基于對全球網絡威脅趨勢和云數據中心安全運營需求的演進變化，中國網絡安全軟件領域的領跑者亞信安全，近期正式發布亞信安全信艙（DS）——云主機安全產品的最新20版本（簡稱DS 20）。從推動物理主機加固到虛擬化專屬防毒，再到承載云時代安全威脅的進階防御，DS 20已演化為全面滿足云工作負載保護平臺CWPP功能，具備自適應安全架構及端點檢測及響應（EDR）等特性的一體化解決方案，“懂云”的云主機安全管理平臺進化到新高度。

數據中心安全環境變遷，云主機威脅持續飆升

數字經濟的快速發展和融合，給數據中心帶來了眾多挑戰，尤其是云數據中心面臨的安全風險正在加劇：云環境數據存儲位置不受租戶控制產生的數據泄露、針對云環境發起的病毒與網絡攻擊、不同來源系統彼此靠近增加的系統漏洞、運營管理中夾雜的惡意破壞或誤操作，以及缺乏隔離機制在云共享場景下出現的跨站腳本攻擊、審計合規、賬戶劫持甚至是DDos攻擊等等。

持續演化的數據中心安全威脅不會遠離，但同時在云的核心——云主機側也出現了新的安全運維難題：

l 檢測響應弱

云主機系統遭受惡意攻擊的頻率上升，云主機被成功入侵平均時長縮短至約20小時。帶有開放端口和漏洞的云端主機成為黑客攻擊的首要對象，而傳統的云計算安全架構下，安全防護占到了90%，檢測與響應只有10%，一旦云主機受到攻擊，整個信息系統中最具價值的部分將面臨失竊和被破壞的風險。

【圖：云主機安全風險檢測與分析】

l 覆蓋范圍窄

多云、跨云、跨系統（公有云、私有云、混合云、操作系統）的數據中心環境日趨復雜，云主機攻擊面持續擴大。而這些云主機上可能端存在大量易受攻擊的資產端口（包括遠程連接服務端口、遠程桌面服務端口、數據庫端口、郵件服務端口等），亦面臨較高的勒索病毒及病毒變種攻擊風險。

l 合規落地難

即使合規標準讓運維人員有了檢查默認風險的標桿，但是面對數量龐大云主機，如何快速、有效地檢查設備，又如何集中地收集核查的結果，以及制作風險審核報告，最終識別那些與安全規范不符合的項目，以達到整改合規的要求，這些是網絡安全運維人員面臨的新的難題。

全面覆蓋CWPP能力

例如：亞信安全作為云安全防病毒“無代理技術”的引航者，為滿足云主機工作場景下衍生出的安全運維新需求，支撐云數據中心安全責任共擔機制，以及適應運維流程和安全運營由外到內變化，結合近年攻防對抗中的實際應用場景，推出了云主機安全產品DS 20。在防病毒、入侵防護、完整性檢測、虛擬補丁、日志審計構建的縱深防御基礎上形成了全面覆蓋云工作負載保護平臺（Cloud Workload Protection Platform，CWPP）能力的云主機安全方案。

Gartner提出的云工作負載保護平臺（CWPP）滿足云原生安全對于租戶安全、敏捷性、細粒度和復雜性的要求。云工作負載是承載云計算的節點，包括物理機、虛擬機、容器、微服務和無服務器等，而CWPP則是為混合云、多云工作負載提供保護的方法，可為不同位置、不同粒度的工作負載提供統一的監控和展示。

【圖：CWPP模型要求的云主機安全能力】

CWPP能力金字塔包括：

• 加固、配置和漏洞管理；
• 基于身份的隔離和流量可視化；
• 系統完整性保證；
• 應用控制與白名單；
• 漏洞利用預防和內存保護；
• 服務器工作負載EDR行為監測、威脅檢測和響應；
• 具有漏洞屏蔽功能的主機防入侵；
• 反惡意軟件掃描。

亞信安全云主機安全產品針對CWPP所定義的8個不同層面的安全能力全面覆蓋，并可以將偵測Agent所占用的計算資源，并可根據閾值智能調節計算資源占用比率使之達到合理的使用范圍，以最優性能實現安全進階。除此以外，DS 20還對歐拉、麒麟、凝思、中興、UOS等國產操作系統具備支持能力,更好的適配信創場景。

五大新功能加入

DS 20可以通過虛擬補丁、病毒防護以及XDR形成云工作負載聯合防御，同時還新增了資產、漏洞、資源監控和主機加固等特性，為跨云環境提供了持續監控及強大的對接功能。

【圖：DS 20云安全防護擴展能力一覽圖】

亞信安全云主機安全產品新增功能如下：

• 跨平臺無代理支持功能

企業通過華為、華三、vmware等虛擬化技術構建的虛擬化平臺，容易受到黑客攻擊、勒索及挖礦、木馬、蠕蟲等多種病毒攻擊 、系統及應用的0day、補丁安全風險等問題，企業需要進行虛擬化安全建設，DS 20保障跨多個云平臺的虛擬化安全；

• 企業資產風險管理功能

加入資產檢查和風險評估模塊，將安全管理貫穿于網絡和信息系統建設、運行維護等設備運行的全部生命周期；

• 用戶行為檢測與響應功能

通過對終端操作系統、應用及用戶的行為持續的詳細記錄和分析，實現對企業終端和網絡中惡意威脅的檢測、遏制、調查、修復等場景的安全閉環；

• 云主機基線合規檢查功能

針對行業規范和等級保護綱領性規范要求，幫助用戶快速、有效的檢查云主機操作系統及應用的弱口令、高危賬號、配置缺陷、網頁后門、反彈shell等問題，實現對業務系統資產進行等保定級跟蹤，根據資產定級自動進行對應級別的安全配置檢查，對合規情況出具等保符合性報告；

• 云主機漏洞風險管理功能

云主機漏洞風險管理即能實現對服務器及應用的漏洞掃描、風險評估、修復建議，滿足用戶對漏洞修復的需求，也能通過虛擬補丁能力，在面對0Day漏洞無法快速防護漏洞、老舊操作系統及應用無法修復補丁、關鍵服務器無法重啟的情況下，通過虛擬補丁幫助用戶在無須重啟的情況下，實現服務器及應用系統漏洞批量管理。