你好，歡迎您來到福建信息主管(CIO)網(wǎng)! 設(shè)為首頁(yè)|加入收藏|會(huì)員中心
云配置錯(cuò)誤可能導(dǎo)致代價(jià)高昂的數(shù)據(jù)泄露。采取主動(dòng)措施、工具和以安全為中心的文化對(duì)于預(yù)防這些沉默的威脅至關(guān)重要。
圖源：Aleksia via Alamy Stock
云計(jì)算已經(jīng)徹底改變了企業(yè)的運(yùn)營(yíng)方式，提供了可擴(kuò)展性、靈活性和成本效益。然而，隨著這種快速應(yīng)用，也帶來了新的挑戰(zhàn)，尤其是云配置錯(cuò)誤所帶來的風(fēng)險(xiǎn)。這些微妙但重大的錯(cuò)誤可能會(huì)為代價(jià)高昂的數(shù)據(jù)泄露和合規(guī)失敗打開大門，常常使企業(yè)措手不及。了解云配置錯(cuò)誤的影響并實(shí)施有效的預(yù)防策略，對(duì)于旨在保護(hù)其云環(huán)境的組織來說是至關(guān)重要的步驟。
一、對(duì)云安全需求的增長(zhǎng)
云技術(shù)的魅力不可否認(rèn)，但其設(shè)計(jì)本身作為一種敏捷和適應(yīng)性強(qiáng)的基礎(chǔ)設(shè)施，也可能使其容易受到人為錯(cuò)誤的影響。隨著越來越多的企業(yè)轉(zhuǎn)向基于云的服務(wù)，攻擊面擴(kuò)大，由于資源配置不當(dāng)而導(dǎo)致的風(fēng)險(xiǎn)增加。一個(gè)簡(jiǎn)單的疏忽，比如權(quán)限設(shè)置或面向公眾的資源設(shè)置不當(dāng)，可能會(huì)使敏感數(shù)據(jù)被未經(jīng)授權(quán)的用戶可訪問。
配置錯(cuò)誤不僅僅是小失誤；它們通常是攻擊者尋找的關(guān)鍵漏洞。根據(jù)行業(yè)報(bào)告，云配置錯(cuò)誤占數(shù)據(jù)泄露的很大一部分。Gartner（高德納，Gartner Group公司成立于1979年，它是第一家信息技術(shù)研究和分析的公司。它為有需要的技術(shù)用戶來提供專門的服務(wù)。Gartner已經(jīng)成為了一家獨(dú)立的咨詢公司，Gartner公司的服務(wù)主要是迎合中型公司的需要，它希望使自己的業(yè)務(wù)覆蓋到IT行業(yè)的所有領(lǐng)域，從而讓自己成為每一位用戶的一站式信息技術(shù)服務(wù)公司。）預(yù)測(cè)，到2025年，99%的云安全故障都將是客戶的過錯(cuò)，主要是由于配置錯(cuò)誤。
2017年，一家大型美國(guó)信用報(bào)告機(jī)構(gòu)發(fā)生了數(shù)據(jù)泄露事件。該泄露是由于未能修補(bǔ)已知漏洞和不當(dāng)?shù)脑瓢踩O(shè)置導(dǎo)致的，致使超過1.45億消費(fèi)者的個(gè)人信息被泄露。引發(fā)了包括罰款、訴訟和消費(fèi)者信任的重大損失。
2023年6月，豐田汽車公司披露，由于云配置錯(cuò)誤，車輛數(shù)據(jù)和客戶信息在長(zhǎng)達(dá)八年多的時(shí)間里被暴露，影響了大約26萬客戶。
同樣，2023年Cloud Security Alliance（CSA，?是一個(gè)致力于推動(dòng)云計(jì)算安全的非營(yíng)利性組織，成立于2009年，由一群行業(yè)領(lǐng)袖和專家組成。CSA的使命是通過制定最佳實(shí)踐、研究和教育來促進(jìn)云計(jì)算的安全性和隱私性，幫助企業(yè)和組織更好地應(yīng)對(duì)云計(jì)算安全挑戰(zhàn)。）的一份報(bào)告強(qiáng)調(diào)，配置錯(cuò)誤是云安全事件的主要原因，75%的安全故障是由于身份、訪問和權(quán)限管理不善造成的。
這些事件表明，云配置錯(cuò)誤不是孤立的事件，而是一個(gè)可能影響各行各業(yè)企業(yè)的普遍性問題。
二、預(yù)防技術(shù)：安全云配置的最佳實(shí)踐
為了減輕云配置錯(cuò)誤的風(fēng)險(xiǎn)，企業(yè)必須采取基于強(qiáng)大安全實(shí)踐的積極方法。以下是幫助組織加強(qiáng)其云安全姿態(tài)的關(guān)鍵策略：
1.采用最小權(quán)限原則：最基本的安全原則之一是根據(jù)用戶角色限制對(duì)數(shù)據(jù)和系統(tǒng)的訪問。實(shí)施role-based access controls/RBAC（?基于角色的訪問控制，?是一種在信息系統(tǒng)中實(shí)施訪問控制策略的方法，通過將權(quán)限與角色相關(guān)聯(lián)，而不是直接與用戶關(guān)聯(lián)，來簡(jiǎn)化權(quán)限管理。核心思想是“職責(zé)分離”和“最小權(quán)限原則”，以確保系統(tǒng)的安全性和合規(guī)性。），以確保員工只能訪問他們執(zhí)行工作職能所需的資源。
2.持續(xù)監(jiān)控和審計(jì)：云環(huán)境的動(dòng)態(tài)性質(zhì)要求持續(xù)警惕。使用監(jiān)控工具跟蹤變化并審計(jì)日志以查找異常活動(dòng)。這種實(shí)時(shí)意識(shí)可以幫助在配置錯(cuò)誤被利用之前檢測(cè)到它們。
3.自動(dòng)化配置管理：手動(dòng)配置過程容易出錯(cuò)。自動(dòng)化工具，如infrastructure as dode/IaC（?基礎(chǔ)設(shè)施即代碼，?是一種通過編寫和執(zhí)行代碼來管理和配置基礎(chǔ)設(shè)施的實(shí)踐方式。它允許開發(fā)者和運(yùn)維人員像處理應(yīng)用程序代碼一樣，通過代碼的形式來定義、配置和管理云資源和物理硬件。這種方法有助于提高自動(dòng)化水平、降低人為錯(cuò)誤，并增強(qiáng)環(huán)境的一致性和可重復(fù)性。）解決方案，如Terraform和Ansible，可以幫助標(biāo)準(zhǔn)化和自動(dòng)化云配置，最大限度地減少錯(cuò)誤的可能性。
4.安全培訓(xùn)和意識(shí)：為IT和安全團(tuán)隊(duì)提供關(guān)于云安全最佳實(shí)踐的定期培訓(xùn)。威脅形勢(shì)不斷變化，最新知識(shí)對(duì)于領(lǐng)先潛在漏洞至關(guān)重要。
5.加密和數(shù)據(jù)屏蔽：敏感數(shù)據(jù)應(yīng)在傳輸和靜態(tài)狀態(tài)下加密。在可能的情況下實(shí)施數(shù)據(jù)屏蔽技術(shù)，以降低由于配置錯(cuò)誤導(dǎo)致的數(shù)據(jù)暴露風(fēng)險(xiǎn)。
6.定期合規(guī)檢查：確保云環(huán)境符合CIS Benchmarks（是由Center for Internet Security/CIS開發(fā)的一組基準(zhǔn)測(cè)試工具，旨在評(píng)估信息系統(tǒng)基礎(chǔ)設(shè)施的性能和安全性。其涵蓋了從硬件到軟件的各個(gè)方面，包括網(wǎng)絡(luò)、主機(jī)和應(yīng)用性能的測(cè)試，以及保護(hù)IT系統(tǒng)和數(shù)據(jù)免受網(wǎng)絡(luò)攻擊的最佳實(shí)踐。）和NIST（國(guó)內(nèi)一般叫做“美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院”。成立于1901年，原名美國(guó)國(guó)家標(biāo)準(zhǔn)局/NBS，1988年8月，經(jīng)美國(guó)總統(tǒng)批準(zhǔn)改為美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院，直屬于美國(guó)商務(wù)部。其是美國(guó)最古老的物理科學(xué)研究所之一。美國(guó)國(guó)會(huì)成立該機(jī)構(gòu)旨在提升其工業(yè)競(jìng)爭(zhēng)力，當(dāng)時(shí)美國(guó)的測(cè)量基礎(chǔ)設(shè)施處于二流水平，遠(yuǎn)遠(yuǎn)落后于英國(guó)、德國(guó)和其他經(jīng)濟(jì)競(jìng)爭(zhēng)對(duì)手。經(jīng)過一百多年的發(fā)展，NIST早已成為頂級(jí)研究機(jī)構(gòu)，在國(guó)際上享有很高的聲譽(yù)。其的測(cè)量范圍無所不包，從智能電網(wǎng)、電子健康記錄，到原子鐘、先進(jìn)納米材料和計(jì)算機(jī)芯片，無數(shù)的產(chǎn)品和服務(wù)中都有NIST所提供的技術(shù)、測(cè)量和標(biāo)準(zhǔn)的身影。其下設(shè)6大研究所，從事物理、生物和工程等方面的基礎(chǔ)和應(yīng)用研究，以及測(cè)量技術(shù)和測(cè)試方法方面的研究，對(duì)外提供標(biāo)準(zhǔn)、標(biāo)準(zhǔn)參考數(shù)據(jù)及有關(guān)服務(wù)。）及ISO 27001等框架的行業(yè)標(biāo)準(zhǔn)。定期的合規(guī)檢查可以幫助識(shí)別差距并強(qiáng)化您的安全姿態(tài)。
三、加強(qiáng)云安全的工具
利用正確的工具對(duì)于預(yù)防云配置錯(cuò)誤至關(guān)重要。以下是一些值得注意的選項(xiàng)：
Cloud security posture management/CSPM（云安全態(tài)勢(shì)管理。是一種自動(dòng)化工具，旨在保護(hù)云基礎(chǔ)設(shè)施并減輕基于云的威脅。其通過評(píng)估云平臺(tái)控制平面的安全和兼容配置，從外部保護(hù)工作負(fù)載，特別關(guān)注IaaS和PaaS服務(wù)。其核心目的是持續(xù)改進(jìn)和適應(yīng)安全態(tài)勢(shì)，降低攻擊的可能性及其損害。）工具：Prisma Cloud和AWS Config等CSPM解決方案幫助組織實(shí)時(shí)監(jiān)控和修復(fù)配置錯(cuò)誤。
Cloud workload protection platforms/CWPP（云工作負(fù)載保護(hù)平臺(tái)。其是一種專門針對(duì)云工作負(fù)載的安全解決方案，旨在保護(hù)部署在云環(huán)境中的工作負(fù)載，包括虛擬機(jī)、容器、Serverless資產(chǎn)以及其他云原生應(yīng)用組件。）：Lacework和CrowdStrike Falcon等工具提供對(duì)云工作負(fù)載的全面可見性，允許更好地檢測(cè)和響應(yīng)威脅。
IaC掃描工具：類似Checkov和KICS等解決方案一樣掃描IaC模板中的安全問題，確保在部署前發(fā)現(xiàn)漏洞。
威脅檢測(cè)服務(wù)：AWS GuardDuty和Azure Security Center提供先進(jìn)的威脅情報(bào)和自動(dòng)警報(bào)，使對(duì)潛在安全事件的響應(yīng)更快。
四、向前邁進(jìn)：安全文化
預(yù)防云配置錯(cuò)誤不僅需要技術(shù)。它還要求組織內(nèi)部有安全文化。這意味著促進(jìn)IT、安全和開發(fā)團(tuán)隊(duì)之間的跨職能合作，強(qiáng)調(diào)安全編碼實(shí)踐和遵守安全協(xié)議的重要性。
云安全是共同的責(zé)任。雖然云提供商提供了強(qiáng)大的基礎(chǔ)設(shè)施和內(nèi)置工具來幫助保護(hù)數(shù)據(jù)，但最終責(zé)任在于企業(yè)正確配置和管理其環(huán)境。通過實(shí)施最佳實(shí)踐、使用有效工具和培養(yǎng)以安全為先的心態(tài)，組織可以顯著降低云配置錯(cuò)誤的風(fēng)險(xiǎn)及其帶來的昂貴后果。
云計(jì)算時(shí)代已經(jīng)到來。為了在這個(gè)新環(huán)境中茁壯成長(zhǎng)，企業(yè)必須保持警惕并致力于保護(hù)其數(shù)字資產(chǎn)免受配置錯(cuò)誤的無聲威脅。
作者：Venkata Nedunoori（文卡塔·內(nèi)杜努里）
Venkata Nedunoori（文卡塔·內(nèi)杜努里）是一位經(jīng)驗(yàn)豐富的技術(shù)領(lǐng)導(dǎo)者，也是IEEE高級(jí)會(huì)員，在保險(xiǎn)、證券、航空和媒體等行業(yè)擁有豐富經(jīng)驗(yàn)。他專注于設(shè)計(jì)和實(shí)施先進(jìn)的基于云的解決方案，重點(diǎn)關(guān)注可擴(kuò)展、安全且具有成本效益的平臺(tái)。作為一位知名演講者，Venkata（文卡塔）對(duì)云安全與人工智能的交叉領(lǐng)域充滿熱情，不斷探索加強(qiáng)數(shù)字領(lǐng)域的方法。
