混合云包含了多廠商的公有云、私有云及本地?cái)?shù)據(jù)中心之間的混合部署模式。
2020年 Forrester 發(fā)布的 《混合多云戰(zhàn)略的關(guān)鍵》調(diào)研結(jié)果顯示，85%的受訪(fǎng)者正增加對(duì)混合云的管理需求，90% 的 IT 領(lǐng)導(dǎo)者認(rèn)為本地基礎(chǔ)架構(gòu)是其混合云戰(zhàn)略的關(guān)鍵組成部分。同樣，根據(jù) Gartner 報(bào)告，到 2020年之后，超過(guò)90%的組織將利用混合云構(gòu)建基礎(chǔ)設(shè)施。混合云架構(gòu)將是企業(yè)未來(lái)5~10年內(nèi)最常見(jiàn)的架構(gòu)形態(tài)。
混合云把企業(yè)私有云、公有云和本地?cái)?shù)據(jù)中心有機(jī)結(jié)合起來(lái)，給企業(yè)提供了更豐富的云服務(wù)、更彈性的云資源、更合理的IT資源使用成本等便利。與此同時(shí)，混合云的復(fù)雜度給企業(yè)網(wǎng)絡(luò)安全管理帶來(lái)了巨大挑戰(zhàn)。目前，混合云上資產(chǎn)漏洞管理成熟度遠(yuǎn)遠(yuǎn)落后于傳統(tǒng)本地?cái)?shù)據(jù)中心，且造成偏差的主要原因在于缺乏適配混合云環(huán)境的資產(chǎn)漏洞檢測(cè)與管理解決方案。
1、混合云環(huán)境下資產(chǎn)漏洞檢測(cè)方式
目前混合云環(huán)境下的資產(chǎn)漏洞檢測(cè)方式主要有三種：
•第一種，在本地網(wǎng)絡(luò)內(nèi)部署資產(chǎn)漏洞檢測(cè)探針采集資產(chǎn)漏洞，這是最直接的采集方式；
•第二種，通過(guò)虛擬交換機(jī)，經(jīng)過(guò)SDN引流的方式，將檢測(cè)流量從SDN調(diào)度，主要應(yīng)用于SDN環(huán)境下的資產(chǎn)漏洞檢測(cè)；
•第三種，在云宿主機(jī)或容器節(jié)點(diǎn)中創(chuàng)建獨(dú)立的虛擬機(jī)或容器部署檢測(cè)探針,多用于云環(huán)境下資產(chǎn)漏洞檢測(cè)。
如何保證資產(chǎn)漏洞檢測(cè)的全面、準(zhǔn)確和可靠？我們需要先了解下混合云環(huán)境下資產(chǎn)漏洞檢測(cè)會(huì)遇到哪些問(wèn)題。
2、混合云環(huán)境下資產(chǎn)漏洞檢測(cè)的現(xiàn)狀和痛點(diǎn)
•云上資產(chǎn)漏洞檢測(cè)存在盲區(qū)
傳統(tǒng)環(huán)境下，所有資產(chǎn)都要經(jīng)過(guò)物理層網(wǎng)絡(luò)設(shè)施連接，我們可以通過(guò)物理網(wǎng)絡(luò)完成資產(chǎn)漏洞檢測(cè)。
但是在云環(huán)境中，網(wǎng)絡(luò)端口也隨之虛擬化，物理節(jié)點(diǎn)不能覆蓋業(yè)務(wù)數(shù)據(jù)流經(jīng)的關(guān)鍵路徑。要實(shí)現(xiàn)全資產(chǎn)的漏洞檢測(cè)，就需要具備VPC、VM、Docker、POD、OVS甚至某個(gè)API接口等不同類(lèi)型節(jié)點(diǎn)的資產(chǎn)漏洞檢測(cè)能力。
•資源池復(fù)雜，資產(chǎn)維度不統(tǒng)一
混合云架構(gòu)中，企業(yè)對(duì)計(jì)算資源實(shí)行統(tǒng)一的資源池管理。但在資產(chǎn)管理層面，往往缺少統(tǒng)一規(guī)劃。虛擬化軟件、裸金屬、容器、云平臺(tái)等異構(gòu)資源各自為陣，企業(yè)資源池因?yàn)橘Y產(chǎn)數(shù)量、種類(lèi)的變化被動(dòng)式地變化，漏洞檢測(cè)工具存在難以適應(yīng)資源池動(dòng)態(tài)變化等問(wèn)題。
•傳統(tǒng)工具難適應(yīng)云上復(fù)雜環(huán)境
相對(duì)于傳統(tǒng)物理環(huán)境，云環(huán)境中的主機(jī)、容器會(huì)被動(dòng)態(tài)創(chuàng)建、銷(xiāo)毀、遷移以及彈性擴(kuò)縮。如果是固定配置化的漏洞檢測(cè)，資產(chǎn)在動(dòng)態(tài)遷移后，檢測(cè)會(huì)發(fā)生中斷不能持續(xù)，而這種動(dòng)態(tài)變化的特點(diǎn)又是隨機(jī)性和常態(tài)化的。網(wǎng)絡(luò)環(huán)境也比較復(fù)雜，各種VPC的存在，導(dǎo)致傳統(tǒng)檢測(cè)工具難以適配多樣化的網(wǎng)絡(luò)環(huán)境。
如何在大規(guī)模虛擬混合環(huán)境中實(shí)現(xiàn)資產(chǎn)覆蓋全面、檢測(cè)性能高、準(zhǔn)確度高，同時(shí)無(wú)縫對(duì)接企業(yè)安全運(yùn)營(yíng)平臺(tái)（SOC）？這是混合云環(huán)境下選擇資產(chǎn)漏洞檢測(cè)與管理方案時(shí)需要考慮的關(guān)鍵問(wèn)題。
3、混合云環(huán)境下資產(chǎn)漏洞檢測(cè)與管理方案
•跨越混合環(huán)境統(tǒng)一的采集方案
構(gòu)建統(tǒng)一高效、無(wú)盲區(qū)的全資產(chǎn)漏洞檢測(cè)與管理方案，漏洞檢測(cè)工具必須能夠跨越私有云、公有云、容器以及傳統(tǒng)環(huán)境等多種混合架構(gòu)，提供一致的漏洞檢測(cè)與管理能力。
•適應(yīng)云環(huán)境的【靈活動(dòng)態(tài)】+【高效檢測(cè)】方案
在云環(huán)境中，漏洞檢測(cè)工具需要有自動(dòng)感知節(jié)點(diǎn)變化，并隨之自動(dòng)更新和部署的能力，保證漏洞檢測(cè)工作不中斷，適應(yīng)云上彈性伸縮。
漏洞檢測(cè)工具還要適應(yīng)云上大規(guī)模、高并發(fā)的流量機(jī)制，基于高性能的并發(fā)檢測(cè)技術(shù)，實(shí)現(xiàn)百萬(wàn)級(jí)資產(chǎn)漏洞檢測(cè)。
用戶(hù)通過(guò)漏洞管理平臺(tái)的自監(jiān)控能力，實(shí)時(shí)了解系統(tǒng)的資源消耗狀態(tài)并及時(shí)優(yōu)化資源配置和檢測(cè)配置。
4、從漏洞檢測(cè)到響應(yīng)的整體解決方案
面向混合云環(huán)境，需要建立一套資產(chǎn)漏洞檢測(cè)與管理平臺(tái)，收集全系統(tǒng)軟硬件產(chǎn)品和組件的全部漏洞信息,有效支撐混合云環(huán)境下漏洞的收錄、發(fā)布、預(yù)警、分析、驗(yàn)證、處置等工作。對(duì)于漏洞安全應(yīng)急處置工作,特別是高危以上級(jí)別漏洞風(fēng)險(xiǎn)防范、大規(guī)模漏洞利用攻擊處置, 企業(yè)充分提高信息安全防護(hù)、風(fēng)險(xiǎn)管理和威脅應(yīng)對(duì)整體水平是至關(guān)重要的。
華云安資產(chǎn)漏洞檢測(cè)與管理解決方案具備混合云環(huán)境下資產(chǎn)漏洞檢測(cè)與管理能力，總體架構(gòu)包括漏洞庫(kù)、漏洞管理平臺(tái)和漏洞掃描探針三部分。其中：
漏洞庫(kù)，具備漏洞信息的收錄、預(yù)警通報(bào)的接收和下發(fā)、企業(yè)漏洞態(tài)勢(shì)的監(jiān)管等職能；
漏洞管理平臺(tái)，負(fù)責(zé)接收漏洞預(yù)警情報(bào)信息、生成漏洞掃描任務(wù)、下發(fā)漏洞掃描任務(wù)給掃描探針進(jìn)行漏洞掃描，具備漏洞響應(yīng)、管理運(yùn)營(yíng)的職能；
漏洞掃描探針，負(fù)責(zé)接收漏洞管理平臺(tái)下發(fā)的漏洞掃描任務(wù)、執(zhí)行漏洞掃描任務(wù)、反饋漏洞掃描結(jié)果，完成混合云環(huán)境下資產(chǎn)漏洞檢測(cè)與驗(yàn)證的職能。
雖然企業(yè)上云已蔚然成風(fēng)，混合云也為企業(yè) IT 資源管理提供了更有效的解決方案，但混合云與生俱來(lái)的反向力不可小覷。在混合云環(huán)境下，資產(chǎn)漏洞檢測(cè)與管理需要抓住解決問(wèn)題的關(guān)鍵要素——統(tǒng)一、靈活、高效。這也正是華云安資產(chǎn)漏洞檢測(cè)與管理解決方案的價(jià)值所在。混合云環(huán)境下，它能夠以簡(jiǎn)馭繁高效高質(zhì)解決用戶(hù)資產(chǎn)風(fēng)險(xiǎn)管理中存在的癢點(diǎn)和痛點(diǎn)，為用戶(hù)在資產(chǎn)漏洞管理與漏洞響應(yīng)方面提供不斷迭代的能力和一致的體驗(yàn)。
