在简短的视频评论和评论中，Snyk的首席架构师和第一家云安全SaaS公司Fugue的创始CEOJoshStella讨论了为什么针对云环境的攻击者如此容易避开您的Enterprise'sSecurityMeasures为业务和安全领导者提供建议，并讨论了创建本质安全的云架构的五个关键步骤。云计算网络攻击不像好莱坞惊悚片中的情节。没有人会把汤姆·克鲁斯带到一个预选目标的安全数据中心，该数据中心配备了超灵敏的噪音、温度和运动检测器，以便他可以窃取特定文件。现实生活中的剧本要平淡得多。攻击者坐在笔记本电脑前并部署自动化技术来扫描Internet以寻找可利用的漏洞。他们得到的是一个可供选择的目标的虚拟“购物清单”，一旦进入云环境，他们就会利用架构上的弱点找到个人身份信息(PII)等敏感数据，并在几分钟内将其提取出来，这些数据通常是从对象存储中提取的服务或数据库快照。听起来很容易预防，但根据刚刚发布的Verizon年度数据泄露调查报告(DBIR)的2022年版，“错误配置错误的增加始于2018年，主要是由于云数据存储实施没有适当的访问控制......尽管主要云提供商努力使默认配置更安全（我们对此表示赞赏），但这些错误仍然存??在。”攻击者无法渗透安全团队可以使用传统入侵检测和预防解决方案和流程监控的传统网络。企业正试图用昨天的数据中心安全技术阻止今天的云攻击者，但他们并不完全了解云威胁形势。通常，重点是识别攻击者可以利用的资源配置错误以获取对环境的访问权限，并分析日志事件以识别可疑活动“妥协指标”（IOC）。这些可能是身份和访问管理（IAM）配置中的更改以提升权限、关闭加密以访问数据，或关闭日志记录以覆盖个人痕迹。这些都是任何云安全工作的必要活动，但最终它们不足以保证云数据的安全。错误配置只是黑客进入的一种方式云环境并危及API控制平面，这发生在ne几乎所有重大的云漏洞。投入大量时间和精力来查找和消除单个资源的错误配置并不能回答“当它们通过并进入控制平面时会发生什么？”因为放心，迟早他们会的。没有任何企业云环境可以免于错误配置。云安全团队通常每天都会发现并修复数十个或数百个。仅仅专注于识别IOC以阻止正在进行的攻击风险更大；云漏洞可能会在团队有机会做出响应之前的几分钟内发生。即使拥有最好的监控、分析和警报工具，您也只能寄希望于很快发现自己被黑客入侵了。新的威胁态势开发人员和工程师越来越多地使用基础架构即代码(IaC)，它针对云提供商的应用程序编程接口(API)运行，以在工作时实时构建和修改他们的云。基础设施，包括安全关键配置。云中的变化是持续不断的，每次变化都会带来错误配置漏洞的风险，攻击者可以使用自动检测快速利用这些漏洞。控制平面是用于配置和操作云的API界面。例如，您可以使用控制平面来构建容器、修改网络路由以及访问数据库或数据库快照中的数据（与侵入实时生产数据库相比，这些是黑客更常见的目标）。换句话说，API控制平面是用于配置和操作云的API的集合。最小化任何成功的云渗透事件的潜在爆炸半径意味着构建环境以防止控制平面受到损害。实现安全云架构的五个步骤任何组织都可以采取五个步骤来设计其云环境，使其具有固有的安全性以抵御控制平面妥协攻击：1.最大限度地降低控制平面妥协的风险。现在是时候将“云错误配置”的定义从单一资源错误配置扩展到包括涉及多个资源及其之间关系的架构错误配置了。对于现有的云环境，通过分析资源访问策略和IAM配置来评估任何潜在渗透事件的爆炸半径，以确定攻击者可以利用其进行发现、移动和数据提取的过于宽松的设置。当您找到它们时-相信我，您会找到它们-与您的开发人员和DevOps团队合作，在不破坏应用程序的情况下消除这些架构错误配置。这可能需要一些返工来解决现有环境中的这些漏洞，因此最好在设计和开发阶段解决架构安全问题。2.采用政策作为云基础设施的代码。策略即代码(PaC)是一种以机器可理解的语言表达策略的方式，例如开放策略代理、开源标准和云原生计算基础设施项目。在软件定义的世界中，安全的角色是向构建者（开发者）传授知识以确保他们在安全环境中工作的领域专家。不是规则手册或清单，而是代码。请记住，是开发人员在云中构建应用程序和应用程序的基础架构。这一切都是在代码中完成的，因此开发人员（而不是安全团队）拥有该过程。PaC使团队能够以一种编程语言表达安全性和合规性规则，应用程序可以使用这种语言来检查配置的正确性并识别不需要的条件或不应发生的情况。使所有云利益相关者能够安全地操作，而不会对规则是什么以及如何应用它们有任何歧义或分歧，这有助于使所有团队在单一的真实策略源下保持一致，从而消除解释和应用策略时的混乱每个阶段的人为错误和安全自动化软件开发生命周期(SDLC)（评估、实施等）。3.使开发者能够构建安全的云环境。IT团队提供物理基础设施并将其提供给开发人员的日子已经一去不复返了。如今，开发人员和DevOps工程师使用IaC来表达他们想要的基础架构并自动提供。虽然这对于高效的云操作非常有用，但它增加了大规模传播漏洞的风险。然而，IaC的采用为我们提供了一个前所未有的机会：在部署之前检查基础设施安全性的能力。借助PaC，我们可以为开发人员提供在开发过程中检查安全性的工具，并指导他们设计一个固有的安全环境，以最大限度地减少控制平面危害的威胁。每个人都可以更快、更安全地移动。4.使用护栏来防止错误配置。无论您在通过IaC检查和更安全的设计“扩展”云安全方面多么成功，错误配置仍然可能会漏掉，并且云资源的部署后突变是一个持续的风险。您应该在持续集成和持续交付(CI/CD)管道中构建自动安全检查，以在部署期间自动捕获错误配置，并在未通过安全检查时自动使构建失败。对于不太敏感的部署，提醒团队注意违规情况，以便他们可以在必要时进行调查和补救。由于对云资源的部署后更改非常普遍，因此保持持续的运行时监控以检测漂移至关重要。确保正在运行的内容反映了创建它的IaC模板，并检查危险的错误配置事件和可能包含漏洞的孤立资源。在所有这些用例中，您对PaC的采用将继续带来好处。5.构建云安全架构的专业知识。越来越多的企业云采用要求安全专业人员将注意力从传统的安全方法（例如威胁检测和监控网络流量）转移到了解控制平面妥协攻击的工作原理以及如何有效地使用安全性。旨在防止它们的架构。为此，组织需要能够与开发人员和DevOps团队密切合作的云安全工程师和架构师，以了解云用例并帮助在开发过程中建立安全设计原则。保护云环境的最终目标是在任何成功的初始攻击渗透事件发生之前使其变得毫无意义。毕竟，如果攻击者无法访问您的企业云环境中的任何资源，谁会关心他们是否可以访问该资源？让您的安全团队了解云应用程序的工作原理，以帮助确保云基础设施支持应用程序，不会带来不必要的风险。他们还需要知道如何利用PaC检查环境中更深层次的多资源漏洞，并帮助指导开发人员设计和构建本质安全的环境。
