过去十年来，IT 领域最深刻的变化之一是大规模采用了 AWS、Azure 和 GCP 等公共云(IaaS) 服务。

公共云不“仅仅”局限于在远程数据中心运行企业的服务器，而重点在于可以代码形式使用多元化的基础设施，包括服务商提供的存储服务、虚拟机和容器等构建模块以及底层网络，都可以通过调用公共云 API 进行即时修改、上线。这让使用公共云的企业在速度和灵活性方面获得了巨大的优势，这反过来又推动了 DevOps 技术的出现。

采用公共云和 DevOps 技术尽管有很多优点，但也意味着要使用众多新技术，而攻击面的变化速度也会急剧增加。这就导致基础设施本身的可见性降低，而且往往更加复杂，这恰恰是安全性的“敌人”。

网络安全始于网络健康

我们认为，网络安全始于高效的网络健康，也就是要确保充分考虑计算基础设施的各个环节，使之得到适当的配置和更新。密切关注基础设施的状态，确保它的更新，才能大大减小网络攻击面。毕竟， 根据Gartner 17年底的最新报告，到2020年，通过利用漏洞进行的安全攻击事件中，有 99% 是已知的安全漏洞问题。https://www.forbes.com/sites/gartnergroup/2016/08/18/top-10-security-predictions-through-2020/#4d51895d5b39然而，在公共云的动态世界中，维护网络健康却很难。我们了解到，许多安全团队甚至都不知道有哪些组件在运行，更不用说这些组件的更新和严密配置了。

从公共云基础设施滥用所带来的诸多问题就可见一斑，比如默认 SSH 凭证的滥用，如17年AWS错误配置安全事件http://www.eweek.com/security/misconfiguration-of-aws-services-by-users-exposes-cloud-security-risks。

公共云是安全的福音

尽管发生了这些引人注目的事件，但我们认为，只要我们能明智地使用 DevOps 方法和技术，按规范使用公共云将是安全的一个福音。不可变容器、微服务和自动化安全测试实际上可以改善企业级的安全性。

但是，许多安全解决方案都建立在本地实体数据中心的基础之上，并不具备公共云所需要的重要规模和可见性。安全团队需要这种规模和可见性才能跟踪他们的公共云基础设施中正在发生的情况。它还能提供必要的背景和数据，以便与 DevOps 团队进行适当的合作，实现许多业界人士所说的 DevSecOps。

安全风险管理平台：为云安全提供更大的可见性

网络风险学科将帮助安全部门负责人接受 DevSecOps 原则，致力于管理和衡量公共云基础设施的网络风险。传统的漏洞管理实践必须发展，才能在以下方面为云安全提供更大的可见性：

• 云资产的实时发现和持续监控

• 在软件开发生命周期中，对云资产进行静态扫描和动态扫描的集成

• 与 DevOps 集成的自动化无缝工作流

今天，我们高兴地宣布，Tenable.io 推出以下新的重要产品功能，它们将帮助您更安全的使用公共云：

• Microsoft Azure 和 Google 云平台的新型云连接器：持续发现并跟踪 Azure 和 GCP 云环境中的资产变化，确保了解所有云工作负荷，并实施漏洞评估。这些新型连接器将与现有AWS 云连接器共同为部署最为广泛的三大公共云 (IaaS) 平台提供一个统一的网络安全风险视图。

• Tenable.io 容器安全功能中的新容器运行时扫描：了解生产中运行的容器的网络风险。这一重要产品增强功能通过 Tenable.io 容器安全功能与 Tenable.io 漏洞管理功能共同实现，二者协同工作，从构建到生产，将安全性无缝地集成到端到端的 DevOps 流程中。

• Tenable.io Web 应用扫描功能中的新Web 应用发现：识别整个企业中拥有和部署的 Web应用，包括以前未知的应用，以了解所有Web 应用资产中的网络风险。这种新功能解决了关键的可见性挑战——实际部署的 Web 应用往往比安全团队认识到的要多得多。

我们对 DevOps 应用的日益增长感到兴奋不已，我们相信，它的正确使用将真正有助于确保安全性。公共云是 DevOps 的一大支柱。有了正确的洞察力和无缝集成，安全团队就可以使DevSecOps 为任何企业提供必要的保护，使之安全、负责地使用这些新技术。

资源：如何保障公共云基础设施的安全

了解更多信息：

• 阅读新闻稿 https://www.tenable.com/press-releases/key-enhancements-to-tenable-cloud-and-application-security-portfolio-deliver-holistic

• 访问：www.tenable.com/solutions/cloud-security