迁移到云端可以帮助企业加快IT交付、提高业务敏捷性，但是可能也会带来敞开的安全漏洞，让公司暴露在网络攻击面前。这意味着在云端运作的企业组织现在必须解答这些问题：“什么云服务器遭到了攻击，我如何才能知道?”
遗憾的是，答案并不容易获得。像防火墙和入侵检测系统这些传统的安全工具在企业组织内部使用时效果很好，可是面对云环境时，它们没有多大帮助。虚拟基础设施具有的弹性和动态性使得安全团队很难看到云端发生的情况。而要是没有这种可见性，它们不可能执行一致的政策、发现漏洞，并迅速应对异常行为。
想得到云服务提供商的帮助?那只能为你解决一部分问题。云服务提供商通常不保护虚拟机管理程序层之上的任何系统，所以做好安全主要是你的责任。假设你想在云端启用一台Windows 2000服务器或红帽Linux。为那些实例确保安全是你的工作，而不是云服务提供商的工作。
这就是所谓的“分担责任”模式，所有云服务提供商无不在大声吆喝这种模式。亚马逊网络服务是这么说的：“虽然AWS管理云安全，但做好云安全是客户的责任。客户仍然控制着选择实施什么好的安全机制，保护自己的内容、平台、应用程序、系统和网络，这跟他们保护现场数据中心中的应用程序没什么两样。”
似乎够直截了当。但是许多消费者仍然感到困惑。他们认为，因为亚马逊拥有保护直至虚拟机管理程序这一层的种种出色工具，因而自己完全安全。可是他们没有认识到，做好他们选择启用的云实例的安全性永远是自己的责任。无论你在公有云运作还是在传统数据中心运作，仍需要继续实现一些关键的控制目标，包括数据保护和威胁管理。
云安全薄弱酿成的后果可能很严重。我记得一家名为Code Spaces的公司在黑客全面访问其托管在云端的网络后，被迫关门歇业。黑客索要赎金，而Code Space拒绝支付。然后，黑客删除了Code Spaces的所有重要数据，实际上搞垮了这家公司。
这就是你在云端保护自己所面临的困境：你对看不见的东西自然无法确保其安全。因而，获得实时可见性至关重要，对希望充分利用云基础设施许多不同优点的企业组织来说更是如此。而随着企业组织使用更多的云：公有云、私有云或混合云，并与内部数据中心(不会很快就会消失)结合起来，情况就只变得更加复杂。
那么，你如何才能获得云端可见性，并确保自己安全呢?不妨先明白这一点：做好安全是你的责任，然后坚持遵守这五个最佳实践。
1. 持续可见性。随时知道你的基础设施、应用程序、数据和用户方面出现的情况。由于现代虚拟基础设施具有自动化、弹性、按需的性质，获得这种可见性可能是个挑战。但是如果随时知道自己有什么及其运行情况，就能减小受攻击面，并降低风险。
2. 风险管理。这意味着为你的可见性添加具体环境。一旦你获得了可见性和透明性，就能成功地消除已知存在于网络里面的明显的安全漏洞，比如过期的工作站和移动设备。
3. 强有力的访问控制。实际上，薄弱的访问控制导致了最近的许多重大安全事件，包括臭名昭著的Ashley Madison黑客事件。Ashley Madison首席执行官本人表示，内部人员实施了这起黑客行为，很可能是第三方的合同工，他被授予了过高的访问权限。所以，确保你落实了合适的访问管理和权限监控机制。还要确保在不断监控用户活动，保证根本没有违反公司政策。
4. 数据保护。这是另一项必要工作。这意味着要既要保护静态数据，又要保护传输中数据，还要部署数据丢失防护(DLP)之类的技术，确保万一受到危及，你的数据无法被发送到网络外面。
5. 威胁管理。你必须接受这一事实：哪怕再严格的安全做法也无法始终防范得了所有安全事件。安全事件会发生。所以准备好果真发生后，缓解风险。要落实相应的流程和技术，让你能够迅速应对，并且化解安全事件，以免势态失控。在安全事件发生之前制定好行动方案，然后一旦发现了安全事件，就严格遵守。
如果你无法随时迅速准确地看到你整个基础设施上发生的情况，很可能不知道何时遭到了攻击或危及，因而等你有所反应时已为时太晚。等到网络已被大火夷为平地，才拿着水管去灭火无事无补。你需要持续的可见性，并且辅以全面的安全功能。这些是改善安全状况的必要步骤，在面对具有动态性和弹性的现代云计算环境时更是如此。
本文作者：布加迪编译
来源：51CTO
