僅僅將你的本地安全控制遷移到一個全新的云環境是不夠的。即使是擁有多年經驗的云組織也很脆弱。

隨著企業將云服務的使用范圍擴大到包括關鍵業務應用程序和數據，安全漏洞的風險成為了一個C級問題。輕率地將專為內部基礎設施和安全控制設計的內部系統遷移到完全不同的云架構，常常是因為沒有完全理解云安全的特性、控制、網絡設計和用戶責任，這將后患無窮。即使像Capital One這樣的組織，擁有多年AWS經驗、對云技術細微差別有深刻理解的公司，VPS，也可能被黑客利用，很明顯，每個云用戶都需要加倍努力保護自己的安全。值得慶幸的是，有一個像云安全聯盟(CSA)這樣的組織致力于通過開發策略、建議和威脅研究來提高云環境的安全性。

“作為DEF CON黑客大會的公共化版本，Black Hat 事件已經成為大多數安全廠商和研究人員必須停止的活動。和大多數安全會議一樣，會議上也充斥著關于此前未知的軟件漏洞的可怕聲明、新的攻擊方法以及黑客技術的創造性演示。不幸的是，VPS租用，與大多數安全事件一樣，黑帽內容的優勢描述的是威脅和漏洞，而不是對策和軟件修復。CSA遵循腳本使用該事件發布關于云威脅的新報告，但是使用另一份報告進行反擊，該報告詳細描述了通過將安全性集成到軟件開發和IT操作中來改進組織的安全狀況的結構改進。”

首先，找出威脅

正如Capital One事件所展示的那樣，使用云基礎設施和應用程序開辟了新的網絡攻擊途徑，同時通過在云提供商和用戶之間分擔安全策略的責任，使應用程序和數據安全的責任復雜化。上周的專欄關注的是職責劃分，而CSA的一份新報告強調了云計算引入的新威脅載體。

CSA頂級威脅工作組定期發布其對企業云用戶面臨的最重要安全問題的評估。隨著時間的推移，該小組發現傳統上對核心基礎設施的威脅如拒絕服務攻擊或針對硬件和操作系統的漏洞都被云提供商有效的保護起來了，而軟件堆棧中更高層次的問題是云用戶的責任。CSA發布的一份關于云計算最大威脅的報告指出，

“調查中得分較高的新項目更加細致入微，表明消費者對云的理解已經成熟。這些問題本質上是特定于云的，因此表明了消費者正在積極考慮云遷移的技術前景。這些主題涉及潛在的控制平面弱點、元結構和應用程序結構故障以及有限的云可見性。這一新的重點明顯不同于以往更常見的威脅、風險和漏洞(即數據丟失、拒絕服務)，這些在以前的頂級威脅報告中表現得更為突出。”

該工作組使用微軟STRIDE威脅模型，分析了六個威脅類別中每個問題的范圍和重要性，并將其歸納為19個最突出的云安全威脅。其結果就是該組織所稱的“驚人的11個”，按重要性排列如下。

1. 數據泄露，例如Capital One事件，其中“敏感、受保護或機密信息被未經授權的個人發布、查看、竊取或使用”。

2. 錯誤配置和不充分的變更控制是由設置錯誤導致的，這些錯誤使云資源容易受到惡意活動的攻擊。”

3.缺乏云安全體系結構和策略，導致IT部門不理解自己在云安全中的角色，或者不小心將現有的內部應用程序遷移到云基礎設施，而沒有使其適應新的安全環境。

4. 不充分理解云身份和訪問管理(IAM)服務和控制以及不充分地保護云憑據，例如頻繁地旋轉加密密鑰、密碼和證書，從而導致身份、憑據、訪問和密鑰管理不足。

5. 通過網絡釣魚攻擊或竊取憑證劫持帳戶(見#4)。

6. 內部威脅，指某人濫用其對云資源的授權訪問，惡意或無意地破壞系統或暴露敏感數據以破壞操作。這些威脅可能來自現任或前任雇員、承包商或可信任的業務伙伴。

7. 不安全的接口和API，其中配置或設計不良的API允許攻擊者濫用應用程序或訪問數據。正如該報告所詳細描述的，面向公眾的云系統的接口不斷受到攻擊，而且，正如Capital One所發現的，它常常是攻擊者訪問其他內部漏洞的門戶。

8. “弱控制平面”就是沒有經過深思熟慮的云策略的一個例子，這種策略導致沒有充分理解云管理、安全控制和數據流，以及不恰當地使現有流程適應明顯不同的環境。

9. 元結構和應用程序結構的失敗是由云提供商對API和其他管理接口的弱實現造成的。根據CSA的報告,

元結構被認為是CSP/客戶界線，也稱為基線。為了提高客戶對云的可見性，csp經常公開或允許API與水線上的安全進程進行交互。不成熟的csp常常不確定如何使api對客戶可用，以及在多大程度上可用。例如，允許客戶檢索日志或審計系統訪問的api可能包含高度敏感的信息。

雖然不在基線上，但是用于啟動服務器端請求偽造(SSRF)的AWS元數據服務是元結構失敗的一個例子。