端點(diǎn)安全策略在任何一個(gè)企業(yè)IT環(huán)境中都至關(guān)重要。然而，對(duì)于采用云服務(wù)的一些企業(yè)來(lái)說(shuō)，這些策略可能特別復(fù)雜。
例如，管理員必須考慮不同云計(jì)算模型(例如私有云、公有云、混合云和多云)中端點(diǎn)安全的細(xì)微差別。更重要的是，由于遠(yuǎn)程工作的增加，連接到云計(jì)算資源的端點(diǎn)設(shè)備的數(shù)量顯著增加。作為IT保護(hù)策略的一部分，安全團(tuán)隊(duì)必須考慮到大量的終端用戶設(shè)備的安全。
幸運(yùn)的是，一些行業(yè)最佳實(shí)踐和工具不斷發(fā)展可以解決云中的端點(diǎn)安全問(wèn)題。
云計(jì)算如何改變端點(diǎn)保護(hù)
從安全角度來(lái)看，自從計(jì)算機(jī)病毒通過(guò)軟盤傳播以來(lái)，終端設(shè)備的安全性一直令人擔(dān)憂。
防病毒軟件是很多企業(yè)采用的首個(gè)端點(diǎn)保護(hù)措施。安全專家發(fā)現(xiàn)，他們可以通過(guò)本地防病毒軟件保護(hù)網(wǎng)絡(luò)外圍的端點(diǎn)。隨著時(shí)間的推移，這演變成更現(xiàn)代的端點(diǎn)保護(hù)平臺(tái)(EPP)，在每臺(tái)個(gè)人電腦上都可以提供防病毒、防火墻和加密功能。
IT供應(yīng)商隨后開(kāi)發(fā)了更復(fù)雜的端點(diǎn)檢測(cè)和響應(yīng)(EDR)平臺(tái)，例如Sophos Intercept X、Sentinel One端點(diǎn)保護(hù)平臺(tái)和CrowdSec。這些平臺(tái)通過(guò)行為分析、異常檢測(cè)和簡(jiǎn)化更新的工具擴(kuò)展了端點(diǎn)保護(hù)平臺(tái)(EPP)的功能。
借助這些端點(diǎn)保護(hù)工具，IT管理員可以方便管理安全邊界。即使員工在家中連接到IT資源，他們通常也會(huì)通過(guò)安全的VPN在托管的企業(yè)筆記本電腦上進(jìn)行連接。
云計(jì)算在兩個(gè)關(guān)鍵方面改變了端點(diǎn)保護(hù)市場(chǎng)。首先，它為新的端點(diǎn)保護(hù)產(chǎn)品提供了一個(gè)平臺(tái)。其次，它將安全邊界從企業(yè)邊界擴(kuò)展到連接到云平臺(tái)的所有設(shè)備。
在傳統(tǒng)上，安全團(tuán)隊(duì)將精力集中在運(yùn)營(yíng)環(huán)境上，并嚴(yán)格監(jiān)管從外部到內(nèi)部資源的流量;內(nèi)部端點(diǎn)的安全和強(qiáng)化實(shí)踐的優(yōu)先級(jí)較低。
獨(dú)立的安全和隱私合規(guī)評(píng)估機(jī)構(gòu)Schellman&Co公司的業(yè)務(wù)經(jīng)理Bryan Harper說(shuō)，“考慮到公有云的性質(zhì)，這種模式已經(jīng)被顛覆了。”
Harper表示，對(duì)于公有云，管理員應(yīng)該在所有端點(diǎn)設(shè)備都可以被外部訪問(wèn)的假設(shè)下實(shí)現(xiàn)端點(diǎn)安全性。
考慮云服務(wù)如何潛在地增加攻擊向量也很重要。開(kāi)發(fā)和技術(shù)培訓(xùn)服務(wù)提供商Pluralsight公司的網(wǎng)絡(luò)安全講師Terumi Laskowsky表示，隨著云平臺(tái)成為企業(yè)基礎(chǔ)設(shè)施的延伸，越來(lái)越多的端點(diǎn)設(shè)備可以提供更多的企業(yè)資源途徑。
形成云中端點(diǎn)保護(hù)策略
應(yīng)對(duì)這些挑戰(zhàn)并確保云中端點(diǎn)安全的第一步是清點(diǎn)設(shè)備。Harper說(shuō)，“如果你不知道自己擁有什么，就不可能保護(hù)這些端點(diǎn)。”
云端點(diǎn)保護(hù)策略應(yīng)識(shí)別連接到企業(yè)資源的所有端點(diǎn)。個(gè)人電腦、智能手機(jī)和平板電腦通常包括在其中，它們必須通過(guò)端點(diǎn)安全公司的策略進(jìn)行控制。
此外，考慮物聯(lián)網(wǎng)設(shè)備，例如安全攝像頭和聯(lián)網(wǎng)打印機(jī)，因?yàn)樗鼈円部赡軒?lái)風(fēng)險(xiǎn)，Laskowsky表示，清楚了解哪些團(tuán)隊(duì)負(fù)責(zé)某些設(shè)備的安全。例如，設(shè)施團(tuán)隊(duì)負(fù)責(zé)攝像頭的安全，而網(wǎng)絡(luò)團(tuán)隊(duì)負(fù)責(zé)打印機(jī)的安全。如果沒(méi)有這些信息，這些團(tuán)隊(duì)可能會(huì)忽略端點(diǎn)保護(hù)策略中的某些設(shè)備，因?yàn)樗麄冋J(rèn)為由不同的部門負(fù)責(zé)。企業(yè)應(yīng)為所有端點(diǎn)設(shè)備實(shí)施全面且一致的安全方法。
為了實(shí)現(xiàn)端點(diǎn)保護(hù)，企業(yè)可以執(zhí)行以下操作：
•通過(guò)使用強(qiáng)密碼和多因素身份驗(yàn)證實(shí)施加密，并加強(qiáng)訪問(wèn)控制。
•使用VPN作為另一層保護(hù)。
•使用特定端點(diǎn)類型的行業(yè)最佳實(shí)踐強(qiáng)化端點(diǎn)。
•持續(xù)掃描端點(diǎn)，確保系統(tǒng)能夠分析和響應(yīng)異常行為。
•定期更新補(bǔ)丁。
Laskowsky說(shuō)，管理員可以從兩個(gè)角度解決云中的端點(diǎn)安全問(wèn)題。首先，它們可以保護(hù)端點(diǎn)設(shè)備本身免受攻擊。其次，如果設(shè)備成為了攻擊媒介，需要保護(hù)企業(yè)資源免受設(shè)備攻擊。后者可能發(fā)生在居心不良的員工或惡意行為者破壞機(jī)器的時(shí)候。企業(yè)必須采用保護(hù)端點(diǎn)設(shè)備和使用這些設(shè)備通過(guò)云計(jì)算或VPN訪問(wèn)企業(yè)資源的策略。
德勤公司風(fēng)險(xiǎn)與金融咨詢業(yè)務(wù)負(fù)責(zé)人兼網(wǎng)絡(luò)負(fù)責(zé)人Vikram Kunchala表示，IT團(tuán)隊(duì)?wèi)?yīng)制定安全政策和標(biāo)準(zhǔn)，以面向不同類型設(shè)備的常見(jiàn)使用案例，并考慮訪問(wèn)云計(jì)算資源的新端點(diǎn)的各種工作流和交互模式。
公有云、私有云和混合云的安全差異
每個(gè)云計(jì)算基礎(chǔ)設(shè)施模型都有自己的安全邊界。Laskowsky認(rèn)為私有云是最安全的，因?yàn)樗菃巫鈶舻模挥幸患移髽I(yè)使用該基礎(chǔ)設(shè)施。相比之下，多家公司共享公有云基礎(chǔ)設(shè)施，使黑客更容易識(shí)別和瞄準(zhǔn)與其連接的薄弱端點(diǎn)。
由于私有云和公有云資源之間的復(fù)雜連接，混合云可能是風(fēng)險(xiǎn)最大的云平臺(tái)。Laskowsky說(shuō)，多云也面臨同樣的問(wèn)題，企業(yè)使用和連接來(lái)自多個(gè)云計(jì)算提供商的云服務(wù)。在這些情況下，企業(yè)必須保護(hù)連接不同類型云基礎(chǔ)設(shè)施的端點(diǎn)。
保護(hù)云端點(diǎn)的工具和服務(wù)
各類工具保護(hù)連接到云資源的端點(diǎn)。Laskowsky表示，可以使用Broadcom Symantec DLP、Forcepoint DLP和Digital Guardian DLP等數(shù)據(jù)丟失預(yù)防工具來(lái)保護(hù)云計(jì)算資源，并使用EDR工具來(lái)保護(hù)連接的端點(diǎn)。
企業(yè)可以在內(nèi)部實(shí)施和管理這些工具。一些企業(yè)使用安全即服務(wù)模型，其中云服務(wù)供應(yīng)商提供安全監(jiān)控和響應(yīng)。這些產(chǎn)品包括Oracle云訪問(wèn)安全代理、Okta身份即服務(wù)和Qualys網(wǎng)絡(luò)安全資產(chǎn)管理。但是Laskowsky指出，最終負(fù)責(zé)端點(diǎn)保護(hù)的是企業(yè)，而不是其云計(jì)算提供商。
德勤公司的Kunchala推薦企業(yè)考慮統(tǒng)一的端點(diǎn)管理工具，這些工具已經(jīng)演變?yōu)樘娲鷤鹘y(tǒng)端點(diǎn)管理工具。
云計(jì)算工作負(fù)載保護(hù)工具也已經(jīng)出現(xiàn)，例如Trend Micro Deep Security和VMware Carbon Black App Control，用于保護(hù)云中運(yùn)行的虛擬端點(diǎn)。此外，托管EDR服務(wù)(包括Deepwatch和Broadcom Symantec產(chǎn)品)可以為端點(diǎn)上檢測(cè)到的事件提供全天候響應(yīng)能力。
版權(quán)聲明：本文為企業(yè)網(wǎng)D1Net編譯，轉(zhuǎn)載需注明出處為：企業(yè)網(wǎng)D1Net，如果不注明出處，企業(yè)網(wǎng)D1Net將保留追究其法律責(zé)任的權(quán)利。
京公網(wǎng)安備 11010502049343號(hào)