边缘基础设施：首席信息官应该了解有关安全性的7个关键事实

本文介绍了边缘安全的7个事实，以便在企业规划和优先考虑边缘环境中的安全性时加以重视。

安全因素如何影响企业的边缘计算策略？可以考虑一些事实来指导其计划。

网络安全环境既复杂又广阔。而且遗憾的是，边缘计算用例以及物联网等相关技术的日益普及并不会神奇地简化一些事项。

这当然并不意味着企业不能更安全地构建边缘架构，这只是对其威胁模型的一个改变。因为根据定义，企业正在将基础设施、应用程序和数据移动到远远超出其中央或主要环境的范围内。

Hidden Layer公司首席执行官Christopher Sestito说，“边缘计算为用户体验带来了巨大的好处，但其代价是引入了基本的安全问题。”

其中许多问题听起来应该很熟悉，例如访问控制和管理、传输中的数据、大量新的联网设备等。即使在高度分布、多样化的边缘环境中，它们也不是不可克服的。

正确规划和优先排序、更安全的边缘环境甚至可以加强现有的态势。边缘计算和混合云具有互补关系，应该延伸到安全性。正如凯捷公司美洲分公司管理企业网络架构师Ron Howell指出的那样，边缘采用不仅可以帮助推动更灵活的计算模型，还可以帮助推动更灵活的混合安全模型。

Howell说，“如今消息灵通且具有前瞻性的首席信息官应该避免安全锁定，并选择一种混合安全计算模型，该模型可以用于企业需要安全的地方。”

边缘安全的7个事实

考虑到这一点，需要考虑关于边缘安全的7个事实，以便在企业规划和优先考虑边缘环境中的安全性时加以考虑。

(1)事实1：可见性是安全的先决条件

这是安全的一个基本事实：如果不知道风险的存在，那么就无法应对风险。在边缘基础设施的场景中的说法是：如果看不到它，就无法保护它。

可见性(这里是指用于汇总监控和可观察性功能)是边缘安全的必备条件。Howell说，“有了可见性，可见性就可以帮助企业适当地规划他们的边缘安全战略。”

(2)事实2：自动化是支柱

自动化是可持续运营和管理的边缘计算支柱。这也是边缘安全的第二个先决条件。

一方面，边缘非常符合安全自动化的一般承诺：各种企业面临的风险太多并且太复杂，仅靠人类的智慧和努力无法管理。换句话说：人们需要机器的帮助以最大限度地提高安全防御能力。由于存在很多新的潜在漏洞和恶意行为点，这也很重要。

Sestito指出，自动检测响应技术(如EDR和/或XDR工具)可能非常适合。可以自动检测异常行为或其他活动，然后启动初始响应步骤或适当升级的工具以进行人工干预，这值得考虑。

(3)事实3：供应链安全现在更加重要

正如Red Hat公司技术布道者Gordon Haff在2022年初指出的那样，软件供应链安全是今年企业IT的热点问题之一。

这是因为就像在其他供应链中一样，大多数软件都依赖于其他软件来构建、打包和部署。即使是拥有庞大开发团队的企业也使用第三方编写的代码，并且通常是大量代码。

同样的原则在边缘计算中也发挥着重要作用，不仅在软件中，而且在各种硬件和其他基础设施中，其中一些默认情况下没有得到强化。

已经全面考虑其IT供应链的企业将在这里处于有利地位;建议那些没有这样做的企业使用他们的边缘用例作为开始的理由。

(4)事实4：需要控制访问/权限

Sestito和其他安全专家表示，边缘安全绝对需要对用户权限(包括非人类用户)和行为采取更精细的方法。

如果企业还没有使用和执行多因素/双因素认证(2FA/MFA)，那么现在是开始采用的时候了。一些专家表示，零信任模型是在边缘环境中采用的方式。如果人员或系统实际上不需要访问，则不要授予权限。

(5)事实5：与其他分布式模式一样，分层的安全方法是最好的

没有一揽子安全解决方案可以降低所有风险，这在边缘、云端、数据中心或企业办公室中都是如此。企业的IT堆栈有多个层次;即使是单个应用程序也有多个层。企业的安全态势也应该如此。边缘计算为多层安全方法提供了支持。

虽然边缘环境中的细节可能有所不同，但这里的核心概念仍然相关：精心规划的流程、策略和工具组合(或分层)尽可能依赖自动化，这对于保护固有的分布式系统至关重要。实际上，边缘架构越来越有可能与容器化和编排重叠。

(6)事实6：分段/隔离限制了事件影响

细粒度的概念也适用于基础设施和网络级别。边缘架构中的端点或节点越多，潜在的漏洞就越多。

Couchbase公司产品管理总监Priya Rajagopal说：“企业必须确保在边缘位置的粒度上实施安全控制，并且任何被破坏的边缘位置都可以被隔离，而不会影响所有其他边缘位置。”

这在概念上类似于限制“东西向”流量以及容器和Kubernetes安全性中的其他形式的隔离和分段。不要让单个易受攻击的容器映像(或边缘节点)成为企业的应用程序或网络敞开的大门。

(7)事实7：设备安全性很严格，因此要加倍关注应用程序/数据

许多边缘环境的实际情况是，保护设备和其他硬件可能会带来特殊的挑战，尤其是在物联网用例中。

Rajagopal说：“当企业的员工开展远程工作时，通常会处理大规模数据，并且许多生成数据的设备仅限于没有安全加固，例如物联网传感器。”

从安全的角度来看，传感器和设备在许多环境中都会存在一些固有的风险或缺陷，因此需要关注应用程序和数据。

Rajagopal说，“因此，重要的是要假设最坏的情况，并加强应用程序抵御分布式拒绝服务(DDoS)攻击等威胁。”

Howell建议，可以考虑SD-WAN或基于云的安全访问服务边缘(SASE)等技术，作为在更接近应用程序实际运行的地方应用安全性的手段。他说，“SD-WAN和SASE是更安全的连接工具，并且经过专门设计并用于混合安全模型，其中灵活的设计可以将网络和安全服务放置在最需要的地方。”

加密是必须的，尤其是当数据从边缘位置传输到云平台(或内部部署数据中心)并返回时。

Rajagopal说，“读取/写入的每一位数据都需要经过身份验证和授权，所有流量都需要端到端加密。”