4月5日，美国国家安全局（NSA）发布报告《混合云和多云环境带来的复杂性的应对》，旨在为多云环境的网络安全构建相关准则。
主要内容
一是明确了“混合云”与“多云”的概念。“混合云”是一种同时使用私有云和公共云产品作为基础设施的环境。“多云”则是指同时来自不同云服务提供商的多种云产品。
二是指出了云环境的复杂性带来的潜在问题。在混合云环境中，公共云不仅与私有云之间存在不同，而且公共云之间也存在差异，这往往会导致部署和管理过程中的知识和技能差距。在多云环境中，还可能出现操作孤岛，即单个团队或个人只维护一个环境，造成环境之间的配置差异，从而可能导致可被利用的安全漏洞。
三是针对上述问题给出了如下建议。
对所有正在使用云环境的人员进行持续培训；云环境管理员应当持续接受培训，避免操作技能上的不足而导致的潜在风险。
尽量减少环境之间的数据流；在混合云和多云环境中，环境之间有时会有多个数据流，这增加了云环境的风险。应采取“零信任”方法，只允许组织政策规定的路径，并在允许连接尝试之前验证所有相关身份。
在混合云和多云环境中也要保持日志记录和监控；日志记录和监控是主动跟踪网络威胁的基本任务，应在所有环境中启用。然而，在混合云和多云环境中，识别威胁和跟踪用户活动有一定困难。但即便如此，也要尽可能保持日志记录和监控。
使用多云解决方案进行云资产灾难恢复工作时，应避免供应商锁定，并在多个云环境中实现冗余；虽然这种方法需要额外的培训成本，但它有助于确保在云服务提供商（CSP）在遭遇中断或破坏性事件时不会丢失数据。企业应定期测试灾难恢复应对能力，以确保在发生真正灾难时能够达到恢复预期。
通过策略即代码来编写安全性和合规性最佳实践。
应使用美国商业国家安全算法（CNSA）套件批准的算法。
遵循NSA和美国国家标准与技术研究院（NIST）指南来确定满足组织需求的最佳身份和访问管理（IAM）解决方案。
美国正在加大对云环境安全的关注力度
仅在3月，美国就接连发布数份文件要求关注云环境安全问题。
3月7日，NSA发布了题为《十大云安全缓解策略》的文件。这份文件是紧接着网络安全与基础设施安全局（CISA）的一份针对俄罗斯网络情报机构的报告后发布的。
3月25日，NSA发布了题为《管理云日志以有效防范威胁》的文件，敦促云服务提供商优先考虑安全性，以维护稳定的商业模式并保护云基础设施。文件指出，云安全日志可以有效追踪云环境安全事件，从而提高云环境安全程度。
来源|Industrial Cyber官网
声明：本文来自赛博研究院，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
