云環(huán)境下的安全問題值得仔細(xì)梳理，供大家參考參考CSA在RSA發(fā)布的云安全面臨的十二大威脅。

企業(yè)對(duì)于云計(jì)算并未袖手旁觀，他們考慮是否冒著風(fēng)險(xiǎn)將應(yīng)用和數(shù)據(jù)進(jìn)行上云遷移。在這個(gè)過程中，安全問題依然是一個(gè)重要的考量。首先要做的是評(píng)估云環(huán)境面臨的風(fēng)險(xiǎn)，評(píng)估面臨的風(fēng)險(xiǎn)優(yōu)先級(jí)。

CSA（云安全聯(lián)盟）警告道：“云服務(wù)的共享、按需所取的特性帶來了新的安全問題，足以抵消云計(jì)算帶來的任何紅利”。如CSA之前的幾項(xiàng)報(bào)告所示，美國服務(wù)器租用 美國站群服務(wù)器，云服務(wù)的的特質(zhì)容許用戶繞過組織已有安全策略去通過影子IT服務(wù)建立自己的賬戶，必須采取妥當(dāng)?shù)目刂拼胧SA的執(zhí)行副總裁J.R. Santos談到：“云計(jì)算12大威脅的發(fā)布反映了此前在管理層面缺少相關(guān)考量”。

一、數(shù)據(jù)泄露

云環(huán)境同傳統(tǒng)企業(yè)網(wǎng)絡(luò)一樣面臨著同樣的眾多安全威脅，但由于云服務(wù)存儲(chǔ)著更大量的數(shù)據(jù)，云服務(wù)提供商越來成為了更重要目標(biāo)。所面臨威脅的嚴(yán)重性來源于所保護(hù)的數(shù)據(jù)資產(chǎn)如果發(fā)生泄露產(chǎn)生的危害性，雖然對(duì)于涉及泄露個(gè)人財(cái)務(wù)信息的事件更吸引世人眼球，但是發(fā)生在健康信息、商業(yè)機(jī)密和知識(shí)產(chǎn)權(quán)領(lǐng)域的安全事件后果更嚴(yán)重。

當(dāng)發(fā)生數(shù)據(jù)泄露事件后，公司可能面臨罰款、法律訴訟或者背后衍生的黑產(chǎn)交易，商業(yè)違約調(diào)查和對(duì)客戶的通知要花費(fèi)巨大的成本。另外代理的間接影響包括未來數(shù)年內(nèi)的品牌信譽(yù)損失和丟失商業(yè)機(jī)會(huì)。

不同的云服務(wù)環(huán)境均采用部署不同的安全控制策略來保護(hù)，但是最終客戶有責(zé)任保護(hù)自己的云上數(shù)據(jù)。CSA建議客戶使用多種認(rèn)證手段和加密措施以防止數(shù)據(jù)泄露事件的發(fā)生。

二、使用證書和認(rèn)證體系

數(shù)據(jù)泄露等安全事件的攻擊的源頭經(jīng)常是簡單身份認(rèn)證體系、弱口令和簡單的密鑰或證書系統(tǒng)。云上客戶經(jīng)常根據(jù)內(nèi)部人員的角色身份認(rèn)證系統(tǒng)應(yīng)用不同的權(quán)限，臺(tái)灣主機(jī) 臺(tái)灣伺服器，但是需要關(guān)注的是：人員工作內(nèi)容變更或者離開部門時(shí)經(jīng)常忘記移除相應(yīng)的用戶權(quán)限。

多因素認(rèn)證系統(tǒng)例如一次性密碼、手機(jī)短信驗(yàn)證碼、智能卡可以使攻擊者更難以通過所竊取的口令登錄系統(tǒng)達(dá)到保護(hù)云服務(wù)的效果。開發(fā)人員經(jīng)常會(huì)犯在源代碼中嵌入口令認(rèn)證信息或者密鑰，然后在無意間發(fā)布在類似于GitHub這樣的公開源代碼平臺(tái)發(fā)布。認(rèn)證口令需要被妥善保管且需采用具備符合安全性的公鑰基礎(chǔ)設(shè)施。定期更改口令策略以讓攻擊者難以有效利用從公開渠道獲取的口令。

對(duì)于規(guī)劃使用云服務(wù)商提供認(rèn)證平臺(tái)的客戶，需要了解服務(wù)商采用何種措施來保護(hù)認(rèn)證平臺(tái)。統(tǒng)一集成認(rèn)證方式其存在一定風(fēng)險(xiǎn)。客戶需要權(quán)衡采用此種方式的便利性和這將使得資產(chǎn)成為攻擊者的高價(jià)值目標(biāo)之間的關(guān)系。

三、外部接口和API攻擊

幾乎每個(gè)云服務(wù)及應(yīng)用均提供API服務(wù)。IT團(tuán)隊(duì)使用接口和API去管理和調(diào)用包括云資源、管理、服務(wù)編排和鏡像等云服務(wù)。這些云服務(wù)的安全和可用性依賴于API的安全性。CSA警告第三方服務(wù)依賴于或者調(diào)用這些接口服務(wù)時(shí)，客戶一旦引入更多的服務(wù)或者認(rèn)證時(shí)，面向的風(fēng)險(xiǎn)也隨之增加。 由于API和接口大都對(duì)外部互聯(lián)網(wǎng)開放，幾乎是暴露是系統(tǒng)暴露在最外圍的部分。CSA建議視此視為“防御和監(jiān)測的第一道前線”進(jìn)行充足的安全控制和防范。此外對(duì)應(yīng)用程序和系統(tǒng)進(jìn)行威脅建模、數(shù)據(jù)流分析和架構(gòu)設(shè)計(jì)也應(yīng)成為應(yīng)用開發(fā)生命周期的重要一環(huán)。同時(shí)CSA也建議展開代碼review和嚴(yán)格的安全滲透測試。

四、存在弱點(diǎn)的系統(tǒng)漏洞

系統(tǒng)漏洞或程序中的安全缺陷問題由來已久，但是隨著云計(jì)算引入的多租戶模式后果越來越嚴(yán)重。不同租戶間的內(nèi)存共享、數(shù)據(jù)庫以及其他的鄰近資源產(chǎn)生了新的攻擊面。CSA認(rèn)為值得慶幸的是系統(tǒng)漏洞層面的攻擊可以通過傳統(tǒng)的IT運(yùn)維環(huán)節(jié)來緩解，目前的最佳實(shí)踐包括常規(guī)的漏洞掃描、盡快的漏洞修復(fù)和快速應(yīng)對(duì)所報(bào)告反饋的漏洞和威脅。

根據(jù)CSA報(bào)告，降低系統(tǒng)漏洞風(fēng)險(xiǎn)的花費(fèi)經(jīng)常“相比于傳統(tǒng)的IT成本少得多”。相比于所面臨的破壞后果，讓IT去處理風(fēng)險(xiǎn)和修復(fù)漏洞所或者的支持援助還是過少。CSA建議傳統(tǒng)行業(yè)需要盡可能的將漏洞快速修復(fù)的工作通過固化至自動(dòng)化工作流程或者通過持續(xù)閉環(huán)實(shí)現(xiàn)。技術(shù)團(tuán)隊(duì)?wèi)?yīng)記錄和回顧在應(yīng)急處理修復(fù)漏洞時(shí)的各項(xiàng)變更實(shí)施過程。

五、賬戶劫持

網(wǎng)絡(luò)釣魚、欺詐和軟件存在的漏洞在云環(huán)境仍然有效，使用云服務(wù)因攻擊者可以竊取活動(dòng)、操作業(yè)務(wù)和修改數(shù)據(jù)從而增加攻擊面。攻擊者也可使用云服務(wù)發(fā)起其他對(duì)外的攻擊。