每星期一定会有那麼一些新闻报道，总会有那麼好多个运维管理工作人员由于各种各样因素将含有顾客比较敏感信息的数据库查询暴露在沒有安全性配置的储存器皿里。有一些很严重，例如上年11月，有超出1,000万含有旅游数据信息的文本文档暴露在一个未适当配置的AWS S3 bucket中。一样的事儿仍然在开演：就在五月初，某一微软公司客户的不正确配置储存器皿暴露在了Azure上。
近期，Proofpoint对全世界1,400名CSO开展了一次调查，在其中第二大的网络威胁便是云账户失陷——有三分之一的被访者都对于此事表达了忧虑。在Gartner于2019年的报告书中有一句话一直被引入：“几乎全部对于云服务器的取得成功进攻全是因为客户的不正确配置和过失造成。”Check Point的科学研究也表明 了同样的见解：在2020年，她们发觉被访者提及的危害中，有三分之二是云服务平台配置不正确。
Gartner一样预测分析，到2023年，最少99%的互联网安全无效全是顾客自身的义务。Gartner调查的公司中，有近一半的机构由于自身的过失造成数据信息、API、或是互联网系统分区暴露到外网地址以上。例如，这条连接中的一些以往被攻占的公布储存器皿——但是这一份三年前的目录早就跟不上当代的变动了。
这种不经意中的配置不正确引起了一些新的关键侧重点。在过去的，很多网络安全产品专注于将恶人清除在外面，阻拦外界员工和故意的内部员工。这一方法在云计算平台仅仅企业经营的一小部分的那时候还合理，但目前大家必须一些可以发觉和修补不经意中的疏忽的专用工具。
什么是CSPM?
CSPM将威胁情报、检验和修补融合，可以效果于繁杂的云计算平台结合。
CSPM可以为CASB和CWPP的功能开展填补，弥补当中的不够。一些CASB和CWPP生产商如今也会给自己目前的设备给予CSPM的额外部件。
云计算技术一般被分成IaaS、PaaS和IaaS。殊不知，这三者的差别愈来愈模糊不清，以致于有时名称慢慢不会再有很大的实际意义。伴随着公司选购更多种多样的云工作能力，有一个像CSPM根据一个专用工具遮盖全部云设备的计划方案愈来愈有诱惑力。一个销售市场预测分析CSPM的全世界销售市场会从2020年的40亿美金提高到2026年的90亿美金，因而CSPM肯定是一个非常值得认真观察的行业。
CSPM生产商在过去的两年历经规模性的收购事情，包含：
- Check Point在两年前回收Dome9之后，最后发布了自个的Cloudguard。
- Zcaler在2020年回收了Cloudneeti的CSPM专用工具。
- 趋势科技回收了Cloud Conformity的Cloud One。
- 派拓互联网从Redlock回收了目前的Prisma Cloud，并从Twistlock回收了一个负荷维护模块。
- Aqua Security回收了CloudSploit。
- Sophos收购了Avid Secure。
别的厂家还包含Accurics、CrowdStrike的Falcon Horizon、Rapid7的DivvyCloud、新成立公司Orca Security、Sysdig Secure和SecureSky积极安全教育平台。
为何必须CSPM?
全部的云计算技术都是有一个常见问题：欠缺界限性。这就代表着即使拥有像CASB那样的某类维护，仍然没有一个简易的形式可以决策哪个过程或是工作人员可以连接云空间，或是回绝沒有管理权限的浏览。因而，必须一系列的维护组成来保证连接和阻隔的问题。
另一个挑戰取决于手动式解决无法紧跟拓展、器皿和API的速率。这就是目前基础设施建设即编码发生的缘故，可以根据设备可写的资料对基础建设开展监管和供货。这种文档都根据API。这类方法能集成化到云优先选择自然环境，不但因为它能轻轻松松迅速改动基础设施建设，但也极易造成配置不正确，造成自然环境会暴露在系统漏洞上。
再讲到器皿，也难以在很多的云服务器中开展跟踪。AWS自身也是有Elastic器皿服务项目、无网络服务器测算模块Fargate、及其Elastic Kubernetes服务项目。像Docker和Terraform等公共性器皿服务项目不一定会被每一个CSPM适用。
不借助很多集成化得话，数据可视化工作能力也会难以做。公司只必须一个有关本身互联网安全趋势的实情由来。这就代表着CSPM的展现页面会在SOC中有一席之地——就算SOC的控制面板早已十分拥挤了。此外，SOC工作人员还要考虑到如何把这种数据信息融进目前的战略指南中。这也代表着CSPM应当可以融进这种原有的专用工具中，而且共享资源IOC或是对于基础设施建设的进攻信息。
一些专用工具，例如CrowdStrike的Falcon和Orca的专用工具，进一步开展了集成化。两者都可以保证一些像给Slack频道消息推送报警、运行Jira工作流引擎、给ServiceNow推送进一步调研的常见故障单等个人行为。
Gartner觉得“系统架构师应用CSPM来认证云原生数据信息，并落实运用操纵。”她们标明了五个对CSPM来讲普遍的作用：
- 合规管理评定。
- 经营日志、报警检测及其危害检验。
- DevOps集成化与不断布署修补。
- 几近即时的事情回应。
- 统一风险评价与数据可视化。
必须了解CSPM经销商的一些问题
- 如何计算你的基准线，进而可以跟踪你的云端财产转变?
- 该解决方法是不是适用流行云计算平台，及其不一样的Kubernetes和别的根据器皿的布署方式?又是不是能适用像Box、Salesforce、Workday、ServiceNow等SaaS运用?一些商品会云端布署代理商，有一些根据审阅连接的方法扫描仪自然环境和資源，也有一些必须载入管理权限对帐户开展修补。
- 对于各种转变、现行政策违反规定和别的出现异常事情的报警处理速度怎样?它是否会跟踪配置不正确的安全性组、远程接入、运用操纵不正确、及其互联网转变?全部的云生产商一定会给予内嵌的主题活动检测，但要是应用阴天，便会必须CSPM对这种丰富多彩的数据来源开展隔开，进而能合理运用这一些数据信息。
- 自动化技术修补的处理速度怎样?最好是的CSPM会不断扫描仪有安全隐患的系统软件，有一些还可以在一个新的vm虚拟机发布导致不安全状况的情况下开展检验。
- 它还能集成化什么安全性和通告专用工具?例如SIEM和SOAR?
- 在每一个云经销商上可以适用是多少合规管理和财务审计的汇报架构?每一个专用工具都是会适用一种不一样的架构结合，因此不一定会在全部云端全是统一的方法，只能让使用人用起來更不便。
- 成本费怎样?一些厂商会给予不足的实习期;一些会依据服务器总数收费标准，或是用一些更繁杂的方法收费标准——可以让用户在接到信用卡账单的时大吃一惊。非常少有能像Sysdig那般会给予一个公平合理的价钱网页页面。
5个海外CSPM商品及其其主要作用
(1) CrowdStrike Falcon Horizon
CrowdStrike Falcon Horizon适用多种多样在AWS和Azure中间差异的服务项目。它有一个独立的控制面板，可以管理方法2个云的安全性组;与此同时可以汇报在2个服务项目中被管理方法的Kubernetes连接点的风险性。它能被用以积极图片识别软件开发设计生命期中的危害，随后应用代理商检测个人行为。
(2) Orca Security
Orca是一家CSPM初创期生产商，用无经销商的方法适用全部三种海外流行云服务平台。它的专用工具有一些负荷维护作用，还给予对每个云服务器的器皿深层查验。
(3) SecureSky Active Protection Platform
SecureSky Active Protection Platform适用全部三种海外流行云计算平台生产商，与此同时兼容多种多样SaaS运用，包含Office 365、Workday、Salesforce、ServiceNow和Box。它融合了SIEM及其多种多样合规管理专用工具，还集成化了一个危害管理方法作用。
(4) Sysdig Secure
Sysdig从为AWS给予服务项目逐渐，现在在谷歌云有检测版本号，而且在来年会提升在Azure的工作能力。Sysdig较多可以扫描仪250个在AWS Fargate和ECR中被管理方法的器皿镜像文件。她们有一个会员账号级别，及其好几个付钱账户级别。付钱账户可以添加器皿检测等作用，花费在每一个服务器24美元起，而且有本年度折扣优惠。
(5) Zscaler
Zcaler的CSPM商品上年被Cloudneeti回收了。Zcaler给予30天的免费使用。从被回收至今，她们进入了投资管理作用、很多的预约义对策、及其一个构建对策的数据库架构，与此同时提高了谷歌云服务平台的适用。她们也有13种合规管理架构，虽然说每一个云服务平台很有可能会适用不一样的系列产品。