全球估计有50%的企业已经将数据存储在云端，这充分说明了这个相对年轻的行业的爆炸式增长。推动云采用的好处是众所周知的：提高敏捷性、易于扩展和成本效益。但当谈到安全时，事情就更加微妙了：对于某些人来说，将企业最有价值的资产交给第三方进行存储或处理是一个疯狂的想法，但对于其他人（绝大多数）来说，这是有道理的。企业可以受益于云提供商为保护其数据而部署的广泛安全资源，而云提供商工程师需要全天候工作才能完成任务。尽管如此，故事还没有结束。下面将重点介绍云安全的基本概念，并提出提高云安全的十项规则：共享责任模型云中的安全遵循一种称为共享责任模型的模型，该模型指出云计算提供商仅对云平台安全负责，并且客户负责云中的数据安全。这实质上意味着要在云中运行，企业仍然需要自己配置和管理安全性。企业承诺的范围可能有很大差异，因为它取决于企业使用的服务：如果您订阅基础架构即服务(IaaS)产品，您将负责操作系统补丁和更新。如果只需要对象存储，其职责范围将仅限于防止数据丢失。尽管存在如此巨大的差异，但仍有一些准则适用于任何情况。原因很简单，因为所有云计算漏洞本质上都归结为一件事：配置错误。云计算提供商已经为企业提供了强大的安全工具，但众所周知，它们有时会失败。人会犯错误，而且很容易配置错误。这就是为什么需要安全策略来帮助减少错误的可能性和影响的原因。下面列出了在其安全策略中设置安全措施的10个最重要的领域，但首先需要解释云安全与传统信息安全有何不同。了解云安全的3个基本概念云计算平台是一个不断变化的动态环境，但安全的目标始终如一：确保系统按预期工作，并且仅按预期工作。因此，需要重新定义一些基本概念：边界：传统安全本质上是基于保护受信任的边界，即所谓的“堡垒”。然而，云计算环境的特点是分布在Internet上，具有动态演变的端点和许多互连层。任何云安全模型都应该以身份和访问管理为中心，并专注于对可疑账户实施授权（这是行为建模等技术特别强大的地方）。可扩展性：数据的存储和处理是动态的，因此云安全框架也应该能够考虑到基础设施的发展。换句话说，它需要了解系统的状态并相应地调整其策略。监控：随着新的云计算资源的积累和新的攻击向量的发现，威胁形势正在迅速发展。动态系统增加的复杂性是一种负担：安全漏洞可能会激增并且更难发现，网络攻击也更加复杂。保持最新状态需要对快速变化的安全环境做出响应。提高云安全的10条规则(1)规则1：不要忽视开发人员凭证作为每天扫描数百万个公共和私有代码存储库的企业，完善的凭证策略的重要性怎么强调都不为过。企业应该确保他们的开发人员至少只使用短期凭证，并最终投入完成完整设置所需的时间，其中包括管理（如保险库）和检测。一位安全工程师说：“如果另一家公司的人对我说机密检测不是优先事项，我会问什么是更高优先级，我会指向包含大量原因的快速谷歌搜索。保密问题和数据泄露。”这就是为什么这条规则位于此规则列表的顶部。(2)规则2：始终查看默认配置云计算提供商预先配置通用访问控制策略。这些策略很方便，但随着新服务的推出而经常更改并且它们不一定符合业务需求。组织可以通过选择退出不必要或未使用的服务来减少网络攻击面。(3)规则3：列出可公开访问的存储许多人在新闻中了解到一些云存储已开放并可公开访问。无论企业为对象和数据选择哪种存储方式，都需要检查是否只有预期的组件可公开访问。（4）规则4：定期审查访问控制如上所述，云安全与企业的身份和访问管理策略一样强大。基于身份的安全系统已经占据主导地位，形成了所谓的“零信任”战略的基础埃吉斯。但与其他一切一样，这些政策将被修改。执行最小特权原则是一个积极的过程，涉及微调对服务、系统和网络的访问。企业要定期安排人工巡检和自动巡检，并严格执行。(5)规则5：利用网络结构同样的规则也适用于网络：企业应该利用云提供商的控制来构建更好的、细粒度的策略来谨慎地分割流量。(6)规则6：预防性日志记录和监控没有强大的监控和日志记录，就无法实现良好的安全性。基于风险的日志记录策略是必须的，但最重要的是，组织应确保警报不仅已启用和有效，而且是可操作的，而不是在安全事件发生后要查看的东西。理想情况下，企业应该能够通过API或其他机制在其日志系统上聚合云日志。(7)规则7：丰富资产清单使用供应商的API来减轻库存管理的艰巨任务固然很好，但最好用有关所有权、用例和敏感性的附加信息来丰富它。企业需要将其纳入战略。(8)规则八：防止域名劫持云服务和DNS条目之间往往存在传递信任。组织需要定期检查其DNS和云配置，以防止发生接管情况。(9)规则9：灾难恢复计划不是可选的云计算环境不会自动解决灾难恢复(DR)问题。企业考虑在其云计算环境中发生灾难性事件时适合何种级别的投资，并设计灾难恢复(DR)程序以从外部帐户、提供商或场所恢复。(10)规则10：限制手动配置以利用云原生安全工具和控制意味着自动化。重要的是要记住漏洞源于错误配置，而错误配置就是错误。需要完成的手动工作越多，错误可能潜入的漏洞就越多。企业需要推动他们的团队实现更多自动化，尽可能使用安全性作为代码并逐步实施不变性（手动配置不再可能）。结论即使对于专家来说，云服务也很难管理，但它们会一直存在。对于安全专业人员来说，这是一个特殊的挑战，因为责任范围不再是静态的，而是不断发展以满足基础设施需求和应对新威胁。但这对企业来说也是一个激动人心的时刻，因为他们可以利用自己的独创性来构建非常有效的解决方案，利用现有的云计算提供商工具集，并在安全要求和灵活性之间取得平衡。以上提供了构建更好的云安全的10条规则，企业也可以制定自己的防护措施。
