从边缘到云：优先考虑安全性的关键挑战与最佳实践

保护传统的云工作负载可能很困难，但网络边缘的工作负载面临额外的安全挑战，例如更大的攻击面和更高的物理安全攻击风险。

有效的边缘到云安全策略可以减轻企业IT基础设施中的威胁，同时提高安全操作的效率和可扩展性。对于利用边缘计算来提高性能或数字化流程的企业来说，在边缘实施安全性与保护传统数据中心的工作负载同样重要。

什么是边缘计算？

边缘计算指的是物理上比传统云数据中心更接近最终用户或数据源的IT基础设施。例如，监控工厂内部条件的物联网设备或跟踪患者健康状况的智能设备。这些都是在边缘操作的设备示例。

边缘工作负载带来了一系列特殊的安全挑战，这些挑战在传统数据中心中要么不存在，要么在边缘环境中更加明显。这些挑战包括分布在多个设备上的更大攻击面、有限的计算能力和网络安全风险。

边缘工作负载的6个安全漏洞

攻击面 边缘网络通常包括多个独立设备。部署远程传感器监控患者生命体征的医疗保健公司可能有数千个这样的设备在运行。同样，使用物联网设备监控偏远地点天然气管道的公用事业公司可能依赖包含数万个传感器的网络。边缘基础设施的规模可能导致更大的攻击面，因为威胁行为者可以针对更多设备。当设备分布在不同位置时，实施中央安全控制可能更加困难，这使攻击面管理复杂化。
物理安全威胁 大多数云数据中心对物理攻击具有高度弹性。数据中心通常建在偏远地区，并在地理上分散。这种冗余可以作为另一层安全。云数据中心还可以配备各种物理安全措施来预防和阻止入侵者。相比之下，边缘工作负载的物理安全保护通常不那么全面，因为它们位于任何人都可以轻松访问的环境中。这并不意味着管理员不能投资于其资产的物理安全，但与传统数据中心相比，他们可能在资源上处于劣势。
网络安全风险 边缘工作负载依赖中央网络相互通信，并与云数据中心托管的应用程序通信。任何能够访问这些网络连接的人都有可能“嗅探”边缘设备产生的敏感信息。如果数据未加密，他们将能够查看它。攻击者也可以针对传统数据中心中的网络数据，但这通常更困难，因为数据中心网络基础设施受到防火墙的保护，并且不受边缘网络物理安全风险的影响。
有限的计算能力 边缘设备通常很小，计算和内存资源有限。边缘计算将基础设施放置在最终用户设备附近。例如智能摄像头或自动驾驶汽车。这些设备无法支持数据中心所能提供的资源。因此，这些设备可能无法运行企业通常在传统端点上安装的安全监控或加固软件类型。
自定义硬件和软件 一些边缘设备包括定制硬件组件。它们可能还使用非标准操作系统或自定义软件。这种定制可以满足特定的工作负载要求或合规需求。然而，缺乏标准化可能带来安全挑战，因为难以充分监控边缘工作负载。大多数网络安全监控和异常检测工具适用于标准应用程序和操作系统，而不是边缘环境中的那些。
硬件供应链攻击 存在威胁行为者在制造或运输过程中篡改边缘设备硬件的风险。例如，潜在的不良行为者可以在其上安装恶意固件。虽然这些类型的攻击迄今为止很少见，但它们是一个真实的风险。考虑到生产物联网设备的全球硬件供应链的复杂性和缺乏透明度，这一点尤其如此。

什么是边缘安全？

边缘安全扩展到边缘安全的各个方面，包括物理设备安全、边缘软件安全、网络安全以及存储在边缘设备上的敏感数据的保护。边缘安全是其自身的学科。然而，部署边缘设备以及传统基于云的工作负载的企业必须将边缘安全无缝集成到其更广泛的策略中。为此，组织必须了解传统安全措施在保护边缘工作负载时的局限性。

考虑共享责任模型。在传统的公共云环境中，云服务提供商（CSP）承担保护托管云工作负载的基础设施的责任。他们的客户通常负责保护他们在云基础设施之上运行的任何软件。当管理员将边缘设备添加到其IT资产中时，他们不能将边缘基础设施的安全委托给CSP。由于CSP不控制边缘设备，管理员负责保护它们。即使对于像AWS IoT设备管理或Azure IoT Hub这样管理边缘设备的基于云的服务也是如此。虽然这些服务跟踪边缘设备并可以帮助监控和软件更新等任务，但它们无法解决边缘安全的所有方面，因为CSP不控制边缘设备本身。

从边缘到云保护应用程序的最佳实践

没有一种简单的技巧可以将边缘安全无缝集成到更广泛的安全策略中。但有几个关键实践可以帮助企业保持边缘工作负载的安全，包括以下内容：

端到端加密 在所有网络上加密数据有助于防止窃听者在边缘设备和数据中心之间移动时窃取敏感信息。加密还保护云环境中存在的更传统类型的数据。
身份验证和访问控制 使用云提供商的身份和访问管理（IAM）框架，企业可以定义身份验证和访问控制，限制基于云的应用程序、服务和用户访问敏感信息。请注意，IAM策略通常不会防止对边缘设备的未经授权的物理访问。
集中存储敏感数据 为了减轻对边缘设备的物理攻击的安全风险，最佳实践是在可能的情况下将敏感数据移动到更安全的数据中心。不要将数据本地保留在边缘设备上，而是将其移动到云中。这样，如果攻击者获得对设备的物理访问权限，就不会暴露敏感数据。
安全通信 组织应尽可能部署网络防火墙、网关和VPN，以帮助减轻基于网络的攻击。如果边缘设备不需要使用公共互联网进行通信（大多数不需要），允许它们仅连接到安全的私有网络可以帮助减轻安全风险。
持续监控 持续监控IT资产的所有组件以寻找异常活动的迹象，可以实时提醒组织恶意行为。即使在由于资源限制或非标准硬件和软件而无法直接在边缘设备上运行安全工具的情况下，也可以监控数据（如网络流量）作为检测异常活动的手段。
供应链安全 运营云和边缘环境的企业应保护其供应链的所有方面。这些不仅包括软件供应链，还包括他们依赖的制造边缘硬件的硬件供应链。组织应了解哪些供应商提供其设备中的各种硬件组件，并确保他们信任这些供应商。
攻击面最小化 边缘环境具有广泛的攻击面，几乎是由定义决定的。但这并不意味着企业不能采取措施减少攻击面。诸如关闭未使用的边缘设备和避免在边缘设备上使用不必要的硬件和软件组件等实践有助于保持攻击面精简。
云网络加固 虽然通常无法在边缘设备上部署网络安全保护，但管理员可以使用防火墙、入口控制器和云访问安全代理软件等工具加固云网络。这些可以帮助检测和阻止源自边缘设备的恶意流量，从而有助于阻止从边缘开始的安全漏洞的传播。

Chris Tozzi是一名自由撰稿人、研究顾问和IT与社会教授。他之前曾担任记者和Linux系统管理员。