在组织将业务迁移到云之前，他们需要了解他们可能面临的云安全挑战以及如何解决这些挑战。所有云计算平台的主要承诺（例如提高IT效率、灵活性和可扩展性）都伴随着一项重大挑战：安全性。许多组织无法定义云服务提供商(CSP)的职责在哪里结束以及他们的职责从哪里开始，因此可能会有更多的漏洞。云计算的可扩展性还增加了组织的潜在攻击面。更复杂的是，传统的安全控制往往达不到云安全要求。为了帮助组织了解他们面临的云计算挑战，云安全联盟(CSA)在10年前成立了一个专门的团队。由行业专业人士、架构师、开发人员和组织高管组成的调查团队确定了25种安全威胁的列表，然后由安全专家对这些威胁进行分析、排序和浓缩，得出11种最常见的云计算安全挑战：数据泄露；配置错误和变更控制不充分；缺乏云安全架构和策略；身份、凭证、访问和密钥管理不当；帐户劫持；内部威胁；不安全的接口和API；薄弱的控制平面；损坏的元和应用程序结构；对云使用情况的可见性有限；滥用和恶意使用云计算服务。此后，云安全联盟（CSA）每两年发布一次调查报告。几天前发布的一份题为“令人震惊的11大云计算最大威胁”的报告详细介绍了这些威胁以及谁负责识别它们，是客户还是云计算服务提供商(CSP)，或两者兼而有之，并提供帮助组织实施云计算安全的步骤。云安全联盟（CSA）发布的第五次调查报告揭示了一些重大变化。值得注意的是，这11种主要安全威胁中有6种是新的。此外，这些威胁不是CSP的唯一责任，而是都与客户有关，或者是CSP和客户的共同责任。云安全联盟(CSA)全球研究副总裁JohnYeoh表示：“我们注意到的最重要趋势是组织加强了对客户的控制。”他将这些变化归因于两件事：组织对云服务提供商(CSP)的信任度显着增加，或者组织希望获得更多控制权并更好地了解他们可以在云中做什么以及如何使用云服务来满足他们的需求。具体的安全要求。在今年发布的调查报告中，根据受访者的调查，以下是11种安全威胁的严重程度以及每种安全威胁的缓解措施：1.云安全联盟(CSA)的数据泄露调查报告表明数据泄露仍然是云计算服务提供商(CSP)及其客户的责任，并且仍然是2021年最大的云安全威胁。在过去几年中，许多数据泄露都归因于云平台，其中最严重的数据泄露事件之一引人注目的事件是CapitalOne的云计算配置错误。由于监管影响、法律责任、事件响应成本和市场价值下降，数据泄露可能会使一些组织陷入困境，声誉受到不可逆转的损害和财务困难。云安全联盟(CSA)建议如下：确定数据的价值及其丢失的影响；通过加密保护数据；制定稳健的、经过充分测试的事件响应计划。云安全联盟(CSA)云控制矩阵(CCM)规范包括以下内容：实施数据输入和输出完整性例程；将最小权限原则应用于访问控制；建立安全删除和处置数据的政策和程序。云安全联盟(CSA)云治理矩阵是云安全联盟(CSA)安全指南的支持文件，第四代文件概述了各种云域及其主要目标。云控制矩阵(CCM)提供了按控制区域和控制ID分类的要求和控制的详细列表，每个对应于其控制规范、体系结构依赖性、云交付模型（SaaS、PaaS和IaaS）以及标准和框架（例如PCIDSS、NIST和FedRAMP）。2.错误配置和不足的变更控制资产如果设置不当，很容易受到网络攻击。例如，CapitalOne的安全漏洞可追溯到泄漏AmazonS3存储桶的Web应用程序防火墙配置错误。除了不安全的存储之外，过多的权限和使用默认凭证是数据泄露的另外两个主要来源。相关地，无效的变更控制可能导致云配置错误。在按需、实时的云计算环境中，变更控制应该自动化以支持快速变更。客户责任、错误配置和变更控制是云安全威胁列表中的新增内容。云安全联盟(CSA)建议如下：特别注意可通过Internet访问的数据；定义数据的商业价值及其丢失的影响；创建并维护一个强大的事件响应计划。云控制矩阵(CCM)规范包括以下内容：确保外部合作伙伴遵守内部开发人员使用的相同变更管理、发布和测试程序；按计划的时间间隔进行风险评估；对承包商、第三方用户和员工进行安全意识培训。3.缺乏云安全架构和策略许多组织在没有合适的架构和策略的情况下进入云。在迁移到云之前，客户必须了解他们面临的威胁、如何安全地迁移到云以及共享责任模型的来龙去脉。此威胁是列表中的新威胁，主要是客户的责任。如果没有适当的规划，客户将容易受到网络攻击，从而导致财务损失、声誉受损以及法律和合规问题。云安全联盟(CSA)建议如下：确保安全架构符合业务目标。开发和实施安全架构框架。实施持续的安全监控计划。云控制矩阵(CCM)包括以下内容：确保风险评估政策包括更新政策、程序、标准和控制以保持相关性；设计、开发和部署关键业务/影响客户的应用程序和API设计和配置以及网络和系统组件；限制和监控网络环境和虚拟实例中可信和不可信连接之间的流量。4.身份、凭证、访问和密钥管理不足大多数云安全威胁和一般的网络安全威胁都与身份和访问管理(IAM)问题有关。根据云安全联盟(CSA)指南，这源于以下原因：凭证保护不当；缺少自动加密密钥、密码和证书轮换；IAM可扩展性挑战；缺乏多重身份验证；弱密码。云计算的使用加剧了顶级云安全挑战列表中新出现的标准身份和访问管理(IAM)挑战。对所需的大量云计算账户执行清点、跟踪、监控和管理的方法包括：供应和取消供应问题、僵尸账户、过多的管理员账户和绕过身份和访问管理(IAM)控制的用户，以及定义挑战角色和特权。作为客户的责任，云安全联盟(CSA)建议如下：使用双因素身份验证；对云计算用户和身份实施严格的身份和访问管理（IAM）控制；通过集中式编程密钥管理，轮换密钥、删除未使用的凭据和访问权限。云控制矩阵(CCM)规范包括以下内容：确定关键管理人员并制定和维护关键管理政策；分配、记录和沟通强制终止雇佣关系或程序变更的角色和责任；及时取消（无论是撤销还是修改）用户对数据和网络组件的访问权限。5.账户劫持云计算账户劫持是指泄露、意外泄露或以其他方式泄露对云计算环境的运行、管理或维护至关重要的云计算账户。这些具有高度特权和敏感的帐户的妥协可能会产生严重的后果。从网络钓鱼和凭据填充到弱凭据或被盗凭据再到不正确的编码，被盗用的帐户可能会导致数据泄露和服务中断。作为云计算服务提供商(CSP)和客户的责任，云安全联盟(CSA)建议如下：请记住，帐户劫持不仅仅是密码重置；使用纵深防御、身份和访问管理(IAM)控制。云控制矩阵(CCM)规范包括以下内容：建立、记录并采用统一的业务连续性计划；独立的生产环境和非生产环境；维护并定期更新合规联络人，为与执法部门的迅速互动做好准备。6.内部威胁与组织网络内的员工和其他人相关的风险不仅限于云平台。无论是无意还是有意，内部人员（包括现任和前任员工、承包商和合作伙伴）都可能导致数据丢失、系统停机、客户信心下降和数据泄露。组织必须解决客户责任、涉及数据泄露或被盗的内部威胁、凭证问题、人为错误和云配置错误。云安全联盟(CSA)建议如下：进行安全意识培训；修复配置错误的云计算服务器；限制对关键系统的访问。云控制矩阵(CCM)规范包括以下内容：在重新定位或转移硬件、软件或数据之前需要授权；定期授权和重新验证用户访问控制；从其他租户中分离多租户应用程序、基础设施和网络。7.不安全的接口和API云计算服务提供商(CSP)的UI和API是云计算环境中最公共的部分，客户通过它们与云计算服务进行交互。任何云计算服务的安全性都始于妥善保护它们，这是客户和云计算服务提供商(CSP)的责任。云服务提供商(CSP)必须确保集成了安全性，而客户必须努力使用云安全联盟(CSA)所称的云“前门”进行管理、监控和安全。在上一份报告中，这一威胁已从第三位下降到第七位，但仍然很严重。云安全联盟（CSA）的建议如下：确保API安全；避免API密钥重用；使用标准和开放的API框架。CloudControlsMatrix(CCM)规范包括以下内容：根据行业领先的标准设计、开发、部署和测试API，并遵守适用的法律、法规和监管义务；隔离和限制对与组织信息系统交互的审计工具的访问，以防止数据泄露和篡改；限制可以覆盖系统、对象、网络、虚拟机和应用程序控制的实用程序。8.弱控制平面作为客户责任和2021年的新责任，云计算控制平面是组织使用的云计算管理控制台和接口的集合。云安全联盟(CSA)表示，它还包括数据复制、迁移和存储。如果没有妥善保护，受损的控制平面可能会导致数据丢失、监管罚款和其他后果，以及品牌声誉受损，从而导致收入损失。云安全联盟(CSA)建议如下：要求云计算服务提供商(CSP)实施适当的控制；进行尽职调查以确定潜在的云服务是否具有足够的控制平台。云控制矩阵(CCM)规范包括以下内容：建立信息安全政策和程序，使其易于内部人员和外部业务关系审查；实施和应用纵深防御措施，及时检测和响应基于网络的攻击；数据和包含数据的对象被标记、处理和保护。9.元结构和应用结构失效元结构，云安全联盟（CSA）定义，是“提供基础设施层和其他层之间接口的协议和机制”，换句话说，链接技术和使能管理和配置活页夹。元结构是云计算服务提供商(CSP)和客户之间的分界线。这里存在很多安全威胁：例如，云安全联盟（CSA）指出，云计算服务提供商（CSP）的API实现不佳，或者客户正在使用不合适的云计算应用程序。此类安全挑战可能导致服务中断和配置错误，从而导致财务和数据丢失。应用程序结构被定义为“部署在云中的应用程序和用于构建它们的底层应用程序服务”。示例包括消息队列、人工分析或通知服务。报告中的新威胁是客户和云计算服务提供商(CSP)的共同责任。云安全联盟(CSA)建议如下：云计算服务提供商(CSP)提供可见性并披露缓解措施，以解决其客户缺乏透明度的问题；云计算服务提供商(CSP)进行渗透测试并向客户提供结果；客户在云原生设计中实现功能和控制。云控制矩阵(CCM)规范包括以下内容：制定和维护审计计划以解决业务流程中断问题；实施加密以保护存储、使用和传输中的数据；建立存储和管理身份信息的政策和程序。10.对云计算使用的可见性有限对云计算使用的可见性长期以来一直是组织管理员关注的问题，但对于本报告中概述的云安全联盟(CSA)云安全挑战而言，这是一个全新的问题。问题。根据云安全联盟(CSA)的说法，有限的可见性带来了两个关键挑战：未经批准的应用程序使用，也称为影子IT，是指员工在IT部门不允许的情况下使用应用程序。批准的应用程序滥用是指无意中使用IT批准的应用程序。这包括，例如，授权使用应用程序的用户，以及使用通过SQL注入或DNS攻击获得的窃取凭据访问应用程序的未经授权的个人。根据云安全联盟(CSA)的说法，这种有限的可见性导致缺乏治理、意识和安全性——所有这些都可能导致网络攻击、数据丢失和违规。这是今年新上榜的安全威胁，是云计算服务提供商（CSP）和客户的共同责任。云安全联盟(CSA)建议如下：自上而下开发云计算可见性；对可接受的云使用政策实施组织培训；风险管理部门进行审批。云控制矩阵(CCM)规范包括以下内容：定期进行风险评估；让所有人员了解他们在合规和安全方面的角色和责任；清点、记录和维护数据流。11.云计算服务的滥用和恶意使用正如云计算可以为组织提供许多好处一样，它也可以被威胁者恶意利用。恶意使用合法的SaaS、PaaS和IaaS产品会影响个人、云客户和云服务提供商(CSP)。组织很容易通过以下方式滥用云计算服务：分布式拒绝服务攻击；网络钓鱼；加密采矿；点击欺诈；暴力攻击；托管恶意或盗版内容。遭到破坏和滥用的云计算服务可能会导致损失，例如加密货币丢失或攻击者付款；组织在不知不觉中托管恶意软件的情况；数据丢失等。云安全联盟(CSA)建议云计算服务提供商(CSP)努力通过事件响应框架来检测和缓解这种攻击。云计算服务提供商(CSP)还应提供客户可用于监控云计算工作负载和应用程序的工具和控件。作为客户和云服务提供商(CSP)的共同责任，云安全联盟(CSA)建议如下：监控员工云使用情况；使用云数据丢失防护技术。云控制矩阵(CCM)规范包括以下内容：采用技术措施管理移动设备风险；为组织和用户拥有的端点定义配额和使用权限，包括工作站、笔记本电脑和移动设备；创建和维护批准的应用程序列表。
