默安巡哨3.0发布 引入云安全状态管理（CSPM）能力
2022-01-27
在近期发布的3.0版本中，默安科技巡哨智能资产风险监控系统正式引入云安全状态管理（CSPM，Cloud Security Posture Management）能力，帮助用户实现多云资源的统一管理、云资产可视、云资源配置风险的及时发现；通过云上合规基线检查，让用户能够轻松应对云上合规困扰；并且同时支持私有化交付与SaaS化交付。
随着企业的上云率逐渐提高，很多企业核心业务、重要数据已经放在云上，云资源成为企业密切关注的核心资产之一。而另一方面，云的快速变化，再加上多云架构和不断增长的合规需求，使得云环境越来越复杂，云服务中的一个错误配置可能会迅速升级为严重的安全问题。
因为云资源配置所导致的安全事件持续不断地发生，例如：
2021年初，微软Azure云服务的一次错误配置泄露了十几家提交与微软合作提案的公司的机密信息(其中包括源代码)，虽然此次事件是由于微软公司自身的错误配置造成的，但大多数漏洞是由于客户的安全配置不当造成的。
亚马逊S3云服务的一次数据泄露事件。为旅游业提供服务的Prestige Software公司错误地配置了其AmazonS3服务，导致Booking.com、Hotels.com和Expedia等热门旅游网站的用户累计十年的数据对外泄露。
针对亚马逊AWS用户Capital One公司的一次攻击，此次事件导致1亿多客户的个人数据对外泄露，其中包括高度敏感的信息，例如社会安全号码、信用卡号码和信用评分。事件的主要原因之一是，Capital One公司的云防火墙配置错误。
这些事件只是近年来发生的多起数据泄露事件中的冰山一角，但它们足以为云计算提供商和云计算用户带来重要警示，云上配置非常复杂，对于上云的企业而言，仅仅依靠云平台厂商所提供的安全服务是不够的，还需要依靠一些补充的安全能力和服务，如依靠专业第三方安全厂商来帮助企业保障其业务上云安全。
据Gartner分析报告中强调：几乎所有对云服务的成功攻击，都利用到了用户的云资源错误配置和错误管理。Gartner 定义云安全状态管理（CSPM）为“一个持续的云安全改进和适应过程，以减少成功攻击的可能性”，将其与CWPP、CASB一起作为云安全解决方案推出，并入选2019年十大安全方向。
巡哨是默安科技自主研发的一款智能资产风险监控系统，从攻击者视角帮助用户发现未知资产，通过漏洞风险、高危服务、外部威胁情报等多维度持续监控内外网及云上云下资产，帮助企业高效地应对最新安全风险，实现资产透明化管理及安全风险监控。
在近期发布的3.0版本中，巡哨正式引入CSPM能力，帮助用户实现多云资源的统一管理、云资产可视、云资源配置风险的及时发现；通过云上合规基线检查，让用户轻松应对云上合规困扰；并且同时支持私有化交付与SaaS化交付。巡哨CSPM的三大核心功能包括：
多云资源的统一管理
巡哨支持用户通过填入云厂商的凭证，自动化拉取企业在各大云厂商上的云资源，并进行统一的展示与管理，并对拉取的云资源根据用户选择的合规基线项、与配置检查项，自动化进行云资源配置检查。
图1 巡哨产品界面截图
巡哨目前支持阿里云、腾讯云、华为云、亚马逊云等多家公有云的对接，自动化拉取云资源。
持续发现云资源配置风险
巡哨自动化拉取云资源后，可依据用户所选择的配置风险检查项或用户自定义配置检查，进行云资源配置风险检查，及时对存在风险的云资源进行告警，提醒用户进行修复。
图2 巡哨产品界面截图
巡哨目前支持云服务器、对象存储、访问控制、身份认证四大模块、200多个配置项的风险检查，持续监测，帮助用户7*24H保障云资源的配置安全。
多云合规基线统一管理
巡哨内嵌多种云资源的基线合规模板，支持用户根据企业自身的合规需求自行选择，自动检查企业各个云上资源是否满足合规要求，并将不满足项及时进行告警，通知企业安全人员进行修复。
图3 巡哨产品界面截图
巡哨目前支持CIS1.0、CIS2.0、PCI DSS、HIPAA等基线模板，后续还会推出更多基线合规模板，并支持用户自定义模板功能。
关于CSPM
CSPM的诞生
Gartner对CSPM方向最初的名称是CISPA（云基础设施安全状态评估），根据Gartner2016年的报告分析：“到2020年，95%的云上安全风险是由于错误配置导致。”网络安全市场的反应是创新，因此一个新的安全类别诞生了:云基础设施安全态势评估（CISPA）。
从2014到2018年，正是北美企业大量上云（到2018年美国企业的上云率在85%以上），且云上安全处于逐渐完善阶段，安全风险层出不穷，其中最受重视的安全风险之一就是“云资源配置”，直至2019年Gartner的分析报告中，依然强调：“几乎所有对云服务的成功攻击，都利用到了用户的云资源错误配置和错误管理。”从中我们可见“云资源配置”的重要性，因此后续Gartner将CISPA改名为CSPM，改“评估”为“管理”，与CWPP、CASB一起作为Gartner所重点推崇的云安全解决方案推出，并入选2019年十大安全方向。
CSPM的定义
云安全状态管理（CSPM）被 Gartner 定义为“一个持续的云安全改进和适应过程，以减少成功攻击的可能性”，CSPM 通过自动识别和修复所有云基础设施(IaaS、SaaS 和 PaaS)的风险，帮助企业保护其云基础设施，并且强调CSPM 能够自动修复问题。
_SWoyJDlRO.jpg)
图4 CSPM的持续全生命周期方式
CSPM解决的问题和价值
CSPM 专注于识别策略不当和违规行为，例如：缺乏对数据库或数据存储的加密，帐户权限的错误配置，对外暴露的敏感服务，以及网络连接配置错误。CSPM 还可以用于跨云、多云资源的统一安全平面管理，统一云资源安全合规性检查，总体来说，CSPM所产生的价值主要在以下三点：
（1）多云资源和云配置的可见性
特别是当用户在混合云场景下，多家公有云以及私有云混用的情况下，企业迫切需要一个多云的统一管理平面，CSPM则通过对接各大公有云以及私有云的API，获取云资源以及配置信息，做到多云资源和安全配置的统一管理。
（2）持续评估并管理错误配置
即使各个云厂商均发布过云上应用的最佳配置指南，即使企业内部也有明确的制度规定，但是仍然避免不了少数人贪图便利，从而导致的一些认为的错误配置。因此CSPM，通过持续监控各类云资源的安全配置，与云配置的行业标准或最佳实践进行比较，及时发现配置不当安全问题，并根据行业最佳实践的动态变化，评估整个云资源的安全状态，并实行动态修复和组织，减少了因人为错误而付出高额代价的可能性。
（3）多云统一安全水位与合规性
虽然各大云厂商均提供针对自有云资源的一些安全产品，但是由于各大云厂商发布的最佳实践不尽相同，各个厂商对安全理解也存在区别，因此用户单独到各个云厂商提供的云管平台去进行安全配置的时候，难以做到多云统一的安全水位和统一的合规性要求。CSPM的第三方厂家通过提供统一的安全管理平面，对接各大云厂家，让用户在统一的安全平面上，为多云资源配置统一的安全合规性要求，以此保障多云管理的统一性。
更多由于云资源配置引发的安全风险，可见默安科技-逐日实验室发布的《红队视角下的公有云基础组件安全》。
CSPM的发展
CSPM产品在国内还处于刚起步阶段，但是在北美市场已经属于行业热点，CSPM厂商在过去几年经历大规模的并购事件包括：
· Check Point在几年前收购Dome9后，最终推出了自己的Cloudguard。
· Zcaler在2020年收购了Cloudneeti的CSPM工具。
· 趋势科技收购了Cloud Conformity的Cloud One。
· Aqua Security收购了CloudSploit。
· Sophos收购了Avid Secure。
目前国外提供成熟的云安全解决方案的企业中均可见CSPM产品的身影，例如Zscaler、PA、CrowdStrike等。
下一代的CSPM产品，随着企业转向基础设施即代码（IaC）、云原生、DevSecOps等方向，CSPM解决方案必须越来越往左移，适配云上的DevOps环境配置安全、容器环境配置安全等。在开发和运行时必须继续检测到错误配置，但是在运行时自动补救即要求配置漂移，因此所有补救应该通过IaC来完全修复，通过在部署之前修复配置安全问题以减少安全风险。
默安科技作为一家云计算时代的新兴网络安全公司，致力于提供整体解决方案帮助客户构建基于云的下一代安全体系，实现安全风险全生命周期管理。巡哨智能资产风险监控系统引入CSPM能力，帮助解决传统资产风险管理产品对云上资源可视与配置管理的盲点，扩展对各类资产的统一可视性与统一风险管理能力，是默安科技的又一重要布局。CSPM能力的落地，打通了云应用从开发到运维阶段的全生命周期安全，为云资产安全防护提出新的解决思路，帮助用户进行高效、一致、高速的资产安全风险管理，也使默安科技云时代下的新安全体系版图更加完善。
