近几年，云计算技术的应用呈现爆发式增长。为了降低成本、加快部署速度并提升运营效率，越来越多的企业正将核心业务、服务及数据迁移至云端。
Gartner在2022年发布的一份报告中预测，到2022年底，终端用户在云服务上的支出将增长20.4%，达到4947亿美元。预计到2023年，这一数字将攀升至6000亿美元。
随着关键功能和敏感数据的云端转移，这些资源的安全性已成为众多组织关注的焦点。HashiCorp在2022年进行的云战略现状调查显示，89%的企业认为安全是云计算成功的关键要素。对于企业而言，云安全对于保障云端服务的可用性至关重要。此外，它还有助于避免数据泄露，从而保护敏感信息。
鉴于云计算受到严格监管，云安全还有助于企业遵守当地法律法规，规范云计算服务的使用和用户数据处理。强大的安全基础设施还可以在发生未经授权的访问等安全事件时，实现快速恢复和损害控制。
确保云计算环境安全的一种有效方式是运用云基础设施授权管理（CIEM）工具，有效地管理用户对云端资源的访问和权限。
云基础设施授权管理(CIEM)
在拥有云环境的组织中，人类用户、系统及自动化软件（统称为身份）都需要访问其云端资源。在云端执行操作时，此类访问权限必不可少。因此，需要建立一套层级结构，指导云端企业资源的访问权限。
例如，在云端运行的电子商务平台中，在网站上购物的客户与企业员工所拥有的资源访问权限是不同的。企业员工也将根据其职级拥有不同的访问级别。访问云环境的自动化软件服务也会拥有其专属权限。
随着越来越多的企业将服务迁移至云端，甚至采用多云解决方案，他们需要向访问其云生态系统的用户、系统及云服务授予数百万计的权限。这可能会变得难以管理，导致用户权限过高、权限配置错误或权限未被使用等问题，而这些都可能被攻击者利用。云基础设施授权管理（CIEM）可以有效避免此类情况的发生。
云基础设施授权管理（CIEM）是指管理和保护用户、身份和云服务访问云环境资源（如数据、应用和服务）的访问权、权限和特权的过程。CIEM是一种云安全解决方案，它可以帮助企业轻松地对其访问云环境的身份实施最小权限原则。
最小权限原则强调，用户或身份应只拥有完成其工作所需的最小权限集，并且只能访问特定的数据和资源。
CIEM通过持续监控访问云资源的用户和身份的权限及活动，帮助企业识别并避免因权限过高而产生的风险。因此，它可以确保这些用户始终在适当的访问控制范围内操作。
为什么 CIEM 很重要
随着云计算的普及和多云解决方案的兴起，企业需要为其多云环境中的数百万用户和系统管理大量的权限。这带来了传统安全措施（如身份和访问管理（IAM）工具）无法应对的安全挑战。
实际上，Gartner预测，到2023年，75%的云安全故障将由身份、访问和权限管理不当引起。跨多云平台管理身份是一个安全问题，只有CIEM解决方案才能解决。
例如，IAM工具可以协助管理和登记权限，但无法监控过度使用的用户或服务，或是被破坏的权限。只有CIEM解决方案才能实现此功能并支持多种云计算解决方案。因此，CIEM是一个关键的安全组件，可以避免因云环境中身份和权限管理不善而导致的安全漏洞。
除了增强云环境的安全性之外，CIEM还可以通过一个仪表板监控云资源的使用情况，即使在使用多云时也是如此。这有助于企业准确了解其云资源的使用情况，为未来云资源的支出决策提供依据。最后，CIEM还可以监控与权限相关的风险，并在问题被攻击者利用之前自动修复这些问题。
CIEM 如何运作
为了管理云生态系统中的权限，CIEM解决方案配备了一个知识引擎，该引擎首先收集关于云身份的信息，包括有权访问云环境的人类和非人类实体。它还会收集有关这些身份的权利信息。“权利”指的是身份所拥有的任务和访问权限。
在建立可用身份及其权利信息之后，CIEM开始定期收集所有可用实体使用云资源的信息，以及它们如何使用其特权的详细信息。此信息被传输到安全信息和事件管理（SIEM）平台，与其他性能和资源使用指标整合到一个可搜索的数据库中，然后存储在CIEM系统中。
收集到的信息由CIEM进行验证和审核，将身份的行为与其被允许的任务和特权进行对比。如果检测到可疑行为或异常情况，CIEM会向管理员发出警报。CIEM还可以通过降低身份的权限、剥夺身份的所有权限或禁用权限来自动修复风险。所有这些都在后台自动完成，无需用户干预。
CIEM组件
CIEM由三个主要组件组成。它们分别是：
集中管理
集中管理是一个仪表板，使用CIEM的组织可以通过它在一个位置保护和管理其单一或多云生态系统。该仪表板可以快速监控由手动设置更改导致的异常情况和运营效率。
身份治理
身份治理包含定义哪些人类和非人类用户受特定政策和法规约束的规则。这有助于确定在任何给定时间授予用户的访问级别。
安全策略
这些规则决定了谁或什么可以访问云环境、何时何地访问以及访问原因。
通过整合以上三个组成部分，使用云计算的企业可以清晰了解每个会话中使用的权限，并且可以轻松判断哪些权限被权限过高的用户滥用（如果存在）。
CIEM 在云安全中的作用
云计算为企业带来了新的复杂安全挑战，因为管理对其资源的访问风险很容易使安全团队不堪重负。随着数千个应用程序、服务和用户访问云资源，在云环境中应对管理权限和特权的复杂性的唯一方法是采用CIEM和自动化。
CIEM通过对访问云资源的身份的特权和访问权限进行持续评估和验证，减轻了管理特权、访问权限和身份的负担。如果发现访问风险，CIEM可以快速自动修复风险，确保不存在权限过高的身份。
最重要的是，CIEM支持扩展并为多云部署提供支持，使企业可以从一个中心位置管理多云环境的权限。在云安全领域，CIEM可以有效应对因用户权限管理不善和访问云环境的自动化服务而导致的风险。
CIEM的好处
企业实施CIEM可以获得以下诸多益处：
- 改进的可见性和身份管理——CIEM提供了一个统一的仪表板，企业可以通过它查看所有有权访问其单一或多云环境的用户和身份，以及它们拥有的权限。这使得管理每个用户或身份在云中可以查看的内容变得更加容易，同时方便评估和解决因云环境中权限管理不善而产生的风险。
- 降低风险和增强安全性——CIEM允许通过实施最小权限原则在组织的安全体系中贯彻零信任理念。零信任是一种网络安全方法，通过验证数字交互的每个阶段来消除用户之间的隐式信任。这一点与CIEM对权限使用方式的持续监控相结合，可以有效降低云环境的风险，从而增强其安全性。
- 节省成本——通过使用CIEM，企业可以随时详细了解云上资源的实际使用情况。这有助于在选择和支付云订阅费用时做出更明智的决策，防止在实际未使用的云资源上超支。
- 与现有系统集成——CIEM解决方案易于与现有的安全解决方案和不同的云解决方案集成。此外，CIEM可以帮助企业遵守与用户权限相关的法规和标准。
以上优势使CIEM成为使用云计算的组织必备的工具。
CIEM 限制
云基础设施授权管理（CIEM）仍然是一种相对较新的云安全工具，因此，它也有其自身的局限性。首先，CIEM需要大量的初始资本投入才能获取。它的实施也需要消耗大量资源，安全团队必须做好准备，在充分认识到其益处之前，先学习了解它是如何运作的。
值得注意的是，CIEM是为非常复杂的云部署环境设计的。学习和理解如何使用它并不容易，在云环境中正确实施它也并非易事。
由于CIEM是一种收集和分析云使用数据的企业级解决方案，因此它需要访问整个企业的关键业务功能。反过来，这本身也存在安全风险，因为在发生安全漏洞时，很难判断恶意行为者访问了哪些信息。
尽管如此，CIEM仍然是一个非常有用的工具。随着CIEM解决方案的不断改进，其持续采用和发展将有助于减少其局限性。
CIEM 与 CSPM
尽管这两种工具都可以自动监控、识别和修复云环境中的风险，但它们的用途不同。
云安全态势管理（CSPM）是一种工具，用于自动识别、可视化和修复因云环境（如软件即服务（SaaS）、平台即服务（PaaS）和基础设施即服务（IaaS））中的错误配置而产生的风险。此外，CSPM还会监控对现有安全策略、DevOps集成和事件响应的遵守情况。
另一方面，云基础设施授权管理（CIEM）是一种用于管理云环境中授权的工具。它为企业提供了一个统一的仪表板，可以监控和管理有权访问其云资源的用户和身份的权限。这可以帮助检测滥用权限的行为，并确保最小权限原则适用于所有用户。
如何选择合适的 CIEM 解决方案
实施CIEM的一个主要挑战是其带来的高成本。因此，在寻找合适的CIEM解决方案时，务必考虑成本以及企业对CIEM解决方案的预算分配。
除了成本之外，还要考虑企业对CIEM解决方案的需求。需要考虑企业想要监控的内容、他们的云部署情况（是私有云、公有云还是混合云）以及他们使用的是单云还是多云环境。
此外，还需要考虑他们希望使用CIEM解决方案监控的资源类型和数量，以及他们希望CIEM报告的信息。这些因素有助于选择合适的CIEM解决方案，满足企业的各种需求。
同样重要的是要考虑CIEM解决方案的易用性、用户友好性、客户支持以及检测潜在风险和修复风险的有效性。
结论
云计算改变了企业的安全需求，现有的安全工具可能无法完全解决云计算中出现的所有安全问题。云计算非常复杂，管理数千个云端资源访问权限等任务令人望而生畏。
管理不善可能会导致数据泄露等安全风险。因此，有必要使用像CIEM这样专门为云计算开发的工具。CIEM确保在云生态系统中能够轻松有效地管理身份及其权限。