混合云安全可保护跨多种IT环境的数据、应用和基础设施，包括本地硬件、私有云和公有云。它必须适应私有云和公有云资源各自的独特特性，并提供统一的安全框架，确保客户流量在不同环境之间传输时，数据和应用的机密性、完整性和可用性。
混合云是一种混合计算环境，将AWS、Microsoft Azure或Google Cloud Platform等公有云的计算基础设施与组织的私有云或本地数据中心相结合。混合云的主要优势在于敏捷性：组织可以根据需要扩展或缩减计算资源，并根据数据安全、合规性、工作负载敏感性或性能要求，选择处理工作负载的位置。
The 公有云允许企业将应用和数据托管在第三方服务提供商拥有的共享计算资源中。公有云采用按使用量付费的模式，可提供近乎无限的计算资源，使组织无需投资数据中心硬件即可获得显著的规模经济效益。私有云是由企业控制的专用非共享云基础设施，可由第三方托管服务提供商运营，也可托管在私有数据中心并由组织自行管理。
与公有云相比，私有云可以提供更强的控制能力和更可靠的安全性，因此更适合处理或存储敏感数据，以及运行对安全性、合规性和定制化要求较高的关键任务应用。
多云是另一种云类型，组织通常使用来自不同云提供商的多种云计算服务，以满足特定业务需求和客户要求。多云安全可为部署在多个云服务提供商的多个云计算平台上的数据和应用提供一致、全面的保护。
混合云安全与多云安全之间存在关键差异。混合云安全侧重于持续保护公有云和私有云中的资源。相比之下，多云安全通常涉及使用多个云提供商的服务，因此需要采用更广泛的安全策略，持续防范配置错误、漏洞利用和横向传播的威胁。因此，混合云安全是多云安全的一个子集。
混合云安全的优势
混合云安全模型让组织能够将敏感数据和应用保留在本地环境中加以保护，同时使用公有云处理敏感度较低的工作负载。通过将敏感数据和应用与公有云隔离，组织可以更有效地管理安全风险，减轻数据泄露造成的影响，并降低遭受网络攻击的可能性。
这种安全方法有助于满足监管合规要求，因为组织可以将敏感数据或受保护数据保留在本地，同时使用公有云处理敏感度较低的数据和工作负载。混合云安全模型还允许组织在发生中断时将公有云用作灾难恢复站点，或通过“突发扩展”至公有云来应对流量激增。
混合云安全面临的挑战
实施混合云安全策略可为组织带来诸多益处，但也伴随着多项挑战和风险，包括：
- 安全责任共担：在混合云环境中，客户与云提供商共同承担安全责任，因此务必明确双方各自负责哪些安全事项。客户必须确保提供商履行其责任，同时也应了解，客户可能需要实施额外的安全措施，以确保所有云环境均得到全面保护。
- 事件处理：由于基础设施分布在不同位置，混合云环境中的事件处理可能颇具挑战。事件源头可能难以确定，跨不同环境协调响应也可能存在困难。即使事件发生在提供商的基础设施中，客户也可能需要与提供商合作解决问题。
- 应用安全：混合云环境可能有不同的应用安全要求和配置，因此云端应用的维护和保护在协调管理方面面临挑战。对于利用应用漏洞、以整个环境中通用软件库为目标的攻击，修复工作尤其如此。
- 身份和访问管理（IAM）：由于混合云架构较为分散，且不同平台使用的IAM工具和流程各不相同，跨多个云环境管理用户身份和访问权限可能十分复杂。此外，来自API和第三方集成的机器间流量日益增加，因此需要采用不同的身份安全方法。
- 合规与治理：某些云环境缺乏可见性且采用分散式管理，可能导致日志记录和取证信息不完整，因此满足并落实合规与治理要求可能颇具挑战。
- 供应链安全：许多组织无法全面了解和控制整个供应链，因此网络犯罪分子可能会利用多供应商混合云环境。组织需要确保其云提供商已实施可靠的安全措施，并定期开展安全审计、渗透测试和漏洞扫描。
- 数据保护：组织需要确保混合云环境中的数据在静态存储和传输过程中均受到保护，并实施适当的SSL/TLS加密和访问控制，以减少数据暴露。
- 可见性和控制：在混合云环境中保持安全可见性和控制可能颇具挑战，尤其是在各云环境分开管理的情况下。如果没有集中式仪表板，跨环境监控、保护安全并排查安全问题会十分困难，可能导致安全性能和控制方面出现盲区。
要构建安全且合规的混合云环境，需要采用整体方法，包括一致的安全策略和实践、端到端可见性以及有力的治理和合规措施，确保组织能够在不削弱安全态势的前提下充分发挥混合云的优势。
混合云安全架构
混合云安全架构涵盖对应用、API、底层基础设施和软件供应链的保护。由于数据会通过数据中心和云环境被访问或以其他方式提供，因此必须对其进行加密，以确保只有有效用户和应用才能访问和使用这些数据。这通常通过某种形式的零信任安全模型来实现。零信任要求，无论资源访问请求来自网络内部还是外部，每个请求都必须经过验证和身份认证，并接受持续评估。
在该架构的边界，边缘云服务器和应用容器采用微分段［插入指向新微分段术语表页面的链接］。微分段是一种安全技术，将网络划分为更小的网段，每个网段都有各自的安全策略和控制措施，从而隔离关键资产并保护其免受潜在安全威胁。这些网段形成“隔离区”（DMZ），限制对敏感数据和服务器的访问，并缩小攻击的影响范围。这些DMZ充当缓冲区，使组织能够向公共互联网开放特定服务，同时保障网络其余部分的安全。
防火墙可增加额外的保护层，进一步隔离云环境与本地资源。
混合云安全的组成部分
混合云安全由三个组成部分构成：物理安全、技术安全和管理安全。
物理控制用于保护实际硬件，而技术控制则保护IT和处理系统。管理控制用于应对可能影响安全的人员行为或自然因素。
物理控制
物理控制是混合云安全的重要组成部分，可保护支撑混合云环境的物理基础设施。混合云可能跨越多个地点，因此，物理安全既是一项特殊挑战，也是一项关键责任。
物理控制措施包括限制人员进入数据中心、服务器机房及其他设有关键基础设施的区域。用于监控关键基础设施访问情况并检测任何未经授权活动的监控系统（如闭路电视摄像头、运动探测器和其他监控系统）也属于物理控制措施。
此外，物理控制措施还可包括不间断电源（UPS）和备用发电机等备用电源系统，以确保混合云环境在停电期间保持运行。
组织应与云服务提供商制定服务级别协议（SLA），明确如何满足物理安全标准。
技术控制
技术控制对混合云安全至关重要，包括：
- 加密，用于保护传输中和静态数据。SSL/TLS加密可确保即使数据被未经授权的用户截获，也能得到保护。
- 自动化预置和配置，有助于组织降低人为错误风险，并确保在整个混合云环境中实现一致、高效的安全管理。
- 编排，可自动协调不同的安全工具、系统和流程，确保它们无缝协同，共同保护混合云环境。
- 访问控制，即实施相关策略和流程，确保只有获得授权的用户才能访问托管在混合云环境中的敏感数据和应用。包括最小权限访问在内的零信任原则在混合云环境中日益重要。
- 端点安全，通过清除设备数据或撤销数据中心访问权限，防止他人通过遗失、被盗或遭入侵的笔记本电脑、手机等设备进行未经授权的访问。
管理控制
安全是每位用户的责任，管理控制措施有助于引导用户采取可增强安全性的行为。
组织应为员工、承包商及混合云环境的其他用户提供培训和安全意识计划。培训内容应涵盖云安全最佳实践、数据分类、访问控制和事件响应等主题，并根据各利益相关方的具体角色和职责进行定制。
混合云架构在数据恢复以及灾难规划和准备方面具有显著优势。由于混合云同时包含私有云和公有云，组织可以将公有云用作本地数据和应用的故障转移环境，从而支持备份、冗余以及灾难准备和恢复场景。
混合云安全最佳实践
混合云安全较为复杂，需要周密规划、实施和持续管理。组织在着手制定混合云安全方案时，可以考虑以下最佳实践。
- 数据分类与保护。根据数据的敏感性和关键程度进行分类，有助于组织确定数据的存储、传输和访问方式，以及应采取的安全措施。实施加密、访问控制、备份和恢复流程等适当的数据保护措施，对于确保数据在混合环境中传输时受到保护也至关重要。
- 访问控制和身份管理。组织应实施严格的访问控制和身份管理流程、基于角色的访问控制以及权限管理，确保只有获得授权的用户和应用才能访问敏感资源。零信任原则有助于保护现代工作负载，抵御利用身份验证和授权薄弱环节的复杂攻击。
- Network security与分段。在混合云环境中，Network security同样至关重要，因为资源分布在多个位置和提供商之间。实施网络防火墙、Web应用防火墙、云工作负载保护平台和网络分段等强有力的安全措施，对于确保仅允许授权用户和应用的流量通过至关重要。
- 加密和密钥管理。在混合云环境中，加密可保护传输中和静态数据，并且必须贯穿整个数据生命周期。还必须妥善保护加密密钥，确保只有获得授权的用户和应用才能访问密钥或加密数据。
- 持续监控和事件响应。必须持续监控安全事件和日志，以识别潜在威胁并快速响应安全事件。组织必须制定事件响应计划，明确角色和职责、事件升级流程以及沟通协议。
混合云合规与治理
在混合云环境中管理合规性和治理可能颇具挑战，需要考虑以下事项。
- 法规合规。对于医疗、金融和政府等受监管行业的组织而言，混合云环境中的法规合规至关重要。组织必须确定适用于其行业的法规，评估现有基础设施和流程，并实施必要的控制措施以满足相关要求。这些措施可能包括数据加密、访问控制和审计日志，以证明合规性。
- 数据隐私与保护。由于敏感数据可能存储在混合云环境中的多个位置，包括公有云基础设施，因此数据隐私与保护是混合云环境中的重要考量因素。组织必须制定明确的数据保护策略，确定敏感数据的存储位置，并实施加密和访问控制，以防止未经授权访问敏感数据。
- 风险管理与缓解。组织必须定期开展风险评估，以识别潜在威胁和漏洞。这有助于确定并应对基础设施可能面临的威胁，并量化这些威胁可能造成的损害。评估替代解决方案以规避或缓解风险，实施适当的安全控制措施，并监控环境中的安全事件。
- 事件响应规划。安全事件可能会对业务运营和声誉产生重大影响。组织必须制定全面的事件响应计划，明确发生安全事件时应采取的步骤，包括检测和报告、遏制和隔离事件、调查以及恢复运营的流程。
- 供应商管理：由于组织依赖第三方云服务提供商来管理基础设施和应用，供应商管理是混合云合规与治理的关键环节。为管理混合云环境中的供应商风险，组织必须对潜在供应商开展尽职调查，制定明确的服务级别协议（SLA），说明供应商的责任和义务，并定期监控供应商的表现，以确保符合监管要求。
混合云安全工具和技术
评估和选择混合云功能时，可考虑以下解决方案、服务和工具。
混合云安全解决方案
- 数据丢失防护（DLP）是一种安全解决方案，用于监控并防止敏感数据遭到未经授权的访问、外泄或传输。DLP提供基于策略的控制措施，用于管理和保护本地数据中心、云环境及端点设备中的数据。Web应用防火墙提供灵活且高性能的防御能力，帮助防止敏感数据丢失。
- Network security解决方案通过结合使用多种控制措施来保护网络免受未经授权的访问、攻击及其他安全威胁。这些措施包括防火墙、入侵检测与防御系统、分析工具及其他安全技术，可保护网络的入站和出站流量。
- 漏洞管理是一种主动式自动化解决方案，可扫描和评估IT基础设施中潜在的安全威胁和薄弱环节，并提供修复建议。漏洞管理应持续开展，以应对不断出现的新威胁。Web应用防火墙可提供关键的临时防护，缓解可能造成严重破坏的应用漏洞利用。
- 威胁情报和检测系统从多个来源收集并分析数据，除由安全运营中心（SOC）人员开展研究和监督外，还运用机器学习及其他分析技术，识别并缓解新出现且广泛存在的安全威胁。
- 合规管理解决方案跟踪合规要求并生成相关报告，帮助组织避免因不合规而受到处罚及面临其他相关风险。
混合云安全服务
- 云安全评估服务通过评估云环境的安全状况来识别风险和漏洞，并提供改进安全控制措施和降低风险的建议。
- 云安全管理是一项通过监控云环境中的安全功能，对安全策略和配置提供集中可见性与控制的服务。
- 云加密服务可对云环境中的传输中数据和静态数据进行加密，并提供密钥管理和访问控制，以确保数据得到安全保护。
- 云工作负载保护平台可保护容器镜像、身份验证密钥和软件供应链等底层基础设施，并防范权限提升、横向移动和数据外泄。
- 身份和访问管理（IAM）提供身份验证、授权和访问控制服务，确保在多个云环境中实现安全且合规的访问。API和第三方集成产生的机器间流量不断增长，因此需要采用基于身份的新型安全方法。
混合云网络安全工具
- 虚拟专用网络（VPN）可在用户设备与其连接的网络之间建立安全隧道，从而支持远程加密访问云资源。VPN可用于安全连接公有云和私有云，并通过公有云扩展专用网络，以保护混合环境中的数据流量。
- 防火墙用于根据预定义规则监控和过滤流量，从而控制网络访问。防火墙可以部署在网络边界、不同云环境之间以及各个云环境内部。
- 入侵检测与防御系统（IDPS）旨在通过分析网络流量和识别恶意活动来检测并防范安全威胁。此类系统可部署在混合云环境中，用于监控和保护云资源，使其免受DDoS、恶意软件和网络钓鱼等攻击。
- 安全信息和事件管理（SIEM）解决方案可实时监控和分析组织混合云基础设施中的安全事件。SIEM工具可以收集并汇总不同云环境中的日志数据，并关联分析事件，以识别潜在的安全威胁。
- 安全套接字层（SSL）和传输层安全性（TLS）是用于保护互联网通信安全的加密协议。SSL和TLS可用于加密云环境之间的传输中数据，确保敏感信息免遭截获和篡改。
混合云安全的未来
以下是混合云安全领域的一些新兴趋势，展现了未来几年可能的发展方向。
- 零信任安全假设传统网络边界并不存在，并将所有网络流量视为可能具有恶意。零信任安全要求所有用户，无论位于组织网络内部还是外部，都必须经过身份验证、授权和持续验证，才能访问受保护的应用和数据。这种安全方法包括实施严格的访问控制、身份验证和授权流程，并持续监控网络流量，以检测和应对潜在威胁。
- 云原生安全是一种混合云安全方法，利用云专用工具和技术来增强安全性。这种方法将安全融入组织的整体云原生应用开发战略，涵盖容器安全、微分段和无服务器安全，以及基于云的威胁情报和安全分析。
- 边缘安全随着越来越多的组织采用边缘计算，在更靠近数据源的位置处理数据，边缘安全成为一项重要考量。边缘安全包括在边缘设备和网关上实施安全控制与监控，并确保边缘设备与云之间的通信安全。
混合云已为许多企业带来显著变革，提供了保持竞争力所需的灵活性、可扩展性和成本节约优势。但保护混合云环境可能较为复杂，需要采用适当的混合云安全策略，确保敏感数据和工作负载始终受到保护。
为帮助简化混合云策略，F5提供一套全面的安全和管理工具，这些工具可在不同云环境中保持一致，并保护多个IT环境中的数据和应用。
