如何通过NIST网络安全框架优化云端业务的安全运营

编者按

生产平台负载向云服务的迁移每年以超过35％的速度增长。向云平台的迁移要求安全计划重新评估安全体系结构，流程和组件，以保持有效性和效率，保护其敏感的业务应用程序。本文将讨论如何运用NIST网络安全框架优化云平台的安全运营工作，希望大家读完有所收获。

概述

以下是一些企业使用云平台案例的成功因素。这些案例在将关键服务移至云平台的同时，维持了原有的安全性甚至提高了安全性：

将云服务商提供的安全服务与第三方安全产品或服务相集成，以保护关键业务。云平台的虚拟化基础架构提供了本机安全服务和功能，这些功能可大大减少系统漏洞被利用的风险，并且当风险评估需要更高级别的保护时，可以通过集成第三方安全组件来增强安全保护。
跨本地数据中心和云平台安全体系结构，流程和控制。大多数企业在本地数据中心，外部云服务这两种环境的混合配置中运行的混合应用程序。在整个环境中使用通用的安全组件和产品可以减少技能差异，消除数据孤岛，并使维护单个安全仪表板变得更加容易。
使用已有的安全框架来计划，实施和证明为实现云平台的安全业务而需要进行的变更。尽管保护云服务和传统数据中心中使用的安全要素基本相同，但必须更改整体安全体系结构，流程和安全控制措施，以确保维持必要的可靠性和安全性水平。将流程建立在已有框架（例如NIST网络安全框架）的基础上，可确保进行全面的风险评估和实施，并为向管理人员证明计划，策略和资源要求提供了坚实的基础。

许多企业和政府机构已遵循这些准则，以便在将生产应用程序移至云服务时维持其安全性。但是，随着新的云安全方法的出现，需要不断更新云安全应用实践，以它们能够不断提高整体上的安全水准。

在云平台中保持业务的安全性

随着安全创新技术的发展，云服务的安全性已经发生了很大的变化。最初，由于对可见性和控制力的降低，安全团队始终对未知事物充满恐惧，将外部云服务视为高风险，试图阻止其使用。随着云服务的优势对业务部门和IT组织越来越明显，他们甚至绕过安全团队进行部署。安全团队认为这些云部署未经过其认可，甚至拒绝进行安全评估。

面对安全团队的抵制，CEO开始告诉CISO：“我们正在使用云服务，因此请告诉我们如何保护它们。”直到那时，大多数安全团队才开始尝试在云服务之上添加安全控制，并在虚拟化的云服务上复制以本地服务器为基准的安全流程。他们的努力通常降低了风险，但也付出了高昂的业务中断成本。而且，严格的安全流程是多余且效率低下的。

但是情况有所改善。如今，组织可以将安全性内置到向云服务迁移的集成方案中，从而优化安全性流程，可以改善它们以在本地和外部服务之间无缝地工作。同样，安全运营团队可以专注于选择产品，以实现在两种环境中集成安全控制。

云安全负载的差异

信息安全通常归结为提供三种基本安全功能，即机密性，完整性和完整性的“ CIA三合一”。

在研究人员发现应用程序和操作系统安全漏洞或攻击者利用它们之前，应用程序和操作系统仍然具有未知的漏洞。
系统管理员在配置和维护服务器和PC时经常犯错误。
用户始终会成为网络钓鱼和恶意广告等骗局的受害者。

云服务的采用并不能消除这些漏洞中，甚至可以将其弱点放大，因为云平台的功能可以大大扩展由IT或安全运营团队管理不力所导致的漏洞。

另一方面，云服务能显著减少运营和管理中危险错误发生的频率。云服务的虚拟化基础架构支持内部安全机制，不断发展的安全流程可以通过多种方式使用：

容器-容器是软件的打包单元，包括应用程序，操作系统，工具，库等。准备充分的安全团队可以掌握配置基准和安全代理，以确保安全控制将在启动应用程序时按计划运行。
隔离-网络分段长期以来一直被证明是一种有效的安全实施方法，可以将攻击者的访问范围限制在一个隔离的部分，并限制恶意软件或其他攻击负载的传播。云产品可以提供虚拟专用云，该虚拟专用云支持粒度级别更细的分段，并在启用新服务器时自动进行放置和实施。容器还提供了进程隔离，从而可以在更细的粒度基础上定义和限制CPU和内存的利用率。
编排和自动化-许多安全过程都是相对静态的IF–THEN序列，通常记录在脚本中。编排定义了条件和顺序，可能实施一个高度自动化的过程。将安全流程集成到云服务管理功能中可以使安全操作手册中的许多步骤自动化。

NIST安全框架

NIST网络安全框架（CSF）出自2014年《增强网络安全法案》。其章程是“基于共识，由业界主导的一套标准，指南，最佳实践，方法，程序和流程。”虽然NIST CSF并没有带来革命性的变化，但“基于共识的，行业主导的”方法却导致美国和其它几个国家的企业和政府对CSF的广泛接受和采用。

该框架的顶层列出了网络安全的五个主要功能（识别，保护，检测，响应和恢复）。这些功能旨在包括所有基本的网络安全活动，分为22个类别，代表维护网络安全所需的程序级结果，如图1所示。这些类别进一步分解为列出98个子类别，这些子类列出了成功实现特定的措施所对应的安全级别。

事实证明，识别，保护，检测，响应和恢复是向高层管理人员解释保护业务系统所需的核心功能的强大工具，但是在实际运营中，很少有流程或产品仅执行最重要的一项功能。例如，尽管防火墙和识别关联最紧密，但它们在保护，检测和响应中也起着关键作用。该构造也没有区分对于主动（在攻击之前）或被动（在攻击之后）降低风险至关重要的功能区域，过程和产品。

从框架到实践应用

业务部门一直要求使用基于云的服务，因为它们能够有效交付业务服务并适应不断变化的需求的优势。为了在数据中心和云环境中成功实现安全控制，云服务的安全体系结构，流程，组件需要满足这些相同的需求，并提供可在混合云服务中实现的无缝集成。

为什么要选择框架？

无论现有的运营成熟度如何，安全团队都面临着共同的需求：

适应不断变化的业务需求和不断变化的威胁
获得管理层对必要资源和或其他领域变更的支持
展示改进并提供风险评估和预测
减轻使审核员安全操作合规的负担

安全框架及其推荐的一组安全过程和控制措施，以及一种风险评估和管理方法，可将适当的一组控制措施与业务和威胁环境相匹配，是满足这些需求的有效方法。使用既定的框架可以消除小型组织的猜测工作，同时允许规模更大，更成熟的安全运营。安全框架和实施过程可以为管理层和审计团队证明其决策和资源要求的合理性。

交付无缝的安全服务

在跨数据中心和基于云服务的应用程序中提供无缝安全服务的三个重点领域。

在每个边界集成基础架构和外部安全控制

大多数组织已经具有向基于数据中心的系统提供识别/保护/检测/响应/恢复服务的标准体系结构。当使用物理服务器时，组织依赖于Linux和Windows操作系统中内置的安全功能以及第三方基于主机和网络的安全组件。随着本地数据中心转向虚拟化，在组合中添加了另一个元素：VMware或其他基础虚拟化平台中可用的安全原语。主要的云提供商都可以使用类似的且通常是增强的安全性原则。

对于非初创公司来说，扩展现有体系结构以保护基于云的服务是关键的第一步。这些组织应专注于在每个边界层集成服务。参见图2。

在使用互联网的早期，许多企业认为通过在体系结构的不同层应用使不同供应商的产品可以获得安全上的收益。但是，实际结果证明这种想法是错误的。对于大多数安全组织而言，在云服务和数据中心之间保持安全体系结构的一致性将支持在两种环境中运行相同的安全产品。这将减少培训成本和管理上失误，并支持更及时，准确的态势感知和持续监控。

通用实践/尽职控制

遵从制度（例如PCI DSS，HIPAA，FISMA等）强制要求的许多安全控制措施，例如防火墙，日志监控甚至入侵检测系统，它们代表了尽职调查控制措施。任何包含敏感数据或关键数据的系统，如果没有防火墙并且没有日志收集/监视/分析功能，都将被视为不符合安全标准。尽管合规并不意味着绝对的安全，但不合规几乎总是表示无法接受的业务风险。

最佳实践/前置风险控制

正如持续不断的网络安全事故的新闻所表明的那样，对于许多组织而言，“常规做法”不足以减轻其实际威胁。最佳做法的关键是增加识别和保护级别，并减少检测，响应和恢复的时间，但这些方法需要额外的资源和技能。拥有具备相关技能的员工，产品，服务和预算来部署。具备主动调整和监视预防风险控制的“前瞻性”的组织通常不会出现在安全事故的新闻中。

将NIST安全框架作为网络安全操作的起点

如前所述，NIST CSF中列出的主要安全功能并不代表不同的产品领域。但是，表1为每个主要产品领域作了主要映射。可以将此映射当作一个技术实施方案的起点。

关于何时进行尽职调查应基于您自己的风险分析。NIST CSF具备了NIST风险管理框架，但是许多组织都有自己的风险评估和跟踪流程。选择用于实施安全控制以保护基于云的应用程序的体系结构和产品时，应基于该评估和您面临的特定云部署方案。NIST CSF为此目的详细介绍了配置文件和实现层的使用。我们将基于企业和政府机构面临的三种最常见的云采用方案，着重于简化方法：

开发/测试环境
在云上启动或移至云的业务应用程序
混合架构

这些方案代表了将业务应用程序安全地移动到云服务的最常见方案。虽然它们不能代表所有可能的情况，但通常这三种情况都提供了一个行之有效的起点，您可以根据自己的独特情况进行调整。

在尽职调查级别，在涉及关键业务数据或敏感数据的情况下，所需的基本安全控制在很大程度上是相同的。以下各节在假定涉及此类敏感数据的情况下，针对每种情况描述了不同的驱动因素。

开发测试环境

将开发和测试环境迁移到云中通常是企业使用云服务的第一步。云服务的“即付即用，而不是在不需要时支付”的性质非常适合此应用程序。

安全组织通常不参与迁移，这种情况有以下三个缺点：

云实例化中使用的测试数据通常会使敏感的客户和业务数据面临风险。
可以使用相同的环境快速评估操作系统和应用程序补丁，从而减少暴露风险。
在云上进行开发/测试的过程是安全运营团队增强其技能，并了解有关云功能和风险知识的理想机会。

数据屏蔽，混淆或加密是开发/测试环境的一项关键的要求。尽管有必要提供真实的测试数据，但您切勿在开发/测试使用中公开真实的客户数据。同样，在此环境与公司网络之间，需要由防火墙和IDS实施的标准边界/外围网络分段和监视。如果开发/测试需要实时互联网连接，则在互联网连接端也需要相同的安全组件。

因为开发/测试环境的全部目的是支持产品交付，所以尽职调查级别包括合制度规性，并不总是需要的应用程序安全（AppSec）测试工具或服务。在敏捷/DevOps方法的快速迭代周期中，将应用安全测试嵌入开发和测试周期尤为重要。

开发/测试网络上的流量和用户/端点行为与生产系统上的流量和用户/端点行为有很大不同，高级分析和基于行为的检测或预防通常会产生大量误报。使用数据屏蔽时，几乎不需要数据丢失防护，并且开发/测试环境通常不需要完全的DDoS保护。参见表2。

在云上启动/先云迁移商业应用程序

当生产应用程序在云上启动或迁移时，所有NIST CSF功能都需要全方位的机密性/完整性/可用性尽职调查。从产品的角度来看，体系结构中通常不包括数据屏蔽，因为真正的产品数据是必需的，必须加以保护。一个典型的示例是一个新的基于Web的商务应用程序，该应用程序将首先从云平台启动，但是相同的安全原则也适用于正向云迁移的现有应用程序。

此方案的尽职调查级别有两个关键目标：

将安全配置标准和持续监控扩展到云平台。每个组织都应该为生产环境中使用的所有服务器，应用程序，安全控制等基准配置制定标准。对于数据中心应用程序和在云中运行的应用程序，用于监视错误配置和漏洞的过程应相同。当涉及产品选择时，具有与通用SIEM平台集成并支持所有应用程序的日志记录，监视和配置/漏洞分析的特性最为关键。
尽可能使用通用产品来保护/检测基础结构功能。大多数防火墙，入侵检测/保护和端点保护产品（以及类似的产品）都具有数据中心产品和以云为中心的版本。

当风险分析需要更高级别的保护和资源（人员，技能，预算）来提供支持时，提升到高安全级别通常意味着主动避免或迅速缓解漏洞（AppSec测试，渗透测试）；通过安全的访问管理，加密和强大的身份验证（至少是管理员访问权限）减少不必要的访问权限；并减少对产品和服务进行检测/响应/恢复的时间。

此外，您可以使用诸如安全映像和容器（如前所述）等高级云安全功能来提高在云上运行的应用程序的安全性标准。当应用程序完全基于云时，DDoS保护变得更加重要。尽管云管理平台不是严格的安全产品，但它们的使用可以提高资产管理和漏洞数据的准确性，并支持合规性报告要求。治理，风险和合规性（GRC）平台可以大大降低证明合规性的成本（允许将更多的安全预算重点放在安全性上），但是它们需要在采购成本以及管理时间和技能上进行大量的前期投资。参见表3。

混合架构

最终的情况是组织开始以几乎无缝的方式运行跨越本地数据中心和云服务的应用程序。

常见的情况是使用云服务扩展已在数据中心中运行的应用程序，该应用程序在为一个地理区域或全球范围提供服务，通过云服务进行容量扩展。

先前方案（“在云上启动/迁移至云平台业务应用程序”）中使用的风险评估在该方案中未发生变化，但是混合云环境确实带来了许多独特的挑战和机遇：

用于识别和保护产品的策略的更改必须在整个环境中以统一进行分发，验证和审核。
检测产品具有更复杂的监控环境，而更严格的数据中心环境中的行为通常与云环境中的行为有所不同。
取证分析作为一种响应功能，需要收集和分析更复杂的攻击路径。
如果云环境支持故障转移或镜像功能，则可以在混合云环境中简化备份和恢复。

对于尚未经历前两种情况的组织，在未建立云基础架构保护，监视和响应/恢复解决方案以及已经扩充的安全运营人员的基准的情况下，不应继续进行向混合云服务的迁移。

混合云方案的产品选择的主要区别在于选择可以在两种环境中部署，管理和监视的产品（请参见表4）。典型的出发点是查看数据中心侧使用的安全产品，并查看这些供应商是否在云提供商的合作伙伴列表或市场中列出。理想情况下，您将只使用主要云提供商支持的产品，但是如果必须使用其他产品，则许多产品领域都有简单的解决方法：

网络策略管理工具支持跨多个供应商的变更控制，防火墙策略的审核和分析。
任何支持syslog生成，基于主机的产品都可以向SIEM控制台报告。
支持安全内容自动化协议（SCAP）的不同漏洞评估产品可以通过SIEM产品进行整合。

量化安全评估

从安全角度来看，使用云的趋势并未改变收集有意义的安全指标的需求。不仅需要评估和优化安全操作的指标，还需要向管理人员提供准确的状态，趋势和风险数据。

组织应为其在云服务上运行的系统建立的最小操作指标集包括：

资产管理的准确性-正确识别和描述资产的百分比是多少？
检测时间-检测到攻击的速度有多快？
响应时间-事件响应动作的启动速度有多快？
恢复时间-事件响应完成和恢复完整业务服务的速度有多快？
实时风险评估-当前有多少百分比的关键业务运营受到已知威胁的威胁？

对于大多数组织而言，安全人员向首席执行官和董事会显示的度量标准与运营度量标准将有所不同-重点需要更具策略性，并显示与业务服务的更多联系，而与攻击和威胁的联系则更少。图3将关键性能指标转化为可与CXO和董事会产生共鸣的点。

结论

成千上万的企业正在成功，安全地使用云服务来实现提高敏捷性并降低IT服务成本。SANS在安全运营组织中看到了几种常见的模式，这些模式能够提供所需的安全体系结构，流程和控制，以确保企业安全使用云服务：

组织使用NIST CSF框架作为基准和工具来向管理人员传达和证明策略，计划和资源需求。
当IT首次尝试云服务时（通常是将开发/测试转移到云中时），他们会与安全团队合作。在云环境中大量选择的第三方安全产品应该是对云提供商进行评估的关键。
团队将安全架构和流程扩展到在云中运行的应用程序，重点关注最常见的业务用例。
他们通过在云中使用相同的第三方安全产品（如果可能）来保护本地应用程序的安全，从而最大限度地提高有效性和效率。
一旦为云中的安全操作建立了安全基准，安全团队就会调查特定于云的安全流程和控制措施，这些措施和控制措施可以使现有的安全措施有所进步。

安全团队将需要使用人员，流程和技术的组合，以确保使用云服务是安全的。这些模式适用于所有这三个领域。根据NIST CSF对您的安全运营团队技能和流程完整性进行评估，将使您能够完善安全运营。在云平台启用业务时，需要证明进行的策略，方案更改和资源分配的合理性。

声明：本文来自网络安全与网络战，版权归作者所有。文章内容仅代表作者独立观点，不代表士冗科技立场，转载目的在于传递更多信息。如有侵权，请联系 service@expshell.com。