為什么云安全離不開“可視性即服務”

　　Ixia解決方案營銷副總裁Jeff Harris與您探討如何迎接公共云環(huán)境帶來的可視性挑戰(zhàn)，確保安全性及合規(guī)性。

　　無論您是一名網(wǎng)絡管理員、安全管理員還是首席信息官，您是否考慮過如果不能對大部分網(wǎng)絡環(huán)境進行查看和管理將是一種怎樣的場景?而如今，這就是各企業(yè)機構(gòu)將應用程序和工作負載遷移到公有云后所面臨的兩難問題。由于提供商擁有公有云基礎構(gòu)架，所以各企業(yè)機構(gòu)對于應用程序和網(wǎng)絡數(shù)據(jù)的訪問權(quán)限往往非常有限。

　　公有云必須按需處理超大規(guī)模部署、資源池和持續(xù)的配置更改，而這將給可視性、安全性和合規(guī)性帶來獨特挑戰(zhàn)。今年2月份，Ixia對多家企業(yè)機構(gòu)的220多名資深IT人員進行了云計算安全問題調(diào)查，其中，76%的受訪者表示對云環(huán)境的安全性 “非常擔心”或表示“擔心”。采用云的首要安全問題是“無法控制網(wǎng)絡數(shù)據(jù)”(56%)，以及無法獲得整個公司網(wǎng)絡的全面可視性(47%)。

　　傳統(tǒng)的可視性架構(gòu)存在局限性。它們無法提供確保云工作負載正常運行和安全性所需的敏捷性和洞察力。部署內(nèi)部解決方案則取決于物理硬件、探針以及企業(yè)網(wǎng)絡部署不太可能在一夜之間增減的事實。此外，雖然虛擬化部署能夠以前所未有的速度推動改變，但物理服務器架構(gòu)并沒有實質(zhì)變化。因此，盡管硬件通過虛擬探針和虛擬數(shù)據(jù)包中轉(zhuǎn)設備轉(zhuǎn)向了軟件，而原可視性架構(gòu)仍保留了下來。

　　被云端遮擋的可視性

　　向公有云遷移讓一切都發(fā)生了變化。云端為我們實現(xiàn)的諸多優(yōu)勢——靈活性、敏捷性、彈性以及快速的水平和垂直擴展性對于洞察和監(jiān)測公有云環(huán)境的性能和安全卻造成了重重挑戰(zhàn)。而工作負載行為缺乏獨立的應用監(jiān)測和分析，公有云提供商的環(huán)境性能監(jiān)測工具不涵蓋數(shù)據(jù)包數(shù)據(jù)，而這些數(shù)據(jù)對于網(wǎng)絡可視性非常關鍵。

　　沒有專門的工具探查提供商的數(shù)據(jù)中心，您的網(wǎng)絡和安全團隊將束手無策，無法診斷問題或快速修復針對關鍵業(yè)務應用的威脅和攻擊。

　　如果使用不慎，直接采納云數(shù)據(jù)將會很危險。分布式可視性架構(gòu)可以充分發(fā)揮公有云的功能并提供服務器工作負載的全面可視性，但這種構(gòu)架同樣也帶來了兩大劣勢：

　　捕獲和過濾流量——在傳統(tǒng)數(shù)據(jù)中心里，可以通過插入物理網(wǎng)絡探針和網(wǎng)絡數(shù)據(jù)包中轉(zhuǎn)設備完全控制網(wǎng)域。但物理設備無法植入公有云，且只能控制有限網(wǎng)域。

　　保證輸出適量數(shù)據(jù)的情況下擴大規(guī)模—— 公有云規(guī)模的擴大，將滿足高峰需求。然而當擴展應用得以滿足需求的同時，新的用例也隨之產(chǎn)生。因此，您的云端網(wǎng)絡可視性解決方案必須要充分適應這種可擴展性才能真正有效。

　　依賴于單一專用軟件代理程序檢測數(shù)據(jù)包的可視性解決方案可能會引發(fā)單點故障，且可擴展性有限。因此，無需讓物理網(wǎng)絡可視性技術(shù)適應云環(huán)境，云原生可視性架構(gòu)才是真正所需。而且，此架構(gòu)部署簡單，IT團隊不必進行復雜的配置和調(diào)整。因此，擴展式云可視性必須以“可視性即服務”(Visibility-as-a-Service)的方式實施。

　　洞悉云端

　　構(gòu)建“可視性即服務”架構(gòu)的首要步驟是創(chuàng)建一個編排層，并可通過基于“軟件即服務”(Software-as-a-Service)的Web界面進行訪問。理想情況下，它可以利用云原生服務提供商的數(shù)據(jù)庫、身份管理、API和其他服務。這意味著企業(yè)不再需要安裝或管理該產(chǎn)品的任何部分。它能實現(xiàn)類似云存儲供應商為您的文件提供存儲空間、管理和維護功能。

　　然后，編排層將連接到源實例的云端傳感器，以及各種安全和監(jiān)測工具的連接器。這些傳感器和連接器的最高效和可擴展的部署方法就是將其置于容器內(nèi)，如同各企業(yè)基于微服務的工作負載和工具一般嵌入用例中。由于直接嵌入用例，因此傳感器可以在應用程序的源頭過濾相關的可視性流量。

　　將傳感器嵌入源用例不僅有效，還有另一個重要優(yōu)勢：可最大程度減少云間帶寬量，由于只將相關數(shù)據(jù)傳送給工具，這將顯著節(jié)省成本。傳感器可以將云端工作負載(如：數(shù)據(jù)庫或Web)傳送到編排層。利用該元數(shù)據(jù)，各企業(yè)機構(gòu)可以將工具與各種工作負載類型關聯(lián)起來，并創(chuàng)建包含傳感器和相關工具的“組群”。由于特定服務的其他用例交錯啟動，這將立即創(chuàng)建其他傳感器，然后再連接到安全和監(jiān)控工具中的相關連接器。此外，由于這些額外的傳感器在一個組群內(nèi)聯(lián)機，因此位于可擴展容器環(huán)境中的工具連接器也將自動擴展。這將實現(xiàn)真正的云原生彈性，而無需手動干預。

　　按需擴展傳感器、連接器以及利用云原生服務的能力，對于可視性即服務至關重要，這將為基于OpEx的消費模型提供智能可視性，并與企業(yè)使用的其他可視性即服務協(xié)調(diào)一致。簡單且可擴展的云可視性將改善安全性和合規(guī)性，同時保留公共云部署的成本優(yōu)勢。