什么是云基础设施权利管理 （CIEM）？
云基础设施权利管理 （CIEM） 是一种云安全解决方案，用于通过最小权限原则 （POLP） 管理身份和云权限。
CIEM 使用机器学习和分析来检测多云环境中的账户权限异常。这种可见性使组织能够在其云服务中应用一致的身份访问管理 （IAM），以缓解网络威胁，例如数据泄露和数据泄露
CIEM 解决方案通过软件即服务 （SaaS） 模型以及其他云安全解决方案提供，例如云安全态势管理 （CSPM） 和云访问服务代理 （CASB）。
什么是 Cloud Identity？
云身份是有权访问云服务/云资源的任何实体。云身份有两种类型：
- 人类身份 - 访问云的任何人，例如用户、管理员、开发人员。
- 非人类（服务）身份 - 代表人类访问云的任何非人类实体，例如互联设备、IT 管理员、软件定义基础设施 （SDI）、人工智能 （AI）。
组织可以向这两种云身份类型授予云授权。
什么是 Cloud Entitlement？
云授权确定身份可以执行哪些任务以及它可以在组织的云基础设施中访问哪些资源。
授权的主要类型是云资源和云服务。
- 云资源，例如文件、虚拟机 （VM） 和服务器、无服务器容器。
- 云服务，例如数据库、存储桶和存储、应用程序、网络服务。
CIEM 的工作原理
CIEM 使用最小权限原则 （POLP） 来管理用户的私有云和公有云权限，从而最大限度地降低授予过多权利的风险。
有效的 CIEM 解决方案遵循云 IAM 功能的五个阶段生命周期。
什么是最小权限原则 （POLP）？
最小权限原则 （POLP） 是一个网络安全概念，它将用户帐户的访问权限限制为仅完成其工作要求所需的权限。
通过特权访问应用如此严格的访问控制有助于组织最大限度地减少其攻击面和云泄漏、数据泄露、内部威胁和其他网络威胁的风险。
POLP 是零信任网络架构 （ZTNA） 的关键要素。
CIEM 生命周期
CIEM 生命周期是所有有效的 CIEM 解决方案都应遵循的框架，用于在云部署中提供可扩展的最低权限实施。
该框架使组织能够轻松管理和监控多云环境中所有身份的权利。
- 帐户和权利发现：根据基于云的活动，提供云身份及其权利的精细可见性。
- 授权优化：通过 POLP 实施严格的访问控制。
- 跨云授权关联：实现跨云部署授权策略的一致性。
- 授权可视化：将数据点集中为简洁、可作的见解，使安全和 DevOps 团队能够有效地监控云安全状况和用户对云资源的访问。
- 修复：识别与访问权限相关的风险，例如权限过多，并在检测到威胁时向安全和 DevOps 团队提供警报和自动响应。
云中身份管理的重要性
数字化转型推动了云计算的采用，最近 COVID-19 带来的远程访问需求和灵活的工作安排进一步推动了云计算的采用。
Gartner 预测，到 2025 年，85% 的组织将实施云优先战略，95% 的新数字工作负载部署在云原生平台上，比 2021 年增加 35%。
与传统的本地网络不同，云不能依赖物理网络安全边界和防火墙来确保安全。
没有明确的边界意味着身份作为安全机制的作用在云环境中更为重要。
现有的身份和访问管理 （IAM） 解决方案，例如身份治理管理 （IGA） 和特权访问管理 （PAM），无法提供大规模保护云资源所需的精细可见性。
Gartner 还预计，到 2025 年，99% 的云安全故障将是客户的错，这进一步增加了组织在云数据安全方面进行大量投资的压力。
CIEM 解决方案解决了这些传统解决方案的能力差距，使组织能够跨多云部署管理和监控云权限。
应对云 IAM 挑战
管理云身份具有挑战性，原因有几个。
以下是组织在云部署中使用 IAM 面临的一些主要挑战，以及 CIEM 解决方案如何帮助解决这些挑战。
缺乏可见性
云基础设施的按需可扩展性是其主要优势之一，但也是缺点之一。云环境不断增长的性质使有效监控和管理身份及其访问权限的能力变得复杂，因为安全团队失去了对网络上所有身份的可见性。
>CIEM 解决方案提供对云环境中所有身份的权限和活动的精细可见性。借助 CIEM，管理员可以快速识别谁在访问特定的云资源/服务以及他们访问这些资源/服务的确切时间。
不一致的安全机制
组织可能会使用许多不同的云服务来执行各种业务运营。每个云提供商都有独特的安全策略和 IAM 功能，从而在整个云环境中造成安全不一致。
识别和修复每个平台的安全漏洞和漏洞会消耗安全团队的大量时间和资源。
CIEM 是一个用于在云部署中实施 IAM 的集中式平台。CIEM 解决方案可以通过实施最低权限访问，在所有云平台上应用一致的安全策略。
权限差距
对于管理员来说，将工作负载转移到云是一个耗时的过程。为了节省时间，Organizations 通常会为用户分配过多的权限，而不是使用个人自由裁量权，从而造成云权限差距。
这些不必要的权利使组织面临不必要的网络风险。
权限差距的另一个常见因素是存在非活动身份，即有权访问他们不使用的云资源和服务的用户。
CIEM 工具可以识别权利的过度配置，并提醒安全团队具有不合适权限的用户。
顶级 CIEM 供应商
以下供应商为组织提供有效的 CIEM 解决方案。
1. 授权
Authomize 的平台集成了 SaaS、平台即服务 （PaaS）、数据、IT 服务管理 （ITSM） 和（身份提供商）IdP 身份提供商，以规范和关联组织的身份和帐户权利，从而生成统一的访问和授权模型。
Authomize 与所有主要的云服务提供商 （CSP） 兼容，包括 Azure、AWS 和 GCP。
主要特点：
- 皇冠上的宝石保护
- 最低权限实施
- 云护栏实施
- 可疑行为检测
2. 英国人
Britive 是一种云原生解决方案，可提供跨云的统一访问。
主要特点：
- 即时配置
- 密钥治理
- 跨云发现
- 主动威胁监控
- 最低权限实施
Britive 与 Azure、AWS、GCP、Oracle Cloud 和 Service Now 兼容。
3. Zscaler
Zscaler 的 Cloud Protection 解决方案使用机器学习建议的访问策略，确保用户、应用程序和计算机对云资源的最低权限访问。
Zscaler Cloud Protection 与所有主要云服务提供商 （CSP） 兼容，包括 Azure、AWS 和 GCP。
主要特点：
- “安全删除” 权限策略
- 权限映射
- 基于风险的优先级排序
- 大型数据保护平台的一部分
4. CloudKnox 安全
CloudKnox Security 的 CloudKnox 权限管理平台是一种云基础设施权利管理 （CIEM） 解决方案，目前处于预览阶段，可提供对云身份权限的可见性和控制。
CloudKnox 与 Microsoft Azure、Amazon Web Services （AWS） 和 Google Cloud Platform （GCP） 兼容。
特征：
- 完全可见性
- 自动最低权限访问
- 统一的云访问策略
5. Ermetic
Ermetic 自动执行权利管理和风险补救。
该平台与所有主要的云服务提供商兼容，包括 Azure、AWS 和 GCP。
主要特点：
- 多云可见性和资产管理
- 跨身份、网络和数据进行风险评估
- 自动修复
- 主动策略实施和左移
- 分析和威胁检测
- 合规性和访问治理
6. 黑曜石安全
Obsidian 帮助安全团队围绕特权访问做出明智的决策，以降低风险、削减不必要的成本并保护组织最关键的业务应用程序。
Obsidian Security 与所有主要云服务提供商兼容，包括 Microsoft Azure、Amazon Web Services （AWS） 和 Google Cloud Platform （GCP）。
特征：
- 用于识别权限蠕变的机器学习模型
- 用户访问和活动监控
- 数据分析
6. 航点
SailPoint 的 Cloud Governance 平台使用 AI 和机器学习来发现和保护云平台和资源。
特征：
- 完全可见性
- 自动访问配置和监控
- 策略建模和管理
- 自动访问审查和报告创建
7. 萨维恩特
Saviynt 的平台对机器身份建立并实施基于风险的访问策略，以便组织可以扩展治理、保护数据并满足合规性要求。
Saviynt 与所有主要云服务提供商兼容，包括 Microsoft Azure、Amazon Web Services （AWS） 和 Google Cloud Platform （GCP）。
特征：
- 身份和访问生命周期管理
- 自动实时配置
- 控制交换
- 跨应用程序职责分离 （SoD）
- 精细的权利可见性
- 基于风险的数据访问治理
云中身份管理的未来
组织正在增加对基础设施即服务 （IaaS） 提供商的投资，例如 Microsoft Azure、Amazon Web Services （AWS） 和 Google Cloud Computing （GCP）。随着这些基础设施中的云身份数量成倍增加，内部和第三方攻击面不断扩大。
CIEM 简化了整个云环境中的 IAM，帮助组织改善其云安全状况。 通过为安全团队提供对用户权限的集中可见性和控制，组织可以缓解常见的云安全风险，例如数据泄露、数据泄露和内部威胁发起的其他网络攻击。CIEM 解决方案与其他云安全技术（如云访问服务代理 （CASB） 和云安全态势管理 （CSPM） 工具）配合使用，以提供更有效的网络威胁防护。
为了实现全面的云安全，组织必须实时识别此类网络威胁，以便在发生严重安全事件之前进行补救。组织可以通过将 CIEM 解决方案的功能与攻击面管理解决方案（如 UpGuard BreachSight）相结合，进一步加强其云保护策略。