雖然主要云計算供應商提供的安全工具很方便，但這對一些用戶來說并不意味著總是正確的選擇。因此需要了解如何決定何時應選擇使用第三方安全工具。

[[345313]]

隨著網絡攻擊的增加，對于大多數組織來說，云安全成為頭等大事也就不足為奇了。但是，組織的IT團隊通常很難選擇正確的策略，因為有很多工具和服務可以幫助保護其環境。

主要有兩種可用于保護云計算工作負載的服務：云計算供應商提供的云原生安全工具，以及來自其他公司的第三方安全工具或者在某些情況下提供的開放源代碼項目。

但是哪種類型的云安全工具是最好的?其答案很大程度上取決于特定的云計算架構以及組織的安全需求的性質。

云原生安全工具

大多數公共云提供商都提供幾種類型的云原生安全工具，每種工具都旨在滿足不同的安全需求。但是由用戶自行決定是否可以滿足其特定的安全要求。

在組織確定云原生安全工具是否適合其工作負載之前，需要探索可從AWS、谷歌云平臺和微軟Azure獲得的不同類型的安全產品。每個供應商提供每種工具的功能或多或少是等效的，盡管并非總是在它們之間進行一對一的比較。

身份和訪問管理

所有公共云都提供身份和訪問管理(IAM)框架。云計算管理員可以使用這些框架來配置哪些用戶或服務可以訪問不同的基于云計算的工作負載或資源。

這些類型的供應商工具還提供補充服務，用于實施雙因素身份驗證、將基于云計算的訪問管理(IAM)框架與目錄服務集成，以及管理與身份驗證和授權相關的其他常見任務。

審計與監控

諸如Amazon Inspector和Microsoft Azure安全中心之類的云原生安全工具會自動檢查常見類型的云計算工作負載的配置，并在檢測到潛在的安全問題時生成警報。谷歌云數據丟失預防和Amazon Macie通過自動檢測未得到適當保護的敏感信息并向用戶發出警報，為數據提供了類似的功能。

為了進一步保護數據，有一些工具(例如Amazon GuardDuty和Azure Advanced Threat Protection)可以監視可能預示基于云計算的環境和內部部署環境中安全問題的事件。

防火墻和防止DDoS攻擊

IT團隊使用Google Cloud Armor、AWS網絡應用防火墻和Azure防火墻等服務來配置防火墻，以控制對云平臺中運行的應用程序的網絡訪問。相關工具可緩解針對基于云計算資源的DDoS攻擊。

加密

可以使用Amazon S3和Azure Blob Storage等存儲服務中內置的原生功能對主要公共云上存儲的數據進行選擇性加密(在默認情況下會自動加密)。公共云供應商還提供基于云的密鑰管理服務，例如Azure Key Vault和谷歌關鍵管理服務(Google Key Management Service)，以安全地跟蹤加密密鑰。

安全運營中心

最后，為幫助云計算管理員集中管理所有安全工具及其相關數據，云計算供應商還提供了與安全運營中心差不多的服務。全球三個主要的云計算提供商提供了Azure安全中心、AWS安全中心和谷歌云平臺的安全運營中心，以幫助用戶管理其安全工具。

第三方云安全工具

盡管某些組織將默認使用其云計算提供商的原生安全工具，但還有其他選擇。實際上，許多第三方工具可以實現上述相同的功能。

例如，如果要監視云計算基礎設施中的安全事件，則可以使用商業服務，例如Splunk、IBM QRadar或LogRhythm，它們也提供安全運營中心的許多功能。

組織可以使用VeraCrypt或AxCrypt等開源工具對存儲在云中的數據進行加密。諸如Cloudflare和Akamai之類的第三方防火墻服務可以保護云計算應用程序免受網絡攻擊者的威脅。

這就引出了一個問題：是使用云計算供應商的安全工具還是選擇第三方產品?確定最佳方法時需要權衡三個因素。

組織的原生安全需求是什么?

盡管組織可以使用某些云原生安全服務(例如Amazon GuardDuty和Azure Advanced Threat Protection)來管理內部部署設施和基于云計算基礎設施的安全風險，但其他服務僅在云平臺中工作。例如，不能使用基于云計算的數據安全服務的原生加密功能來加密內部部署的數據。

另一個例子是，基于云計算的防火墻服務可能被用來保護內部部署應用程序，但前提是要建立一個相對復雜和昂貴的架構，將這些應用程序與云計算防火墻服務集成在一起。

因此，組織最好在企業內部和公共云中廣泛使用第三方選項。在這種情況下，公共云原生安全工具是不夠的，因為第三方提供商在保護基于云計算的資源和內部部署資源方面提供了更多的平等性。

是采用多云的組織嗎?

同樣，采用多云策略的組織可能應該選擇第三方安全工具。云計算供應商提供的原生安全產品通常不能與競爭性公共云上的產品一起使用。

在某些情況下，有可能構建復雜的人工集成，這將使IT團隊能夠將一個云平臺中與安全相關的數據提取到另一云平臺中的安全監視工具中。但這更加麻煩。取而代之的是，選擇同時與多個云供應商的數據或服務集成的第三方工具。

組織的云計算安全需求將如何擴展和發展?

組織還需要考慮其云計算安全需求的范圍以及隨著時間的推移將會如何增長。

如果組織只有少量工作負載在云平臺中運行，并且暫時不希望這種情況發生變化，那么僅靠云計算供應商的安全工具來保護它們是可行的。在大多數情況下，這種方法設置的速度更快，因為安全工具與組織的云原生服務集成在一起。

但是，如果組織希望其云計算足跡穩定增長，或者需要靈活性以遷移到其他云平臺或將工作負載遷移回內部部署設施，則第三方安全服務將提供更大的靈活性。