一、挑戰與需求
隨著企業數字化轉型的不斷加快，多云、混合云已經逐漸被企業廣泛采用。在多云、混合云環境中，企業將面臨更為復雜和嚴峻的網絡安全挑戰，需要擁有應對多云、混合云網絡安全問題的解決方案。
目前中國企業正在廣泛擁抱多云、混合部署模式。根據混合云產業推進聯盟發布的《中國混合云用戶調查報告（2021年）》顯示：混合云用戶的平均用云數量達4.3個；在已經應用混合云的企業中，大部分企業會同時選擇多個公有云和私有云服務商提供的服務，該部分的企業達到了86.7%；金融、互聯網等行業用云數量相比其他行業更為突出；大型企業平均用云數量明顯多于中小型企業。
在多云、混合云時代，企業將面臨更為復雜的網絡安全問題。
·一是企業需要解決單云環境下傳統的網絡安全威脅，如：南北向網絡安全、應用安全、數據安全、主機安全等；
·二是云計算環境帶來新的安全挑戰，如：云平臺及云內租戶安全、東西向網絡安全等；
·三是混合云之間網絡連接不穩定是用戶關注的重點問題（根據前述《報告》）；
·四是如何通過統一云安全管理平臺有效管理多個云平臺或異構的安全資源，簡化安全運維流程，合理管理云安全的使用和費用支出，降低安全治理成本。
上述幾點已成為用戶日益面臨的挑戰與亟需解決的問題。
二、解決方案
山石網科多云、混合云網絡安全解決方案基于山石網科多年的云安全積累與對客戶的深入理解，為用戶提供從單云環境到多云環境，再到云安全運營的全方位安全服務，助力企業從容應對多云、混合云環境所面臨的安全挑戰。
面向多云、混合云用戶，山石網科首先提供針對單云環境內（私有云、公有云）的云租戶邊界、Web應用服務、主機、數據庫等安全能力；其次針對多云、混合云環境提供安全SD-WAN解決方案、 主機安全管理、云Web應用防火墻、云數據庫審計、云日志審計、云堡壘機、云漏洞掃描等安全能力；最后為多云、混合云用戶提供一站式安全運營管理服務，實現企業多云、混合云安全運營。
山石網科多云、混合云網絡安全解決方案可實現On-Premise+On-Cloud的混合部署，為客戶提供覆蓋企業總部、分支機構、私有云數據中心、各公有云環境的多云、混合云架構環境下的統一網絡與安全能力保障。方案整體架構如下：
三、方案組成
山石網科全面拉通內部的安全產品和方案能力，將安全SD-WAN、私有云安全、公有云安全、云安全審計和云安全運營等優勢方案能力集成進企業多云、混合云網絡安全解決方案中，幫助企業多云、混合云用戶構建全面、可靠、穩定的網絡安全環境。
1. 安全SD-WAN
山石網科為應對企業多云、混合云廣域組網所面臨的各種挑戰，遵循安全SD-WAN 理念，提供安全SD-WAN解決方案。方案由山石網科安全管理平臺HSM作為SD-WAN控制器，以山石網科全系列下一代防火墻、SDW系列安全網關、山石網科虛擬化防火墻（山石云·界）作為CPE/vCPE，連接企業總部、分支機構、私有云數據中心和各公有云環境，為用戶構建易運維、高安全、高穩定的云網互聯組網方案。
方案能夠為企業廣域網絡提供先進的防護能力。山石網科安全SD-WAN解決方案的所有節點設備全部采用安全架構，能夠為企業多云、混合云廣域網絡提供業界先進的L2-L7層安全防護能力，如病毒過濾、入侵防御、反垃圾郵件、IP信譽庫、異常行為檢測、變種威脅發現等，幫助企業構建云上云下一體化的安全防護體系，滿足企業安全合規需求。
2. 私有云安全
山石網科云安全產品兼容各類主流虛擬化和云平臺環境，可通過在私有云部署山石云·界、山石云·格、山石云鎧、山石云·集、山石vWAF及審計探針等產品實現私有云網絡層、應用層、數據層的威脅檢測與安全防護。
山石云·界為用戶提供云計算網絡之間的安全隔離和安全防護。山石云·界虛擬化下一代防火墻是專門為云計算環境設計的虛擬化網絡安全產品，共享山石網科硬件下一代防火墻核心技術，基于“All in One”的設計理念，為客戶提供下一代防火墻、虛擬專用網（VPN）、高可用性（HA）、入侵防御（IPS）、病毒過濾（AV）、服務質量保證（QoS）、負載均衡、AAA 認證授權、云沙箱等豐富的安全功能，提供高性價比的云安全部署方案。
山石云·格為用戶提供云內東西向流量的網絡微隔離防護能力。山石云·格將下一代防火墻的安全服務能力下沉至云計算環境中各個宿主機內，通過山石網科專利自研的引流技術，按需對虛擬機提供全方位、細粒度的近端網絡防護控制能力，以較低的訪問授權控制和豐富的可視化能力，真正在云計算環境下實現“零信任安全模型”。
山石云鎧為云環境提供主機與容器安全防護能力。山石云鎧通過快速的資產識別能力主動構建業務畫像，幫助用戶實現對主機與容器安全的實時監控，采用漏洞掃描與合規基線檢測協助用戶持續評估基礎設施安全，運用先進的微隔離技術理念實現對云內東西向流量的精細化管控，結合高級威脅檢測引擎幫助用戶高效檢測入侵行為與應用風險行為，從而助力用戶防御云環境風險，為企業主機與容器業務構建真正的“零信任”方案。
3. 公有云安全
山石網科可為多云、混合云用戶提供公有云內豐富的安全防護能力。為助力用戶構建安全的公有云業務防護體系，落實租戶安全等級保護要求，山石網科憑借豐富的網絡安全經驗，總結出適用于公有云環境內的安全防護解決方案，從租戶內的云主機、云網絡、應用軟件、業務數據、運維管理和日志審計等方面進行安全防護，幫助用戶構建穩定、高效、安全的公有云業務環境。
在方案中，多云、混合云用戶的公有云租戶可在公有云市場靈活選購滿足自身防護需求的山石網科公有云安全產品，如山石云·界虛擬化防火墻、山石云Web應用防火墻、云漏洞掃描等，從而實現租戶內差異化、精細化的IaaS安全防護能力。通過公有云安全管理中心，租戶能夠方便實現山石網科公有云安全產品的下單、資產管理和用量計費，并且可以全面掌握云安全態勢，實現便捷、高效的安全運維與租戶縱深安全防護。
4. 多云、混合云安全審計
在公有云、私有云及傳統網絡疊加的混合IT環境中，用戶可以在各個位置部署審計探針，并將審計數據集中到多云、混合云安全運營平臺進行集中審計，比如在公有云、私有云的數據庫服務器上部署審計探針，將數據庫訪問數據統一匯總進行審計處理，類似的還有云日志審計和云堡壘機。
山石網科云數據庫審計與防護系統可對多云、混合云租戶內的云數據庫訪問行為進行獨立審計和安全控制，幫助用戶應對來自外部和內部的數據庫安全威脅，滿足等保要求中關于安全計算環境的數據完整性和數據保密性要求。 山石網科云堡壘機將運維管理和運維安全理念相融合，通過身份認證、權限控制、賬戶管理、操作審計等多種手段，完成企業多云、混合云內核心資產的統一認證、統一授權、統一審計，全方位提升運維風險控制能力。
山石網科云日志審計產品可為多云、混合云用戶提供上網訪問行為的監管與審計功能，配合山石云·界的NAT、IPS、上網行為分析等功能，能夠有效記錄接入用戶的網絡日志和安全日志，幫助用戶解決網絡出口日志審計的困擾，滿足《網絡安全法》及行業的監管要求。
5. 多云、混合云安全管理與運營
在多云、混合云環境下，企業需要支持防護類安全產品（防火墻、WAF等）的集中管理和主機安全管理的能力，并通過集中的大數據安全分析，為用戶提供多云、混合云環境下整網的資產、風險可視化與統一的安全運維與運營管理。
針對防護類安全產品（防火墻、WAF等）的集中管理，山石網科專門為企業安全運維研發了面向安全設備與業務的集中管理平臺，提供山石網科安全產品的集中管理及監控功能，滿足用戶安全管理需求及合規性要求，是用戶整網安全運維的專家級助手。
針對主機安全管理，山石云鑒主機安全管理系統圍繞主機檢測、響應、預防進行可持續安全運營，實現主機安全全生命周期管理。通過對主機進行脆弱性檢測、東西向微隔離管控、多錨點風險檢測、多層級安全響應等措施，解決主機資產管理、安全加固、東西向流量防護、威脅實時檢測、應急響應、失陷主機定位等安全問題，能夠有效幫助混合云安全管理人員應對日趨嚴峻的主機安全風險。
針對多云、混合云安全運營，山石云景云端安全運營與管理平臺秉持動態、協同的安全運營理念，充分利用大數據分析等前沿技術手段構建安全事件的快速響應和主動防御能力，圍繞業務系統，把持續的威脅檢測、威脅分析和響應處置固化到日常企業安全運營的工作中，幫助企業多云、混合云環境構建起以主動監測、快速預警、有效聯動、準確處置為特點的閉環式動態安全運營體系。
四、方案價值
·天然安全的SD-WAN方案，保障多云、混合云網絡的穩定和安全
基于山石網科安全網關作為CPE/vCPE，構筑了天然安全的SD-WAN解決方案，基于應用的帶寬管理與鏈路質量的動態應用選路，實現業務質量保障與網絡自動化運維。
·多云、混合云統一安全管理，提升安全能力與運維效率
在實現私有云、公有云南北向與東西向安全能力部署的同時，通過多云、混合云統一安全管理，將用戶部署在物理網絡、私有云及公有云的安全資源都統一納管，實現統一運維和全局運營，有利于提升整網安全可視化與威脅關聯分析能力，提升多云、混合云安全運維與運營效率。
·安全能力云上云下混合部署，按需彈性擴展
采用本地與云上混合部署的形式，用戶根據自身的業務需要進行彈性擴展，合理減少安全投入費用，降低安全治理成本。
