萬物上云沒有問題，但是誰能保護云端呢？

轉載贊收藏評論

舉報 2021-01-25

掃描,分享朋友圈

今天我們扯扯云安全領域超火的概念：CWPP

如果說起防火墻、IPS、WAF，大家都很熟悉，這些產品通常被用于邊界防護，相當于看大門的。

那么大門里面的，該怎么保護呢？
曾經，有種主機防火墻或者主機安全的軟件，裝在服務器里，負責系統加固、防入侵、漏洞檢測、補丁管理等等。

可是到了云時代，“工作負載”已經不僅僅是服務器，還有虛擬機、容器甚至還有基于Serverless部署的業務，部署的模式還分“公私混托”，五花八門異常復雜。

這時，傳統主機防護的玩法，就有點力不從心了。
于是乎，Gartner就提出了CWPP，Cloud Workload Protection Platform，直譯過來就是云工作負載保護平臺。

說白了，就是用來保護云上工作負載的安全全家桶。而所謂工作負載，就是承載計算的各種類型節點（物理機、虛擬機、容器、無服務器）。
CWPP對云上的工作負載，提供多個維度、全方位的保護能力，Gartner把這種能力分成了8大類別，從上到下，重要程度逐層遞增。

CWPP主要守護范圍的是云計算的IaaS層，而從目前國內市場看，IaaS產品是最成熟同時應用最廣泛的，“公私混托”各種模式都在成規模部署。

因為IaaS火，保護IaaS的CWPP自然就火了，成為云安全大框架下最熱門的技術范疇。
可是我們反觀國內的CWPP市場，真正能打的產品卻不多。把CWPP干成“CW屁屁”的主要原因，有這么幾個方面：①工作負載涉及的保護層面太多，做成防護一兩個層面的單體產品容易，做成面面俱到的“防護平臺”就復雜多了。
②與邊界防護產品“靠邊站”不同，工作負載保護產品存在一定的“侵入性”（比如安裝agent），如何保障防護效果又不增加額外系統開銷，這很考驗技術積累。
③不靠譜的主機防護軟件，不僅增加服務器負擔，甚至自身還存在漏洞，成為黑客攻擊的目標。

靠譜的CWPP產品在哪里？

有這樣一家安全企業，他們在國內最早引入CWPP理念，這就是「安全狗」

早在2015年，安全狗在創始人陳奮的帶領下，就開始進行云工作負載安全方面的探索，這個產品方向，與后來Gartner在2017年提出的CWPP概念不謀而合。

五年潛心研發，云計算在國內日漸成熟，安全狗的CWPP平臺也瓜熟蒂落。

五年磨一劍，安全狗的CWPP長啥樣？

安全狗CWPP解決方案矩陣由4大產品組成：?云眼?云甲?云隙?云網，涵蓋主機安全、容器安全、微隔離和補丁管理。

?云眼，主攻云主機入侵檢測和安全管理。采用了云（管理平臺）+端（云主機agent）的方式部署。
每臺云主機都會部署輕量級agent，配合云端管理平臺，形成預測-防御-檢測-響應閉環，解決私有云/混合云中云主機的安全監測和防護問題。

?云甲，主攻容器安全管理。覆蓋容器從創建到釋放的全生命周期安全，是業內首創的容器安全解決方案。
云甲采用主機安全agent+安全容器方式部署，既能全面保護容器及容器內應用安全，又可以與主流的容器編排工具相結合。

?云隙，主攻微隔離和云內流量可視化。提供云數據中心內部細粒度的安全管理。

云隙可以對云內東西流量進行精確畫像：不同租戶之間、不同物理機之間、不同虛擬機之間，并部署防護策略、控制業務流量訪問。

?云網，主攻漏洞補丁管理，對云主機系統漏洞和配置缺陷進行檢測和修復。云網支持“修補”主流的服務器操作系統（win server/linux）、數據庫（商業/開源）、web容器，集網絡漏洞掃描、缺陷識別、補丁部署于一體。

云眼+云甲+云隙+云網四大產品線組成的安全矩陣，幾乎涵蓋了Gartner CWPP概念的所有保護范疇，對云上工作負載提供一站式保護。

4大產品采用單個輕量agent即可實現功能集合，可選模塊開啟服務，輕量agent降低了對系統的侵入性，系統開銷極小。
多個產品功能模塊聯動實現立體防御，并基于安全狗云端海量數據+本地端點數據，進行大數據對比分析，精準識別威脅時間處理獲取未知威脅。

實際應用中，可以橫跨物理機、公有云、私有云、混合云、容器的多種環境靈活部署，并針對不同的基礎架構和業務變化，實現自適應安全。

在以下些“名場面”，我們經常可以看到安全狗“出沒”。

CWPP的實戰效果怎么樣？

先看成功案例。對于toB型的產品來說，重大案例是最好的戰斗力證明。目前安全狗已累計保護500萬+臺服務器/云主機。
2020年，安全狗成功中標中國移動主機安全集采項目（1期+2期），總計規模25萬點，同時，安全狗為中國建設銀行提供CWPP解決方案，進行全行（云）主機安全覆蓋。
同時，在歷年大型安全攻防演練中，安全狗CWPP方案是多家企業單位的防護神器。