CASB：云访问安全代理（Cloud Access Security Broker）
云访问安全代理（CASB）是一种安全解决方案，充当用户与云应用之间的中介，在 SaaS、IaaS 和 PaaS 环境中提供可见性、控制和数据保护。随着 Microsoft 365、Google Workspace、Salesforce、AWS 等数百种云应用工具的使用呈爆发式增长，组织已经失去了对如今位于传统边界之外的企业数据的可见性和控制。CASB 通过提供四大基本支柱来解决这一问题：Visibility（影子 IT 发现和云应用清单）、Compliance（监管策略和行业标准的执行）、Data Security（通过云原生 DLP 防止敏感数据泄露）以及 Threat Protection（检测云服务中的威胁、行为异常和恶意软件）。该解决方案可以在不同的部署模式下运行：内联（反向代理）、基于 API（与云提供商直接集成）或基于日志（分析访问日志）。现代 CASB 还实施基于上下文的精细访问控制（用户、设备、位置、应用），对静态和传输中的数据进行加密，使用令牌化（tokenization）保护敏感信息，并与 SIEM、EDR 和 IAM 系统集成，以构建统一且协调的安全生态系统。
影子 IT 发现与云可见性
企业安全面临的最大挑战之一是未经授权使用云应用（影子 IT）。员工在未经 IT 或安全部门批准的情况下采用 SaaS 工具，造成了危险的盲点。CASB 通过多种方法提供 cloud discovery：分析代理和防火墙日志、监控 DNS 查询、与 network traffic analysis 集成以及与身份提供商的 API connectors。其结果是一份完整的 cloud app catalog，显示所有正在使用的应用、传输的数据量、活跃用户数量以及每个应用的 risk score。自动风险评估根据安全认证（SOC 2、ISO 27001）、隐私政策、违规历史、数据中心位置和 GDPR 合规性等标准对应用进行评估。管理仪表板可即时提供有多少云应用正在使用（通常为数百或数千个）、哪些存储敏感数据以及哪些存在安全风险的可见性。App sanctioning 使安全团队能够将应用分类为已批准、未批准或受监控，并对每个类别应用不同的策略。
云端数据丢失防护（DLP）
CASB 为云环境实施原生 DLP，保护 SaaS 应用中的敏感数据。内容检查实时审查上传、下载和共享，使用 pattern matching、正则表达式和 machine learning 来识别：信用卡号、国家身份证号、医疗信息（PHI）、知识产权、源代码、合同和其他机密数据。Policy enforcement 可以阻止敏感文件的上传、隔离可疑文档、应用自动加密、移除公共共享权限或要求额外的 MFA。Contextual controls 支持精细的策略：财务文档可以从办公室访问，但从非托管的个人设备或未授权的地理位置访问时会被阻止。Data classification 与企业系统集成，遵循机密性标签（Public、Internal、Confidential、Restricted）。Remediation actions 包括加密（使用 enterprise key management）、令牌化（用令牌替换真实数据）、编辑屏蔽（隐藏文档的敏感部分）以及向安全团队和 data owners 发出警报。与本地 DLP 的集成可确保企业边界内外的策略一致。
Threat Protection 与异常检测
现代 CASB 实施专门针对云环境的 advanced threat protection。Behavioral analytics 使用 machine learning 来建立正常用户行为的 baseline，并检测异常情况，例如：从不可能的位置登录（impossible travel）、大规模数据下载（data exfiltration）、过度共享文档、创建多个服务账户或更改关键配置。Malware detection 使用多引擎防病毒、sandboxing 和 threat intelligence feeds 扫描云存储中的文件。Account compromise detection 通过异常登录模式、使用已知恶意 IP 或与用户配置文件不一致的行为来识别被泄露的凭据。Insider threat detection 监控 privileged users 的操作，对非工作时间的访问、离职前的数据外泄或违反 chinese wall policies 的行为发出警报。与 threat intelligence 的集成将云活动与全球 indicators of compromise（IoCs）关联起来，识别与 C2 servers 的通信或使用与 threat actors 相关联的应用。自动响应可以阻止用户、撤销 sessions、强制重置密码或升级至 security operations center（SOC）。
多云中的合规与治理
CASB 对于在云环境中维护监管合规至关重要。Compliance monitoring 持续验证云应用是否满足 GDPR、LGPD、HIPAA、PCI-DSS、SOX 和其他框架的要求。例如，对于 GDPR：验证欧洲公民的数据未在无法律保障的情况下存储在欧盟以外的数据中心，通过数据保留策略确保 right to be forgotten，审计 data processing activities 并实施 privacy by design。对于 PCI-DSS：确保卡数据未存储在不合规的应用中，实施传输中和静态加密，并维护对 CHD（cardholder data）所有访问的 audit trails。Audit reporting 为审计生成自动报告，包括 access logs、data movement、policy violations 和 remediation actions。Data residency enforcement 确保数据按照监管或合同要求保留在特定地理区域内。Configuration auditing 监控云应用的设置（如公共 S3 buckets、过度权限、弱加密）并对偏离 security baselines 的情况发出警报。
部署模式与架构
CASB 可根据需求采用不同的架构实施：Inline/Proxy mode 充当 reverse proxy，实时拦截用户与云应用之间的所有流量，实现内联 blocking 和加密。优点：实时控制。缺点：额外的延迟和 single point of failure。API mode 直接连接到云提供商（Office 365、Google Workspace、Salesforce）的 API，实现：数据清单、对已存储文件的追溯性 DLP、不安全配置的 remediation 以及活动审计。优点：不影响性能。缺点：仅适用于提供 API 的应用。Log-based mode 分析云应用生成的访问日志，在不触及真实流量的情况下提供可见性和 analytics。Hybrid deployment 结合用于关键应用的内联（real-time blocking）和用于广泛覆盖整个云生态系统的 API。Multi-tenancy support 允许在 MSP 场景中为子公司、部门或客户管理不同的策略。High availability 和 scalability 对于避免成为 bottleneck 至关重要。
与安全生态系统的集成
CASB 并非孤立运行，而是与以下系统集成：Identity and Access Management (IAM) 用于执行基于用户、组和角色的策略；Single Sign-On (SSO) 用于统一身份验证；Multi-Factor Authentication (MFA) 用于敏感访问的 step-up authentication；SIEM 用于将云事件与 on-premises security incidents 关联；Endpoint Detection and Response (EDR) 用于基于 device health 和 posture 的访问决策；Secure Web Gateway (SWG) 用于一致的 web filtering 和 threat protection 策略；Zero Trust Network Access (ZTNA) 用于在云访问中实施 never trust, always verify；Cloud Security Posture Management (CSPM) 用于 IaaS 治理；Data Classification tools 用于文档的自动标记。这种集成实现了 risk-based access control，其中允许/阻止/step-up authentication 的决策基于完整的上下文：身份 + 设备 + 位置 + 应用 + data sensitivity + threat intelligence。
用例与实施
CASB 的实际用例：(1) 控制影子 IT：发现所有云应用、评估风险并阻止未经批准的应用，同时批准安全的替代方案；(2) 保护 Office 365/Google Workspace 中的数据：实施 DLP 以防止机密文档的外部共享；(3) 符合 GDPR/LGPD：确保 PII 不离开允许的地理区域，并维护 data processing 的 audit trail；(4) 检测 account takeover：识别可疑登录并强制执行 MFA 或阻止会话；(5) Secure BYOD：允许从个人设备访问云应用并施加限制（不可下载，仅可查看）；(6) Contractor access：在加强监控的情况下向第三方授予有限访问权限。要成功实施：(1) 从 discovery mode 开始，在不进行 blocking 的情况下绘制 cloud app landscape；(2) 根据 risk 和 compliance requirements 定义策略；(3) 在全面 rollout 之前与小组进行试点；(4) 培训用户了解已批准的应用和例外流程；(5) 与 IAM/SSO 集成以实现透明的 user experience；(6) 监控仪表板并根据 false positives/negatives 调整策略；(7) 开展有关影子 IT 风险的 security awareness。