云計算能幫助企業(yè)提升業(yè)務敏捷性并降低成本，但同時也增加了攻擊面。根據IDC最近的一份報告，98%的組織在過去18個月中至少遭受過一次云安全漏洞利用。大約79%的公司至少經歷過一次云數據泄露。Ponemon Institute和IBM的另一項研究發(fā)現，云數據泄露給企業(yè)帶來的平均損失高達361萬美元。

2022年，除了無服務器和自動化之外，還有更多趨勢將加速推動云安全的高速發(fā)展，以下是2022年十大云安全技術與應用趨勢預測：

一、無服務器的增長

我們看到越來越多的組織在其平臺中采用無服務器架構。這意味著不僅可以利用云服務提供商的FaaS(功能即服務)服務，還可以挖掘各種可用的無服務器產品。業(yè)界每季度都會推出新的無服務器產品，對于企業(yè)用戶來說，了解可能出現的潛在風險非常重要。

我們還看到諸如“無發(fā)行”架構之類的東西被用來對跨多個CSP的FaaS架構進行更多控制。隨著對這些類型的架構決策的控制增加，出現了新的安全方法和模型。

二、DevSecOps

越來越多的組織開始全面采用基礎架構即代碼(IaC)來創(chuàng)建完全自主的云環(huán)境。從安全角度來看，確保從代碼到生產的供應鏈受到保護和監(jiān)控正成為企業(yè)日益關注的云安全問題。我們看到這個領域的工具開始成熟，并且正在實施新的戰(zhàn)略。例如，您可以執(zhí)行配置和架構的預驗證等操作，確保您的架構和代碼在投入生產之前是合規(guī)和安全的。2022年，我們有望看到更多第三方工具和原生云服務被引入，以更好地支持整個供應鏈。

三、“多云”包圍邊緣計算

多云戰(zhàn)略將繼續(xù)存在——許多企業(yè)正在選擇最適合其平臺的技術，同時也在創(chuàng)建利用多個云服務提供商的彈性架構。我們很快就會看到多云模式與多云安全實踐和工具一起成熟。此外，我們看到“多云”包圍了邊緣計算，它將繼續(xù)擴展到工廠車間，以及分支機構和私人數據中心。

四、應用與架構融合

應用程序開發(fā)人員和基礎架構工程師之間的界限變得非常模糊。開發(fā)人員正在根據他們嘗試使用的服務創(chuàng)建云架構，或者從他們的代碼庫創(chuàng)建新的基礎架構。跨職能團隊開始共同努力，思考安全性如何在這種新的思維方式中發(fā)揮作用。

五、SaaS安全升溫

在過去的一年里，我們看到利用SaaS平臺的網絡攻擊行為激增。隨著這一增長，我們也看到了SaaS安全產品和工具的增長作為回應，例如SaaS安全狀態(tài)管理(SSPM)工具。

SSPM正在幫助組織深入了解他們的整體SaaS產品組合，以確保他們在保持合規(guī)性的同時保持安全的可見性。2021年，我們看到十幾個SaaS平臺采用了SSPM工具，2022年，我們將看到更多SaaS平臺將采用SSPM。組織開始創(chuàng)建一個更強大的SaaS安全計劃，該計劃可以涵蓋他們的整個產品組合，從基于云的供應商的啟動和驗證到其生態(tài)系統(tǒng)中SaaS供應商的監(jiān)控和警報。

六、基于屬性的訪問控制

動態(tài)訪問策略(ABAC)

ABAC利用標簽來動態(tài)確定訪問權限。例如，如果我有一個標簽“項目”，我可以設置一個策略，如果主體上的標簽“項目”的值與目標資源或環(huán)境上的相同標簽“項目”的值匹配，則授予權限。這是一個支持可擴展性和可重用性的策略，簡化管理并改進權限隔離。雖然許多云服務提供商尚未在所有服務中實施這種新方法(最大限度地減少其效用)，但我們有望看到這種新方法在來年的采用和支持方面將取得增長。

隨著越來越多的組織采用居家辦公和混合環(huán)境，并將工作負載和數據轉移到云端，云基礎設施的安全防護策略必須從一開始就植入。云是企業(yè)生產力的推動者，但它必須遵循安全第一的原則，最大限度地降低風險，同時提高生產力。

七、網絡安全意識培訓自動化

管理安全意識培訓計劃相關的間接費用可能會讓繁忙的IT部門望而卻步。而與安全意識培訓計劃的規(guī)劃、開發(fā)和管理相關的成本可能意味著很多企業(yè)將選擇“躺平”——壓根不開展安全意識培訓。

網絡安全意識自動化方案在管理和定義安全培訓任務方面提供了一種有效且具有成本效益的方式來啟動和運行安全培訓計劃，并使其保持長期運行。云計算正在推動安全意識培訓的自動化，同時這種自動化趨勢也將大大減少云安全中“人的漏洞”。

安全培訓計劃的自動化方案通常涵蓋安全態(tài)勢情報、安全意識活動規(guī)劃、自動反饋和指標、集成的自動網絡釣魚模擬等領域。

八、暗網監(jiān)控

暗網泄露的隱私信息吸引了想要購買信用卡號、失竊數字憑證和其他個人和商業(yè)信息的不法分子，暗網上出售的“商品”還包括：黑客即服務、勒索軟件工具包和非法商品(如假貨)的人身份證、假幣和毒品。

暗網監(jiān)控是指在暗網上搜索和跟蹤企業(yè)信息是否或如何泄露的過程。用于監(jiān)控暗網的工具類似于谷歌等搜索引擎，這些工具使用戶能夠檢索到失竊或泄露的敏感信息，泄露的賬戶與密碼、知識產權以及在暗網上的不法分子之間共享和出售的其他敏感數據。

通過監(jiān)控暗網，企業(yè)可以查明它們是否被入侵或發(fā)現任何可能被破壞的指標，還可以了解誰在發(fā)動攻擊以及他們正在使用什么攻擊方法。有了這些信息，企業(yè)就可以制定措施來有效響應和緩解威脅。

九、DNS過濾

新冠疫情催化的遠程辦公革命給企業(yè)帶來了巨大的安全風險。DNS過濾是一個關鍵系統(tǒng)，用于保護那些曝露在公司防火墻外的員工，幫助他們避開危險網站，降低遭受攻擊的風險。

DNS過濾能將所有DNS查詢都轉到DNS解析器，這些解析器可以通過拒絕解析在阻止列表(黑名單)中的特定域名來阻止用戶訪問這些網站。

假設某公司的員工收到一封釣魚郵件并被騙點擊了指向惡意網站的鏈接，DNS過濾會在員工的計算機加載該網站之前將網址發(fā)送到公司的DNS解析服務，如果惡意站點在公司的阻止列表中，DNS解析器將阻止請求，阻止惡意網站加載，從而阻止網絡釣魚攻擊。

十、多因素認證是一種文化

多因素身份驗證是用于保護公司系統(tǒng)免受黑客攻擊的另一個關鍵防御措施。隨著多種云環(huán)境的廣泛采用，一些企業(yè)資產現在存在于傳統(tǒng)安全邊界之外。隨著業(yè)務邊界變得越來越模糊，信任已成為一個漏洞。

強大而有效的多因素身份驗證可實現不易被破壞的精細、響應迅速的安全方法。多因素身份驗證和零信任安全不僅是一組技術，也是企業(yè)需要貫徹的一種安全文化，只有上升到文化高度和深度，才能真正發(fā)揮技術的價值，確保企業(yè)遠離網絡安全威脅。