云服務提供商提供了日志、API、原生代理等多種技術，幫助安全團隊在整個應用堆棧中實現合規、可見和可控。

　　在云環境中，安全責任由云服務提供商（CSP）和企業安全團隊共同承擔。為了幫助安全團隊在整個應用堆棧中實現合規、可見和可控，云服務提供商和安全供應商在不同層中增加了各種創新措施。在本文中，我們將比較這些措施，并為企業提供了思考這些措施的框架。

　　1、概述

　　云服務提供商正在以驚人的速度推出新服務，使企業應用程序開發人員能夠更快地為市場帶來新的商業價值。對于每一項新服務，云服務提供商在承擔越來越多的安全責任的同時，也使企業安全團隊更多地專注于應用程序。為了能夠在這種多樣且快速變化的環境中提供可見性和安全性并增強現有的工具，云服務提供商提供了日志、API、原生代理以及一些其他技術，供企業安全團隊使用。

　　2、具體技術措施

　　有許多不同的措施來實現安全性，每種措施都有不同的權衡考量，包括可見性和深入程度、部署難易度、所需權限、成本以及適應規模等方面。

　　（1）API和日志

　　API和日志是探測云端賬戶并發現這些賬戶內安全團隊感興趣的異常活動的最佳措施。使用這些機制可以輕易獲得各種賬戶數據，且安全團隊無需做更多的工作就可以對組織中眾多賬戶進行跨賬戶訪問。該措施提供了極大的可見性，但需要輔以保護措施。

　　（2）鏡像和快照分析

　　鏡像和快照分析是一種很好的措施，可以在應用啟動前和運行中獲得更深度的工作負載數據。該措施可以對運行中的系統的磁盤鏡像/快照進行分析，以檢測所有異常、漏洞、配置事件等。快照提供了工作負載的深度數據，但可能無法檢測到內存常駐問題（memory resident issues），如無文件惡意軟件（fileless malware）。此外，隨著我們轉向使用臨時工作負載，定期分析快照可能作用有限。此外，這個機制可能不適用于無法獲得磁盤快照的云服務。該措施提供了快照的深度數據，但需要輔以一些保護措施才能發揮作用。

　　（3）原生Agent和腳本

　　原生Agent和腳本是一個很好的措施，通過提供一個簡單的方法來加強云原生Agent（如SSM）來實現更深層次的可見性和可控性。根據功能原理，這些Agent可以有很高的資源使用率。原生Agent的支持受限于云服務提供商提供的能力，如操作系統支持/提供的功能。在很多情況下，原生Agent運行的命令會記錄所需的信息，這意味著我們需要與日志記錄措施并行工作。

　　（4）DaemonSet和Sidecar容器

　　DaemonSet和Sidecar容器是一種在容器和無服務（serverless）環境中輕松部署代理的方法。Sidecar允許每個pod運行一個容器，該容器可提供深度數據，但資源使用量和成本很高，因為多個sidecar會在一臺服務器上運行。Sidecar可以在容器無服務（Container Serverless）模型中工作，而在這種模型下DaemonSet容器無法使用。由于Sidecar和DaemonSet的功能就像Agent一樣，所以本文所提到的許多Agent限制也適用。

　　（5）Agent

　　Agent通過與應用程序一起運行代碼，提供了對應用程序運行環境的最深可見性和最佳可控性。然而這種措施難以實現，因為安全團隊需要事先具備深入的主機發現能力，才能部署這些Agent。安裝Agent也存在阻力，因為它必須在每臺機器上運行，而安全團隊沒有權限在每臺機器上運行軟件，尤其是在云環境中。根據所支持的用例，該解決方案的資源使用和成本可能很高。較新的技術（如擴展伯克利包過濾器eBPF）可以減少Agent的資源占用，使其更容易被廣泛接受。

　　（6）內置入鏡像/代碼

　　內置入鏡像/內置入代碼的措施允許安全內置到被部署的應用程序鏡像中。這使得無需在每個工作負載上部署Agent即可完成安全功能的部署。這種措施提供了應用程序的深度可見性，甚至適用于無服務（serverless）的工作負載。但由于必須在構建過程中添加代碼，因此代碼編譯時會增加巨大的阻力，并且需要提供各種應用語言的代碼庫。

　　3、總結

　　每種安全措施都有其獨特的權衡，由于不同團隊使用的平臺各不相同，沒有一種措施可以滿足各種團隊的所有需求。

　　隨著時間變化，不同的云服務將會處于不同的成熟度水平。安全團隊需要采取循序漸進的方法，在服務采用周期的開始階段選用易于集成的解決方案，來提供安全性和可見性的基本防護。隨著服務上的應用程序日漸成熟并且更多高價值的應用程序逐漸上線，則需要提供更深入的發現和控制安全措施來對現有措施進行補充。

　　沒有任何單一措施能夠滿足所有客戶用例，任意時刻都會有不同的安全解決方案在發揮作用。我們正在走向一個安全措施更加多元化的世界，必須結合使用這些措施來幫助保護企業安全。