如何在多雲環境中建立信任

現(xiàn)代應用(yòng)程序正在将企業轉變爲數字創新工(gōng)廠(chǎng)。然而，現(xiàn)代應用(yòng)程序的分布式特性和(hé)複雜(zá)性使企業很(hěn)難在多平台或多雲環境中保持信任和(hé)合規性。 盡管Kubernetes是當今應用(yòng)程序平台的标準，但(dàn)每個雲計(jì)算(suàn)服務提供商都有不同的IaaS或PaaS産品，并具有不同的功能(néng)和(hé)API。這(zhè)些(xiē)API不僅不兼容(Kubernetes除外(wài))，而且每個基礎設施和(hé)平台都在孤島中進行處理(lǐ)和(hé)管理(lǐ)。這(zhè)些(xiē)孤島充當隔離且不重疊的管理(lǐ)邊界，阻止了(le)微服務之間的跨邊界可見性和(hé)信任。這(zhè)使得企業更難以跨雲平台了(le)解并持續修複其安全漏洞，從(cóng)而使它們容易受到(dào)網絡攻擊。 爲了(le)解決這(zhè)個問題，很(hěn)多企業正在将企業安全控制擴展到(dào)雲計(jì)算(suàn)環境。問題在于，應用(yòng)程序團隊和(hé)安全團隊傳統上(shàng)具有相互競争的目标——敏捷性與風(fēng)險和(hé)控制，并且安全運營的發展速度與應用(yòng)程序運營不同。這(zhè)會(huì)讓兩個團隊之間産生矛盾，并迫使應用(yòng)程序運營團隊做出選擇： (1)減慢應用(yòng)程序交付和(hé)運營速度以降低(dī)風(fēng)險。 (2)在不考慮安全性和(hé)合規性的情況下(xià)，繼續盡快(kuài)開(kāi)發和(hé)交付應用(yòng)程序。 這(zhè)兩種做法都不是理(lǐ)想的選擇。爲了(le)釋放(fàng)在多平台和(hé)多雲環境中運行的現(xiàn)代應用(yòng)程序的潛力，需要找到(dào)一種方法，以用(yòng)戶期望的速度在整個軟件交付生命周期中無縫集成安全性。 将零信任集成到(dào)應用(yòng)程序交付周期中 在多雲世界中保護應用(yòng)程序的關鍵是零信任。将零信任原則直接構建到(dào)現(xiàn)代應用(yòng)程序中，使企業能(néng)夠及早識别威脅、減少攻擊面，并将安全功能(néng)與應用(yòng)程序堆棧的其餘部分一起交付，而無論底層應用(yòng)程序平台和(hé)雲堆棧如何。 在這(zhè)個用(yòng)例中，零信任的關鍵組件之一是應用(yòng)程序分段。換句話(huà)說，如何在不同應用(yòng)程序或應用(yòng)程序組件之間做出訪問決策。零信任必須以通過可擴展模型提高(gāo)應用(yòng)程序訪問的靈活性和(hé)敏捷性的方式，從(cóng)任何用(yòng)戶或應用(yòng)程序提供對(duì)任何應用(yòng)程序的身份感知(zhī)、自(zì)适應和(hé)按需訪問。 應用(yòng)程序細分必須提供給應用(yòng)程序運營團隊，以便他(tā)們可以将其作(zuò)爲另一個門(mén)戶嵌入到(dào)應用(yòng)程序的質量流程中。應用(yòng)程序運營團隊可以通過實施應用(yòng)程序分段策略來(lái)實現(xiàn)這(zhè)一點，這(zhè)些(xiē)策略可識别通過豐富的動态屬性創建的工(gōng)作(zuò)負載。識别的内在/靜态屬性(IP、數字證書、命名空(kōng)間、标簽等)和(hé)外(wài)在/動态屬性(用(yòng)戶行爲、工(gōng)作(zuò)負載行爲、網絡行爲等)越多，訪問決策的粒度就越細。 令人難以置信的是，如今的應用(yòng)程序分段仍然是人工(gōng)完成的。但(dàn)是，随着多個雲平台環境中發生數以百萬計(jì)的交易，個人甚至團隊無法爲每個工(gōng)作(zuò)負載實施人工(gōng)分配策略。企業需要一種以可擴展、透明(míng)、自(zì)動的方式提供零信任應用(yòng)程序分段的方法。 連接和(hé)安全平台 實現(xiàn)這(zhè)一點的方法是使用(yòng)現(xiàn)代應用(yòng)程序連接和(hé)安全平台。通過服務網格，基于屬性的訪問控制模型整合了(le)多個第三方工(gōng)具，這(zhè)些(xiē)工(gōng)具可以跨應用(yòng)程序平台和(hé)多雲環境提供可見性和(hé)安全性。這(zhè)種單一視(shì)圖操作(zuò)模型使應用(yòng)程序團隊能(néng)夠在多雲環境中自(zì)動、大(dà)規模地無縫、簡單地編排安全服務。 然而，通過微分段進行細粒度策略管理(lǐ)會(huì)增加複雜(zá)性，這(zhè)會(huì)影響安全性。突然之間，企業可能(néng)會(huì)發現(xiàn)自(zì)己擁有數以千計(jì)的策略，這(zhè)些(xiē)策略規定了(le)不同的工(gōng)作(zuò)負載如何訪問網絡内的實體并與之交互。并且這(zhè)些(xiē)策略需要不斷更新和(hé)維護，這(zhè)給應用(yòng)程序和(hé)安全團隊帶來(lái)了(le)巨大(dà)的麻煩。 在部署工(gōng)作(zuò)負載時(shí)，将随工(gōng)作(zuò)負載一起創建關聯的策略，并随工(gōng)作(zuò)負載在運營環境中遷移，直到(dào)工(gōng)作(zuò)負載達到(dào)其生命周期結束并退役。随着應用(yòng)程序随着時(shí)間的推移運行，它們的特征在于其獨特的行爲。這(zhè)種安全特性允許自(zì)動選擇策略并将其直接應用(yòng)于工(gōng)作(zuò)負載。 但(dàn)是，要使服務網格在多雲環境中工(gōng)作(zuò)并啓用(yòng)安全應用(yòng)程序，它需要遵循零信任原則，既不會(huì)增加複雜(zá)性，也(yě)不會(huì)減緩敏捷交付周期。企業應該做到(dào)以下(xià)這(zhè)些(xiē)： (1)基線信任：現(xiàn)代應用(yòng)程序連接和(hé)安全平台應該具有原生的可觀察性和(hé)自(zì)我發現(xiàn)能(néng)力，例如能(néng)夠自(zì)動發現(xiàn)API、編目API和(hé)基于OpenAPI标準生成API文(wén)檔。現(xiàn)代應用(yòng)程序連接和(hé)安全平台應該能(néng)夠持續對(duì)應用(yòng)程序行爲建立基線，并檢測異常應用(yòng)程序行爲。這(zhè)需要警惕未知(zhī)和(hé)零日攻擊，尤其是敏感數據的洩露。 (2)建立信任：立即定義應用(yòng)程序不同部分的互連需求至關重要。這(zhè)種明(míng)确的意圖聲明(míng)通常由應用(yòng)程序團隊在作(zuò)爲持續集成(CI)/持續交付(CD)管道(dào)的一部分部署應用(yòng)程序期間通過人工(gōng)完成。另一種選擇是在應用(yòng)程序的測試階段自(zì)動發現(xiàn)連接意圖，并允許服務網格識别和(hé)記錄微服務API之間産生的通信流。這(zhè)些(xiē)是應用(yòng)程序分段策略的??基礎。 (3)加強信任：還必須有一種機制來(lái)自(zì)動應用(yòng)适當的應用(yòng)程序分段策略，以實現(xiàn)應用(yòng)程序按預期運行所需的通信。在微服務模型中，應用(yòng)程序的不同部分動态啓動和(hé)關閉，以使應用(yòng)程序能(néng)夠按預期運行。管理(lǐ)可訪問性的應用(yòng)程序分段策略也(yě)必須适應這(zhè)些(xiē)變化，這(zhè)一點至關重要。這(zhè)是通過與應用(yòng)程序平台交互以收集工(gōng)作(zuò)負載清單的服務網格控制平台來(lái)完成的。 (4)動态調整信任度：随着應用(yòng)程序的運行以及客戶端與它們的交互，它們的特征在這(zhè)種情況下(xià)是一種安全行爲。觀察這(zhè)種行爲可以通過企業現(xiàn)有的各種分析工(gōng)具來(lái)完成，這(zhè)些(xiē)工(gōng)具檢測進程、容器、網絡和(hé)用(yòng)戶行爲以提供安全場景。但(dàn)是，爲了(le)保持信任，需要有一種方法通過服務網格集成這(zhè)些(xiē)工(gōng)具，以創建單一的真相來(lái)源。 (5)将信任模型擴展到(dào)邊緣：應用(yòng)程序還與SaaS平台(例如Salesforce或SAP)以及數據中心之外(wài)的其他(tā)應用(yòng)程序進行交互。在理(lǐ)想情況下(xià)，服務網格/零信任應用(yòng)程序分段模型可以與雲中的其他(tā)安全解決方案集成，例如安全訪問服務邊緣(SASE)、安全Web網關(SWG)、雲訪問安全代理(lǐ)(CASB)和(hé)其他(tā)零信任安全組件。這(zhè)使跨數據中心、多個雲服務提供商、SaaS平台和(hé)web應用(yòng)程序建立信任的流程實現(xiàn)标準化，确保企業的一緻安全性和(hé)合規性。 現(xiàn)代應用(yòng)程序正在通過實現(xiàn)敏捷性和(hé)實時(shí)決策來(lái)改變業務的運作(zuò)方式，但(dàn)除非應用(yòng)程序團隊與安全團隊合作(zuò)以保護多雲環境中的用(yòng)戶、數據和(hé)應用(yòng)程序，否則它們永遠不會(huì)充分發揮其潛力。很(hěn)明(míng)顯，企業需要一個演進的安全模型，應用(yòng)程序團隊可以使用(yòng)該模型跨多雲、多平台環境無縫建立信任和(hé)協調應用(yòng)程序的分段。服務網格可以提供建立和(hé)持續評估信任所需的可見性和(hé)控制。