云工作负载、供应链、边缘计算、物联网（IoT）和区块链等新技术的普及和应用改变了云计算应用的安全格局。为提高对云中威胁、漏洞和风险的认识，国际云安全联盟（CSA）近期针对当前云计算领域的应用安全问题进行了研究，对700多位云计算技术专家进行了调查业，并编撰出版《云计算顶级威胁报告》。报告认为，以下11个方面的安全挑战正在成为阻碍云计算应用的关键威胁。威胁1身份、凭证、访问和密钥管理不善计算机系统和物理资源，例如服务器机房或建筑物。在此过程中，正确维护和持续监控身份、凭证、访问管理系统至关重要。在身份和访问管理(IAM)中使用风险评分可以加强您的安全状况。使用清晰的风险分配模型、持续监控以及适当的行为隔离和细分有助于交叉检查IAM系统。业务影响身份、凭据、访问权限和密钥管理不善会导致负面后果，例如：?业务系统访问不合规，员工对网络安全漠不关心；?关键业务数据的非授权替换或损坏或恶意用户数据泄露难以检测；?失去用户信任和业务收入；?关键安全事件响应和取证导致的额外财务成本；?勒索软件攻击和供应链中断。安全事件2019年1月至7月，第一资本银行发生大规模数据泄露事件。事件的起因是CapitalOne在其AWS账户中的服务器执行了任意用户发起的请求。攻击者可以利用放置在公网的服务器非法访问内网服务器，从而造成命令执行、数据泄露等危害。保护要点?使用多重身份验证；?对云用户和身份使用严格的访问控制，特别是限制root帐户的使用；?根据业务需要和最小权限原则隔离和细分账户；?采用程序化、集中的方法轮换密钥；?及时删除未使用的凭据和访问权限。威胁2不安全的接口和API组织正在加速API的采用，以便为第三方开发人员和客户提供更好的数字体验。但随着API变得越来越普遍，保护这些接口变得至关重要。必须检查API和微服务是否存在由于配置错误、不良编码实践、缺乏身份验证和不正确授权而导致的漏洞。这些漏洞可能使接口易受攻击。API和其他接口的错误配置是安全事件和数据泄露的主要原因。常见问题包括：未经身份验证的端点；弱认证；过多的权限；禁用标准安全控制；未打补丁的系统；逻辑设计问题；禁用日志记录或监控等。这些问题可能导致资源泄漏、删除或修改、数据调整或服务中断等。业务影响API和不安全接口对业务的影响主要是敏感或隐私数据的意外暴露。此类风险的严重程度取决于API的使用方式以及检测和缓解漏洞的速度。安全事件2021年5月5日，家庭健身品牌Peloton暴露API漏洞。不完善的用户身份验证和对象级授权会通过API暴露Peloton客户的个人身份信息(PII)。这些数据包括详细的用户年龄、性别、城市、体重、锻炼统计数据，甚至可以揭示用户在个人资料设置页面中保密的生日等信息。保护要点?跟踪、配置和保护与API相关的攻击面；?更新传统控制和变更管理策略和方法以跟上基于云的API增长和变化；?企业应采用自动化技术持续监控异常API流量并近乎实时地修复漏洞；?考虑采用开放式API框架，例如开放式云计算接口(OCCI)或云基础设施管理接口(CIMI)。威胁3错误配置和不充分的变更控制错误配置是指计算资产的不正确或不适当的设置，使它们容易受到意外损坏或恶意活动的攻击。常见的错误配置包括：不安全的数据存储元素或容器；过多的权限；保留默认凭据和配置设置不变；禁用标准安全控制；系统未打补丁；禁用日志记录或监控；不受限制的访问端口和服务；不安全管理的秘密；配置不当或缺少配置验证。云资源的错误配置是数据泄露的主要原因，这可能导致资源删除或修改以及服务中断。云环境中的变更控制不当会导致配置错误并阻碍其补救。云环境和云计算方法不同于传统的信息技术(IT)，因为它使更改更难控制。传统的变更流程涉及多个角色和权限，因此需要数天或数周才能生效。云计算依赖于自动化、角色扩展和访问来支持快速变化，这使得变化难以控制。此外，使用多个云提供商会增加复杂性，每个提供商的独特功能几乎每天都在得到增强和扩展。这种动态环境需要一种敏捷和主动的方法来进行变更控制和补救。业务影响错误配置和变更控制不足的影响主要包括：?数据泄露影响机密性；?数据丢失影响可用性；?数据损坏影响完整性；?系统性能影响运营效率；?系统中断影响运营的可持续性；?勒索和赎金的财务影响；?违规和罚款对合规和财务的影响；?收入损失；?股价下跌；?公司声誉影响。安全事件2021年1月7日，微软错误配置了存储大量第三方数据的MicrosoftAzureBlob（云）存储桶，希望与微软合作的100多个企业“宣传视频”和源代码被黑客攻击。公开披露。防御的关键?企业需要采用可用技术来持续扫描配置错误的资源以实时修复漏洞；?变更管理方法必须反映业务转型和安全挑战的动态特性，以确保使用实时自动验证正确批准变更。威胁4缺乏云安全架构和策略云安全策略和架构包括对云部署模型、云服务模型、云服务提供商（CSP）、服务区域可用区、特定云服务和通用原则的考虑和选择。此外，跨不同云帐户、提供商、服务和环境的IAM、网络和安全控制的前瞻性设计也在范围内。战略的考虑应该先于并指导架构规划，但云挑战通常需要增量和敏捷的规划方法。如果云计算要成功和安全，就不能忽视安全考虑和风险。行业漏洞表明，缺乏此类规划会导致云环境和应用程序不安全（或无效）以抵御网络攻击。业务影响缺乏云安全策略和架构会限制实施高效企业和基础设施安全架构的可行性。如果没有这些安全/合规性目标，云计算将不会成功，甚至可能因不合规而导致罚款和其他处罚，或者由于重构和迁移实施不当而导致巨额成本。安全事件2021年1月，沃尔玛旗下美国服装店Bonobos遭遇大规模数据泄露，数百万顾客的个人信息被泄露，包括顾客地址、电话号码、部分信用卡号、网站订单等.发生这种情况是因为托管备份文件的外部云备份服务遭到破坏。防御要素?企业应在云服务和基础设施设计和决策中考虑业务目标、风险、安全威胁和法律合规性；?鉴于云环境的快速变化和有限的集中控制，设计原则比开发更重要；?将尽职调查和第三方供应商安全评估视为基本实践，辅之以威胁建模、安全设计和集成。威胁5不安全的软件开发软件系统很复杂，而云技术通常会增加这种复杂性，从而增加了利用和错误配置的可能性。虽然开发人员无意创建不安全的软件，但主要软件供应商每月发布补丁以修复影响系统机密性、完整性和/或可用性的代码错误。虽然并非所有软件错误都会带来安全风险，但正如历史所表明的那样，即使是很小的错误也可能成为重大威胁。业务影响不安全软件开发的潜在影响包括：?客户对产品或解决方案失去信心；?因数据泄露而损害品牌声誉；?诉讼的法律和财务影响。安全事件2021年9月13日，研究人员发现AppleiOS被NSO的Pegasus软件利用，涉及允许远程代码执行的零点击漏洞。保护要点?使用云技术使开发人员可以专注于特定于业务的问题；?通过利用责任共担模型，修复等项目可以由云服务负责提供有关如何以安全方式实施服务的指导，例如AWS架构完善的框架或安全设计模式。威胁6不安全的供应链系统在云计算采用迅速增长的现实中，第三方资源可能意味着不同的事情：从开源代码到SaaS产品和API风险，一直到云提供商提供的托管服务。来自第三方的风险也被视为“供应链漏洞”，因为它们是企业交付产品或服务过程的一部分。近年来，随着对第三方供应链服务的依赖程度越来越高，网络犯罪分子越来越多地利用这些漏洞。研究表明，2/3的数据泄露是由供应商或第三方漏洞造成的。业务影响不安全的供应链系统可能产生的影响是：?云上关键业务流程的丢失或中断；?云业务数据被外部用户访问；?修补或修复安全问题取决于提供商及其响应速度，同时需要不断更新内部应用程序和产品。这对业务的影响可能很严重，具体取决于易受攻击的组件对应用程序的重要性。安全事件2019年5月至2021年8月，大众汽车集团北美子公司因一家供应商在2019年5月至2021年8月期间暂停存储服务而导致数据泄露，处于受保护状态。该事件涉及330万客户，泄露的数据包括个人身份信息(PII)，对于某些客户而言，还包括更敏感的财务数据。防御要点?虽然企业无法防止并非由他们创建的代码或产品中的漏洞，但他们可以尝试就使用哪些产品做出正确的决定，例如：寻找官方支持的产品，以及具有合规性认证、错误赏金等的产品。黄金计划并提供安全公告和快速修复；?识别和跟踪企业正在使用的第三方，包括开源、SaaS产品、云提供商和托管服务，以及可能已添加到应用程序中的其他集成；?定期审查第三方资源。如果您发现不需要的产品，请将其移除并撤销可能已授予它们的权限（例如对代码存储库、基础设施或应用程序的任何访问权限）；?不要成为薄弱环节。对企业应用程序进行渗透测试，对开发人员进行安全编码实践培训，并在适用时使用静态应用程序安全测试(SAST)和动态应用程序安全测试(DAST)解决方案。威胁7系统漏洞系统漏洞也是目前云服务平台的常见缺陷。攻击者可能会利用它们来破坏数据的机密性、完整性和可用性，从而中断服务操作。值得注意的是，所有组件都可能包含使云服务易受攻击的漏洞。这些系统漏洞分为四大类：?零日漏洞——新发现的尚未修补的漏洞。黑客很快就会利用这些漏洞，因为在部署补丁之前没有什么可以阻止它们。之前发现的Log4Shell就是典型的零日漏洞。?缺乏安全补丁——随着未打补丁漏洞数量的增加，整体系统安全风险也在增加，因此一旦已知严重漏洞可用就部署补丁可以减少系统的攻击面。?基于配置的漏洞——当系统使用默认或配置错误的设置部署时出现的漏洞。基于配置的漏洞示例包括使用遗留安全协议、弱加密密码、弱权限和保护不力的系统管理界面。此外，在系统上运行不必要的服务是另一个与配置相关的问题。?弱身份验证或默认凭据——缺乏强身份验证凭据使潜在的攻击者可以轻松访问系统资源和相关数据。同样，未安全存储的密码可能会被黑客窃取并用于侵入系统。业务影响云计算系统漏洞可能会对业务产生以下影响：?很多数据泄露都是由系统漏洞引起的；?当数据泄露时，可能会导致企业业务中断，从而影响客户使用企业服务；?处理数据泄露安全事件等问题带来的额外技术成本2021年12月，Log4Shell（CVE-2021-45046）远程代码漏洞爆发，影响基于Java的Log4j日志记录工具2.0beta9-2.14.1版本。鉴于Java在云系统中的广泛使用，Log4Shell是一个严重的威胁。攻击者可以通过向易受攻击的系统提交恶意请求来利用Log4Shell，导致系统执行任意代码，从而使攻击者能够窃取信息、启动勒索软件或接管系统的控制权。防护要点?系统漏洞是系统组件的缺陷，通常是人为错误引入的，使黑客更容易攻击企业的云服务，因此加强“人”的因素非常重要，企业可以进行定期的安全培训和教育；?通过定期的漏洞检测和补丁部署，以及严格的IAM实践，可以大大降低系统漏洞带来的安全风险。威胁8云计算数据的意外泄露云服务使企业能够以前所未有的速度构建、创新和扩展。然而，云的复杂性和云服务所有权的转变往往导致缺乏安全治理和控制。跨不同CSP的云资源配置数量的增加使得错误配置更加普遍，并且云库存缺乏透明度和网络可见性可能导致意外数据泄漏。业务影响意外数据泄露的潜在业务影响包括：?此数据可能包括敏感的客户数据、员工信息、产品数据等。此类数据的暴露会导致意外成本，例如取证团队、客户支持流程以及对受影响客户的补偿所产生的成本；数据泄露还会产生很多额外的间接成本，如内部调查和沟通、当前损失、潜在客户因损坏而流失等。安全事件2021年1月，一家VIP游戏公司因云泄露超过60,000名用户的2300万条记录配置错误，包括电子邮件、用户名、社交问题、网络ID和网络上的玩家数据。防御重点?基于配置的解决方案在提供必要的可见性方面受到限制，无法检查或扫描工作负载，因此有必要查看PaaS数据库、存储和托管服务的计算工作负载，包括虚拟机、容器和?选择引擎对企业云环境具有全面的可见性，以识别任何允许流量暴露在外部的路由或网络服务，包括负载均衡器、应用程序负载均衡器、内容分发网络（CDN）、网络对等、云防火墙、Kubernetes网络等；?确保数据库执行最低权限的IAM策略，并通过控制和监控该策略的分发来降低访问风险。威胁9云工作负载的错误配置和利用管理和扩展云基础设施和安全控制以运行应用程序仍然是云计算开发团队面临的重大挑战。无服务器和云原生容器化工作负载似乎是解决这个问题的灵丹妙药——将责任转移给云服务提供商。但与将虚拟机迁移到云端相比，它们需要更高级别的云和应用程序安全成熟度。在无服务器模型中，CSP负责底层基础设施的安全和管理。除了开发和运营优势外，这还减少了攻击面，因为默认情况下，CSP在短期容器中运行功能代码。不断刷新系统显着限制了攻击事件的持久性。但是，如果CSP允许客户配置具有更长生命周期和“热启动”配置的无服务器容器，环境就会变得不安全。其他风险包括临时文件系统和共享内存，它们也可能泄露敏感信息。缺乏对基础设施的控制也阻碍了传统安全工具的应用程序安全缓解和可见性。企业需要围绕云环境、应用程序、可视化、访问控制和机密管理构建强大的安全性，以减少攻击半径。业务影响无服务器和容器化工作负载可以显着提高云计算应用程序的敏捷性、降低成本、简化操作，甚至提高安全性。但在缺乏必要的专业知识和尽职调查的情况下，使用这些技术实施的应用程序配置可能会导致重大漏洞、数据丢失甚至企业现金流枯竭。安全事件自2021年以来，围绕拒绝钱包(DOW)攻击的云安全事件越来越多。DoW攻击类似于传统的拒绝服务(DoS)攻击，因为两者都旨在造成损害。但是，DoW攻击专门针对无服务器用户。这种攻击利用了无服务器供应商根据应用程序消耗的资源量向用户收费的事实，这意味着如果攻击者用大量流量淹没网站，网站所有者可能会背负巨额账单。防御要点?组织应通过云安全态势管理(CSPM)、云基础设施授权管理(CIEM)和云工作负载保护平台(CWPP)实施自动检查；?组织应投资于云安全培训、治理流程和可重用的安全云架构模式，以降低不安全云配置的风险和频率；?在迁移到无服务器技术之前，开发团队应更严格地遵循与安全相关的最佳实践。威胁10有组织的犯罪团伙和APT攻击有组织的犯罪团伙旨在描述犯罪团伙的组织水平。高级持续威胁（APT）是一个广义术语，用于描述入侵者或入侵团队长时间在网络上进行非法活动以挖掘高度敏感的数据。APT已经建立了复杂的战术、技术和协议(TTP)来渗透他们的目标。他们通常在目标网络中潜伏数月而不被发现，并且能够在网络内横向移动以访问高度敏感的业务数据或资产。业务影响?APT团体的动机各不相同。有些是出于政治动机（即黑客行动主义者），而另一些则是有组织的犯罪集团的一部分，甚至有些团体是国家行为者黑客团体；?了解APT团体可以对业务产生的业务影响，组织必须对其信息资产进行业务影响分析。这使企业能够了解APT团体如何以及为何将他们作为目标，以及潜在安全漏洞可能对业务造成的潜在影响。安全事件2016年2月，拉撒路组织（APT38）几乎完全抢劫了孟加拉国国家银行；2022年1月，LAPSUS$入侵了Nvidia的内部网络并窃取了机密数据。该组织没有向Nvidia勒索数据，而是要求解除对用于加密挖掘的图形处理单元的限制。保护要点?对企业进行业务影响分析，了解企业信息资产；?参与网络安全信息共享组，了解任何相关APT组织及其TTP（Tactics,TechniquesandProcedures，即战术、技术和程序）；?进行攻击性安全演习以模拟这些APT组的TTP并调整安全监控工具以检测它们。威胁11云上不安全的数据存储云存储数据泄露是涉及敏感、受保护或机密信息的严重安全事件。这些数据可能会被企业外部的个人发布、查看、窃取或使用。云存储数据是针对性攻击的首要目标之一，可能是利用、错误配置、应用程序漏洞或不良安全实践的结果。此类数据泄露可能涉及不打算公开发布的任何类型的信息，例如个人健康信息、财务信息、个人身份信息、商业秘密和知识产权。业务影响云存储数据泄露可能对业务造成的影响包括：?可用于其他产品开发、战略规划甚至发动未来攻击的知识产权的损失；?失去客户、利益相关者、合作伙伴的信任，抑制商业行为、投资和采购，降低员工在企业工作的意愿；?更严格的监管，包括罚款或改变流程和运营；?地缘政治因素会影响商业行为。安全事件2021年6月，Facebook因重大用户数据泄露事件在欧洲被起诉，但直到在暗网论坛上发现其有超过5.33亿个账户信息可供免费下载后，该事件才被曝光。保护要点?云存储需要良好配置的环境（SSPM、CSPM）；?应用CSP最佳实践指南、监控和检测功能来检测和防止攻击和数据泄露；?需要对员工进行云存储使用安全意识培训，因为数据分散在不同的位置并由不同的参与者控制；?在适当的地方实施客户端加密；?对数据进行分类并记录在事件响应中采取的行动。
