云安全是云时代企业数字化转型面临的最大挑战之一。随着云计算的快速普及，企业用户往往认为云安全的主要责任是技术栈和更强大的云服务提供商。安全隐患大。关于云安全，尤其是云数据安全，Gartner,Inc.副总裁兼云安全负责人JayHeiser直言，保护企业数据在云端的首要责任不在云服务商，而在云.客户。“我们正处于云安全转型中，保护的负担正在从供应商转移到客户，”Heiser说。“今天，企业正在学习并花费大量时间试图确定某个特定的云服务提供商是否值得。”为使企业对云安全问题有新的认识和理解，做出更有效的采购决策，云安全联盟（CSA）于上月推出了最新版本的《云计算11大威胁报告》。为了找出用户最关心的云安全问题，CSA对行业安全专家进行了调查，就云计算中最重要的安全问题征集专业意见。并对包括第一资本、迪士尼、道琼斯、GitHub、特斯拉等九家知名企业进行云安全案例研究，深入探讨主要的云安全问题（按调查结果严重程度排序）：1.Dataleakage数据泄露的威胁继续在去年的调查中排名第一，也是最严重的云安全威胁。数据泄露会严重损害企业的声誉和财务状况，并可能导致知识产权(IP)损失和承担重大法律责任。CSA关于数据泄露威胁的要点包括：攻击者急于窃取数据，因此企业需要定义数据的价值及其丢失的影响；明确谁有权访问数据是解决数据保护问题的关键；数据最容易受到错误配置或漏洞利用；加密保护数据，但在性能和用户体验之间需要权衡；企业需要一个可靠的、经过测试的事件响应计划，将云服务提供商考虑在内。2.错误配置和变更控制不足这是CSA云安全威胁列表中的一个新威胁，考虑到近年来越来越多的企业因疏忽或事故通过云公开泄露数据，这并不奇怪。.例如，报告引用了Exactis事件，在该事件中，由于配置错误，云提供商公开泄露了包含2.3亿美国消费者个人数据的Elasticsearch数据库。另一个灾难性错误配置的例子来自LevelOneRobitics，由于错误配置的备份服务器，它暴露了100多家制造公司的知识产权信息。报告指出，让企业担忧的不仅仅是数据丢失，还有因数据被篡改或删除而导致的业务中断。该报告将大多数配置错误归因于糟糕的变更控制实践。错误配置和变更控制不足的关键点包括：云资源的复杂性导致难以配置；不要指望传统的控制和变更管理方法在云中有效；使用连续扫描错误配置资源的自动化和技术。3、缺乏云安全架构和策略这是云计算固有的“老”问题。对于许多企业而言，最大限度地缩短将系统和数据迁移到云端所需的时间比安全性更重要。因此，企业通常会选择并非为他们设计的云安全基础架构和云运营策略。该问题出现在2020年云安全威胁清单中，说明越来越多的企业开始意识到这是一个严重的问题。云安全架构和策略的要点包括：安全架构需要与业务目标保持一致；开发和实施安全架构框架；使威胁模型保持最新；部署持续监控功能。4.身份、凭证、访问和密钥管理不善威胁列表中的另一个新威胁是对数据、系统和物理资源（例如服务器机房和建筑物）的访问管理和控制不力。报告指出，在云计算环境中，企业需要改变与身份和访问管理（IAM）相关的做法。不这样做的后果可能导致安全事件和违规，原因是：凭证保护不力；缺少密钥、密码和证书的自动轮换；缺乏可扩展性；未能使用多重身份验证；未能使用强密码。身份、凭证、访问和密钥管理的关键要点包括：安全帐户，包括使用双因素身份验证；对云用户和身份使用严格的身份和访问控制——特别是限制根帐户的使用；原则隔离和分段帐户、虚拟私有云和身份组；采用程序化的集中式密钥轮换方法；并删除未使用的凭据和访问权限。5.账户劫持今年，账户劫持仍然是第五大云威胁。随着网络钓鱼攻击变得更加有效和有针对性，攻击者获得对高特权帐户的访问权限的风险很大。网络钓鱼并不是攻击者获取凭据的唯一方式。他们还可以通过入侵云服务等方式窃取帐户。一旦攻击者可以使用合法帐户访问系统，他们就可以造成严重破坏，包括盗窃或破坏关键数据、中断服务交付或金融欺诈。该报告建议对用户进行有关帐户劫持的危险和特征的安全意识教育和培训，以将风险降至最低。CSA关于账户劫持的主要建议包括：当账户凭证被盗时，不要只是重置密码，解决根本原因。纵深防御方法和强大的IAM控制是最好的防御措施。6.内部威胁来自可信内部人员的威胁在云中与本地系统一样严重。内部人员可以是现任或前任员工、承包商或受信任的业务合作伙伴，以及任何可以在不突破公司安全防御的情况下访问公司系统的人。并非所有内部威胁都是恶意的，许多员工的疏忽会无意中将数据和系统置于风险之中。根据PonemonInstitute的2018年内部威胁成本研究，64%的内部威胁事件是由于员工或承包商的疏忽造成的。此类疏忽可能包括错误配置的云服务器、将敏感数据存储在个人设备上或成为网络钓鱼电子邮件的受害者。管理内部威胁的关键要素包括：培训和教育员工充分的安全意识和行为准则，以保护数据和系统。将安全意识教育规范化为一个持续的过程；定期审核和修复配置错误的云服务器；并限制对关键系统的访问。7.InsecureInterfacesandAPIs“InsecureInterfacesandAPIs”从去年的第三位下降到第七位。2018年，Facebook经历了一次重大数据泄露事件，影响了超过5000万个账户。问题的根源是新服务视图中的不安全API。尤其是当绑定到用户界面时，API漏洞通常是攻击者窃取用户或员工凭据的常用途径。报告指出，企业需要清醒地认识到API和用户界面是系统中暴露最多的部分，应通过安全设计手段加强其安全性。参考阅读：糟糕的用户体验设计也是一种安全威胁治理不安全接口和API的要点：采用良好的API实践，例如监控库存、测试、审计和异常活动保护；保护API密钥并避免重复使用；考虑采用开放式API框架，例如开放式云计算接口(OCCI)或云基础设施管理接口(CIMI)。8、控制面薄弱。控制平面涵盖了数据复制、迁移和存储的过程。根据CSA的说法，如果负责这些流程的人员不能完全控制数据基础设施的逻辑、安全和验证，那么控制平面就会很薄弱。利益相关者需要了解安全配置、数据流和架构盲点或弱点。否则可能会导致数据泄漏、数据不可用或数据损坏。关于弱控制平面的主要建议包括：确保云服务提供商提供满足法律和法定义务所需的安全控制；进行尽职调查以确保云服务提供商有足够的控制平面。9、元结构和应用结构失效云服务提供商的元结构（Metastructure）保存了如何保护其系统的安全信息，可以通过API调用。CSA将元结构称为云服务提供商/客户“分界线”。这些API可帮助客户检测未经授权的访问，但也包含高度敏感的信息，例如日志或审计系统数据。这条分界线也是一个潜在的故障点，可能允许攻击者访问数据或危害云客户。糟糕的API实现通常是导致漏洞的原因。CSA指出，不成熟的云服务提供商可能不知道如何正确地向他们的客户提供API。另一方面，客户也可能不了解如何正确实施云应用程序。当他们连接到不是为云环境设计的应用程序时尤其如此。防止元结构和应用程序结构出现故障的关键要点包括：确保云服务提供商提供可见性和公开缓解措施；在云原生设计中实施适当的功能和控制；确保云服务提供商进行渗透测试并提供结果。10.对云资源使用情况的可见性不佳安全专业人员普遍抱怨的是，云环境使他们无法看到检测和防止恶意活动所需的大量数据。CSA将这种可见性挑战分为两类：未经批准的应用程序使用和未经批准的应用程序滥用。未经批准的应用程序本质上是影子IT，员工在没有IT或安全或技术支持或许可的情况下使用的应用程序。任何不符合公司安全准则的应用程序都可能带来安全团队不知道的风险。经批准的应用程序滥用包括许多场景，从使用经批准的应用程序的授权人员到使用被盗凭据的外部攻击者。安全团队应该能够通过检测异常行为来区分有效用户和无效用户。提高云安全资源可见性的要点：人、流程、技术要重视云可见性的提升；在公司内部对云资源使用政策进行强制性培训；让云安全架构师或第三方风险管理人员查看所有未经批准的云服务；投资云访问安全代理(CASB)或软件定义网关(SDG)以分析出站活动；投资Web应用程序防火墙来分析入站连接；在整个组织中实施零信任模型。11.滥用和恶意使用云服务攻击者越来越多地使用合法的云服务从事非法活动。例如，他们可能使用云服务在GitHub等网站上托管伪装的恶意软件、发起DDoS攻击、分发网络钓鱼电子邮件、挖掘数字货币、执行自动点击欺诈或进行暴力攻击以窃取凭据。CSA表示，云服务提供商应该采取缓解措施来防止和检测滥用行为，例如支付工具欺诈或滥用云服务。对于云提供商来说，建立事件响应框架来解决滥用问题并允许客户报告滥用行为也很重要。CSA关于云服务滥用的主要建议包括：监控员工是否滥用云服务；使用云数据丢失防护(DLP)解决方案来监控和阻止数据泄露。【本文为专栏作者“安安牛”原创文章，转载请通过安安牛（微信公众号id：gooann-sectv）取得授权】
