改善雲安全性的10條規則

據估計(jì)，全球50%的企業已經将數據存儲在雲中，這(zhè)充分說明(míng)了(le)這(zhè)個相對(duì)年輕的行業呈爆炸性增長的原因。人們都知(zhī)道(dào)推動雲采用(yòng)的好(hǎo)處：提高(gāo)靈活性、易于擴展和(hé)成本效益。但(dàn)在安全性方面，事(shì)情更加微妙：對(duì)于一些(xiē)人來(lái)說，将企業最有價值的資産交給第三方進行存儲或處理(lǐ)是一種瘋狂的想法，但(dàn)對(duì)于其他(tā)人(絕大(dà)多數)來(lái)說，這(zhè)是有道(dào)理(lǐ)的。企業可以從(cóng)雲計(jì)算(suàn)提供商爲保護其數據而部署的大(dà)量安全資源中受益，雲計(jì)算(suàn)提供商的工(gōng)程師需要全天候工(gōng)作(zuò)以完成他(tā)們的使命。盡管如此，這(zhè)還不是故事(shì)的結局。以下(xià)将重點介紹雲安全的基本概念，并提出改善雲安全性的10條規則責任共擔模型雲中的安全性遵循一種稱爲責任共擔模型的模式，該模式規定雲計(jì)算(suàn)提供商隻對(duì)雲平台安全負責，而客戶則對(duì)雲中的數據安全負責。這(zhè)實質上(shàng)意味着要在雲中運行，企業自(zì)己仍然需要進行安全配置和(hé)管理(lǐ)。企業的承諾範圍可能(néng)會(huì)有很(hěn)大(dà)差異，因爲它取決于企業使用(yòng)的服務：如果訂閱了(le)基礎設施即服務(IaaS)産品，則需要負責操作(zuò)系統補丁和(hé)更新。如果隻需要對(duì)象存儲，其職責範圍将僅限于數據丢失防護。盡管存在如此巨大(dà)的多樣性，但(dàn)無論情況如何，都有一些(xiē)适用(yòng)的準則。其原因很(hěn)簡單，因爲所有雲計(jì)算(suàn)漏洞本質上(shàng)都歸結爲一件事(shì)：錯誤配置。雲計(jì)算(suàn)提供商已經爲企業提供了(le)強大(dà)的安全工(gōng)具，但(dàn)人們知(zhī)道(dào)它們在某些(xiē)時(shí)候會(huì)失效。人類會(huì)犯錯誤，很(hěn)容易錯誤配置。這(zhè)就是爲什(shén)麽需要采用(yòng)安全策略的原因，以幫助減少發生錯誤的可能(néng)性和(hé)影響。以下(xià)列出了(le)在其安全策略中設置安全措施的10個最重要領域的列表，但(dàn)首先需要解釋雲安全與傳統的信息安全的不同之處。了(le)解雲安全的3個基本概念雲計(jì)算(suàn)平台是一個不斷變化的動态環境，但(dàn)安全目标保持不變：确保系統按預期工(gōng)作(zuò)，并且僅按預期工(gōng)作(zuò)。因此，許多基本概念需要重新定義：·邊界：傳統的安全性本質上(shàng)是基于保護一個受信任的邊界，即所謂的“堡壘”。然而，雲計(jì)算(suàn)環境的特點是分布在互聯網上(shàng)，具有動态發展的端點和(hé)許多互連層。然後，任何雲安全模型都應該以身份和(hé)訪問管理(lǐ)爲中心，并專注于加強對(duì)可疑帳戶的授權(這(zhè)是行爲建模等技術特别強大(dà)的地方)。·可擴展性：數據的存儲和(hé)處理(lǐ)是動态的，因此雲安全框架也(yě)應該能(néng)夠考慮到(dào)基礎設施的演變。換句話(huà)說，它需要了(le)解系統狀态并相應地調整其策略。·監控：随着新的雲計(jì)算(suàn)資源的堆積和(hé)新的攻擊媒介的發現(xiàn)，威脅形勢正在迅速發展。動态系統增加的複雜(zá)性是一種負擔：安全漏洞可能(néng)會(huì)激增，并且更難發現(xiàn)，網絡攻擊也(yě)更複雜(zá)。保持最新狀态需要對(duì)快(kuài)速變化的安全環境做出反應。改善雲安全的10條規則(1)規則1：不要忽視(shì)開(kāi)發人員的憑證作(zuò)爲每天掃描數以百萬計(jì)的公共和(hé)私人代碼存儲庫的企業，再怎麽強調健全的憑證策略的重要性也(yě)不爲過。企業應該确保其開(kāi)發人員至少隻使用(yòng)短期憑證，并最終投入所需的時(shí)間來(lái)完成一個完整的設置，其中包括管理(lǐ)(如保險庫)和(hé)檢測。而一位安全工(gōng)程師說：“如果另一家公司的員工(gōng)對(duì)我說，機密檢測不是優先事(shì)項，我會(huì)問什(shén)麽是更重要的優先事(shì)項，然後我會(huì)指出是采用(yòng)快(kuài)速的谷歌搜索，其中包含大(dà)量因洩露機密而發生的問題和(hé)數據洩露。”這(zhè)就是這(zhè)一規則在這(zhè)個規則列表中排名首位的原因。(2)規則2：始終查看(kàn)默認配置雲計(jì)算(suàn)提供商預先配置了(le)通用(yòng)的訪問控制策略。這(zhè)些(xiē)策略很(hěn)方便，但(dàn)經常會(huì)發生變化，因爲正在引入新服務，它們不一定符合企業的需求。企業可以通過選擇退出不必要或未使用(yòng)的服務來(lái)減少網絡攻擊面。(3)規則3：列出可公開(kāi)訪問的存儲很(hěn)多人在新聞中了(le)解到(dào)一些(xiē)雲存儲被開(kāi)放(fàng)并公開(kāi)訪問的消息。無論企業爲對(duì)象和(hé)數據選擇哪種存儲方法，需要檢查是否隻有預期的組件可以公開(kāi)訪問。(4)規則4：定期審核訪問控制如上(shàng)所述，雲安全與企業的身份和(hé)訪問管理(lǐ)策略一樣強大(dà)。基于身份的安全系統逐漸占據主導地位，形成了(le)所謂的“零信任”策略的基礎。但(dàn)就像其他(tā)事(shì)情一樣，這(zhè)些(xiē)政策将被修改。實施最小(xiǎo)特權原則是一個積極的過程，涉及微調對(duì)服務、系統和(hé)網絡的訪問。企業應該定期安排人工(gōng)檢查和(hé)自(zì)動檢查并嚴格執行。(5)規則5：利用(yòng)網絡結構同樣的規則也(yě)适用(yòng)于網絡：企業應該利用(yòng)雲計(jì)算(suàn)提供商的控制來(lái)構建更好(hǎo)的、細粒度的策略來(lái)仔細劃分流量。(6)規則6：預防性記錄和(hé)監控如果沒有強大(dà)的監控和(hé)日志記錄，就無法實現(xiàn)良好(hǎo)的安全性。基于風(fēng)險的日志記錄策略是必須的，但(dàn)最重要的是，企業應該确保警報(bào)不僅已啓用(yòng)且正常工(gōng)作(zuò)，而且是可操作(zuò)的，而不是在安全事(shì)件發生後查看(kàn)的内容。在理(lǐ)想情況下(xià)，企業應該能(néng)夠通過API或其他(tā)機制在其日志系統上(shàng)聚合雲日志。(7)規則7：豐富資産清單使用(yòng)供應商的API來(lái)減輕庫存管理(lǐ)的艱巨任務固然不錯，但(dàn)是通過有關所有權、用(yòng)例和(hé)敏感性的額外(wài)信息來(lái)豐富這(zhè)一點會(huì)更好(hǎo)。企業需要在策略中考慮它。(8)規則8：防止域名劫持雲服務和(hé)DNS條目之間經常存在傳遞信任。企業需要定期檢查其DNS和(hé)雲配置，以防止出現(xiàn)接管情況。(9)規則9：災難恢複計(jì)劃不是可選的雲計(jì)算(suàn)環境不會(huì)自(zì)動解決災難恢複(DR)問題。企業考慮什(shén)麽級别的投資适合其雲計(jì)算(suàn)環境中的災難性事(shì)件，并且設計(jì)一個災難恢複(DR程序以從(cóng)外(wài)部帳戶、提供商或語言環境中恢複。(10)規則10：限制人工(gōng)配置利用(yòng)雲原生安全工(gōng)具和(hé)控制意味着自(zì)動化。需要記住，漏洞源于錯誤配置，而錯誤配置就是一種錯誤。需要完成的人工(gōng)工(gōng)作(zuò)越多，錯誤潛入的漏洞就越多。企業需要推動其團隊實現(xiàn)更多自(zì)動化，盡可能(néng)使用(yòng)安全即代碼并逐步強制執行不變性(不再可能(néng)人工(gōng)配置)。結論即使對(duì)于專家來(lái)說，雲服務也(yě)很(hěn)難管理(lǐ)，但(dàn)它會(huì)一直存在。對(duì)于安全專業人員來(lái)說，這(zhè)是一個特别大(dà)的挑戰，因爲責任範圍不再是靜态的，而是不斷發展，以滿足基礎設施的需求和(hé)應對(duì)新的威脅。但(dàn)這(zhè)對(duì)企業來(lái)說也(yě)是一個激動人心的時(shí)刻，因爲他(tā)們可以利用(yòng)他(tā)們的獨創性來(lái)構建非常有效的解決方案，利用(yòng)現(xiàn)有的雲計(jì)算(suàn)提供商的工(gōng)具集，在安全要求和(hé)靈活性之間取得平衡。以上(shàng)提供了(le)10條規則來(lái)構建更好(hǎo)的雲安全性，企業也(yě)可以自(zì)己制定防護措施