【paloaltonetworkscortexcloud】致云安全防御人员的检查清单

近日，Palo Alto Networks发布了《致云安全防御人员的检查清单》报告，这份报告深入探讨了云安全防御的多个关键领域，提供了一个全面的框架，帮助安全专业人员评估和提升他们对云环境的保护措施。报告涵盖了从身份和访问管理到数据保护、运行时安全、网络防御、威胁检测与响应、软件供应链安全、治理风险与合规性，以及AI风险治理等多个维度，旨在促进安全讨论并进行战略评估。这份报告是云安全领域的宝贵资源，为防御人员提供了实用的检查清单和行动指南，以确保云环境的安全性和合规性。

在云计算的浪潮中，安全问题日益凸显，成为企业和个人关注的焦点。最近，Palo Alto Networks 发布的《致云安全防御人员的检查清单》报告，为我们提供了一份全面的云安全战略指南，旨在帮助我们识别和缓解云环境中的安全风险。

报告指出，云环境的动态性和短暂性使得传统的静态控制措施变得不再有效。权限可能发生漂移，工具的演变速度超过了治理框架的更新速度。在这样的背景下，我们需要一份检查清单来促进安全讨论，并在当前形势下进行战略评估。

身份和访问管理是云安全的基础。报告强调，每项云安全计划都依赖于清晰的身份界限和严密的访问实践。零信任模型要求我们无一例外地规定谁可以访问什么、从哪里访问以及在什么条件下访问。报告中提到的一个关键指标是，所有身份的多因素认证（MFA）执行率达到200%，这意味着包括人类身份、联合身份和服务身份在内的所有身份都应通过策略强制执行MFA，没有配置漂移。

数据发现和分类是另一个关键领域。报告指出，碎片化的数据环境会造成盲点，如果不深入了解数据类型、分类和暴露程度，清单就无法反映风险。报告建议我们识别所有敏感数据的存储位置，包括非托管和临时服务，并区分受监管数据和业务关键数据。报告中的数据显示，100%的敏感数据资产被分类和标记，任何环境中都没有未加密的敏感数据，这些是成功实施数据发现和分类的关键指标。

运行时安全和工作负载保护也是报告中讨论的重点。工作负载一旦部署，其行为就不再像静态资产一样，它们会膨胀出短暂的进程，跨越信任边界，产生扫描程序无法预测的行为。报告中提到的一个行动项目是在构建时扫描每个工作负载，配置CI管道，对镜像、IaC模板和功能代码执行拦截策略，使引入高危漏洞或错误配置的构建失败。

网络和边界防御方面，报告强调云网络打破了传统的安全边界，身份取代了IP。报告中的数据显示，100%的入口规则默认为拒绝，每个安全组和防火墙策略都以明确的拒绝基准为起点，例外受到时间限制，每季度审核一次，限定为已验证的需求。

威胁检测和响应是云安全中的一个重要环节。报告指出，云漏洞始于未被察觉的活动，这些活动要么是逃逸的，要么是隐藏在过多遥测数据的噪音之中。报告中的数据显示，100%覆盖原生云审核日志，AWS、Azure和GCP上的所有关键服务都将日志转发到可以长期保留并且可搜索的集中式平台。

软件供应链和CI/CD安全也是报告中关注的重点。现代应用程序依赖于开源库、第三方软件包、自动化脚本和基础设施即代码，所有这些都随DevOps的速度发展。报告中的数据显示，100%的构建都生成并保留SBOM，每次发布都包含一份机器可读的软件物料清单，与工件一起存储。

治理、风险与合规性是云安全不可或缺的一部分。报告强调，没有治理，安全就无法扩展。报告中的数据显示，≥95%的资源部署了策略即代码执行机制，新的基础设施会接受部署前检查，其中策略即代码引擎会在开通前验证配置、标记和访问。

持续威胁暴露管理是报告中讨论的另一个重要领域。报告指出，云环境瞬息万变，新资产的出现毫无预兆，配置随时漂移，威胁暴露的出现速度之快超出了大多数团队的评估能力。报告中的数据显示，对所有云账户中面向互联网的资产实现100%可视性，资产发现工具会清点所有公共IP、DNS记录和外部暴露的服务，近乎实时地更新，并根据提供商API和威胁情报源进行验证。

AI风险治理是报告中的最新议题。AI系统通过API、SDK、编排管道和嵌入式推理进入云环境，治理必须涵盖AI的整个生命周期。报告中的数据显示，所有生产模型都按敏感度进行映射和分类，每个活跃模型都包含所有权、数据源、预期用途和暴露级别。

这篇文章的灵感来自于Palo Alto Networks发布的《致云安全防御人员的检查清单》报告。除了这份报告，还有一些同类型的报告，也非常有价值，推荐阅读，这些报告我们都收录在同名星球，可以自行获取。

以上为节选样张，关注公众号【蝉鸣报告】回复领取PDF完整电子版（无广告）。

【蝉鸣报告】每日更新最新硬核报告，覆盖产业报告、全球化、经济报告、趋势等全领域。