云解决方案的打造理念是快捷、可扩展以及简单易用，但这也给企业的云安全团队提出了一个难题。如果对此放任不管，虽然可以将复杂资产快速部署到生产环境中，但 Cyber Exposure 风险会大幅增加。安全团队需要持续了解每天可能发生数次的云工作负载部署情况。
云安全：有效执行风险型漏洞管理的五个步骤
发现、评估、优先级分析、修复和衡量云环境中的每项资产，进而强化云安全计划的基础。
实现云安全的有效风险型漏洞管理需要强大的流程，直接映射到 Cyber Exposure 生命周期的五个阶段：
1. 发现
发现
对临时性资产具有近乎实时的全面可见性
使用适用于 Amazon Web Services (AWS)、Google Cloud Platform 和 Microsoft Azure 的 Tenable 云连接器，为您的全部多云环境中最新临时性资产部署提供近乎实时的检测能力。随时跟进企业的云原生技术，比如自动扩展、随需实例以及容器部署。
检测开发中的资产
在软件开发生命周期的早期发现新资产，并在漏洞影响生产环境前就加以识别。CI/CD 工具和注册表中的早期检测功能可消除临时部署在大规模资产组中的资产盲点。
优化评估成本
对整个云基础设施进行免费的资产发现扫描并逐条列出环境中的所有项目，从而发现不明资产。在云实例终止 24 小时后，自动重新分配您的资产许可。
Netskope 拥有实时发现每项资产的能力，可提供跨现代攻击面（云、数据中心、IoT 等）的动态和全面的可见性。其中包含自动化的资产发现，尤其是针对云基础设施中的资产（如容器）。Netskope 阅读案例研究
2. 评估
评估
传统的漏洞管理扫描工具缺乏灵活集成多种数据扫描引擎的能力， 使您的云安全团队看不到云原生资产中的漏洞、错误配置和恶意软件。
根据最佳实践加强云基础结构
基于 CIS 以及知名云服务提供商的既定云安全最佳实践，对云环境配置进行审核，从而最大限度缩小攻击面。
评估整个云攻击面
检测并显示整个云堆栈（从主机到工作负荷）中的漏洞 — 全部从一个中心位置完成。
部署多个传感器类型，获取完整的可见性
这款全球最值得信赖的漏洞扫描程序由 Nessus 提供支持，内置 136000 个漏洞检测插件，并且有主动扫描、代理、被动监控以及映像评估等各式选择。企业可根据在云端托管的各类服务，从中找到最适合的功能。
Tenable.io 为我们的所有资产提供统一的状态视图。除了系统和网络漏洞扫描外，我们每晚还能借此对所有资产运行合规性扫描。CleverTap 基础设施主管 Francis Pereira 查看视频案例研究
3. 确定优先顺序
确定优先顺序
威胁制造分子会经常改变策略，而静态 CVSS 评分无法跟上动态威胁的发展趋势，在不断变化的云环境中尤其如此。 采用风险型方法进行漏洞分析，以便快速识别会给企业带来最大风险的前 3% 的漏洞。利用预测优先级分析和量身定制的仪表板，您将获得清晰的修复信息，然后将这些信息在合适的时间交给合适的团队，以降低公司的风险。
确定需要立即采取行动的云漏洞
漏洞优先级分析基于威胁情报、漏洞可利用性以及漏洞元数据三者的结合。预测优先级分析可随着云环境的动态作出调整，并且有利于将修复资源分配给最亟待处理的漏洞。
与 DevOps 团队共享漏洞优先级信息
创建量身定做的仪表板和报告，轻松将漏洞优先级传达给公司的 DevOps 和其他团队，让他们知道哪些漏洞需要优先修复。
自动将信息发送到 SIEM
向 SIEM 自动发送漏洞和错误配置数据，以便让企业了解事件背景并识别需要进行自动响应的潜在区域。
我们现在拥有了无与伦比的可见性，能掌握 CI/CD 管道以及正在运行的容器的安全态势，从而专注于最重要的事情：拯救生命。Volpara Health 首席信息官兼首席信息安全官 Gareth Beaumont 阅读案例分析
4. 修复
修复
发现云环境中的漏洞并确定其优先级，仅仅是成功了一半。企业需要实现云安全的“左移”，以便在生产环境出现漏洞之前及时发现并修复漏洞。
修补一次，一劳永逸
在部署前通过创建安全的虚拟机镜像模版和容器映像，在漏洞对生产环境影响之前就加以预防。
我们之所以选择 Tenable，是因为它简单易用，并且具有自动化功能、专业性和品牌知名度。自动评估各个新容器映像，并在发现新漏洞时持续保护映像，这种能力非常可贵。Volpara Health 首席信息官兼首席信息安全官 Gareth Beaumont 阅读案例分析
5. 度量
度量
全面衡量整个攻击面的 Cyber Exposure，是一项充满挑战的工作。需要发现所有资产、进行评估、将资产与特定业务服务相对应，并确定哪些资产对业务至关重要，然后分析各项资产可能存在的漏洞、错误配置以及其他安全弱点。上述步骤可帮助企业确定风险优先级，便于将风险信息共享反馈给技术团队和关键利益相关者。
计算和传达 Cyber Exposure
利用先进的分析技术和风险型暴露程度评分，以便权衡资产价值及其重要性和漏洞及相关背景。由此可获得所有需要的数据，从而以强大的定制化可视方式来呈现整个攻击面的全貌，让包括分析师和主管在内的所有人都能快速了解企业的 Cyber Exposure 状况。
对性能进行基准衡量
将 Cyber Exposure 评分与其他业务部门和类似的外部同行企业进行对比。
通过数据展示云安全
通过将 Cyber Exposure 评分 (CES) 以及随时间的进展情况与本地资产进行对比，消除云环境在本质上不安全的观念。清晰的指标以及功能强大的仪表板可说明修复“左移”以及创建可复用黄金映像这样的云原生功能如何使得云环境完美契合企业的业务关键型应用程序和工作负载。
指标是信息安全的重要组成部分，能够以高级管理层懂得的语言和适当的方式呈现相关信息。Tenable 在这方面确实为我提供了莫大帮助。American Eagle Outfitters 的 IT 安全资深经理 Matthew Stewart 观看视频案例研究