6種在云中更安全的方法

多年以來，由于對安全威脅的擔憂，許多組織和IT高管一直對采用公共云服務持懷疑態(tài)度，甚至避免使用這些服務。

隨著云計算服務市場的成熟以及行業(yè)的云計算提供商構建高度安全的云計算基礎設施，這些擔憂在很大程度上得到緩解。但這并不意味著面臨的威脅已經(jīng)消失，云計算客戶還是需要自己保護數(shù)據(jù)的安全。

云計算配置錯誤是網(wǎng)絡攻擊者首先尋求攻擊的漏洞，例如用戶沒有刪除舊帳戶，可能會引發(fā)一些問題。

云安全聯(lián)盟(CSA)對標準、認證以及幫助確保安全的云計算環(huán)境的好實踐進行了定義。并指出：“全球云計算采用率的上升帶來了新的云安全威脅，黑客可以在其中研究組織的弱點并獲得未經(jīng)授權的訪問以竊取機密信息。我們需要更智能、更敏捷的控件來應對此類威脅，而這正是云計算服務提供商采取的傳統(tǒng)安全措施失敗的地方。”

該組織根據(jù)云安全聯(lián)盟(CSA)頂級威脅工作組對其成員的調(diào)查，確定了云計算面臨的大威脅。其中包括數(shù)據(jù)泄露;缺乏云安全架構和策略;身份、憑證、訪問和密鑰管理不足;帳戶劫持;內(nèi)部威脅;不安全的接口和應用程序編程接口(API);以及云計算使用情況的可見性有限。

現(xiàn)在依賴多云或混合云環(huán)境來支持其業(yè)務流程的組織需要保持警惕，以確保其數(shù)據(jù)和應用程序安全——就像這些資源位于內(nèi)部部署數(shù)據(jù)中心一樣。

研究機構Gartner公司對云計算安全做出了許多預測，這些預測應該引起組織的首席信息安全官(CISO)和其他安全主管的關注。

一是到2025年，90%無法控制公共云使用的組織可能會無意共享敏感數(shù)據(jù)。另一個原因是，到2024年，大多數(shù)組織將繼續(xù)努力適當?shù)睾饬吭朴嬎愕娘L險。第三，到2025年，99%的云計算安全故障是客戶犯下的錯誤，而不是云計算提供商的錯誤。

以下是在云計算環(huán)境中增強安全性好實踐的一些建議：

1. 部署身份和訪問管理工具

Gartner公司云安全高級總監(jiān)兼分析師Steve Riley說，管理誰有權訪問云中的哪些數(shù)據(jù)和服務應該是云計算網(wǎng)絡安全計劃的基礎。

Riley說，“在公共云中，在單個資源和數(shù)據(jù)對象級別的邏輯訪問控制變得至關重要。身份也許是虛擬邊界的最重要形式，可以有效地減少潛在漏洞的攻擊面。”

Riley說，任何擁有互聯(lián)網(wǎng)連接的人員都可以訪問云管理控制臺和駐留于云平臺的應用程序。因此，任何用于維持對組織的云計算部分控制的策略的基礎都是有效的身份和訪問管理(IAM)策略。

他說：“當組織設計一個既能實現(xiàn)業(yè)務又能保護業(yè)務的身份和訪問管理(IAM)策略時，需要記住，最小特權原則仍然是有用的。這個過程可以快速輕松地請求和授予其他特權，而對個人工作流程的干擾最小。當權限分配過于狹窄時，系統(tǒng)安全失效，錯誤往往不會造成安全問題。當任務范圍太廣時(通常是因為權利的蔓延)，其情況正好相反：錯誤往往會造成真正的安全問題。

現(xiàn)在大多數(shù)公共云服務都提供基于角色的管理、內(nèi)置的多因素身份驗證(MFA)和廣泛的日志記錄功能。有些可以與特權訪問管理工具集成。大多數(shù)服務還提供某種形式的有效權限評估程序，這有助于消除猜測是否可以確定用戶或服務帳戶的權限范圍是否過大。”

Riley表示，帳戶權限過寬和對象訪問控制列表過寬是最常見和最危險的云安全問題。

2. 防止安全配置錯誤

研究機構IDC公司負責安全和信任的項目副總裁Frank Dickson表示，云計算環(huán)境面臨的大威脅是錯誤配置。

Dickson指出，開放的AWS S3存儲桶一直是備受關注的漏洞來源，但一些組織選擇將公共云存儲資源保持開放狀態(tài)。

Dickson說，“盡管在默認情況下不會打開S3存儲桶;他們是封閉的，客戶必須決定是否開放S3存儲桶，并可能使其暴露在外。俗話說，預防勝過治療。在適當?shù)脑朴嬎闩渲蒙线M行少量投資相當于采用更多的云安全工具。”

云安全聯(lián)盟(CSA)表示，云配置錯誤是攻擊者首先要檢查的內(nèi)容，而很小的安全疏忽(例如無法刪除舊帳戶)可能會在幾秒鐘內(nèi)引起問題?？赡芘渲迷朴嬎愕某Ｒ婂e誤之一是缺乏訪問限制。并且缺乏數(shù)據(jù)保護，尤其是對于以純文本形式上傳到云平臺中的個人信息。

配置錯誤的另一個原因是無法審核和驗證云計算資源。該組織報告說，缺乏對資源和配置的定期審核可能會導致一個安全漏洞，隨時可能被惡意攻擊者利用。

企業(yè)還可以忽略日志記錄和監(jiān)視，而及時檢查數(shù)據(jù)和訪問日志對于識別和標記與安全相關的事件至關重要。

最后，組織可以為用戶提供“過度授權”訪問權限。云安全聯(lián)盟(CSA)指出，用戶訪問應僅限于個人允許使用的應用程序和數(shù)據(jù)。

3. 降低云計算管理的復雜性

為單個云計算服務提供足夠的安全性對于組織來說可能是一個巨大的挑戰(zhàn)。將更多的云計算服務和更多的云計算提供商加入到這個組合中，保護數(shù)據(jù)的挑戰(zhàn)將變得更大。

對于越來越多的組織而言，組織向云平臺的遷移最終意味著擁有多云或混合云環(huán)境。這可能會導致高度復雜的基礎設施，其中包含各種公共云服務提供商和各種類型的云計算服務，并且可能帶來許多安全風險。

Dickson說，在云計算為主的環(huán)境中解決網(wǎng)絡安全的早期步驟之一應該是降低復雜性。他說，IDC公司估計有80%的公司擁有不止一個基礎設施即服務(IaaS)提供商提供的云平臺。

許多組織還希望使用來自不同提供商的多種軟件即服務(SaaS)和平臺即服務(PaaS)產(chǎn)品，因為希望減少運營支出，并在向用戶提供服務時獲得更大的敏捷性。

很多組織擁有多個云平臺，而每個云平臺都有自己的特點，可能很難保護。Dickson說，“如果可能，組織需要盡量減少云計算提供商的數(shù)量，更少的云計算提供商通常意味著更少的安全提供商。而云計算提供商的整合將進一步降低復雜性。”

4. 更加關注檢測和響應

Riley說，由于放棄了對云平臺的某些控制，組織應該期望對云計算活動進行更多的監(jiān)視，以證明治理程序已經(jīng)到位并正在被遵守。

Riley說：“大多數(shù)云計算提供商(CSP)提供了必要的工具來檢測資源、工作負載和應用程序，以收集原始日志數(shù)據(jù)，但是可能會限制日志數(shù)據(jù)的存儲位置。將這些數(shù)據(jù)轉換為有用的信息面臨著挑戰(zhàn)，并且可能需要云計算提供商(CSP)提供的或第三方的產(chǎn)品或服務，尤其是如果需要將日志數(shù)據(jù)從一個地理區(qū)域轉移到另一個地理區(qū)域時。”

Riley表示，Gartner公司的一些客戶更喜歡依靠現(xiàn)有的安全信息和事件管理(SIEM)工具，并且許多云計算服務都支持更流行的服務。其他客戶報告說，一些安全信息和事件管理(SIEM)工具笨拙且嘈雜，他們更喜歡采用云原生服務。

Riley說：“但是，在投資另一種產(chǎn)品之前，組織應該首先研究云計算服務的內(nèi)置日志記錄、報告和分析功能。”

SaaS應用程序傾向于提供聚合、關聯(lián)和分析行為的各種報告的集合。Riley說：“對于僅使用一個或幾個SaaS應用程序的組織來說，這些可能就足夠了。對于訂閱了許多SaaS應用程序的組織而言，云訪問安全代理(CASB)或SaaS管理平臺(SMP)可能是評估SaaS安全狀況以及標準化控制和治理的更好選擇。”

Riley說：“IaaS和PaaS提供商提供一些工具，并期望其客戶將輸出收集到可以理解數(shù)據(jù)的服務中。越來越多的IaaS和PaaS云計算提供商提供原生事件分析和調(diào)查功能。”

此外，云安全狀態(tài)管理(CSPM)工具提供了高效的機制，可用于評估工作負載的配置以及檢測和補救不合規(guī)的設置。

5. 部署數(shù)據(jù)加密

數(shù)據(jù)加密是一種更強大的安全工具，如果數(shù)據(jù)落入錯誤的人員手中，組織可以使用它來保護數(shù)據(jù)。

Dickson說：“在默認情況下，數(shù)據(jù)將會離開組織的工作場所，因此數(shù)據(jù)的保護在云平臺中變得非常重要，必須對運動中的數(shù)據(jù)和靜止數(shù)據(jù)進行加密。”

Riley表示，加密措施提供了額外的邏輯隔離層。他說：“對于許多安全團隊來說，圍繞是否默認加密所有內(nèi)容的問題存在爭論。對于IaaS和PaaS中的大容量存儲，合理的方法可能就是加密。它簡化了配置過程，避免了敏感數(shù)據(jù)被無意公開的情況，并且對于僅刪除密鑰就破壞數(shù)據(jù)的做法很有用。”

Riley說：“加密還可以作為訪問控制策略的雙重檢查措施。組織需要讀取加密的對象，其帳戶必須出現(xiàn)在兩個訪問控制列表中：對象本身的帳戶和加密對象的密鑰帳戶。授予訪問權限時必須達成一致的機制是一種有效的縱深防御形式。”

Riley指出，對于SaaS和PaaS中的應用層數(shù)據(jù)，這一決定更為復雜。他說：“在PaaS / SaaS應用程序的場景之外加密數(shù)據(jù)會降低應用程序的功能。組織必須權衡功能和隔離之間的利弊。加密不能替代信任。對加密數(shù)據(jù)進行任何有用的處理都需要先對其進行解密，然后將其讀入內(nèi)存，從而使其容易遭受基于內(nèi)存的攻擊。”

6. 將培訓和教育作為優(yōu)先事項

最后，與任何其他網(wǎng)絡安全計劃一樣，對用戶進行安全風險教育至關重要。對于許多組織和員工來說，遷移到云平臺仍然是一個相對較新的概念，因此需要優(yōu)先考慮培訓和程序編寫指南。

云安全聯(lián)盟(CSA)全球研究副總裁John Yeoh表示：“組織需要對其員工進行有關云安全的教育。有許多教育性文件和課程可供組織員工學習有關云中的安全基礎知識。”

云安全聯(lián)盟(CSA)提供了一個名為《云計算關鍵領域安全指南》的基礎文檔，以及一個名為《云安全知識證書》的培訓課程。

Yeoh說：“對于那些使用特定云計算服務和工具的組織來說，擁有這些工具的知識很重要。云計算提供商不斷在其服務中添加和更改功能。正確使用這些功能并了解標準配置對于安全使用這些服務至關重要。建立具有基本云計算知識的安全文化是通過減少人為錯誤因素，并提高對云計算好實踐的認識來改善組織安全狀況的重要一步。”

Yeoh表示，云安全聯(lián)盟(CSA)的云計算控制矩陣使組織可以查看和比較云計算服務提供商如何達到或超過基線安全要求。

Yeoh說：“擁有業(yè)界正在實施的通用云安全控制框架，可以為云計算服務提供商及其服務創(chuàng)造信任和保證。確定對于組織對該服務的使用至關重要的安全性要求，并確保通過框架中提供的控件滿足這些要求。這種做法可以加快采購流程，并改善組織的安全狀況。”

新聞名稱：6種在云中更安全的方法
文章位置：http://muchs.cn/news/200561.html

成都網(wǎng)站建設公司_創(chuàng)新互聯(lián)，為您提供面包屑導航、網(wǎng)站營銷、移動網(wǎng)站建設、微信公眾號、電子商務、企業(yè)建站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉載內(nèi)容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉載，或轉載時需注明來源： 創(chuàng)新互聯(lián)