防護四大公雲使用，思科推出控制器搭配閘道控管的資安服務

今年6月思科舉行全球年度用戶大會Cisco Live!，活動期間發表多款資安產品，像是安全服務邊緣（SSE）解決方案Cisco Secure Access、次世代網路防火牆Cisco Secure Firewall 4200系列、雲端原生安全系統Panoptica，以及接下來我們介紹的Cisco Multicloud Defense。

此項產品源於他們3月底完成併購的雲端安全新創廠商Valtix，思科看重他們能以簡易方式提供橫跨多雲環境的資安防護，因此決定買下這家公司，而且在短短3個月後登場的Cisco Live!大會，正式向大家介紹相關技術整併之後的新面貌。

有了Multicloud Defense，能將傳統網路防火牆的防護概念延伸至服務導向、多雲的環境，資安維運團隊可透過單一的軟體即服務（SaaS）平臺，而能橫跨AWS、Azure、GCP、OCI這四大公有雲服務，進行統一政策的即時控管，同時，也能快速提高雲端環境的安全性，增強防護力與效率。

Multicloud Defense目前可提供相當多種功能，像是分散式網路應用層（L7）防護、網站應用程式防火牆（WAF）、資料外洩預防（DLP），資安團隊均可運用統一、動態執行的政策進行管理，

而在實際運作的方式上，它能橫跨多種雲端服務來進行查核，並透過分散在用戶掌管的各個虛擬私有雲（VPC）環境運作的閘道，強制執行資安政策，以此阻擋針對特定應用系統而來的威脅、攔下攻擊者與殭屍網路對遭駭電腦的命令與控制（command & control）通訊、預防敏感與機密資料發生滲漏外洩，以及緩解駭客與惡意軟體的橫向移動。

在此同時，Multicloud Defense也具備雲端服務的特性，具有靈活度、彈性，以及可擴充性，能幫助用戶防護雲端環境，並且提供單一控制層（single control plane），便於企業資安團隊進行自動化處理與調度指揮工作，從而減少人員訓練成本、專屬資源的耗用，更快實現資安解決方案的價值。

細部而言，Multicloud Defense的架構，採用一套能在公有雲與軟體定義網路環境的共通原則來進行設計，當中將控制層與資料層予以解耦，轉換為下列兩個主要元件：

一個是以平臺即服務（PaaS）型態提供的閘道Multicloud Defense Gateways，運作在四大公有雲環境當中，本身是由一群具有自動擴展規模能力的資安軟體所組成，搭配彈性、單一回合的管線處理流架構。

另一個則是以軟體即服務（PaaS）型態提供的控制器Multicloud Defense Controller，由思科代管，本身是具有高可靠性與擴充性的集中控制器（控制層），能夠針對多雲基礎架構進行自動處理、調度指揮、防護等工作，用戶可透過網站入口介面操作這套控制器，或是透過Terraform將資安防護整合到DevOps或DevSecOps的流程當中。

Multicloud Defense Controller也會負責Multicloud Defense Gateway的交付、管理、調度。從實際的防護架構而言，企業與組織可運用控制器，將進入閘道（Ingress Gateways）與外出閘道（Egress Gateways），部署到自家公有雲服務帳號管轄的環境，藉此提供更全面、進階的線上安全防護，能夠對抗來自外部的攻擊，阻擋對外的資料洩漏活動，以及預防攻擊的橫向移動。

產品資訊

Cisco Multicloud Defense
●原廠：Cisco
●建議售價：廠商未提供
●解決方案型態：SaaS雲端服務
●支援公有雲環境：AWS、微軟Azure、GCP、OCI
●組成元件：Multicloud Defense Controller（從Cisco Defense Orchestrator啟動）、Multicloud Defense Gateway、Multicloud Defense Terraform Provider
●防護功能：Egress Gateway提供外對內與橫向流量保護，功能包括：FQDN過濾、URL網址過濾、DLP、IPS/IDS、防毒、正向代理、TLS解密；Ingress Gateway提供外對內流量保護，功能包括：WAF、IDS/IPS、Layer-7防護、DoS防護、防毒、反向代理、TLS解密

【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】