默安CTO云舒:CSPM更具落地性 將填補(bǔ)CWPP之外的云安全空白

閆小川
數(shù)字化轉(zhuǎn)型推動(dòng)企業(yè)對(duì)云的需求和依賴性不斷上升,據(jù)信通院《云計(jì)算白皮書(2023年)》報(bào)告顯示,我國(guó)云計(jì)算市場(chǎng)規(guī)模在2022年達(dá)到4550億元,較2021年增長(zhǎng)40.91%,報(bào)告預(yù)計(jì)處于快速發(fā)展期的我國(guó)云計(jì)算市場(chǎng)規(guī)模到2025年將超萬億元。

本文來自微信公眾號(hào)“安全419”,作者/閆小川。

數(shù)字化轉(zhuǎn)型推動(dòng)企業(yè)對(duì)云的需求和依賴性不斷上升,據(jù)信通院《云計(jì)算白皮書(2023年)》報(bào)告顯示,我國(guó)云計(jì)算市場(chǎng)規(guī)模在2022年達(dá)到4550億元,較2021年增長(zhǎng)40.91%,報(bào)告預(yù)計(jì)處于快速發(fā)展期的我國(guó)云計(jì)算市場(chǎng)規(guī)模到2025年將超萬億元。

云從根本上兌現(xiàn)了其承諾的業(yè)務(wù)成果,以至于調(diào)研機(jī)構(gòu)眼中的云已經(jīng)從技術(shù)顛覆者轉(zhuǎn)變?yōu)闃I(yè)務(wù)顛覆者。然而安全問題仍然是企業(yè)上云用云的關(guān)鍵阻礙。相較而言,網(wǎng)絡(luò)安全公司在云安全產(chǎn)品市場(chǎng)化方面正在不斷創(chuàng)新,以求在傳統(tǒng)的云安全市場(chǎng)上找到用戶真正的需求點(diǎn)。

默安科技于2022年推出了自家的CSPM(云安全態(tài)勢(shì)管理)產(chǎn)品,據(jù)了解,這也是國(guó)內(nèi)為數(shù)不多的真正意義上的CSPM產(chǎn)品。近日,安全419就與默安科技CTO云舒圍繞該產(chǎn)品的市場(chǎng)化打造相關(guān)背景進(jìn)行了深入交流。

1.png

默安科技CTO云舒

云安全不等于安全資源池

產(chǎn)品市場(chǎng)化落地需將眼光看得更遠(yuǎn)

“云安全不等于安全資源池。”持此觀點(diǎn)的并非默安科技一家,云是一個(gè)大的生態(tài),早已不是虛擬機(jī)時(shí)代,這已是創(chuàng)新云安全廠商的標(biāo)準(zhǔn)理解。據(jù)云舒介紹,考慮到國(guó)內(nèi)云環(huán)境的獨(dú)特性,傳統(tǒng)的云安全做法在廣泛的數(shù)字化時(shí)代已經(jīng)不能完全滿足客戶的現(xiàn)實(shí)需求。

從安全廠商的產(chǎn)品市場(chǎng)化角度來看,云安全資源池和CWPP(云工作負(fù)載保護(hù)平臺(tái))只是解決一些從傳統(tǒng)IDC就存在,一直延續(xù)到了云上繼續(xù)存在的老問題。云其實(shí)引入許多新問題,云也不僅僅只是云主機(jī)。安全廠商需要將眼光放的更遠(yuǎn)一些,從而面向客戶真正的且迫切需要解決的安全問題層面上來,并且從中穩(wěn)固自身戰(zhàn)略定位。

“像是云上各種資源的配置,云主機(jī)之外,還有各種對(duì)象存儲(chǔ)服務(wù)、塊狀存儲(chǔ)服務(wù)、關(guān)系數(shù)據(jù)庫(kù)之類的服務(wù)、VPC(虛擬私有云)、安全組、云上的負(fù)載均衡、IAM(身份識(shí)別與訪問管理)等等。”

這也是為什么默安選擇在恰當(dāng)?shù)臅r(shí)間推出CSPM產(chǎn)品,默安科技CSPM推出的時(shí)間點(diǎn)在2022年,命名為“宵明-云安全態(tài)勢(shì)管理平臺(tái)(CSPM)”,根據(jù)官方介紹,該產(chǎn)品可在一個(gè)統(tǒng)一的界面中將最佳安全實(shí)踐應(yīng)用于混合云、多云,識(shí)別并自動(dòng)修復(fù)復(fù)雜云環(huán)境中的安全問題,保護(hù)云基礎(chǔ)架構(gòu)以及云上數(shù)據(jù)安全。

CSPM源于Gartner對(duì)于云安全的未來趨勢(shì)定義,CSPM關(guān)注對(duì)云安全風(fēng)險(xiǎn)的持續(xù)管理,主要用來解決IaaS和PaaS的錯(cuò)誤配置導(dǎo)致的安全風(fēng)險(xiǎn)。CSPM可以發(fā)現(xiàn)配置錯(cuò)誤、評(píng)估數(shù)據(jù)風(fēng)險(xiǎn)、持續(xù)監(jiān)控云環(huán)境、合規(guī)性監(jiān)測(cè)等,發(fā)現(xiàn)問題后報(bào)告用戶或直接自動(dòng)修復(fù)。

Gartner早在2016年就提出了類似概念,之后正式定義為CSPM(云安全態(tài)勢(shì)管理),隨后該技術(shù)被Gartner力薦為十大安全方向。其強(qiáng)調(diào),幾乎所有針對(duì)云服務(wù)的成功攻擊都是客戶配置錯(cuò)誤、管理不善和錯(cuò)誤的結(jié)果。企業(yè)應(yīng)投資于云安全態(tài)勢(shì)管理流程和工具,以主動(dòng)和被動(dòng)地識(shí)別和修正這些風(fēng)險(xiǎn)。

云舒表示,默安科技早年就儲(chǔ)備了CSPM產(chǎn)品對(duì)應(yīng)的模塊化能力,并已經(jīng)在其漏掃產(chǎn)品(巡哨)、云原生保護(hù)平臺(tái)(尚付CNAPP)產(chǎn)品當(dāng)中全面植入了相應(yīng)的CSPM各項(xiàng)模塊化能力。概念先于產(chǎn)品,默安科技之所以還是推出單獨(dú)的CSPM,其一是因?yàn)樽陨淼漠a(chǎn)品線要有更精準(zhǔn)的戰(zhàn)略市場(chǎng)定位,數(shù)字化推動(dòng)云的跨越式增長(zhǎng)就是這樣一個(gè)恰當(dāng)?shù)臅r(shí)機(jī)。

1.png

“國(guó)內(nèi)云的用量將越來越多,默安接觸每個(gè)客戶都在用云,都是混合云、多云的模式,CSPM這樣一款產(chǎn)品將非常適合應(yīng)對(duì)多云的安全管理,去解決CWPP覆蓋不到的那一部分。”云舒解釋稱。

更具落地可行性

預(yù)期CSPM將填補(bǔ)CWPP之外的云安全空白

宵明CSPM是默安科技云原生安全產(chǎn)品線的第二款產(chǎn)品,默安科技此前已經(jīng)打造了尚付云原生保護(hù)平臺(tái)CNAPP,那么為什么CNAPP同樣能解決的事情(CNAPP包含CSPM能力),默安科技還要再打造出一款CSPM單品呢?根據(jù)云舒的說法,問題就出在可落地性上面。

國(guó)內(nèi)安全廠商并不缺乏創(chuàng)新,缺的是創(chuàng)新產(chǎn)品是否能夠落地的市場(chǎng)環(huán)境。默安科技的CNAPP方案在戰(zhàn)略上選擇不包含CWPP模塊,就是希望方案落地時(shí)規(guī)避掉不再適合去競(jìng)爭(zhēng)的CWPP市場(chǎng)。用云舒的原話就是:“客戶已經(jīng)購(gòu)買了友商的CWPP產(chǎn)品,還能讓他們換成我們的嗎?”

就算是默安科技的CNAPP不包含CWPP功能,CNAPP從開發(fā)安全到容器運(yùn)行時(shí)保護(hù)的維度本身就很大,這導(dǎo)致CNAPP是一個(gè)很重的方案,如此其方案本身就先天性的存在落地困難問題。比如就有部分頭部安全廠商向安全419透露過已有CNAPP立項(xiàng)規(guī)劃,但就是產(chǎn)品遲遲拿不出來,這并不是研發(fā)出了問題,歸根到底還是商業(yè)戰(zhàn)略方面的落地問題。

云舒指出,相對(duì)而言CSPM是一個(gè)非常輕量級(jí)的產(chǎn)品,比如方案本身可以純SaaS交付或私有化軟件交付,從客戶購(gòu)買到交付部署只需要幾分鐘就能解決。當(dāng)然,產(chǎn)品輕量級(jí)不代表其功能也是如此,從國(guó)際上CSPM產(chǎn)品趨勢(shì)定義上來看,其功能性也在不斷向外延展。就是說,CSPM既輕量又實(shí)用。

云舒告訴安全419,CSPM產(chǎn)品最開始關(guān)注的點(diǎn)會(huì)相對(duì)較窄,到現(xiàn)在逐漸成為一個(gè)大的平臺(tái),CSPM已經(jīng)不僅僅是云的安全配置管理,而是包括了云上的數(shù)據(jù)安全(DSPM)、云上身份特權(quán)管理(CIEM)、云安全檢測(cè)與響應(yīng)(CDR)等等功能模塊,CSPM產(chǎn)品除了不太會(huì)涉及CWPP之外,CSPM將會(huì)填補(bǔ)CWPP之外的云安全問題空白。

“即使在CWPP領(lǐng)域,CSPM后面也會(huì)涉及一部分,它會(huì)對(duì)運(yùn)行中的云主機(jī)打快照,去掃描快照。這樣可以發(fā)現(xiàn)云主機(jī)里面的一些錯(cuò)誤配置、有漏洞的組件等等一些風(fēng)險(xiǎn)信息。但相對(duì)而言,CSPM并不具備CWPP領(lǐng)域內(nèi)的阻斷、修復(fù)能力。”云舒補(bǔ)充表示。

CSPM產(chǎn)品實(shí)踐難點(diǎn)

默安科技要做先行者奪取核心優(yōu)勢(shì)

安全419在2022年底報(bào)道的美在線教學(xué)平臺(tái)數(shù)據(jù)泄露事件,就是一起云存儲(chǔ)配置出錯(cuò)引起的重大安全事件,該起事件的研究團(tuán)隊(duì)vpnMentor在隨后也聯(lián)系了我們,從其透露出的信息來看,共計(jì)22TB以上云上數(shù)據(jù)受事件影響疑似泄露,數(shù)據(jù)包含10萬名學(xué)生敏感信息以及教學(xué)文件、密鑰、源代碼等敏感信息。

根據(jù)各大調(diào)研機(jī)構(gòu)的說法,因?yàn)槿说膯栴}導(dǎo)致的錯(cuò)誤配置占安全事件整體的接近60%比例,這顯示了CSPM產(chǎn)品的基礎(chǔ)功能存在極為廣泛的市場(chǎng)應(yīng)用空間。云舒告訴安全419,因?yàn)槿说募夹g(shù)儲(chǔ)備問題,以及企業(yè)用云量不斷上升,理解每一朵云和不同云服務(wù)的正確配置將是一個(gè)重大挑戰(zhàn)。

“一家企業(yè)可能同時(shí)擁有幾朵云,如果涉及出海業(yè)務(wù),可能還會(huì)用到AWS、Azure,運(yùn)維人員、安全人員根本沒有能力或是精力去把全國(guó)、全世界這么多云的成百上千的云服務(wù)、云產(chǎn)品安全配置規(guī)范都理解清楚,所以就需要一款產(chǎn)品來幫他們解決這一問題。”

談及此處,CSPM產(chǎn)品的實(shí)踐難點(diǎn)也是顯見的。云舒直言,下層環(huán)境決定上層應(yīng)用,默安CSPM產(chǎn)品除了提供適應(yīng)國(guó)內(nèi)主流云環(huán)境的平臺(tái)基礎(chǔ)功能外(多云資產(chǎn)可見性、云上數(shù)據(jù)保護(hù)、持續(xù)性云上合規(guī)、云上身份特權(quán)管理、云入侵檢測(cè)與響應(yīng)),其產(chǎn)品打造時(shí)很大一部分精力都放在了不同云廠商的適配上。

根據(jù)云舒的說法,CSPM產(chǎn)品具有落地性,而從產(chǎn)品打造實(shí)踐上,主要就是適配方面具有一定挑戰(zhàn)性,這與國(guó)內(nèi)的云不夠標(biāo)準(zhǔn)化有比較大的關(guān)系,在這方面,默安科技前期用了四個(gè)月時(shí)間去適配不同的云。

“像我們現(xiàn)在對(duì)接的國(guó)內(nèi)阿里云、騰訊云、華為云、天翼云、浪潮云、京東云等等,尤其是專有云的對(duì)接上,甚至還有版本區(qū)分,這樣API就會(huì)有很大變化,甚至有些API沒有標(biāo)準(zhǔn)文檔,或者是包括一些公有云的標(biāo)準(zhǔn)文檔都不是很全,根據(jù)不同云廠商完善的生態(tài)建設(shè)上的不同,實(shí)現(xiàn)全面的CSPM產(chǎn)品對(duì)接在國(guó)內(nèi)是比較困難的,要花大量的時(shí)間和精力去做。”

據(jù)悉,默安科技成立于2016年,早期研發(fā)的蜜罐產(chǎn)品在行業(yè)內(nèi)較為知名,通過不斷的技術(shù)迭代,已成為欺騙防御市場(chǎng)上的創(chuàng)新引領(lǐng)者。根據(jù)云舒的說法,在默安科技做蜜罐時(shí)市場(chǎng)上只有他們一家,現(xiàn)在已經(jīng)多得數(shù)不過來,至少有好幾十家。

云舒想表達(dá)的有兩層含義,其一是默安科技不想走跟風(fēng)路線,其二是網(wǎng)安市場(chǎng)上各個(gè)安全廠商之間并不存在絕對(duì)的不可逾越的技術(shù)優(yōu)勢(shì),你能做的我也能做,我能做的你當(dāng)然也能做。

1.png

宵明-云安全態(tài)勢(shì)管理平臺(tái)(CSPM)界面截圖

“比如我們CSPM產(chǎn)品的核心技術(shù),包括各項(xiàng)功能模塊,如將等保二級(jí)、三級(jí),包括云上的擴(kuò)展要求,以及GDPR、PCIDSS、CIS、HIPAA等等一些法律法規(guī)的相應(yīng)條款全面映射到云廠商的各種安全配置當(dāng)中,當(dāng)然我們還做了一些重點(diǎn)行業(yè)的合規(guī)映射。但這件事默安科技能做,別人其實(shí)也都能做。”

而一款產(chǎn)品和解決方案能夠獲得成功,重點(diǎn)還是要有戰(zhàn)略層面的市場(chǎng)優(yōu)勢(shì),必須要做先行者。競(jìng)爭(zhēng)優(yōu)勢(shì)需要?jiǎng)?wù)實(shí)一些,是慢慢做出來的。“你需要比別人更早看到它,并且在做的過程中不斷打磨優(yōu)化你的產(chǎn)品,向更多的客戶學(xué)習(xí),向更多的行業(yè)學(xué)習(xí),從而不斷夯實(shí)產(chǎn)品的先發(fā)優(yōu)勢(shì)。”云舒強(qiáng)調(diào)稱。

尾聲:

IBM發(fā)布的《2022年數(shù)據(jù)泄露成本報(bào)告》就指出,近一半的數(shù)據(jù)泄露發(fā)生在云上,在企業(yè)的云安全實(shí)踐方面,17%的企業(yè)云安全實(shí)踐方面幾乎為零,26%的企業(yè)處于云安全實(shí)踐早期階段,只有23%的企業(yè)處于成熟階段。

Fortinet最近發(fā)布的《2023云安全報(bào)告》稱,云安全仍然是一個(gè)重要問題,95%的受訪組織擔(dān)心其在公有云環(huán)境中的安全狀況,為應(yīng)對(duì)安全方面的擔(dān)憂,已有60%的組織表示將增加預(yù)算,以全面提升云的安全可見性。這一預(yù)期將促使企業(yè)在云安全領(lǐng)域整體消費(fèi)能力增長(zhǎng)33%。

用云量不斷上升,云安全本身也有了更好的生存土壤,并伴隨著技術(shù)的進(jìn)步與變化,云安全也在不斷進(jìn)步的道路上持續(xù)深層發(fā)展。默安科技創(chuàng)始團(tuán)隊(duì)均出身阿里云,對(duì)國(guó)內(nèi)的云基礎(chǔ)設(shè)施架構(gòu)以及云安全產(chǎn)品具有豐富的參與建設(shè)經(jīng)驗(yàn),更懂云更懂云安全是他們的最大優(yōu)勢(shì),這款CSPM未來是否能夠得到企業(yè)客戶的青睞,我們也將拭目以待。

THEEND

最新評(píng)論(評(píng)論僅代表用戶觀點(diǎn))

更多
暫無評(píng)論