边缘基础设施：首席信息官应该了解有关安全性的七个关键事实

这当然并不意味着企业不能更安全地构建边缘架构，这只是对其威胁模型的一个改变。因为根据定义，企业正在将基础设施、应用程序和数据移动到远远超出其中央或主要环境的范围内。

Hidden Layer公司首席执行官Christopher Sestito说，“边缘计算为用户体验带来了巨大的好处，但其代价是引入了基本的安全问题。”

其中许多问题听起来应该很熟悉，例如访问控制和管理、传输中的数据、大量新的联网设备等。即使在高度分布、多样化的边缘环境中，它们也不是不可克服的。

正确规划和优先排序、更安全的边缘环境甚至可以加强现有的态势。边缘计算和混合云具有互补关系，应该延伸到安全性。正如凯捷公司美洲分公司管理企业网络架构师Ron Howell指出的那样，边缘采用不仅可以帮助推动更灵活的计算模型，还可以帮助推动更灵活的混合安全模型。

Howell说，“如今消息灵通且具有前瞻性的首席信息官应该避免安全锁定，并选择一种混合安全计算模型，该模型可以用于企业需要安全的地方。”

边缘安全的七个事实

考虑到这一点，需要考虑关于边缘安全的7个事实，以便在企业规划和优先考虑边缘环境中的安全性时加以考虑。

事实1：可见性是安全的先决条件

这是安全的一个基本事实：如果不知道风险的存在，那么就无法应对风险。在边缘基础设施的场景中的说法是：如果看不到它，就无法保护它。

可见性(这里是指用于汇总监控和可观察性功能)是边缘安全的必备条件。Howell说，“有了可见性，可见性就可以帮助企业适当地规划他们的边缘安全战略。”

事实2：自动化是支柱

自动化是可持续运营和管理的边缘计算支柱。这也是边缘安全的第二个先决条件。

一方面，边缘非常符合安全自动化的一般承诺：各种企业面临的风险太多并且太复杂，仅靠人类的智慧和努力无法管理。换句话说：人们需要机器的帮助以最大限度地提高安全防御能力。由于存在很多新的潜在漏洞和恶意行为点，这也很重要。

Sestito指出，自动检测响应技术(如EDR和/或XDR工具)可能非常适合。可以自动检测异常行为或其他活动，然后启动初始响应步骤或适当升级的工具以进行人工干预，这值得考虑。

事实3：供应链安全现在更加重要

正如Red Hat公司技术布道者Gordon Haff在2022年初指出的那样，软件供应链安全是今年企业IT的热点问题之一。

这是因为就像在其他供应链中一样，大多数软件都依赖于其他软件来构建、打包和部署。即使是拥有庞大开发团队的企业也使用第三方编写的代码，并且通常是大量代码。

同样的原则在边缘计算中也发挥着重要作用，不仅在软件中，而且在各种硬件和其他基础设施中，其中一些默认情况下没有得到强化。

已经全面考虑其IT供应链的企业将在这里处于有利地位;建议那些没有这样做的企业使用他们的边缘用例作为开始的理由。

事实4：需要控制访问/权限

Sestito和其他安全专家表示，边缘安全绝对需要对用户权限(包括非人类用户)和行为采取更精细的方法。

如果企业还没有使用和执行多因素/双因素认证(2FA/MFA)，那么现在是开始采用的时候了。一些专家表示，零信任模型是在边缘环境中采用的方式。如果人员或系统实际上不需要访问，则不要授予权限。

事实5：与其他分布式模式一样，分层的安全方法是最好的

没有一揽子安全解决方案可以降低所有风险，这在边缘、云端、数据中心或企业办公室中都是如此。企业的IT堆栈有多个层次;即使是单个应用程序也有多个层。企业的安全态势也应该如此。边缘计算为多层安全方法提供了支持。

虽然边缘环境中的细节可能有所不同，但这里的核心概念仍然相关：精心规划的流程、策略和工具组合(或分层)尽可能依赖自动化，这对于保护固有的分布式系统至关重要。实际上，边缘架构越来越有可能与容器化和编排重叠。

事实6：分段/隔离限制了事件影响

细粒度的概念也适用于基础设施和网络级别。边缘架构中的端点或节点越多，潜在的漏洞就越多。

Couchbase公司产品管理总监Priya Rajagopal说：“企业必须确保在边缘位置的粒度上实施安全控制，并且任何被破坏的边缘位置都可以被隔离，而不会影响所有其他边缘位置。”

这在概念上类似于限制“东西向”流量以及容器和Kubernetes安全性中的其他形式的隔离和分段。不要让单个易受攻击的容器映像(或边缘节点)成为企业的应用程序或网络敞开的大门。

事实7：设备安全性很严格，因此要加倍关注应用程序/数据

许多边缘环境的实际情况是，保护设备和其他硬件可能会带来特殊的挑战，尤其是在物联网用例中。

Rajagopal说：“当企业的员工开展远程工作时，通常会处理大规模数据，并且许多生成数据的设备仅限于没有安全加固，例如物联网传感器。”

从安全的角度来看，传感器和设备在许多环境中都会存在一些固有的风险或缺陷，因此需要关注应用程序和数据。

Rajagopal说，“因此，重要的是要假设最坏的情况，并加强应用程序抵御分布式拒绝服务(DDoS)攻击等威胁。”

Howell建议，可以考虑SD-WAN或基于云的安全访问服务边缘(SASE)等技术，作为在更接近应用程序实际运行的地方应用安全性的手段。他说，“SD-WAN和SASE是更安全的连接工具，并且经过专门设计并用于混合安全模型，其中灵活的设计可以将网络和安全服务放置在最需要的地方。”

加密是必须的，尤其是当数据从边缘位置传输到云平台(或内部部署数据中心)并返回时。

Rajagopal说，“读取/写入的每一位数据都需要经过身份验证和授权，所有流量都需要端到端加密。”