的基礎元件，而這些基礎元件引入的同時也會引入大量新漏洞。微服務架構的出現、應用的拆分，導致應用數量增加。應用之間透過網路進行訪問，導致系統的暴露面劇增，傳統安全元件已無法很好解決以上安全風險。

5.上雲後訪問需求複雜多樣

身份認證是跨越網路封鎖的一種關鍵橫向移動技術。越多越多企業開始採用多重身份驗證，但是它並不能徹底解決企業面臨的網路威脅問題。企業需要正確配置、維護和監控身份基礎設施，不斷提高對其重視程度，雲上身份安全認證管理變得愈加重要。

雲原生應用逐步普及，雲內建安全逐步成為雲基礎安全的重點。

**二、信服云云安全理念**

1.安全內建於雲上、內建於雲上

信服雲的安全能力開啟簡單，只需頁面一鍵點選操作，即可開啟雲安全中心功能。另外，安全防護元件不再需要管理員手動去部署、去設定相關的安全策略。當雲主機建立時會隨VMTools自動部署。

使用者建設安全能力，不再需要關注網路部署，雲上所有虛擬機器都是透過G2H通訊來保證雲主機安全元件與雲安全中心的通訊。

雲防火牆按雲主機機粒度開啟、關閉IPS和WAF功能、實現按模組開啟，跟隨業務的擴充套件而自動彈性擴充套件，無需擔心效能瓶頸和網路配置和規劃等問題。

2.可信賴、可依靠的安全事件處置能力

信服雲會不斷完善和補充檢測能力，結合雲平臺的能力提供豐富的安全事件閉環方案，實現更可靠的威脅處置，有效緩解使用者的處置焦慮。

3.業務上線即安全

雲上安全保護雲上資產從上線開始的全生命週期安全。雲上安全能夠自適應雲上資產的業務特點，自動適配對應的安全防護策略。如開啟IPS、開啟waf、開啟勒索資料保護、開啟webshell防護等，實時獲取資產變更和威脅情報資訊，主動評估雲上資產的安全風險。

4.雲上安全能力持續進化

雲上安全能夠實現按需開啟對應的雲安全能力。未來，雲上安全是全棧式的，會涉及到身份與訪問安全、應用與業務安全、資料安全、網路安全和工作負載安全等方向。

**三、雲安全框架**

雲內建安全的特點包括：資產精準識別、威脅實時檢測、安全事件及時預警、具備豐富的安全事件處置能力、定時資料保護策略。

![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/7972406e4dce49bfa4941293fac842ec~tplv-k3u1fbpfcp-zoom-1.image)

透過安全元件免安裝、應用和中介軟體精確識別、防勒索、防病毒、漏洞修復、安全事件處置演練、資料資產絕對保護等安全能力，幫助使用者實現安全事件檢測、預警、處置、預防、溯源的全生命週期的安全事件閉環，保護雲上資產安全。針對被勒索的虛擬機器，提供應急恢復嚮導，幫助阻斷傳播、保留資料和快速恢復。

自動處置

內建安全不需要配置，業務上線根據應用自動開啟功能和規則推薦。內建安全會對事件進行自動處置，同時呼叫雲平臺的能力進行兜底。從隔離、克隆驗證、快照兜底、處置、安全掃描加固一系列自動化操作來完整處置。

基於檔案實時防護、勒索誘餌防護、暴力破解防護三大功能，主動防禦勒索病毒加密虛擬機器，自動處置高威脅安全事件，並透過快照保留現場。

漏洞管理

支援對主流漏洞型別進行檢測，並提供windows系統漏洞一鍵修復功能。檢視虛擬機器當前存在的漏洞風險，手動執行一鍵掃描，更全面地瞭解資產中的漏洞和風險情況，實時防護資產安全。

資料保護

針對重要雲主機加入安全快照策略，可迴圈建立最新快照。檢測到異常後立即自動快照，保留最全資料。處置之前建立快照，避免誤操作導致的資料損失。

**四、上線即安全**

內建安全主要特性之一是在虛擬機器與EDR-MGR網路沒有打通的情況下（甚至虛擬機器都不需要網路卡），仍舊可以給虛擬機器安裝EDR-Agent，並正常防護。

當雲主機建立時，一般會自帶虛擬機器效能最佳化工具vmtools。如果沒有安裝效能最佳化工具，可以透過控制檯安裝vmtools。安裝了vmtools的雲主機，支援自動安裝Agent安全外掛和secplugin安全監控工具，同時也支援批次安裝Agent安全外掛。

**五、安全事件閉環**

信服雲在安全事件閉環的設計思路是用自動替代手動、用嚮導固化最佳實踐、用平臺能力進行兜底、用推薦免去配置。

![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/a15dac09a4d24041ae7049b45fef46d9~tplv-k3u1fbpfcp-zoom-1.image)

處置兜底：處置病毒事件前和發現可疑勒索或防護元件異常時，平臺均會自動觸發快照。

聯動處置：融合雲平臺側、網路側、端點側多維度的能力進行關聯分析，將多個安全告警聚合到一個安全事件，並在處置事件時實現一鍵聯動處置。

以管理員主動進行安全事件閉環場景為例，當運維人員希望盤點雲上的所有資產，瞭解雲上所有資產的安全風險，可以在信服雲安全中心發起全網漏洞掃描，根據設定的掃描策略，平臺巡檢完成後，會將報告發給運維人員。如果多個虛擬機器發現新的漏洞，運維人員可以及時完成修復。

以上是關於信服雲如何構建雲內建安全中心的介紹，想要了解更多可以關注“深信服科技”公眾號觀看直播回放。

Tech Talk · 雲技術有話聊 | 如何構建雲安全中心？

相關文章