RSA2016 绿盟君带你看云业务安全接入代理（CASB）

在2016年的RSA大会上，无论是CSA峰会，创新沙盒环节，还是在厂商展区，针对云安全的厂商数量不少，而且受到的了普遍的关注。而这其中CASB（Cloud Access Security Broker）厂商更是长袖善舞，在RSA大会上吸引了大量的眼球。尤其是Bluecoat的展区，云安全方案是他们的宣传重点。

2015年11月，Bluecoat以2.8亿美元的高价收购了创新安全公司Elastica，这是继2015年8月Bluecoat收购创新安全公司Perspecsys后的又一次收购。而仅仅在几个月之前3月，Bluecoat刚刚被贝恩资本以24亿美元的价格私有化。这一连串的大动作，不得不让人思考，Bluecoat，“What are you 弄啥呢？”土豪有钱任性也不能这么花吧？难道真是任性么？

事实上，Bluecoat的2次收购都是在同一细分领域——CASB。
那何为CASB呢？
CASB即Cloud Access Security Broker。随着云技术与虚拟化技术的逐渐普及，传统的IT架构也正在快速的发生变化。现在很多公司，尤其是新兴的互联网公司已经没有传统意义上的数据中心机房了，企业数据中心成为影子数据中心。他们连服务器这些设备都没有，所有业务系统都托管在云服务商处；而日常管理也大量使用SaaS化服务，例如客户关系使用Salesforce/纷享销客，代码使用Github保存，日常文档使用OFFICE365或者印象笔记，企业文件共享使用Dropbox或者其他类似网盘，企业邮箱使用类似Gmail的自有域企业邮箱托管服务，其他例如HR、社保、报销、OA等等工作事务的管理都有相应的SaaS服务可以采用。
在这种情况下，企业往往失去了对业务及数据的安全控制权。既要享受便捷的云化服务，又要不失去对自身数据的控制权。CASB技术应运而生。

CASB技术的优势在于能够让用户自由使用云化业务时，满足安全需求和相关的合规性监管要求。重点包括：
1. 能够对所有的APP/SaaS的业务风险进行发现和评估，并且能够给出一个评价指标。用户可以根据这个评价指标选择是否采用该APP/SaaS服务。
2. 能够提供基于身份的接入控制管理。很方便的将云及SaaS服务与认证系统对接，对不同的接入用户赋予不同的操作和访问权限。提供比SaaS服务商更丰富的访问控制功能。
3. 能够对用户和管理员的操作、访问、内容、文件等进行监控和回溯，并且在重要事件发生时自动告警。例如可以设置文件密级，当高密级文件发生不合规操作时，自动阻断该操作，并记录、告警，从而实现数据防泄密。也可以对登陆环境进行要求，防止非法设备登陆。
4. 可以防止来自云服务商本身的数据泄密。例如，在用户输入过程中对数据进行加密，使得云端数据都处于加密状态，保障数据安全性。
5. 能够对云上的恶意软件进行监控和发现，防止来自云内部的恶意软件。

CASB看起来即像是上网行为管理+威胁分析+DLP+防火墙+堡垒机+身份认证产品的合集，但它究竟如何部署呢？ 总体来说，分为3种部署模式：

1. 纯网关型模式。在用户的网络出口处放置一套CASB网关设备，对所有的需要处理的SaaS服务进行代理，相应的移动设备需要配置相关的Profile文件或者安装客户端，使此类SaaS流量也指向CASB网关。
2. 控制器+云端能力中心模式。与第一种方案不同之处在于，用户网络内只有一个轻型的控制器用于策略执行。但是对于风险分析、数据加密、安全评估、策略生成、初始化数据格式等工作都在云端完成。而第一种方案中所有工作都有CASB网关完成。
3. 客户端+云模式。在所有SaaS终端使用设备上装上CASB客户端APP。
   从美国的CASB使用案例来看，金融等大型用户多使用第一种方案，第三种方案通常在用户已经有MDM系统时使用较多，此时终端设备客户端配置及推送方便。

在业务云化的大趋势下，安全需求必然大量出现。Gartner提到：“到2020年，85%的大型企业用户将用到CASB产品，而今天这个数字才不到5%”。虽然CASB看起来如此刚需，但其实CASB早已经不是技术新热点，目前主流的几个CASB公司，例如NETSKOPE、Elastica、CipherCloud、Bitglass、Sookasa、Cloudlock、Vera、SkyHigh、Centrify、Perspecsys等，基本都成立于2012—2014年之前。而在2015年以后，美国几乎没有出现新的有影响力的CASB公司。但是2015年以后，美国市场则逐渐的认识和了解到CASB，并且市场需求也逐步旺盛起来。以NETSKOPE公司为例，这家成立于2012年的CASB公司，从2014年开始进行正式的市场推广与销售。2015年销售收入达到1600万美元。而成立于2014年的Elastica，2015年收入也取得了500万美元的销售业绩。而今年RSA大会上多个CASB公司的独立展台更证明了他们取得了不错的业绩，要知道RSA的独立展台费用还是很贵的啊。

这些CASB公司，在关注的业务层面既有交叉，也各有不同，都是在SaaS业务的过程中的身份识别、访问权限、操作权限、数据及文件生命周期、数据资产加密、数据迁移、数据备份、以及审查回溯等各个环节提供保护。从技术角度上来看，CASB的实现并不是什么难题，但是如何实现对大量SaaS服务适配，SaaS业务云端历史数据与新数据的全局发现与整理，对SaaS业务过程的无缝干预与用户无感体验，这些工程性问题恰恰是CASB产品的真正难点。美国一家著名的CASB公司，在为富国银行提供服务时，由于产品性能及流程的存在瑕疵，导致富国银行该业务系统崩溃，从此再难进入该银行的服务商名单了。

历史总是呈现出螺旋式上升，IT技术也不例外。CASB的出现依然是解决身份、控制、审查、防泄密、完整性等这些老生常谈的问题，但是面向的基础架构环境已经从传统盒子堆，变成了云。同时，技术创新总是领先于市场的认知的。市场总是偏爱有准备的人。
另外，说个有趣的现象，CASB公司中创始人中印度裔居多，大家有兴趣可以数一数。

如果您需要了解更多内容，可以
加入QQ群：486207500
直接询问：010-68438880-8669