云主机安全，从主机防病毒、入侵防护，到应用程序控制、行为监测及响应，再到主机加固与运营等，安全能力层层递进，防护要求也节节升级。面对云环境下越发复杂和严峻的安全风险，云安全应该从何做起？如何打造云端的核心防护能力？

立于风暴中心，看清风险所在

云服务极大地满足了用户使用和拓展存储资源、软件资源和计算资源的需求，而主要风险正来源于此。

¨      云平台虚拟化资产数量庞大难以维护

企业内部极少有人能及时了解本身的核心资产，如虚拟服务器规模、域名、网段的清晰情况。尤其是资产和组织架构越来越复杂之后，云主机数量统计几乎成了一道最难搞懂的“高考数学题”。

¨      应用系统配置风险漏洞未被重视

从近年来主机安全事件来看，应用系统的配置风险是众多用户不太重视的问题；另外，随着新的应用系统类型不断增加并被应用到生产环境中，这方面的安全漏洞将会被大面积利用，这里面除了传统的数据库应用，Web容器、开源监控系统（如Zabbix），MongoDb、Redis、Hadoop等新型应用配置风险漏洞也将成为黑客利用的目标。

云主机风险推动“三大”安全新需求

¨         信息资产采集管理

面对云计算场景大量的虚拟化资产以及快速更迭的系统及应用，云安全产品应具备强大的资产采集管理能力，通过对资产信息进行分析为企业提供漏洞风险及入侵威胁的判断的基础信息，有助于深入发现内部暴露的IT风险问题和风险。

¨         漏洞风险检测及修复

服务器承载各类业务系统，时刻面临着外部的用户访问，一旦存在漏洞，将使得平台被黑客入侵的风险被成倍放大。因此，云安全产品应具备强大的漏洞风险检测及修复能力，需能够对漏洞风险进行精准发现，并针对不同漏洞风险做出精准分析，提供精确到命令的修复建议。

¨         安全合规需求

国家对网络安全的重视达到了一个新的高度，尤其是《网络安全法》的出台，代表着网络安全的管控已进入快车道，既是云安全的新起点，也是重要的转折点。因此，云安全产品应具备强大的基线合规性检查能力，能够对平台基线进行合规性检查，对于存在安全缺陷的项目进行识别及给出相应处理意见，防止风险的产生。

打开云端资产治理及漏洞管理“新思路”

¨      摸清家底

亚信安全信舱DS支持全面收集主机层面资产，包括端口、对内对外IP、web站点、web中间件、web应用、数据库、进程、第三方组件、软件应用、环境变量、计划任务、jar包等；同时可对资产实时监测，基于变更规则（变更频率）进行告警。

【图：亚信安全信舱DS资产管理】

¨         漏洞可视

近两年，勒索病毒一直处于高频活跃状态，通过分析可以发现勒索病毒常常以文件服务器、数据库等存放数据的服务器为目标，并利用弱口令、高危漏洞等作为攻击入侵的主要途径。

在亚信安全信舱DS平台上，用户可通过漏洞管理模块，全面排查系统中存在的漏洞、弱口令、风险账号等，从而提升系统安全性；另外，DS融合了NASL技术，通过POC快速对新出现的漏洞进行验证，利用了NASL技术与国家漏洞库建立联动机制，极大地提升了重大活动和重点网络中的供应链类漏洞预警响应能力。

图：亚信安全信舱DS实现漏洞管理可视化

l  快速定位

对用户而言，应急响应时间的长短，直接关乎着企业的损失。如何快速响应，控制威胁一直是安全人员及用户关注的重点。对此，信舱DS“资产一键搜”功能，可帮助用户快速定位受威胁的资产，为处置动作争取更多的时间。

通过基线检测建设，实现云主机安全加固自动化

云主机承载着关键数据及核心业务系统，一旦受到攻击，整个信息系统中最具价值的部分将面临失窃和被破坏的风险，为保障主机安全，因此需要构建以计算环境安全为核心的纵深防御体系，加强主动评估风险及主动预警响应能力。

为此，亚信安全信舱DS 20提供了强大的基线检查能力，能够对根据二级等保、三级等保等要求对主机进行统一扫描，支持检测操作系统和服务（数据库、服务器软件、容器等）的账号权限、身份鉴别、密码策略、访问控制、安全审计和入侵防范等安全配置，并提供检测结果，针对存在的风险配置给出加固建议。

图：亚信安全提供了丰富的安全合规基线模板

数字经济的快速发展和融合，给数据中心带来了众多挑战，尤其是云数据中心面临的安全风险正在加剧。持续演化的数据中心安全威胁不会远离，云主机安全将是我们的最后一道防线，其中云主机资产梳理、漏洞扫描、基线核查无疑是构建云主机安全加固新防线的三大核心能力。