云工程和安全团队需要询问有关其云操作环境安全性的一些重要问题，他们必须超越操作环境是否通过合规性审计。例如，在人们向Internet添加新端点的几分钟内，攻击者可能会对其进行扫描并评估其可利用性。单个云错误配置可能会使组织的数据面临风险。假设网络攻击者发现其中一个漏洞并在其操作环境中站稳脚跟，其破坏力会有多大？它会造成什么样的损害？网络攻击者发现有关操作环境和敏感数据存储位置的技术有多容易？他们能否利用云资源API密钥和过于宽松的IAM（身份和访问管理）设置来破坏企业的云控制平面并获得对其他资源和数据的访问权限？他们是否能够在不被发现的情况下将这些数据提取到自己的云帐户中，例如使用存储桶同步命令？如果你深入挖掘，你会发现你的云配置有很多漏洞，在黑客利用这些漏洞之前，你需要迅速采取行动修补这些云安全漏洞。并且还要认识到云配置“漂移”一直在发生，即使使用自动持续集成(CI)/持续交付(CD)管道也是如此，因此需要保持警惕。云安全是配置安全。云计算本质上是一台巨大的可编程计算机。云计算运营的重点是云计算资源的配置，包括IAM、安全组、数据库访问策略、对象存储等安全敏感资源。企业需要确保从第一天起就正确安全地配置云计算资源，并在未来保持这种状态。行业分析师称之为云安全态势管理。而这正是云计算客户经常出错的地方，有时会带来毁灭性的后果。如果您看到涉及AWS、MicrosoftAzure或谷歌云的数据泄露，您可以确定这些网络攻击是由于云用户自己的错误造成的。人们通常非常关注避免单个云资源的错误配置，例如对象存储服务（例如AmazonS3、AzureBlob）和虚拟网络（例如AWSVPC、AzureVNet），这样做绝对至关重要。但同样重要的是要认识到云安全取决于身份。在云中，许多服务通过API调用相互连接，需要IAM服务来确保安全，而不是基于IP的网络规则、防火墙等。例如，从AWSLambda函数到AmazonS3存储桶的连接是使用附加到Lambda函数（其服务身份）承担的角色的策略。IAM和类似服务复杂且功能丰富，为了让事情正常运行，很容易变得过于宽松，这意味着过于宽松的IAM配置是常态，而且通常很危险。CloudIAM是一种新的网络，但由于CloudIAM服务是通过配置创建和管理的，因此云安全仍然是如何避免错误配置的问题。云错误配置和安全事件与数据中心相比，云计算基础设施更加多样化，而且所有这些资源都是完全可配置的。考虑到可用的不同类型的云资源，以及它们可以组合以支持应用程序的方式，云配置的可能性实际上是无限的。在该研究公司2021年的调查中，36%的云计算专业人士表示，他们的企业在过去一年中遭受了严重的云安全漏洞或网络攻击，并且这些事件以多种方式发生。重要的是要记住，在横向扩展的操作环境中，对象存储和IAM服务等资源的配置可能会变得极其复杂，而且众所周知，每一次云泄露都涉及一系列错误配置漏洞。与其关注单一资源的错误配置，不如彻底了解其用例，并批判性地思考如何在运营环境的完整上下文中保护这些服务。例如，人们可能认为AmazonS3存储桶是安全配置的，因为启用了“阻止公共访问”，此时恶意行为者可能能够通过在同一环境中利用过度特权的IAM资源来访问其内容。了解它破坏程序的风险可能是一个很难解决的问题，但它是一个不应该被忽视的问题。云错误配置的规模云错误配置漏洞与应用程序和操作系统漏洞的不同之处在于，即使它们已修复，它们也会不断弹出。企业可能在开发管道中有适当的控制，以确保开发人员不会将已知的应用程序或操作系统漏洞部署到生产中。一旦这些部署得到保护，这通常是一个已解决的问题。云错误配置各不相同，同样的错误配置漏洞反复出现的情况并不少见。允许不受限制的SSH访问的安全组规则（例如端口22上的0.0.0.0/0）只是每天发生的错误配置的一个例子，通常在批准的部署管道之外。使用这个例子是因为大多数工程师都熟悉它（并且很可能在他们职业生涯的某个阶段做出这种令人震惊的行为）。因为云计算基础设施非常灵活，你可以使用API随意改变它，所以有这样做的趋势。这是一件好事，因为应用程序在不断创新和改进，需要修改基础架构以支持这种创新。但是，如果在此过程中不防止错误配置，则可能会在操作环境中引入大量错误配置。一半的云计算工程和安全团队表示，他们每天可能处理50起或更多错误配置事件。为什么会发生云错误配置当云计算服务被成功使用时，云计算环境中唯一不变的就是变化，因为这意味着企业正在快速创新并不断改进其应用程序。但每一次改变都伴随着风险。据研究公司Gartner称，到2023年，超过99%的云安全故障将是客户自己的过错。考虑到云错误配置是云安全故障可能发生的一种方式，而错误配置是纯粹人为错误的结果。但为什么云计算工程师如此频繁地犯如此严重的错误呢？缺乏对云安全和政策的认识是过去一年报告的云配置错误的主要原因之一。如果把所有的合规规则和内部安全政策都编在一起，那可能和小说一样长。没有人能记住这些规则，也不应该期望他们记住这些规则。因此，需要适当的控制来防止配置错误。但31%的受访者表示，他们的组织缺乏足够的控制和监督来防止云配置错误。部分原因是有太多的API和云接口供团队有效管理。使用多个云平台（45%的受访者报告）只会加剧这个问题，因为每个云平台都有自己的资源类型、配置属性、管理界面、策略和控制。您的团队需要专业知识来有效处理所有使用中的云平台。如果组织的团队采用了无法在多云环境中工作的云提供商的云原生安全工具，则多云安全挑战会更加复杂。七项战略建议由于云安全主要是在错误配置错误被黑客利用之前进行预防、检测和补救，因此需要在开发生命周期的每个阶段部署有效的基于策略的自动化，从基础架构即代码(IaC)到持续集成(CI)/持续交付(CD)。以下是来自云计算专业人士的七项建议，可帮助您实现这一目标。(1)建立对环境的可见性云安全关注企业的数据，并阻止网络攻击者和竞争对手访问该数据和知识。如果您不了解您的云计算环境的完整状态，包括每个资源、配置和关系，您就会面临严重的风险。企业需要建立和维护跨云平台的云计算环境的全面可见性，并持续评估每项变更的安全影响，包括潜在的违规风险。企业不仅将获得更好的安全态势并让他们的开发人员更快地行动，合规专业人员也将受益于企业提供的主动审计证据。(2)尽可能使用基础设施即代码除了少数例外，企业没有理由构建和修改除基础设施之外的任何云基础设施即代码（IaC）和自动化持续集成（CI）/持续交付（CD）管道，尤其是有任何新的东西。使用IaC不仅可以为云计算操作带来效率、规模和可预测性，还可以提供一种机制来检查云计算基础设施预部署的安全性。当开发人员使用IaC时，它为他们提供了在部署之前检查其基础架构安全性所需的工具。如果企业正在采用多云，那么广泛采用的开源IaC工具（如Terraform）可能是其最佳选择。来自云服务提供商（即AWSCloudFormation、AzureResourceManager和GoogleDeploymentCloudManager）的IaC产品是免费的，如果您不需要多云支持，则值得考虑。(3)尽可能使用基于策略的自动化凡是使用人类语言表达云计算策略的地方，都会在解释错误方面产生差异。适用于企业云计算环境的每项云安全和合规性策略都应作为可执行代码来表达和执行。使用策略即代码，云安全变得确定。这可以实现安全策略的有效管理和实施，并帮助开发人员在开发过程的早期获得安全性。避免专有的供应商策略即代码工具，并选择开源策略引擎，例如OpenPolicyAgent(OPA)。OPA可以应用于任何可以产生JSON或YAML输出的东西，几乎涵盖了所有的云用例。组织可以优先考虑不需要针对IaC和运行云基础架构的不同工具和策略的解决方案。(4)使开发者能够安全地构建对于云计算来说，安全性是一个软件工程问题，而不是一个数据分析问题。云安全专业人员需要工程技能并了解整个软件开发生命周期(SDLC)的工作原理，从开发到持续集成(CI)/持续交付和运行时。开发人员需要工具来帮助他们在软件开发生命周期(SDLC)的早期获得安全性。让安全成为开发中有远见的密切合作伙伴，而不仅仅是部署后的事后想法。为安全团队提供云工程实践培训，不仅能让他们更好地掌握抵御云计算网络威胁所需的技能，还能获得宝贵的技能和经验，帮助他们在职业生涯中成长。企业将提高团队保留率，并更好地为其企业提供一个理想的工作场所。云安全系列旨在帮助云计算和安全工程师了解云计算风险以及如何批判性地思考如何保护其独特的用例。(5)锁定访问策略如果企业还没有正式的访问和管理云计算环境的策略，现在是创建一个的时候了。使用虚拟专用网络(VPN)强制与关键网络空间（例如AmazonVirtualPrivateCloud或Azure虚拟网络）进行安全通信。启用VPN访问，以便团队即使在不太受信任的Wi-Fi网络上也可以访问公司资源。工程师倾向于创建新的安全组规则或IP白名单，以便他们可以访问云中的共享团队资源。频繁的审计可以证明虚拟机或其他云计算基础设施没有额外的风险。监督堡垒主机的创建、锁定源IP范围并监控不受限制的SSH访问。在AWS、Azure、GCP和其他公共云中，IAM充当无处不在的网络。遵循最小权限原则并利用Fugue最佳实践框架等工具来识别合规性检查可能遗漏的漏洞。使IAM变更成为组织变更管理流程的一部分，并利用特权身份和会话管理工具。因此，需要采取“默认不”的心态。(6)标记所有云资源实施资源标记并在整个云足迹中建立有效的标记约定。使用标签是帮助组织跟踪和管理云资源的最佳方式之一，但需要建立和执行标签约定。使用人类可读的资源名称，并包括每个资源的联系人、项目名称、部署日期等。如果未正确标记云资源，则应将其视为高度可疑并终止。例如，MicrosoftAzure在云资源标记约定方面拥有丰富的资源。(7)确定平均修复时间衡量风险和云安全有效性是企业定义其立场和目标的方式。最重要的指标是平均修复时间。企业可能不知道当前修复安全关键云资源配置错误的平均时间是多少（很少有云客户知道），应该改变这一点。设定平均时间目标，以分钟为单位修复。如果自动修复对于您的团队和环境来说不是一个可行的选择，请调整您的流程以确保您的团队能够在黑客发现关键漏洞之前检测并修复它们。展望未来随着云计算采用率的增长，企业运营环境的复杂性和保持安全的挑战将会增加。黑客可以使用自动化技术在几分钟内识别和利用云错误配置，因此首先避免错误配置至关重要。通过为您的开发人员配备基于策略即代码的自动化工具，您将能够扩展您的安全工作以应对这些新挑战，而无需增加安全人员。此外，企业数据在云端的移动速度将比在数据中心的移动速度更快。
