什么是云安全架构

以保护云环境为目标而创建和实施的策略、技术和实践被称为云安全架构，也被称为云计算安全体系结构，可帮助组织定义安全层、安全规则、最佳实践和其他治理技术，以充分利用其云环境。另一方面，云架构是指以最适合业务需求的方式安排和设计云环境中使用的所有硬件、软件、数据和技术。

任何希望采用云的组织都应该规划好自己的云架构和云安全架构。有效的云安全架构可确保组织遵守法规、保护敏感数据，并能够适应不断变化的云威胁形势。

云安全架构的重要性

创建云安全架构可帮助组织：

• 了解其云环境的每一个复杂细节。
• 检测系统中的任何潜在风险或漏洞。
• 制定快速防御计划以防出现任何违规行为，因为他们将熟悉所有安全功能。
• 避免配置错误。
• 确保资源的合理利用，因为该架构可以保证仅实施必要的安全措施。
• 通过利用更灵活、结构良好且安全的云架构来适应威胁环境的动态特性。
• 确保可扩展性，因为安全架构将深入了解他们可以扩大或缩小云的内容和方式。

云安全架构的原则和支柱

云基础设施的基础建立在两类组件之上：原则和策略。

• 原则：原则是支撑云安全架构整体策略的基本概念，因此是基础。它们指定了架构必须遵循的核心价值和要求。
• 策略：策略是用于确保原则得到有效实施的实践和规划，因此是云基础设施的支柱。
  如果说原则是基础，策略是支柱，那么组件就是构建主体结构的构件——在本例中，主体结构就是云。

云安全架构的各种原则和策略如何支持云

构成云安全架构基础的四个原则是：

• 保密性：这意味着要维护数据隐私，组织应采取一切必要措施，确保恶意行为者不会进入其云生态系统。
• 完整性：这意味着要保持数据的准确性。组织需要确保他们的数据在传输过程中不会以任何未经授权或恶意的方式被篡改。
• 可用性：这意味着数据应该始终是可访问的，而不会影响完整性和机密性。组织需要使用足够的服务器、网络和应用程序，以确保即使在网络或服务器出现故障时数据也可用。
• 责任共担模型：此模型描述了云使用者和服务提供商的角色，它还定义了提供商和用户保护云的责任范围。通常，服务提供商负责底层基础设施，客户负责访问、数据加密和其他配置。根据云服务提供商的不同，分担的责任可能会有所不同。

云安全架构有多种策略将其结构结合在一起，以确保云的安全性。这些策略是：

• 数据加密：确保数据机密性的最有效方法之一是将其转换为不可读的加密文本。
• 安全设计：此方法确保在设计、开发和部署的每个阶段都将安全性放在首位。通过使用最小特权、安全编码和定期安全测试等策略，设计安全性旨在创建安全的云环境。
• 身份识别与访问管理（IAM）：管理员通过IAM确定哪些用户可以访问哪些内容以及如何访问。通常建议IT管理员遵循隔离（敏感数据）和最小特权（用户）原则，以确保机密性和完整性。
• 可见性：保持对云的可见性可以帮助组织监控性能、识别和排除问题、检测向上或向下扩展的机会，以及识别安全威胁。使用SIEM工具可以通过自动化上述的大部分工作来节省很多麻烦。
• 合规性：GDPR、PCI DSS 和 ISO 等合规性可帮助组织将行业标准和法规集成到其云环境中。是对其云环境的持续观察、主动安全性和对动态环境的适应性的标志。
• 灵活性：使云能够适应组织不断变化的需求，灵活性可确保云的持续改进，而不会影响现有安全解决方案的质量。
• 自动化：确保数据的快速移动、改进的威胁检测和响应、适当的资源利用，并在出现任何漏洞或错误配置时立即进行补救。

云架构中有哪些不同的组件需要确保安全性？

在策略的支持下，组件可确保形成强大且安全的云。有以下几个不同的组成部分：

• 物理基础设施：指运行云所需的所有物理数据中心、中间件、硬件、存储中心、网络基础设施和端点设备。安装安全摄像头和限制非法访问是保护物理基础设施的方法。
• 虚拟化层：指虚拟化软件，例如虚拟机管理程序或虚拟机，它们通过模拟服务器、计算机和网络来帮助提高可扩展性和资源利用率。保护虚拟化层的一些步骤涉及持续补丁管理、管理和监督管理员对 VM 的访问。
• 管理和编排：指有助于监控和记录、管理合规性、编排和管理工作负载、自动化流程以及在云中管理身份的所有工具。安装 SIEM 解决方案、自动化威胁响应和确保合规性是此组件中的一些安全措施。
• 存储服务：指用于云中备份和灾难恢复的各种服务，包括数据传输服务（如 Google Cloud CDN）、存储服务（如 AWS S3）或文件存储（如 Azure 文件存储）。这可以通过数据加密、受控权限和访问来确保其安全性。
• 联网服务：指支持 CSP、用户和其他网络之间通信的所有中间件应用程序。属于此类别的一些服务包括 VPN、CDN 和网络安全服务，例如防火墙组和安全组。实施安全防火墙、入侵检测和防御系统以及用于网络通信的安全组是保护这些服务的几种方法。
• 安全服务：指各种安全服务，例如加密，以及支持用于保护云资源的数据、网络、边界、应用程序和端点安全产品的产品。它还包括 SIEM 或 IAM 等云安全工具，这些工具将帮助加强安全态势。
• 计算机服务：指为运行应用程序（如容器、虚拟机或托管服务）提供虚拟化设置的计算环境。通过使用运行时安全工具、应用补丁以及使用容器安全解决方案扫描漏洞来保护这一层。
• 数据库服务：指不同类型的数据库，例如关系数据库管理系统 （RDBMS）、NoSQL、时间序列数据库和托管数据库服务，这些用于存储数据、在必要时查询数据以及管理数据。保护这些服务将涉及加密数据库内容、实施数据库活动监控工具和使用数据库防火墙。

公共云、私有云、混合云和多云的云安全架构

根据部署模式的不同，云的类型有：公有云、私有云、混合云和多云。

公有云
公有云环境是由外部服务提供商维护的服务和云基础设施，外部服务提供商通过互联网向订阅者提供这些服务。
架构：公有云中的大多数组件都由服务提供商单独管理和控制。大多数时候，客户只负责确保用户安全访问、数据安全、用户监控和日志记录以及合规性。

私有云
在私有云模型中，服务和基础设施由组织私下维护。对这些服务的访问仅限于属于组织的一小部分用户。
架构：与公有云一样，大多数组件由 CSP 管理。但是，由于此云由单个组织使用，因此他们将拥有更高的安全性和对其云环境的更高控制。

混合云
混合云模型是一种混合类型的云计算，它允许组织利用公有云模型的可扩展性和成本优势，同时还可以投资一些专门用于保护敏感数据的私有云基础设施。
架构：私有云和公有云都负责编排服务和它们之间的数据传输

多云
这些是战略性选择的云组合，可能包括从多个公有云环境或多个私有云环境提供的服务。
架构：由于它包含多个承租者，因此责任也将是多样化的，并且高度依赖于服务的用户而不是提供商。

云安全架构：软件即服务、平台即服务和基础设施即服务

基于云服务模型，有不同类型的云计算：软件即服务(SaaS)、平台即服务(PaaS)和基础设施即服务(laaS)。

• 软件即服务(SaaS)：用户通过互联网访问服务，通常只需为注册的服务付费。
• 平台即服务(PaaS)：CSP 作为第三方工作并托管开发人员可能需要的所有内容，包括硬件、软件和开发工具，这些工具可以通过互联网以即用即付的方式访问。
• 基础设施即服务(laaS)：CSP将所有必要的计算基础设施租给用户的一种方法。存储、服务器、虚拟机、网络、安全和部署工具都包含在组件中，而用户只需要处理数据、应用程序、运行时和中间件。