云工作負載保護是確保跨不同云環(huán)境移動的工作負載安全的過程。整個工作負載必須正常運行，基于云的應(yīng)用程序才能正常工作，而不會引入任何安全風(fēng)險。因此，應(yīng)用服務(wù)的云工作負載安全和工作負載保護與桌面計算機上的應(yīng)用安全有著根本的不同。

網(wǎng)絡(luò)犯罪分子正在增加勒索軟件攻擊和針對企業(yè)的數(shù)量。隨著云計算基礎(chǔ)設(shè)施的激增，漏洞也在增加。依賴于預(yù)防性端點保護或限制對端點設(shè)備的訪問的安全策略缺少云中正在發(fā)生的事情。為了保護自己免受網(wǎng)絡(luò)攻擊，使用私有云和公共云的企業(yè)需要專注于保護自己免受工作負載級別的傷害，而不僅僅是端點。

為什么云工作負載保護很重要？

工作負載由支持應(yīng)用程序及其交互的所有進程和資源組成。在云中，工作負載包括應(yīng)用程序、由應(yīng)用程序生成或輸入到應(yīng)用程序中的數(shù)據(jù)，以及支持用戶與應(yīng)用程序之間連接的網(wǎng)絡(luò)資源。如果工作負載的任何部分受到損害，基于云的應(yīng)用程序?qū)o法正常運行。

工作負載安全在混合數(shù)據(jù)中心架構(gòu)中尤其復(fù)雜，該架構(gòu)采用從物理、本地機器到多個公共云基礎(chǔ)設(shè)施即服務(wù) (IaaS) 環(huán)境到基于容器的應(yīng)用程序架構(gòu)的所有內(nèi)容。云工作負載安全特別復(fù)雜，因為隨著工作負載在多個供應(yīng)商和主機之間傳遞，保護工作負載的責(zé)任必須分擔(dān)。

使用 CWPP 的云工作負載保護

Gartner 將云工作負載保護平臺 (CWPP) 定義為“主要用于保護公共云基礎(chǔ)設(shè)施即服務(wù)環(huán)境中的服務(wù)器工作負載”的技術(shù)解決方案。CWPP 允許多個公共云提供商和客戶確保工作負載在通過其域時保持安全。

使用 CWPP 保護工作負載的主要方法有兩種：微分段和裸機管理程序。

• 微分段：確保工作負載受到保護的一種方法是實施 稱為微分段的網(wǎng)絡(luò)安全技術(shù)。通過微分段，安全架構(gòu)師將數(shù)據(jù)中心劃分為不同的安全段，直至單個工作負載級別，然后為每個段定義安全控制。網(wǎng)絡(luò)虛擬化技術(shù)取代了物理防火墻，并允許微分段來定義靈活的安全策略，以隔離和保護各個工作負載。雖然端點保護旨在防止威脅進入環(huán)境，但微分段可防止惡意軟件在環(huán)境中從服務(wù)器遷移到服務(wù)器。
• 裸機管理程序：裸機管理程序可以提供額外的工作負載保護。管理程序是一種虛擬化軟件，它通過將計算機的軟件與硬件分離來支持虛擬機的創(chuàng)建和管理。裸機管理程序直接安裝在物理機的硬件上，位于硬件和操作系統(tǒng)之間。因為 管理程序 創(chuàng)建的虛擬機相互隔離，所以如果一個虛擬機出現(xiàn)問題或受到攻擊，問題就會與該服務(wù)器隔離，這意味著其他虛擬機上的工作負載不會受到影響。

一些 CWPP 解決方案支持啟用虛擬機管理程序的安全層，這些安全層專為保護云工作負載而設(shè)計。

工作負載保護與應(yīng)用程序安全有何不同？

應(yīng)用程序安全性是指將應(yīng)用程序本地部署在桌面上，一個用戶訪問應(yīng)用程序的每個實例。桌面應(yīng)用程序中唯一的安全漏洞是應(yīng)用程序代碼中的漏洞——環(huán)境的其余部分可以忽略不計。從歷史上看，IT 組織可以通過保護桌面并防止威脅到達它來確保應(yīng)用程序的安全性。

基于云的應(yīng)用程序需要不同形式的應(yīng)用程序安全性。用戶和應(yīng)用程序之間的抽象為漏洞創(chuàng)造了更多機會，特別是如果組織不通過使用公共云來控制部分環(huán)境。由于基于云的應(yīng)用程序在工作負載的所有部分都無法正常運行的情況下無法正常工作，因此企業(yè)必須保護和監(jiān)控工作負載的每個部分，而不僅僅是應(yīng)用程序。

工作負載保護的好處

基于云的應(yīng)用程序的挑戰(zhàn)在于，工作負載可能會在幾個不同的環(huán)境中移動，所有這些環(huán)境都由不同的供應(yīng)商和技術(shù)擁有和保護。CWPP 可以跨這些環(huán)境提供工作負載保護。通過 CWPP 實施工作負載保護有很多好處：

• 工作負載行為監(jiān)控：監(jiān)控工作負載行為是云工作負載保護的重要組成部分。CWPP 通過工作負載監(jiān)控提供工作負載安全的兩個重要方面：檢測和響應(yīng)。通過監(jiān)控工作負載行為，CWPP 可以在任何地方檢測到入侵并發(fā)出警報。
• 配置工作負載的可見性和能力：查看單個工作負載中發(fā)生的情況并能夠配置這些工作負載以管理漏洞是工作負載保護的一個重要方面。
• 綜合日志管理 和監(jiān)控：當(dāng)工作負載的每個部分都有與之關(guān)聯(lián)的不同安全技術(shù)時，監(jiān)控所有部分可能會很耗時。CWPP 提供了一個單一窗格，顯示每個環(huán)境中工作負載的每個部分正在發(fā)生什么。
• 系統(tǒng)強化和漏洞管理：CWPP 可能能夠通過識別可能造成安全風(fēng)險的多余應(yīng)用程序、權(quán)限、程序、帳戶、功能、代碼等來幫助您消除潛在的攻擊媒介。
• 內(nèi)存保護：內(nèi)存保護，僅包含在少數(shù) CWPP 中，是一種新興的安全控制，隨著黑客開發(fā)新技術(shù)來利用內(nèi)存中的弱點并輕松繞過傳統(tǒng)的安全方法，它變得越來越重要。
• 最新的威脅情報：一些 CWPP 在其客戶群中共享 威脅情報 ，為新威脅提供預(yù)警系統(tǒng)。

安全形勢在不斷發(fā)展，對于將云作為其計算基礎(chǔ)設(shè)施一部分的組織來說，傳統(tǒng)的安全系統(tǒng)已經(jīng)不夠用了。企業(yè)需要規(guī)劃跨多個云環(huán)境的工作負載保護。云工作負載保護平臺可以提供對多個環(huán)境的可見性，同時從一個儀表板整合和處理安全警報。