作为云安全的一项基本策略，云基础架构分段是将云网络划分为更小的隔离网段以增强安全性、可管理性和性能的做法。
网络分段和微分段是成熟的安全策略，用于保护 IT 网络基础架构免受各种威胁的侵扰。通过将网络划分为更小的子网，并为各个工作负载制定精细的安全策略，团队能够提升网络安全性并限制成功攻击的影响范围。
很多安全团队错误地认为，由于云计算具备动态性和无限可扩展性，因此这些分段技术在云中不起作用。然而，随着网络威胁形势的不断发展变化，越来越多的企业成功实施了云基础架构分段，以保护其数字生态系统。
云基础架构分段
为什么对云基础架构进行分段很重要？
云环境的动态性意味着云工作负载可能比本地资源更容易受到外部威胁的影响。根据 IBM 的 2024 年《数据泄漏的代价》报告，80% 的数据泄露事件涉及存储在公有云、私有云或混合云环境中的数据。随着企业将更多工作负载和应用程序迁移至云端，对云安全的投入与关注将变得更加突出。云基础架构分段为企业提供了一种极为有效的方式，既可以降低数据泄露风险，又能够减轻成功的网络攻击所造成的损害。
如何对云基础架构进行分段
要对云基础架构进行分段，团队可以利用虚拟网络和虚拟私有云的子网，将新的服务器、安全组和用户动态分配给 IT 环境中的新区域或现有区域。借助安全组和网络 ACL，管理员能够为入站和出站流量制定可有效隔离资源和工作负载的规则，并控制各网段之间的通信。防火墙和网关可以检查网络流量并执行安全策略，以防止未经授权的通信。
由于云环境具有动态性并正在发生快速变化，因此企业必须将网络安全策略纳入更改管理技术中，以自动跟踪网络中的所有对象，包括 IP 地址、用户、安全组和标签。将适用于物理网络和本地数据中心的控制措施与用于云环境的原生控制措施相结合的统一分段解决方案是理想之选，因为团队可自动实施安全策略更改，并在整个数字足迹中彻底实施一致的策略。
云基础架构分段的优势
对云基础架构进行分段时，企业及其 IT 团队可以：
- 增强安全态势：云分段策略能够非常有效地阻止未经授权的访问以及防止黑客或恶意软件在整个网络中横向移动。分段还可以实现对每个网段的防火墙、安全组和访问控制进行精细配置。
- 遏制威胁：当出现安全漏洞或恶意软件感染时，分段能够成功遏制威胁并限制其影响范围，从而保护网络的其他部分。
- 简化法规合规：通过确保敏感数据被隔离并受到严格安全控制措施的保护，分段使企业能够更轻松地遵守监管标准并证明合规性。许多监管框架（例如 PCI DSS）都要求通过分段隔离敏感数据和系统。
- 提高性能：云基础架构分段可以通过限制网络流量和优化每个网段内的流量来最大限度地减少网络拥塞。
- 简化云管理：将庞大而复杂的网络划分为更小、更易于管理的部分以提升其可管理性，从而简化安全团队和网络管理员的工作。
- 加快事件响应速度：通过将入侵限制在特定网段内、提前向团队发出潜在威胁告警，并减少对更广泛网络的影响，分段可增强事件响应能力。
- 保护云原生架构：随着企业采用能够提高工作负载可移植性的云原生架构，分段可帮助完成实施安全策略以保护这些架构的基本任务。
- 支持 Zero Trust 安全：通过实施最低权限访问，云基础架构分段可帮助安全团队采用 Zero Trust 方法来实现云安全。
云基础架构分段面临的挑战
对云基础架构进行分段为 IT 团队带来了一些关键挑战。
- 管理任务复杂：在多云和混合云环境中实施与管理分段策略可能非常复杂。
- 保持监测能力：当流量和端点分布在多个网段中时，监测和跟踪分段网络可能会很困难。
- 配置边界：云环境的动态性意味着需要持续监控和更新网段边界的配置与管理，这会导致资源紧张，并增加错误配置引发安全漏洞的几率。
- 最大限度地减少对性能的影响：某些分段方法可能会使流量流过额外的安全措施和防火墙，这可能会对性能产生不利影响。
- 环境间的兼容性：确保不同的云服务提供商与本地系统之间的兼容性是一项持续存在的挑战。
- 技能与专业知识方面的差距：云基础架构分段可能需要专业知识和技能，这可能意味着需要额外招聘人员，或对内部安全团队进行额外培训。
- 成本不断攀升：在动态云环境中实施分段的费用可能很高。
为克服这些挑战，IT 和安全团队需要采用能够在不同基础架构之间无缝实施安全策略的创新解决方案，同时利用自动化来尽可能降低在云中进行分段的复杂性并减少管理负担。
如何实施云基础架构分段
IT 团队可以通过以下几个步骤来实施云基础架构分段。
- 明确分段需求：在确定敏感数据、关键应用程序和合规性要求后，团队必须根据每项资产的相应分段级别来制定明确的分段策略。
- 实施微分段：微分段使团队能够在工作负载级别实施精细的安全控制措施，并根据每项工作负载的属性制定精细的安全策略。微分段还可确保团队遵守 Zero Trust 原则。
- 自动完成编排：利用基础架构即代码 (IAC) 和自动化技术，团队能够一致地配置、管理和实施分段策略。
- 监控与优化：监控、日志记录和审核有助于保持对网络流量、安全事件及策略执行的监测能力，使团队能够调整分段策略以应对新的漏洞和威胁。
常见问题
分段可以减小攻击面、限制威胁的横向移动，并隔离敏感数据以增强企业的整体安全态势。
可以，分段适用于多云和混合云环境，但 IT 团队可能需要使用更复杂的工具和策略来管理兼容性及复杂性。
客户为什么选择 Akamai
Akamai 是一家致力于支持并保护在线商业活动的网络安全和云计算公司。我们卓越的安全解决方案、出色的威胁情报和全球运营团队可提供深度防御，保护各地的企业数据和应用程序。Akamai 的全栈云计算解决方案可在海外分布广泛的平台上提供高性能且经济实惠的服务。众多全球企业信赖 Akamai，凭借我们卓越的可靠性、扩展性和专业技术，企业能够从容拓展业务。
