云計算環(huán)境中與安全性有關的弱點或缺陷可能會給企業(yè)帶來沉重打擊。在網(wǎng)絡攻擊者進行攻擊之前，企業(yè)需要找出其薄弱環(huán)節(jié)。

有些企業(yè)認為云計算可以自動保護其工作負載和數(shù)據(jù)免受攻擊、盜竊和其他不當行為侵害，這是一種錯誤的想法。因為即使在云平臺中，安全漏洞和潛在的網(wǎng)絡攻擊也是不可避免的。

云平臺是一種多租戶環(huán)境，可以在分布在全球各地的客戶之間共享基礎設施和資源。云計算提供商必須努力維護其共享基礎設施的完整性。與此同時，云計算是一個自助服務平臺，每個客戶都必須仔細定義其每個工作負載和資源的具體控制。

在深入研究這些云安全挑戰(zhàn)以及如何防范安全風險之前，企業(yè)必須了解三種主要危險類型之間的差異：威脅、漏洞、風險。這些術語通常可以互換使用，但是對于IT安全專業(yè)人員來說它們具有不同的含義。

威脅是指組織必須防范的實際發(fā)生的事情，例如拒絕服務（DoS）攻擊、人為錯誤或自然災害。 漏洞是指組織安全態(tài)勢中的疏忽、漏洞、弱點或其他缺陷。這可能包括配置不當?shù)姆阑饓?、未修補的操作系統(tǒng)或未加密的數(shù)據(jù)。 風險是需要仔細評估的組織脆弱性的潛在威脅。例如，有人將未加密的數(shù)據(jù)存儲在公共云中，人為錯誤可能會導致數(shù)據(jù)被訪問或更改。這可能被認為是必須防范的重大業(yè)務風險。

當用戶了解公共云漏洞時，他們可以識別潛在的安全漏洞和常見錯誤。IT團隊需要識別并解決各種類型的危險，以防止其系統(tǒng)被利用。以下是六個最常見的云計算的安全問題：

1.配置錯誤

用戶自己負責配置，因此企業(yè)的IT團隊需要優(yōu)先掌握各種設置和選項。云計算資源受到一系列配置設置的保護，這些設置詳細說明了哪些用戶可以訪問應用程序和數(shù)據(jù)。配置錯誤和疏忽可能會泄露數(shù)據(jù)，并允許誤用或更改該數(shù)據(jù)。

每個云計算提供商都使用不同的配置選項和參數(shù)。用戶有責任學習和理解承載其工作負載的平臺如何應用這些設置。

IT團隊可以通過多種方式減少配置錯誤：

除非特權對于特定的業(yè)務或應用程序任務是必需的，否則采用并執(zhí)行最低特權或零信任的策略來阻止對所有云計算資源和服務的訪問。 采用云計算服務策略以確保默認情況下資源為私有。 創(chuàng)建并使用清晰的業(yè)務策略和準則，概述云計算資源和服務所需設置的配置。 學習云計算提供商的配置和安全設置，可以考慮學習提供商提供特定的課程和認證。 在默認情況下，使用加密來保護靜止和傳輸中的數(shù)據(jù)。 使用Intruder和Open Raven等工具檢查配置錯誤和審核日志。

2.訪問控制不良

未經(jīng)授權的用戶利用不良的訪問控制繞過薄弱或缺乏的身份驗證或授權方法。

例如，惡意行為者利用弱密碼來猜測憑據(jù)。強大的訪問控制可實現(xiàn)其他要求，例如最小密碼長度、大小寫混合、標點符號或符號以及頻繁更改密碼。

訪問控制的安全性可以通過幾種常見的策略來增強。

強制使用強密碼，并要求定期重置。 使用多因素身份驗證技術。 要求用戶定期重新認證。 采用最低特權或零信任的策略。 避免使用第三方訪問控制，而對云平臺中的服務和資源采用基于云計算的訪問控制。

3.影子IT

任何人都可以創(chuàng)建公共云帳戶，然后可以使用其帳戶來提供服務以及遷移工作負載和數(shù)據(jù)。但是那些不精通安全標準的人常常會誤解安全選項——留下可利用的云漏洞。在許多情況下，這種“影子IT”部署甚至可能永遠不會識別或報告漏洞。這使得企業(yè)在損失發(fā)生很久之后才有機會緩解問題。

當今的企業(yè)對影子IT的容忍度更高，但實施標準配置和實踐至關重要。業(yè)務用戶、部門和其他實體必須遵守業(yè)務的既定標準，以消除漏洞并保持整個組織的安全。

4.不安全的API

不相關的軟件產(chǎn)品使用API進行通信和互操作，而無需了解彼此代碼的內(nèi)部工作原理。API通常需要敏感的業(yè)務數(shù)據(jù)，并授予對這些數(shù)據(jù)的訪問權。許多API被公開以幫助加速采用，使外部開發(fā)人員和業(yè)務合作伙伴能夠訪問企業(yè)的服務和數(shù)據(jù)。

但是有時會在沒有足夠的身份驗證和授權的情況下實現(xiàn)API。它們完全向公眾開放，因此任何具有互聯(lián)網(wǎng)連接的人都可以訪問并可能危害數(shù)據(jù)。因此，不安全的API迅速成為黑客和其他惡意行為者的主要攻擊向量。

無論是使用云計算提供商的API還是創(chuàng)建部署在云中的業(yè)務API，使用以下內(nèi)容開發(fā)和使用API都是很重要的：

強身份驗證 數(shù)據(jù)加密 活動監(jiān)控和記錄 訪問控制

開發(fā)和實現(xiàn)API的企業(yè)應將API視為敏感代碼，并應該進行全面的安全審查，包括滲透測試。云計算和其他外部API應該受到同樣的審查。避免使用不符合既定安全準則的外部API。

5.違規(guī)

在云計算服務的應用中，云計算提供商負責云平臺的安全性，而客戶負責其數(shù)據(jù)的安全性。

在這種共享責任模型中，云計算提供商維護基礎設施的完整性和操作，并控制客戶資源和數(shù)據(jù)的分離?？蛻糌撠熍渲脩贸绦蚝蛿?shù)據(jù)安全，例如訪問控制。

當威脅成功利用漏洞并在沒有適當?shù)纳虡I(yè)目的的情況下訪問數(shù)據(jù)時，企業(yè)應對該破壞和任何后續(xù)后果承擔全部責任?？紤]以下常見的例子：

敏感的客戶數(shù)據(jù)被盜，使企業(yè)違反了現(xiàn)行的監(jiān)管義務，并損害了其聲譽。 重要數(shù)據(jù)被盜，這會導致知識產(chǎn)權損失，損害企業(yè)的競爭地位，并危害產(chǎn)生該數(shù)據(jù)的投資。 內(nèi)部業(yè)務數(shù)據(jù)被更改或擦除，這會產(chǎn)生大量潛在影響，例如生產(chǎn)問題。

違規(guī)行為通常會對企業(yè)造成處罰。例如，違反監(jiān)管義務的行為可能導致處罰和罰款。涉及為客戶或客戶存儲的數(shù)據(jù)的違規(guī)行為可能會導致違反合同的行為，從而導致耗時的訴訟和成本高昂的補救措施。

確保配置正確，并遵循本文概述的其他預防措施，以減輕任何監(jiān)管或法律風險。

6.中斷

云計算基礎設施非常龐大，但確實會發(fā)生故障——通常會導致影響廣泛的云中斷。這種中斷是由硬件問題和配置疏忽造成的，正是影響傳統(tǒng)數(shù)據(jù)中心的問題。

云平臺也可能受到分布式拒絕服務和其他旨在損害云計算資源和服務可用性的惡意機制的攻擊。如果網(wǎng)絡攻擊者可以使公共云資源或云計算服務不可用，它將影響使用這些資源和服務的云計算用戶。云計算提供商擅長應對網(wǎng)絡攻擊，當特定業(yè)務工作負載受到網(wǎng)絡攻擊時，企業(yè)的支持團隊可以提供幫助。

盡管企業(yè)和其他公共云用戶無法防止云計算中斷和攻擊，需要考慮此類中斷對云計算工作負載和數(shù)據(jù)源的影響，并將此類事件作為災難恢復策略的一部分進行規(guī)劃。

鑒于公共云的廣泛性質，通?？梢酝ㄟ^跨云區(qū)域或區(qū)域實施的高可用性架構解決災難恢復。不過這并不是自動的，企業(yè)必須仔細設計它們并定期進行測試，以確保業(yè)務不會受到任何影響。
責任編輯：YYX