随着企业IT运营逐渐从本地上云，他们就开始寻找从内部数据中心引入云运营的安全访问控制方法。云访问安全代理（CASB）就是这样的一种工具。如今，CASB已推出十年，它是企业安全基础结构的常见组成部分。但是对于许多人来说，确切地了解CASB的功能，为什么它不同于下一代防火墙，这仍然是一个谜。

本文将带大家来研究一下CASB，阐述它的来源以及演变。

CASB的最初目的是提供企业基础架构中所有云服务的可见性。在和“影子IT”以及未授权的云服务对抗中，CASB是第一种专用武器。CASB部署在网络边界并使用多种代理类型，可以识别对云服务的每次响应或从云服务进行的连接，无论这项云服务是否被批准。

在CASB创建之初，它们经常作为物理设备部署在客户数据中心。现在，它们仍可以部署，但更多地以“安全即服务”（SaaS）模型部署为云服务本身。在这两种情况下，现在的CASB都使用代理和API来识别尽可能大范围的云服务，并根据产品现在具有的附加功能采取行动。

知道云服务的存在并不等同于对其进行保护（或针对特定服务实施安全控制），因此CASB逐步发展，并为安全团队提供更多服务。正如Gartner所言，CASB的“四个支柱”已然发展起来——可视化、合规性、数据安全和威胁防护。

这四个功能领域在共享责任云安全性模型中很重要，在该模型中，云提供商负责保护其基础架构，而云客户负责其应用程序和数据的安全性。

那么，这“四个支柱”的真正含义是什么？它们如何用于保护企业云？下文将进行一一论述。

可视化

CASB可以让企业负责人知道所有员工在网络中坚持使用的云服务是否安全。虽然这是很必要且令人恐惧的，但现在的CASB确实可以提供部分的检测。利用CASB可以查找和监视往返云服务流量的方式，它还可以告诉安全团队哪些员工正在使用云服务，以及他们如何获得云服务。当与员工对质，若员工不承认个人行为破坏了公司的安全计划时，CASB工具可以提供有效帮助。

合规性

随着CASB的发展，尤其是当他们使用API而不是代理来提高对云上业务的可见性时，他们能够查看从一个云传输到另一个云以及在内部部署的基础结构和云之间传输的数据。除了让安全团队可以更好地了解组织的云基础架构之外，这还可以查看存储在云中以及处理中的数据。

合规的许多方面取决于要了解数据的存储位置和存储方式。除了外部法规外，许多组织还对如何存储和处理特定类型的数据制定了内部规则。CASB可以让安全团队清楚地了解云绑定数据的状态，从而可以检测和纠正员工在存储或迁移数据的情况，以免触犯外部法规。

数据安全

通过了解云上数据的状态，CASB可以采取下一步措施来保护该数据。通过API控件进行操作，使CASB可以查看从未进入企业网络的事务（例如云服务之间的事务）。CASB可以执行一系列规则，比如数据加密或混淆、身份验证和访问控制的特定要求以及其他参数等，这样可以确保数据以安全的方式存储。

威胁防护

“访问”是CASB中的一环，这类产品可以提供威胁防护，加强云上数据应用的访问和身份验证控制。在许多情况下，CASB通过和现有的单点登录或“身份即服务工具”进行交互，可以监视业务活动并执行规则。CASB的优势之一在于具备与现有的安全基础结构集成的能力，这将CASB和其他工具区分开来。

通常，下一代防火墙、Web应用程序防火墙和其他安全工具被认为很复杂，无法发挥最大优势。而相对来说，即使经验不足的安全团队，CASB一直以来也都是易于配置和部署的工具。

*参考来源：Darkreading，Sandra1432编译，转载请注明来自FreeBuf.COM