什么是混合云安全防护？

混合云安全防护是指跨多种 IT 环境（至少包含一个公共云或私有云），保护与 IT 架构（其中整合了一定程度的工作负载可移植性、编排和管理）相关联的数据、应用和基础架构。

混合云能让您有效减少数据的潜在风险。您可以把敏感或关键数据保留在公共云之外的环境中，同时利用云来存储无关风险的数据。

为什么选择混合云来增强安全防护？

混合云允许企业根据合规性、审计、政策或安全需求，选择工作负载和数据的存放位置。

虽然构成混合云的各种环境都是独一无二的独立实体，但是通过容器或有助于传输资源和工作负载的加密应用编程接口（API），用户可以轻松便捷地完成这些实体间的迁移操作。正是借助这个独立却又彼此互连的架构，企业才能在私有云中运行关键工作负载，并减少公共云中的敏感工作负载。这样设置既可将数据泄漏风险降到最低，又能让企业自定义灵活的 IT 产品组合。

与一般计算机安全防护一样，混合云安全防护也由三部分组成：物理、技术和管理。

物理控制用于保护实际硬件的安全。例如锁、防护装置及安防摄像头。

技术控制是 IT 系统自身设计的保护措施，例如加密、网络身份验证和管理软件。许多用于混合云的最强大的安全防护工具都属于技术控制。

最后，管理控制是指通过一些计划，帮助人们以更安全的方式行事，例如培训和灾难应急计划。

混合云会跨越多个位置，这使得物理安全成为一项特殊的挑战。您可没办法围着自己所有机器筑起城墙，然后关门上锁。

对于像公共云这样的共享资源，您可以与云提供商签订服务级别协议（SLA），定义需要满足的物理安全标准。例如，某些公共云提供商会针对政府机构的工作负载有特别的设定，以限制访问物理硬件的人员权限。

但即便有了合适的 SLA，如果依赖于公共云提供商，您必然会放弃一定程度的控制权。这意味着其他安全控制就变得更加重要。

技术控制是混合云安全防护的核心。混合云的集中化管理更易于实现技术控制。

在混合云工具箱中，最强大的几项技术控制包括加密、自动化、编排、访问控制和端点安全防护。

加密

加密大大降低了任何可读数据泄露的风险，即便物理计算机受到入侵，也能避免信息的进一步泄露。

加密分为静态加密和动态加密两种，二者的区别在于：

保护您的静态数据：

全盘加密（分区加密）可在计算机关闭时继续保护您的数据。建议使用 Linux Unified Key Setup-on-disk（LUSK） 格式，该格式可批量加密您的硬盘分区。

硬件加密，可保护硬盘免遭未经授权的访问。推荐使用可信平台模块（TPM），它是可存储加密密钥的硬件芯片。启用 TPM 时，硬盘处于锁定状态，用户对登录帐号进行身份验证后方可解锁。

无需手动输入密码即可加密根卷。如果您已经构建了高度自动化的云环境，则可使用自动加密加强其安全防护。如果您使用的是 Linux，则可尝试采用网络绑定磁盘加密（NBDE），物理机和虚拟机均可使用。它还有一点额外好处：把 TPM 纳入 NBDE 之后，您将享受两层安全防护（NMDE 可保护联网环境，而 TPM 则能保护本地环境）。

保护您的动态数据：

加密网络会话。动态数据面临拦截和更改的风险要大得多。尝试使用互联网安全协议（IPsec），这是使用加密技术的互联网协议的扩展。

选择已实施安全标准的产品。查找支持使用加密模块保护高风险数据的美国联邦信息处理标准（FIPS）140-2 的产品。

自动化

自动化非常适合混合云，想知道为什么，只需想一下手动监控和修补的缺点。

手动监控安全性和合规性的风险通常比回报大得多。手动补丁和配置管理往往不能同步实现，埋下安全隐患。它还为实施自助服务系统增加了更多困难。如果存在安全漏洞，手动补丁和配置记录就有丢失的风险，从而可能导致团队内斗、相互指责。此外，手动流程往往更容易出错，耗费时间更长。

相比之下，自动化可以让您在风险面前赢得先机，不用再被动防守。通过自动化，您能设定规则，共享和验证流程，使其更轻松地通过安全审计。在评估混合云环境时，请考虑自动执行以下流程：

监控您的环境

管理您的数据

检查合规性

实施补丁

实施自定义或监管安全基线

编排

云编排将技术控制又向前推进了一步。您可以将自动化看作特定的食材，而编排就是将食材组合在一起的食谱。

借助编排，我们可以将云资源及其软件组件作为一个整体加以管理，然后通过模板以自动化、可重复的方式进行部署。

对安全防护而言，编排的最大好处是标准化。您可以提供云的灵活性，同时确保部署的系统符合您的安全与合规标准。

访问控制

混合云还离不开访问控制。我们应根据实际需要限定用户帐户的权限，并考虑实施双重身份验证。此外，对连接至虚拟专用网络（VPN）的用户进行访问限制也有助于维护安全防护标准。

端点安全防护

有了端点安全防护，如果用户的智能手机、平板电脑或计算机丢失、被盗或被攻击，则可以使用软件远程撤销访问权限或擦除敏感数据。

用户可以从任何地方使用个人设备连接到混合云，这使得端点安全防护成为一项必不可少的控制措施。攻击者可能会利用针对单个用户的网络钓鱼攻击以及恶意软件对您的系统发动攻击。

虽然我们在这里把其列为了技术控制，但端点安全防护其实集物理、技术和管理控制于一身：保持物理设备的安全，使用技术控制来防范设备落入坏人之手的风险，并向用户传授良好的安全防护实践。

最后，混合云安全防护中的管理控制主要解决人为因素的问题。由于混合云是一种高度互联的环境，因此安全防护是每个用户的责任。

灾难防备与恢复就是管理控制的一个典型例子。如果混合云的一部分掉线，应该采取哪些措施？由谁来负责？有没有生效中的数据恢复协议？

混合架构为管理安全带来了显著优势。由于您的资源可能分布在本地和外部硬件中，因此对备份和冗余您可以有更多选择。在包含公共云和私有云的混合云环境中，如果私有数据中心云上的系统发生问题，则可以故障切换至公共云。

IT 安全防护需要时间，需要迭代。安全形势总是瞬息万变。与其自我施压，盲目追求并不现实的完美安全，不如深思熟虑、谨慎行动，一步一步让每一天都比之前更加安全。