改进云治理大统一理论

一年多前，我撰写了《云治理大统一理论》。这个概念我已经琢磨了大约 5 到 6 年，试图概括企业在适应云时遇到困难的根本原因。诚然，这个标题有点自负，但我曾经是 Gartner 分析师，所以，耸耸肩？

与任何（但愿）好的理论一样，随着我与更多企业合作、与更多人交流，我也在不断完善它。过去几年，我在演讲和培训中大量使用这一理论，尤其是在我被越来越多地卷入治理场景之后。我一次又一次遇到的主要问题与其说是技术问题，不如说是组织问题。是的，云安全存在非常多的技术复杂性，它们确实可能并且的确会导致数据泄露，但根据我的经验，治理问题的影响远远超过技术问题。

良好的治理无法修补零日漏洞，但糟糕的治理意味着攻击者根本不需要零日漏洞。

该理论的核心其实没有变化，我只是一直在寻找更好的表述方式。我还决定将它稍作精简。以下是我目前放在幻灯片上的版本：

• 云让运维和基础设施去中心化
• 但云将所有管理界面统一起来
• 并且把所有管理门户和资源放到互联网上，仅以用户名和密码加以保护

与之前的版本相比，变化很小，但意义也很大：

• 所有管理和运维职能都统一到一个位于互联网上的用户界面中。
• 以用户名、密码，或许还有 MFA 加以保护。
• 技术的演进速度快于治理。

我在演讲中仍会使用“没有咽喉要道和守门人”的说法，但我发现这只是“去中心化”的一种更长的表达。根本问题在于，在集中式基础设施之外，可以独立控制完整的技术栈。也就是说，一个开发团队或应用团队只需一张信用卡，就能在自己的环境中构建和管理全部基础设施。当然，确实还存在一些依赖关系和控制措施，尤其是在数据平面，或者当需要与网络对接时，但这并不改变核心观点。

试图彻底重新集中化，几乎不可能奏效。

其次，关于管理界面的统一，我基本没有改动。展开来说，我们在部署层面实现了基础设施和控制的去中心化，但全世界所有人使用的都是同一套 Web 控制台和 API 端点。

攻击者只需一个入口，就能面对无限多的目标。

接着，我把第一版中的子要点提升为第 3 条要点。这些管理门户全部位于互联网上，且默认情况下仅以用户名和密码加以保护。所有资源也只需改动一项设置就会暴露在互联网上，看看那些 S3 存储桶和 ElasticSearch 集群就知道了。

事情就是这么简单。各团队独立管理自己的资源。全世界的人都使用同样的 Web 门户和 API 端点。而任何一个拿到正确凭证的蠢货，都可以在您的“数据中心”后端随意探查和摆弄。

离谱的是，这一切早在 2011 年就已写明于 NIST 800-145，即仅 2 页的《NIST 云计算定义》。该文件将云计算的五项基本特征定义为：

• 按需自助服务
• 广泛的网络接入
• 资源池化
• 快速弹性
• 可计量的服务

取其中前三点，我们得到：

• 各团队管理自己的资源
• 一切都在互联网上
• 并且全部基于共享资源池

那么，这一切究竟意味着什么，我们又该怎么做？

接受它。

这是第一步。理解问题，并以此为视角来设计解决方案。正如我最近在《强授权》一文中所写：

因为他们不习惯一切（可能）都在互联网上。整个管理平面都在互联网上，因此一旦攻击者拿到凭证，您无法靠防火墙或关闭对某台服务器的访问来阻止他们。

就从这里开始。接受这一基本现实。我们能做些什么来降低这种风险？减少这类攻击？我认为最有成效的选择是聚焦 IAM，以及治理与 IAM 的交汇点。由谁来管理权限？由谁来管理访问？哪些安全控制措施能够预防、检测和纠正与 IAM 相关的攻击？您围绕 IAM 的流程是什么？您的事件响应人员是否深入了解所用云服务提供商的 IAM 细节？您是否使用 JIT/强授权？您如何管理承包商和外部服务的 IAM？

请从您的 IAM 治理和流程入手，然后选择并使用技术来支撑它们。这是提升云安全性最有成效的单一途径。我真心希望我不是第一个告诉您这一点的人。