Palo Alto Networks因其出色的“下一代防火墙”产品而业界周知。2018年财年，Palo Alto Networks实现全球营收23亿美元，全球5.65万名客户覆盖150余个国家。这其中，仅亚太区就占了其中的1.5万名。特别是日本，客户数增长迅速。技术角度来看，亚太区的云安全订单同比增长100%，超越了全球的平均增长速率，这也从一定程度上体现出亚太区在应用云技术的同时，对安全重视的快速提升。
聚焦中国，2018年是Palo Alto Networks的重要的一年。Palo Alto Networks不仅有了自己正式的中文品牌——派拓网络，宣布与阿里云建立技术合作伙伴关系，并在上海和北京两地成功举办了“派拓网络网络安全峰会”。
2018年收获颇丰的派拓网络，综合威胁情报团队Unit42的数据以及对5.65万名客户的安全状况的观察，对2019年的安全趋势有哪些看法？对用户关注度颇高的云安全方面，派拓网络又有怎样的理解？
2019年五大安全关键词
人、过程和技术是企业安全工作的重点，也是派拓网络一直围绕三个重要要素。
——派拓网络亚太区高级技术总监 Orcun Tezel
关键词1. 商务电邮（BEC）攻击
派拓网络认为，在企业环境中，盗取口令和登录信息变得愈加普遍个容易。伪装成合作伙伴或者内部利益相关者再进行攻击，是重要的攻击手段。过去五年间，全球有超过120亿美元的损失源于商务邮件。这期间，BEC攻击一直呈增长趋势，从伪装公司网址到锁定员工个人社交账号，攻击手段也愈加多样复杂。
针对账户的攻击趋势在云端也丝毫没有减弱。据Unit42最新统计，2018年6月-8月三个月，29%的应用云计算的企业面临账号攻击风险，27%的企业开启了用户活动的根权限，41%的企业90天内没有修改过登陆凭证。这无疑增加了BEC攻击发生的可能，及其后续风险。
安全建议：
口令已经已经因其易被盗、难保护、无法有效证明使用者身份等特点，成为网络安全中最为薄弱的一个环节。条件允许的话，企业需要对其内部信息流向进行评估，并实施更多全面的检查和审批流程。除此以外，拥抱多因子和基于生物特征的身份认证技术，是更加直接有效的办法。
关键词2. 供应链安全
供应链风险背后所反映的，是复杂环境下对安全风险点准确定位的愈加困难。企业与供应商之间数据与网络的共享，一方面提高了效率，另一方面暴露了更多的防护薄弱的攻击面。以医疗为例，医疗设备接入医院内部网络的同时，可能还与第三方网络相连。这些第三方网络可能引入的安全风险，使得医院内网的防护往往措手不及。
企业要经常扪心自问，有哪些终端、用户或网络正在连接我们内部使用的网络？这些情况是否完全知晓？其中又有哪些系统或者服务是我们必需依赖的？
安全建议：
技术方面，全环境流量监测显然是必须的，不只是本地、终端还有云端应用；同时，网络还应做好充分的分段，按照不同程度的安全需求进行针对性保护。企业以及业务部门应将注意力集中在采购设备及服务方面的内部安全标准上面。这不仅要求确保固件和应用实时更新，修改默认的登录设置，还要按照零信任思想，进行身份认证和权限控制。
关键词3. 数据保护
通用数据保护条例（GDPR）在2018年5月已正式实施，保护民众隐私数据的紧迫性，已经受到各国政府高程度的重视。但由于各个国家之间的数字化程度不同，要制定出更适应各国国情的数据保护框架，还需假以时日。
通过对企业落实GDPR的观察，派拓网络发现亚太区更多企业将安全工作的重点放在数据的收集和存储过程，并把GDPR当作其安全基线，在各国的法律框架下，评估其安全工作的状态，再决定后续要采用的防护服务。
关键词4. 云安全
数字化转型的热潮，推动了各国企业拥抱云计算的进程；但是企业对云安全要进行平台化防护的认知，云环境下安全管理措施以及对员工的安全培训，派拓网络认为这些仍旧是较为滞后。
Unit42再最新的云安全报告中提及，潜在的凭证攻击，任重道远的云环境合规监管，势在必行的漏洞管理，以及针对大量应用的容器技术实行严格的访问控制，都是企业未来一年为了达到效率与风险的平衡，要重点关注的威胁和下一步措施。
同时，云安全不仅仅是云服务提供商一家的责任。更多的企业要投入到数据保护、应用开发、服务运营等过程的安全对抗中。
安全建议：
敏捷开发（Devops）、容器技术的引入，给云端的网络安全带来了更多挑战。为了有效降低风险，企业需要对流程安全、安全技术和安全人才三者有足够的重视。云安全策略方面，派拓网络认为，单点安全产品所带来的复杂性以及对运营人力的依赖，导致无法跟上云的灵活性，对最新威胁快速实施有效的防护。降低网络风险，需要部署集成的、自动化的有效的控制措施，例如基于API的平台型安全解决方案，以改善云安全方案的灵活性。
网络安全不存在孤立在云端的产品。通过统一的平台，内在设计一体化的安全手段，结合网络、终端、虚机等多层次的威胁可见性，才能实现攻击生命全周期的监测和防御。
关键词5. 关键信息基础设施
对于关键信息基础设施的划分，各国都有明确的标准和定义。由于关键基础设施在向数字化和自动化发展，使之很容易成为网络罪犯的攻击目标，特别是重度依赖工业级数据采集与监控系统（SCADA）以及工业控制系统（ICS）的行业，如能源、化工等，尤其危险。究其原因，这些古老的系统无法通过打补丁的方式进行安全维护。
这一观点在《2018世界经济论坛全球风险报告》中也有提及，并将网络攻击认定为导致全球混乱的主要原因，仅位于自然灾害和极端天气之后。
安全建议：
工控安全除了关注信息的保密性外，还应关注完整性和可用性。工业互联网的推动，安全事件的负面影响降波及更广的范围。关键基础设施需要将零信任部署到位，并确保访问的隔离。此外，关键基础设施的拥有者需要从合规驱动这一模式上脱离，转向实时防护。监管者和拥有者，应联合起来共同制定监管框架，以“实际安全需求第一”的思路来设计和维护所有关键信息基础设施。
介绍完五个安全趋势，再谈谈派拓网络对云安全的理解，以及2018年所做的事情。
API安全与云端防火墙
从对客户的了解，派拓网络发现，企业业务系统往云端迁移，往往要着重考虑三点，一是之前的网络架构，二是应用开发和管理，三是安全基线。云不仅带来了灵活和便捷，更让安全有了从开始阶段就嵌入的可能。
为了方便应用的管理和开发，相较于本地环境往往需要开放多的接口。这种接口的访问是通过互联网实现访问的。虽然对接口的使用似的应用更加灵活，但缺少了以往本地环境中成熟方案的防护，如果对访问控制管理不到位，极容易出现安全问题，攻击者就可以拿到关键的敏感数据（开发者的底层框架等）。
这个担忧不只是云上的租户，也包括云服务提供商。安全事件的发生，有时是因为租户方缺乏对API安全管控的有效的能力，有时则是云架构层的API出了问题。
产品层面，派拓网络大中华区总裁陈文俊表示，下一代云安全防火墙有四点必备功能，一是原先本地防火墙方案包括高级威胁监测和流量分析等所有能力，二是对URLs的过滤，三是可以实现对云上工作负载的保护，四是API安全，包括基于云的API来对租户提供安全能力（管理），也包括保护用户和云服务商API安全两方面。
即使是诸如AWS、Azure这种级别的云服务商，其云架构内部对API调用和访问的管控，也普遍缺乏足够深度的安全考量。特别是合规的角度，更缺乏有效的支持。
2018年，派拓网络先后以3亿和1.73亿美金，完成云安全公司Evident.io和Redlock的收购。专注于对云基础设施的安全风险进行监控，结合Evident.io和Redlock，派拓网络可以实现云安全分析、高级威胁检测、持续安全和合规监测等能力，以实时、自动化的方式来取代传统依赖人工的调研。
云端的虚拟化防火墙，同时加上Evident.io和Redlock的对云端实时安全分析能力，以及Aperture所提供的CASB，这个组合才是派拓网络目前完整云安全解决方案。
相关阅读
