混合云安全
什么是混合云安全？
混合云安全是一种多面性流程，用于保护多个 IT 环境（公有云、私有云和内部部署硬件）中的基础设施、数据和应用。这种综合性方法能防御网络攻击和恶意内部人员，且通常由多个第三方提供商和企业予以管理。
什么是混合云安全架构？
本地硬件安全是混合云安全的第一项考量。这个位置的服务器和裸机硬件包含全部企业数据（从代码到数据库再到存储和其他资源）。组织会通过一或多个数据中心和云环境提供这类数据，而只有有效用户和应用才可访问及利用经过加密处理的此类信息。组织通常会通过某种形式的零信任协议完成加密操作。
在边界，边缘云服务器和应用容器会进行微分段，即将数据分为小组和特定工作负载，从而用特定安全控件将它们有效隔开。这些“解除武装的地区”会限制网络攻击的能力，导致其无法穿越数据中心。能够进一步将云环境与内部部署资源分开的防火墙和其他保护层，可在虚拟机监控程序和操作系统等多个数据层上实施。
混合云安全的组件
总的来说，混合云安全性分为物理（包括管理等人工任务）和虚拟两大类型。
物理组件
混合云基础设施的本质是位置分散，即，有多处企业和第三方级别的物理位置需确保安全性。两种环境都需要配备让人员远离硬件的基础功能，即便此类硬件只是类似门和锁的简单设备或结构。用于规定哪些人能够直接访问物理资源和云资源的安全基准，是遵守政府监管要求和实现合规性的一个常见必然要求，公有云提供商也需遵守。
物理组件还包括意外和灾难保护。企业和第三方提供商都应当配备内置备份存储和其他冗余。在发生意外系统故障或数据损坏时，这些措施能够避免永久的数据丢失。
虚拟组件
虚拟组件指的是混合云基础设施的固有优势和复杂性，包括加密、可访问性、自动化和端点安全性。
- 加密：即便数据库因恶意手段而受损，加密组件依然能够防止信息完全泄露。加密会在若干个不同级别执行：数据在存储、传输、使用或闲置时都可以完成加密。Linux Unified Key Setup-on-disk (LUKS) 或可信平台模块 (TPM) 等分区加密工具会保护硬件安全，避免对硬件进行未经授权的访问；与此同时，互联网协议安全 (IPsec) 等选件则可以对实时网络会话进行加密，避免数据遭拦截。
- 可访问性：组件可用于限定哪些人及哪些设备有权访问资源，这大大降低了未经授权访问的几率。多重因素验证或虚拟专用网络 (VPN) 等选项大都基于零信任原则，这些选件可确保已获批准的用户和程序也只能访问他们需要的确切功能。
- 自动化：自动化组件能够承担许多枯燥的安全性任务，且效果优于人工操作。应用安全补丁、监控环境以及检查是否合规等动作都可以通过机器学习 (ML) 完成。
- 端点安全性：混合云可供任意数目的设备（包括移动电话和笔记本电脑）访问，这增加了可能出现其他未经授权的访问情况。如果设备暂时丢失、被盗或受损，端点安全性组件能够清除设备数据和/或撤销对数据中心的访问权限，避免数据泄露扩散。
混合云环境中的安全注意事项是什么？
数据安全和加密：数据安全可确保混合云环境中机密数据的完整性和隐私性。
- 保护静态数据和传输中数据：实施访问控制和身份验证技术，为存储在混合云环境中的数据提供全面保护。例如，采用数据丢失防护 (DLP) 解决方案跟踪和阻止数据泄露。利用传输层安全性 (TLS) 和安全外壳协议 (SSH) 在传输过程中对数据进行加密。混合云环境必须具备 IDPS（入侵检测/防御系统）等可靠的网络安全系统来防止未经授权的访问。
- 采用加密技术保障混合云数据安全：凭借透明数据加密 (TDE) 等加密算法，无论在混合云环境中的位置如何，均可为数据提供全面保护。此外，还可以设置访问控制，根据有效角色和权限限制对加密数据的访问，修改加密密钥，并采取强有力的密钥管理措施来保护数据。
身份和访问管理 (IAM)：借助严格的身份和访问管理措施，组织可以查看和修改访问权限，防止未经授权的访问。
- 管理用户身份和访问控制：使用多重身份验证 (MFA) 和基于角色的访问控制，确保只有经过验证的用户才能访问混合云环境。评估和更新用户访问权限，增强混合云安全性并限制对混合云资源的访问。
- 单点登录和联邦身份管理：借助单点登录，用户获得授权并能够访问应用和数据。借助 OpenID 和安全断言标记语言等联邦身份管理协议，在整个混合云环境中对用户进行身份验证和授权。
网络安全和分段：评估和更新网络安全和分段策略，确保系统安全无虞。
- 保护网络连接和数据流：借助 SSL/TLS 和虚拟专用网络等网络协议，保护混合云和本地基础设施之间的连接。更新网络安全配置，确保混合云中的数据流安全。
- 利用网络分段实现隔离和控制：虚拟局域网和软件定义网络可在混合云环境中实现数据和系统隔离。ACL（访问控制表）等网络访问控制有助于管理网络分段之间的通信。
安全监控和日志记录：借助混合云安全性监控和日志记录，密切关注安全漏洞并进行处理，防患于未然。
- 持续监控混合云环境：使用混合云安全监控工具收集和评估混合云环境中的日志。设置威胁警报并发送自动响应，便于及时发现和解决安全漏洞。
- 通过日志管理和分析检测威胁：借助集中式日志管理系统，从混合云收集和存储日志，执行日志分析以消除安全异常。
漏洞管理和修补：通过漏洞管理和修补，提高混合云环境的安全水平。
- 识别和解决混合云系统中的漏洞：执行漏洞评估和渗透测试，进而发现漏洞并制定漏洞管理流程，最终识别和消除漏洞。
- 适用于混合云环境的修补程序管理策略：修补程序管理策略可评估混合云组件的修补程序级别，帮助确定重要修补程序的优先级，便于快速实施。
如何保护传输中数据和静态数据？
安全数据传输机制：通过实施安全的数据传输机制，企业可以确保数据的隐私性和完整性。
- 传输中数据的加密协议：借助传输层安全性 (TLS) 和安全套接字层 (SSL) 等安全加密协议，不仅可在云与本地基础设施传输期间保护数据，还能够提供数据身份验证并确保数据完整性。
- 虚拟专用网络 (VPN) 和安全通信通道：VPN 使用加密通道进行数据传输，防止未经授权的访问并保护公用网络上的连接。此外，借助安全外壳协议和安全文件传输协议等通信通道，保护数据传输和对混合系统的远程访问。
数据加密和密钥管理：通过践行数据加密和密钥管理实践，可以确保数据加密的有效性。
- 混合云存储中静态数据的加密选项：在混合云存储中，借助磁盘级和数据库级加密选项，可保护物理存储设备和数据库中存储的静态数据。
- 密钥管理实践和安全密钥存储：交换加密密钥，缩短密钥窗口期，从而降低数据泄露的可能性。
数据丢失防护 (DLP)：借助数据丢失防护工具和技术，可确保数据的机密性和完整性。
- 防止意外或未经授权的数据泄露：对用户进行数据处理技术培训，帮助他们了解数据泄露风险，并将安全意识根植于心。
- 适用于混合云环境的 DLP 策略和工具：借助 DLP 策略和工具，密切观察本地和云资源之间的数据传输，避免意外发生数据泄露。
组织如何在混合云中实施身份和访问管理？
基于角色的访问控制 (RBAC)：基于角色的访问控制可帮助您控制混合云中的用户权限和访问权限。
- 为用户权限和访问权限实施 RBAC：根据组织中的作业配置文件和职责确定角色，并为其分配执行任务所需的资源。
- 混合云环境中的角色分配和管理：定期进行审查和评估，确保角色与组织需求的变化保持一致。通过自动执行角色分配和资源配置，简化访问管理。
多重身份验证 (MFA)：多重身份验证要求用户提供多个身份验证因素，以提高安全性。
- 使用其他身份验证因素加强安全保护：使用多个身份验证因素（如生物识别、一次性密码和强密码）对用户进行身份验证。
- 混合云中的 MFA 实施和最佳实践：集成 MFA 解决方案，集中进行身份验证并促进用户管理，从而增强安全性。
特权访问管理 (PAM)：特权访问管理解决方案可防止未经授权的访问并确保资源的受控可用性。
- 保护和监控特权用户访问：识别并指定有权访问关键系统或数据的特权用户。例如，实时访问流程提供临时受监控的访问，最大限度地降低风险。
- 为混合云环境实施 PAM 解决方案：使用 PAM 解决方案控制和记录特权用户会话，以检测和防止未经授权的访问。
组织如何在混合云中实施网络安全和分段？
网络隔离和分段：网络隔离和分段通过实施以下措施来确保数据和应用的安全性：
- 实施虚拟网络和子网以进行隔离：混合云环境中的虚拟网络将工作负载和数据隔开，最大限度地减少未经授权的访问。将虚拟网络隔离到子网中，隔离组件以提高安全性。
- 借助网络分段策略增强安全性：根据数据敏感度划定安全区域，并在安全区域之间融入访问控制，限制网络中的横向移动。
防火墙和网络安全组 (NSG)：它们是混合云环境中保障网络安全的重要组成部分。
- 在混合云环境中配置防火墙和 NSG：借助防火墙和 NSG 中的访问控制表，可以根据 IP 协议和地址允许或禁止流量。
- 筛选网络流量并实施安全策略：默认情况下，“拒绝”会根据预定义安全协议阻止入站流量并允许合法流量。
入侵检测和防御系统 (IDS/IPS)：IDS/IPS 可监控网络流量、识别和避免严重入侵。
- 监控和防止混合云中的网络入侵：监控网络流量，识别和跟踪潜在的安全事件。
- 部署 IDS/IPS 解决方案以实现混合云安全性：部署具有安全信息和事件管理 (SIEM) 的 IDS/IPS 解决方案，改进威胁检测和响应机制。
组织如何在混合云中实施安全监控和事故响应？
安全信息和事件管理 (SIEM)：安全信息和事件管理软件统计和分析混合云环境中的安全日志和事件。
- 收集和分析安全日志和事件：日志收集器从不同源收集日志和事件，并将其集中在 SIEM 解决方案中，以便提供全面概述。
- 面向混合云环境的集中式安全监控：借助集中式混合云安全性监控，通过发送警报和通知提高威胁检测和事故响应效率。
威胁检测和响应：使用以下策略检测威胁并确保及时响应。
- 在混合云中检测和响应安全威胁：使用威胁智能服务，可检测威胁并确保立即采取补救措施来解决这些威胁。
- 事故响应流程和安全事件管理：制定事故响应计划，明确实施安全事件所需的角色、职责和步骤。
云安全编排、自动化和响应 (SOAR)：凭借 SOAR，企业能够自动执行安全任务和响应操作。
- 在混合云中自动执行安全任务和响应：借助 SOAR 自动执行日常任务，通过减少人工干预来简化和加快事件处理。
- 集成安全工具和工作流程以提高事故响应效率：在安全工具和工作流程之间设置无缝集成，便于轻松进行信息交换。
什么是混合云安全性中的合规性和治理？
法规合规性：必须满足监管合规性要求，维护数据和应用的安全性和完整性。
- 满足行业特定的法规和标准：定义行业特定的法规，加以了解并满足要求。执行全面分析，查找不符合合规性标准的缺口，制定补救计划来弥合缺口。
- 混合云中的合规性审核和报告：执行内部和外部审核，评估安全控制的有效性、查找漏洞并满足合规性标准。此外，建议为
数据保护技术、事故响应流程和安全措施编制详细报告。
数据隐私和保护：考虑数据隐私和保护的以下各个方面：
- 管理混合云环境中的数据隐私要求：根据数据敏感度隔离数据，并采取适当措施为数据提供全面保护并加以管理。必须制定数据治理策略并实施流程来管理用户许可，保护个人数据隐私。
- 混合云中的 GDPR 和其他数据保护法规：使用安全的数据传输方法，确保符合 GDPR 标准。必须制定流程来保障数据主体权利，如检索、修改和删除个人数据的权利。
云安全框架和最佳实践：通过实施云安全框架和最佳实践，组织可以维护安全、合规的混合云环境。
- 遵守行业认可的安全框架：NIST 和 ISO 27001 等安全框架全面概述了安全管理系统，包括风险评估、控制和合规性。
- 在混合云环境中实施最佳安全实践：执行漏洞评估和修补程序管理，便于对漏洞加以管理。最小特权原则在需要时才给用户分配访问权限，以此降低安全事件风险。
混合云安全面临哪些挑战？
与简单易懂的公有云或私有云安全相比，混合云安全融合了前述二者的多个方面，带来多个会根据行业考量或服务等级协议 (SLA) 而变化的控件和变量。对于前者，这些行业问题中的首要考量是合规性，尤其是涉及敏感或机密信息安全性时的合规性。这类法规可能会要求将特定类型的数据存储在本地基础设施上（不可通过云访问），也可能会限制哪些人能够在特定时间段访问数据。
此外，多名操作人员所增加的复杂性易模糊角色和职责。SLA 不够清晰会导致安全覆盖和程序出现缺口（甚至是重叠）：由谁管理哪一个工作负载、由谁响应事故、如何处理通信、何时分享通知等其他操作。拥有一或多个私有云和公有云也不利于了解整个基础设施的情况。没有集中式仪表板或平台，由多个主要参与者共同承担风险颇高的艰巨任务，势必会导致监控、保护和优化混合云时效率低下。
混合云安全最佳实践
采用“单一管理平台”管理风格
通常，许多云提供商会使用其专有系统对自己的服务进行监控。但是这种方法只会显示各自云的相关信息。运行混合云的企业需要一个集中式仪表板来监控所有环境中的全部活动，以便更快速地识别威胁并予以响应。
对授权访问和权限加以限制
自行决定哪些人及哪些设备可以访问您的资源至关重要。对于混合云而言，这种做法不仅对哪些人可以使用公有云中的应用和其他服务进行了限制，其还能指定允许云应用之间互相“沟通”的程度为几何。限制云服务能在何时与内部部署 IT 通信，您就能消除网络攻击或未经授权用户可能会进行的后门访问。
采用零信任安全性功能
要想避免未经授权或未经验证的用户和应用访问您的基础设施，最好的方法是不相信任何人。零信任安全性的核心原则是只有通过多重因素验证或其他技术完成身份审查，才允许用户或程序与云资源互动。
部署人工智能 (AI)
手动监控混合云环境是一项相当耗时的任务。而 AI 却能够检测、防御及消除恶意软件等潜在安全威胁，AI 也可以识别处于险境的数据。AI 还可用作自动化工具，分担基础的低层次任务（例如实时数据包扫描），让 IT 团队得以专攻更重要的高层次问题。
混合云安全性的未来趋势是什么？
混合云安全性方面一些前景广阔的趋势：
- 零信任安全架构：零信任安全架构侧重于对设备、应用和用户身份进行验证和确认，而不考虑网络和位置。在混合云设置中实施微分段会将混合云拆分为更小的段，实现精细化访问，以防止网络中的攻击面和横向移动。此架构强调以身份为中心的安全性，所有系统和用户在访问数据和资源之前都需经过身份验证和批准。
- 云原生安全解决方案：企业越来越多地采用云原生架构，混合安全解决方案有助于克服混合云安全性挑战。容器化和编排平台提供专门的容器保护措施，还支持运行时保护和漏洞扫描。借助无服务器计算，通过保护无服务器功能和识别恶意活动来保护数据隐私和确保安全执行。
- 混合云安全性中的人工智能 (AI) 和机器学习：AI 和机器学习是混合云安全性不可或缺的一部分，提供先进的威胁检测、预防和事故响应功能。AI 和 ML 算法可识别指示潜在威胁的模式和不一致之处，然后进行快速修复和响应。此外，这些算法还分析用户和实体行为，确立基准模式，并跟踪可疑活动和未经授权访问等行为偏差。
HPE 与混合云安全
若没有可靠的合作伙伴，保护混合云环境将会成为极为艰巨的任务。HPE GreenLake 边缘到云平台等 HPE 解决方案会为企业和其他组织提供强大的托管工具产品组合以及各类洞见，进而确保实现最优云及本地效率和安全性，这其中就包括 IT 合规性、软件资产管理、备份和灾难恢复。
HPE GreenLake 数据保护服务是新一代数据保护云服务，为客户提供完成数据保护更新改造的灵活性。不论是快速恢复、勒索软件保护，还是长期数据保留；不论是在本地，还是在公有云中，都能够简化运维并以合理成本满足各项 SLA 要求。
适用于 VMware 的 HPE 备份与恢复服务专为混合云环境而设计。通过软件即服务 (SaaS) 控制台并使用基于策略的编排和自动化交付，客户只需执行 3 个简单步骤就能在 5 分钟之内保护其虚拟机 (VM)，毫不费力就能管理本地和混合云环境中的备份。
HPE InfoSight 和 HPE CloudPhysics 能够扩展和简化云运维体验。HPE InfoSight 可让用户全面了解整个 IT 堆栈中资源的情况，甚至包括应用层。如此，客户就能够在确保应用工作负载始终处于优化状态、运行无中断的情况下，同时获享改造后的运维和支持体验。与此同时，HPE CloudPhysics 可协助客户模拟云迁移、优化工作负载部署及调整基础设施的规模。HPE 合作伙伴能够深入了解客户环境，合作伙伴因此能够交付量身打造的解决方案，并成为其客户的战略合作伙伴。