如何以零信任保护对云工作负载的访问?
云和远程访问挑战
现在远程工作和开发人员云端基础设施已成为新常态，保护工程师对云工作负载的访问比以往任什么时候候都更具挑战性。随着DevOps和工程环境愈来愈多地跨多个服务器、云提供商和混合架构扩大，安全问题成为利用云功能的公司的重要任务。
在保护对AWS、GCP和Azure等云环境的工程访问时，大多数企业通过使用组合解决方案来下降访问风险，每一个解决方案都有优点和局限性。
一、方案：虽然用于远程访问的方案消除MITM攻击的风险，但它们不能保证对包括数百台服务器的敏感环境的安全访问。方案网关非常不安全，由于它们提供对网络中每一个资源的完全访问，并具有完全的第3层连接。
二、静态分段：网络划分可以通过VLAN或内部安全组实现。但是分段的分类模式极为复杂，需要付出很大的努力来配置，静态分段也不允许真实的细粒度控制，并且通常允许用户访问比他们实际需要的更广泛的分段。
三、IP白名单：如果实行得当，在基于云的环境中将安全组或防火墙中的IP地址列入白名单多是一种有效的策略。但是白名单管理睬产生巨大的开消。动态IP和不断变化的位置需要不断更新。如果白名单不严格保护，公司最敏感的资源很快就会变得过度。
四、密钥管理：加密密钥是监控服务器上用户活动的有效方法。但是密钥管理需要专用工具来设置、管理和控制帐户。虽然付出了所有努力，密钥和密码依然可能会在不经意间。
五、零信任——甚么都不信任，验证一切
这些成熟的解决方案不能再依赖于安全的DevOps访问。随着公司采取更新的基础设施、方法和工具，安全措施和访问标准需要相应地改变。
出现了一种新的安全方法，即零信任网络访问(ZTNA)，它的核心是通过不信任组织网络架构内部或外部的任何人来避免数据泄漏。ZTNA谢绝所有用户、机器和利用程序的网络连接，直到它们被明确验证。
这可以通过以下方式实现：
强迫履行仅限制对利用程序层(OSI的第7层)的访问的最低权限访问，并仅在履行强上下文用户身份验证后才提供访问权限
通过“数据中心黑化”避免内部资源的可见性
使用具有双向TLS的端到端加密隧道
监控从访问尝试到会话中活动的每一个用户会话
ZTNA方法通过确保安全、敏捷和无缝连接解决了许多远程访问挑战。但是，具有庞大工程、支持和IT团队的技术导向型公司可能依然难以通过动态服务器支持大范围工作，同时保持公道的管理开消和无缝的用户体验。
保护DevOps对动态云工作负载的访问
要为DevOps和工程师实现零信任访问，并充分利用基于云的开发环境的敏捷性和灵活性，请寻觅能够提供：
内置特权访问管理(PAM)：嵌入式PAM允许用户直接安全地连接到终端服务器，而无需机器密钥/密码。一旦用户通过组织的身份提供者(IDP)对系统进行身份验证，该解决方案会将用户的身份扩大到访问的资源，创建一种单点登录到生产。
自动化服务器载入：集成云资源发现对具有大量自动扩大并需要动态策略实行的服务器的组织来讲相当重要。为此，寻求一种与您组织的云资源延续同步并根据其区域或标签获得它们的服务，以便在云或数据中创建资源时动态履行策略
基于标签的管理：标签简化了对云工作负载的访问管理，让管理员能够以一种直观的方式对它们进行分类和标记。为单个标签或标签组定义的策略会在任意数量的资源和动态服务启动时自动实行，并且标签还通过将利用程序组合在一起来增进终究用户的访问。
即时云部署：完全基于云的平台可以让您立即部署对云工作负载的零信任访问。另外，一些解决方案不需要用户装备上的代理或客户端，乃至可以大幅削减部署和延续管理。
监控、警报和完全的审计跟踪：根据零信任框架，通过监控会话中访问、命令和查询的异常行动，不留下安全盲点如果需要，斟酌还提供会话视频录制的解决方案。通过在可能的情况下集成来自IDP的日志来简化报告，因此您可以取得所有用户活动的单一SaaS界面或将日志导出到其他监控工具。
网友留言：