Aceasta acoperă rețelele virtuale, rutarea, rezoluția numelor, gateway-urile, load balancer-ele, legăturile private, marginile de internet și politica de rețea. Domeniul său este stratul de comunicație cloud, nu fiecare parte a securității cloud.
API-urile furnizorului și automatizarea creează și modifică rețelele cloud. Sarcinile de lucru pot fi de scurtă durată, în timp ce traficul poate rămâne în interiorul infrastructurii furnizorului și poate ocoli perimetrele tradiționale. Un design solid mapează fluxurile necesare la căi controlate și protejează interfețele de forwardare și management.
Puncte esențiale
Arhitectură și politicăSeparați mediile și zonele de încredere, minimizați expunerea publică, constrângeți comunicarea de intrare, ieșire și est-vest și păstrați politica când resursele se scalează sau se mută.
Plan de control și responsabilitateDocumentați ce straturi de rețea operează furnizorul și ce controale configurează clientul. Aplicați privilegii minime administrării și automatizării rețelei, protejați credențialele, revizuiți modificările și detectați deriva în rute, gateway-uri, reguli de securitate, servicii de nume și conectivitate privată.
Vizibilitate și reziliențăColectați evenimente potrivite de flux, DNS, firewall, load-balancer și plan de control; testați căile asimetrice, limitele de servicii, eșecul dependențelor, protecțiile denial-of-service și recuperarea, fără a reține conținut inutil.
Limitare importantăO adresă privată, o rețea virtuală sau un backbone de furnizor nu autentifică o sarcină de lucru și nu îi face traficul sigur. Controalele cloud-native pot avea lacune de servicii, regiuni, protocoale și jurnalizare, în timp ce o rută nesigură, o permisiune de identitate sau o modificare de automatizare poate ocoli mai multe frontiere intenționate deodată.