提高云数据安全的十条“军规”企业数据的百分比都存储在云端。为各种企业带来的好处包括但不限于：提高服务敏捷性、易于扩展、更具成本效益。但是，如果我们从安全的角度考虑，事情就没那么美好了。一直以来，很多人认为将企业大部分（甚至全部）最有价值的资产交给第三方云平台是充满挑战的。我们应该想办法从云服务商那里获得7*24小时的安全支持，来保护我们的应用部署和数据存储。那么，光靠云服务商的安全防护就够了吗？显然还不够，我们还得发挥主观能动性。俗话说：知易行难。下面我将着重与大家探讨云安全的基本概念和正确实施云数据保护的十大“军规”。责任共担模型?云安全通常需要遵循一种称为“责任共担”的模型。这种模式规定服务提供者只对“云服务”的安全负责，而租户需要对“云服务特定部分”的安全负责。也就是说，当使用云服务来运行自己的应用时，作为云服务的租户，你仍然需要按比例分担一部分安全配置或管理的工作。当然，根据您使用云服务的程度，您的责任范围可能会有很大差异。示例：如果您订阅基础架构即服务(IaaS)，则您负责操作系统相关的补丁和更新。如果您只使用对象存储，您的责任范围将仅限于数据丢失防护(DLP)。虽然具体的应用场景千差万别，但我们还是有必要找到一些通用的指导方针。例如，云服务中的绝大多数漏洞都可以归结为一件事：配置错误。即使云服务提供商为你提供了强大的安全工具，如果你不小心或不知道如何使用它们，安全配置仍然会出现错误或漏洞，无形中会降低整体的安全态势应用服务。因此，要合理有效地构建云“护栏”，就需要在知其然、知其所以然的基础上，将出错的可能性及其影响范围降到最低。在我们开始讨论十项重要的云安全策略之前，让我们了解云安全与“传统”信息安全有何不同。了解云安全的3个要点?由于云基础设施往往处于动态的网络环境中，其中的各个组件也在不断变化。总的来说，云安全的目标是通过确保系统按预期运行来维护系统的整体安全态势。为此，我们有必要重新认识以下三个关键概念：边界：传统安全的本质是建立在保护一个可信边界上，即所谓的“堡垒”。但是，分布在互联网上的云服务环境具有能够动态衍生出多个相互连接的端点和层次的特点。因此，任何云安全模型都应以身份和访问管理为中心，着重于对可疑帐户实施权限（这通常需要依赖行为建模）。可扩展性：由于数据的存储和处理是动态的，云安全框架也应该能够考虑到基础设施的发展。换句话说，它需要了解系统的状态并根据策略进行相应的调整。监控：随着云资源的丰富和新的攻击源的出现，针对云服务的威胁格局也在快速变化。各种安全风险的激增、漏洞的深度、攻击的复杂性，都要求我们通过持续监控，快速掌握现有云安全环境的变化，并能够及时主动地对动态系统做出响应和处理方式。提高云安全的十项军事规则?规则1：不要忽视开发密钥和证书在每天不断扫描数百万个公共和私有代码存储库的公司工作，我们知道健全的密钥和证书策略的重要性。您应该确保您的开发人员仅使用短期证书密钥，并在将这些仅用于开发的证书投入正式生产环境之前撤销这些证书，并且您应该执行各种任务，包括检测和管理存储库中的证书。完成设置和检查。我的一个资深客户曾经指出（https://www.itcentralstation.com/product_reviews/gitguardian-internal-monitoring-review-671614-by-danny）：如果有人告诉他密钥和证书检测不是优先事项如果重要的是，他将通过在Google上进行自定义搜索来展示显示泄露的证书密钥的危险。这就是为什么我把它放在列表的顶部。规则2：始终查看默认配置云服务提供商通常会预先配置一些通用的访问控制策略。虽然这些策略很容易快速上手，但正是因为它们的通用性，它们可能并不适用于你真正的应用服务。特别是在引入新的云服务时，往往需要基于默认的控制策略，进行定制化配置。当然，您也可以选择禁用不必要的配置或不使用的服务，以减少攻击面。规则3：列出所有可公开访问的存储您可能听说过云存储被攻击者通过可公开访问的界面破坏的消息。因此，无论您为对象和数据选择何种存储方法，请检查以确保只公开那些需要访问的组件和存储。规则4：定期审查访问控制如前所述，云服务的安全与您的身份认证和访问管理策略密切相关。随着基于身份的安全系统开始主导整体安全措施，它们构成了所谓的“零信任”策略的基础。作为一种实践，我们可以主动实施“最小权限原则”，对云服务、系统和网络的访问进行加固。同时，还要定期安排人工和自动化的检查手段，检查管控执行是否严格。规则5：利用网络结构上述类似的规则和做法适用于网络结构。您应该利用云服务平台提供的管控工具，构建更高效、更细粒度的策略，实现对访问请求的仔细检查，按需导流。规则6：预防性日志记录和监控如果没有强大的监控和日志记录，我们将无法了解当前应用程序的安全状况。使用基于风险的日志记录策略，您不仅应该确保漏洞监控正常运行，还应该在安全事件发生后协助调查。理想情况下，您应该能够通过API或其他机制在您自己的日志系统上聚合来自各种云的日志。规则7：完成您的资产盘点即使我们可以使用云服务平台提供的API来减轻库存管理的巨大压力，也应该通过一个定制的策略，通过关于所有权、用例和敏感性级别等的额外信息.完成您的云资产盘点。规则8：谨防DNS劫持各种云服务通常需要通过DNS条目以及在DNS条目之间传递信任关系。因此，定期检查您的DNS和云应用配置的正确性，可以有效防止DNS中毒、接管和劫持。规则9：灾难恢复计划不仅仅是一个选项云服务环境提高了应用系统的可用性，但它们不提供自动灾难恢复(DR)服务。您应该充分考虑为云环境中的潜在灾难性事件做准备所需的投资水平。您可以设计一个DR流程，通过外部帐户、提供商甚至本地来恢复您自己的应用程序服务。规则10：减少手动配置云原生安全工具和控件通常以自动化的形式提供。请记住，漏洞源于错误配置，而错误配置通常源于手动操作。因此，对于我们人类而言，需要完成的手动工作越多，出错的可能性就越大。对此，您需要鼓励您的团队善用自动化，尽可能使用安全即代码（security-as-code），并保持安全策略的一致性。总结?对于安全专业人士来说，云应用安全管理极具挑战性。毕竟在云端，职责范围不再是静止的，不再是清晰的，不断变化的。不过幸运的是，在应对新的安全需求和威胁时，我们不再是孤军奋战。每个云服务提供商平台往往可以提供一套丰富的工具，让我们可以在安全需求和灵活性之间取得平衡。希望我上面提供的10条安全法则，能帮助大家制定更全面的防护措施，构建更好的云安全态势。译者介绍?JulianChen，51CTO社区编辑，拥有十余年IT项目实施经验，善于把控内外部资源和风险，专注传播网络和信息安全方面的知识和经验；以博文、专题、翻译等形式分享前沿技术和新知识；经常在线上和线下开展信息安全培训和讲座。原标题：ThomasSegura的10条更好的云安全规则
