如今，越来越多的企业正在将数据和应用程序迁移到云端，这带来了独特的信息安全挑战。而企业在使用云计算服务时，将面临11大云安全威胁。云计算不断改变企业使用、存储和共享数据、应用程序和工作负载的方式。它还带来了许多新的安全威胁和挑战。随着大量数据进入云端（尤其是公共云服务），这些资源自然成为不良行为者的目标。研究公司Gartner副总裁兼云安全负责人JayHeiser表示，“公共云应用正在快速增长，因此敏感信息不可避免地会面临更多的潜在风险。”与许多人的想法相反，保护云中企业数据的主要责任不在于服务提供商，而在于客户本身。“我们正处于云安全转型中，重点从供应商转移到客户，”Heiser说。“许多企业都意识到，花费大量时间试图弄清楚云‘安全’是否真的没有回报。”为了让组织对云安全问题有新的认识，以便他们能够就云采用策略做出明智的决策，云安全联盟(CSA)发布了新版本的《云计算的11个最大威胁报告》。该报告反映了云安全联盟(CSA)社区安全专家目前就云中最重要的安全问题达成的共识。根据云安全联盟(CSA)的说法，虽然云中存在许多安全问题，但该列表重点关注与云计算的共享、按需性质相关的11个问题。去年调查中列出的几种威胁今年有所下降，包括拒绝服务、共享技术漏洞、云计算服务提供商数据丢失和系统漏洞。报告称，“调查显示，由云计算服务提供商负责的传统安全问题似乎不再那么令人担忧。相反，我们看到更多需要解决技术堆栈更高层的安全问题，并且是高级管理决策的结果。”为了找出更受关注的问题，云安全联盟（CSA）对行业专家进行了调查，以收集对云计算中更大安全问题的专业意见。以下是最主要的云安全问题（按调查结果的严重程度排序）：1.数据泄露数据泄露的威胁在去年的调查中保持首位。不难看出原因，因为数据泄露会严重损害企业的声誉和财务状况。它们可能导致知识产权(IP)损失和承担重大法律责任。云安全联盟(CSA)关于数据泄露威胁的要点包括：攻击者需要访问数据，因此企业需要定义其数据的价值及其丢失的影响。谁有权访问数据是解决数据保护问题的关键问题。通过全球互联网访问的数据最容易受到错误配置或利用的影响。加密可以保护数据，但需要在性能和用户体验之间进行权衡。企业需要考虑云服务提供商经过测试且可靠的事件响应计划。2.错误配置和不充分的变更控制错误配置和不充分的变更控制是云安全联盟（CSA）列表中的新威胁，考虑到企业通过云计算意外暴露数据的例子很多，这并不奇怪。例如，云安全联盟(CSA)引用了Exactis事件，其中一家云计算提供商错误配置了包含2.3亿美国消费者个人数据的Elasticsearch数据库，并使其可公开访问。由于备份服务器配置不正确，LevelOneRobotics泄露了100多家制造公司的IP，这是一种与数据泄露一样严重的威胁。根据云安全联盟（CSA）的说法，企业必须担心的不仅仅是数据丢失，还有资源的删除或修改，以扰乱业务。该报告将大部分错误配置归咎于糟糕的变更控制实践。云安全联盟(CSA)关于错误配置和变更控制不力的主要结论包括：基于云的资源的复杂性使其难以配置。不要指望传统的控制和变更管理方法能在云中发挥作用。使用持续扫描错误配置资源的自动化和技术。3、缺乏云安全架构和策略这个问题自从云计算出现以来就存在，但今年却成为云安全联盟（CSA）的新问题。尽量减少将系统和数据迁移到云所需时间的愿望通常优先于安全性。因此，该公司可以在云中使用并非专为其设计的安全基础架构和策略来运营。这在2019年的名单上表明更多的企业意识到这是一个问题。云安全联盟(CSA)关于缺乏云安全架构和战略的主要收获包括：安全架构需要与业务目标保持一致。开发和实施安全架构框架。使威胁模型保持最新。部署持续监控功能。4.身份、凭证、访问和密钥管理不善清单上的另一个新威胁是对数据、系统和物理资源（如服务器机房和建筑物）访问的管理和控制不善。该报告指出，云计算需要改变与身份和访问管理(IAM)相关的企业实践。不这样做的后果可能导致安全事件和违规，原因是：凭证保护不足缺乏密码密钥、密码和证书的自动轮换缺乏可扩展性无法使用多因素身份验证无法使用强密码CloudSecurityAlliance(CSA))身份、证书、访问和密钥管理不充分的关键要点包括：安全账户，包括使用双因素身份验证来限制根账户的使用根据业务需求隔离和分段账户、虚拟私有云和身份组和最小特权原则采用程序化、集中的方法进行密钥轮换。删除未使用的凭据和访问权限。5.账户劫持账户劫持仍然是今年第五大云威胁。随着网络钓鱼尝试变得更加有效和有针对性，攻击者获得对高权限帐户的访问权限的风险很大。网络钓鱼并不是攻击者获取凭据的唯一方式。他们还有其他方法可以窃取帐户。一旦攻击者使用合法帐户访问系统，他们就可以造成很大的破坏，包括盗窃或破坏关键数据、中断服务交付或财务欺诈。云安全联盟(CSA)建议对用户进行有关帐户劫持的危险和迹象的培训和教育，以将风险降至最低。云安全联盟(CSA)关于帐户劫持的要点包括：当帐户凭据被盗时，不仅仅是重置密码。问题需要从根本上解决。纵深防御方法和强大的身份和访问管理(IAM)控制是很好的防御措施。6.内部威胁来自可信内部人员的威胁在云中与在本地系统中一样严重。组织内部人员可以是现任或前任员工、承包商或值得信赖的业务合作伙伴——任何可以在不突破公司防御的情况下访问公司系统的人。内部人员造成的损害不一定是恶意的，他们可能会无意中将数据和系统置于风险之中。云安全联盟(CSA)引用了PlomonInstitute的2018年内部威胁成本研究，其中指出所有报告的内部事件中有64%是由于员工或承包商的疏忽造成的。此类疏忽可能包括错误配置云计算服务器、在个人设备上存储敏感数据或成为网络钓鱼电子邮件的受害者。云安全联盟(CSA)关于内部威胁的主要内容包括：对员工进行培训和教育，使其了解保护数据和系统的正确做法。让教育成为一个持续的过程。定期审核和修复配置错误的云计算服务器。限制对关键系统的访问。7.不安全的接口和API不安全的接口和API从去年的第三位下降到第七位。2018年，众所周知的Facebook数据泄露事件在整个秋季影响了超过5000万个账户，这是由于在其看来作为功能引入的漏洞。尤其是当绑定到用户界面时，API漏洞可以为攻击者提供一条清晰的路径来窃取用户或员工凭证。云安全联盟(CSA)报告指出，企业需要了解API和用户界面是系统中最暴露的部分，并鼓励采用设计方法来构建它们以确保安全。云安全联盟(CSA)关于不安全接口和API的主要收获包括：采用良好的API实践，例如监控库存、测试、审计和异常活动保护程序。保护API密钥并避免重复使用。考虑开放的API框架，例如开放云计算接口(OCCI)或云基础设施管理接口(CIMI)。8、控制平台薄弱。控制平台涵盖了数据复制、迁移和存储的过程。根据云安全联盟(CSA)的说法，如果负责这些流程的人员无法完全控制数据基础设施的逻辑、安全和验证，那么控制平面将变得薄弱。管理人员需要了解安全配置、数据流和架构盲点或弱点。否则可能会导致数据泄漏、数据不可用或数据损坏。云安全联盟(CSA)关于控制平面弱点的要点包括：确保云计算服务提供商提供满足法律和法定义务所需的安全控制。进行尽职调查以确保云计算服务提供商具有足够的控制平面。9.元结构和应用程序结构故障云计算服务提供商的元结构保存有关其系统如何保护的安全信息，并通过API调用公开该信息。云安全联盟(CSA)将元结构称为云服务提供商/客户“分界线”。API可帮助客户检测未经授权的访问，但也包含高度敏感的信息，例如日志或审计系统数据。这条“分界线”也是一个潜在的故障点，可能允许攻击者访问数据或危害云客户。糟糕的API实现通常是导致漏洞的原因。例如，云安全联盟(CSA)指出，不成熟的云计算服务提供商可能不知道如何正确地将API公开给他们的客户。另一方面，客户可能不了解如何正确实施云计算应用程序。当他们连接到不是为云环境设计的应用程序时尤其如此。云安全联盟(CSA)关于元结构和应用程序结构故障的主要收获包括：确保云服务提供商提供可见性并披露缓解措施。在云原生设计中实施适当的功能和控制。确保云计算服务提供商进行渗透测试并向客户提供调查结果。10.对云计算使用情况的可见性有限安全专业人员普遍抱怨的是，云计算环境使他们看不到检测和防止恶意活动所需的大量数据。云安全联盟(CSA)将这种有限的使用可见性挑战分为两类：未经批准的应用程序使用和未经批准的应用程序滥用。许可应用程序滥用可能是授权人员使用许可应用程序或外部威胁参与者使用被盗凭据。云安全联盟(CSA)报告称，安全团队需要能够通过检测异常行为来区分有效用户和无效用户。云安全联盟(CSA)关于有限的云使用可见性的主要收获包括：制定与人员、流程和技术相关的自上而下的云可见性工作。关于可接受的云使用策略和执行的强制性组织范围培训。让云安全架构师或第三方风险经理审查所有未经批准的云服务。投资云访问安全代理(CASB)或软件定义网关(SDG)以分析出站活动。投资Web应用程序防火墙来分析入站连接。在整个组织中实施零信任模型。11.滥用和恶意使用云计算服务攻击者越来越多地使用合法的云计算服务来支持他们的活动。例如，他们可能使用云计算服务在GitHub等网站上托管伪装的恶意软件、发起DDoS攻击、分发网络钓鱼电子邮件、挖掘数字货币、执行自动点击欺诈或进行暴力攻击以窃取凭据。云安全联盟(CSA)表示，云计算服务提供商应该采取缓解措施来防止和检测滥用行为，例如支付工具欺诈或云计算服务的滥用。对于云提供商来说，拥有一个事件响应框架来解决滥用问题并允许客户报告滥用行为也很重要。云安全联盟(CSA)关于误用和误用云服务的要点包括：监控员工云使用情况是否存在滥用情况。使用基于云的数据丢失防护(DLP)解决方案来监控和阻止数据泄露。
