security - 本地到云漏洞扫描

Question

我们在本地网络的共享子网中有漏洞扫描软件。我们现在正在添加托管在公共云上的 VM，并且需要对它们执行漏洞扫描。一种选择是打开从本地到公共云的单向流量，以便扫描程序可以访问所有虚拟机。所以所有端口都将对虚拟机开放（在一个方向上）。这是可取的吗？在子网中运行 vul 扫描软件，这样在本地和云之间根本不需要允许任何流量，不是更好吗？例如，与 VM 在同一子网中运行的扫描仪可以将结果推送到 dmz 中的中央扫描仪服务器。采用公共云的公司如何解决这个问题？

Answer 1

利用云中现有的扫描仪软件变得越来越普遍。在 AWS 等平台上，许多商业产品也会为此配备 AMI。例如：https ://community.tenable.com/s/article/Amazon-Machine-Image-Deployment-AMI

这里的真正答案取决于以下几点：

• 您使用的云平台。
• 您需要使用的漏洞扫描软件。
• 您在云中使用的服务。

还值得考虑采用可以与您的云环境集成的产品或工具集，以便在创建新资产时对其进行扫描。如果您的云堆栈使用非 VM 服务（如 AWS S3），则也需要它们自己非常特定类型的扫描。