云計算環(huán)境中與安全性有關(guān)的弱點或缺陷可能會給企業(yè)帶來沉重打擊。在網(wǎng)絡(luò)攻擊者進行攻擊之前，企業(yè)需要找出其薄弱環(huán)節(jié)。

有些企業(yè)認為云計算可以自動保護其工作負載和數(shù)據(jù)免受攻擊、盜竊和其他不當行為侵害，這是一種錯誤的想法。因為即使在云平臺中，安全漏洞和潛在的網(wǎng)絡(luò)攻擊也是不可避免的。

云平臺是一種多租戶環(huán)境，可以在分布在全球各地的客戶之間共享基礎(chǔ)設(shè)施和資源。云計算提供商必須努力維護其共享基礎(chǔ)設(shè)施的完整性。與此同時，云計算是一個自助服務(wù)平臺，每個客戶都必須仔細定義其每個工作負載和資源的具體控制。

在深入研究這些云安全挑戰(zhàn)以及如何防范安全風險之前，企業(yè)必須了解三種主要危險類型之間的差異：威脅、漏洞、風險。這些術(shù)語通?？梢曰Q使用，但是對于IT安全專業(yè)人員來說它們具有不同的含義。

威脅是指組織必須防范的實際發(fā)生的事情，例如拒絕服務(wù)（DoS）攻擊、人為錯誤或自然災(zāi)害。 漏洞是指組織安全態(tài)勢中的疏忽、漏洞、弱點或其他缺陷。這可能包括配置不當?shù)姆阑饓?、未修補的操作系統(tǒng)或未加密的數(shù)據(jù)。 風險是需要仔細評估的組織脆弱性的潛在威脅。例如，有人將未加密的數(shù)據(jù)存儲在公共云中，人為錯誤可能會導(dǎo)致數(shù)據(jù)被訪問或更改。這可能被認為是必須防范的重大業(yè)務(wù)風險。

當用戶了解公共云漏洞時，他們可以識別潛在的安全漏洞和常見錯誤。IT團隊需要識別并解決各種類型的危險，以防止其系統(tǒng)被利用。以下是六個最常見的云計算的安全問題：

1.配置錯誤

用戶自己負責配置，因此企業(yè)的IT團隊需要優(yōu)先掌握各種設(shè)置和選項。云計算資源受到一系列配置設(shè)置的保護，這些設(shè)置詳細說明了哪些用戶可以訪問應(yīng)用程序和數(shù)據(jù)。配置錯誤和疏忽可能會泄露數(shù)據(jù)，并允許誤用或更改該數(shù)據(jù)。

每個云計算提供商都使用不同的配置選項和參數(shù)。用戶有責任學(xué)習和理解承載其工作負載的平臺如何應(yīng)用這些設(shè)置。

IT團隊可以通過多種方式減少配置錯誤：

除非特權(quán)對于特定的業(yè)務(wù)或應(yīng)用程序任務(wù)是必需的，否則采用并執(zhí)行最低特權(quán)或零信任的策略來阻止對所有云計算資源和服務(wù)的訪問。 采用云計算服務(wù)策略以確保默認情況下資源為私有。 創(chuàng)建并使用清晰的業(yè)務(wù)策略和準則，概述云計算資源和服務(wù)所需設(shè)置的配置。 學(xué)習云計算提供商的配置和安全設(shè)置，可以考慮學(xué)習提供商提供特定的課程和認證。 在默認情況下，使用加密來保護靜止和傳輸中的數(shù)據(jù)。 使用Intruder和Open Raven等工具檢查配置錯誤和審核日志。

2.訪問控制不良

未經(jīng)授權(quán)的用戶利用不良的訪問控制繞過薄弱或缺乏的身份驗證或授權(quán)方法。

例如，惡意行為者利用弱密碼來猜測憑據(jù)。強大的訪問控制可實現(xiàn)其他要求，例如最小密碼長度、大小寫混合、標點符號或符號以及頻繁更改密碼。

訪問控制的安全性可以通過幾種常見的策略來增強。

強制使用強密碼，并要求定期重置。 使用多因素身份驗證技術(shù)。 要求用戶定期重新認證。 采用最低特權(quán)或零信任的策略。 避免使用第三方訪問控制，而對云平臺中的服務(wù)和資源采用基于云計算的訪問控制。

3.影子IT

任何人都可以創(chuàng)建公共云帳戶，然后可以使用其帳戶來提供服務(wù)以及遷移工作負載和數(shù)據(jù)。但是那些不精通安全標準的人常常會誤解安全選項——留下可利用的云漏洞。在許多情況下，這種“影子IT”部署甚至可能永遠不會識別或報告漏洞。這使得企業(yè)在損失發(fā)生很久之后才有機會緩解問題。

當今的企業(yè)對影子IT的容忍度更高，但實施標準配置和實踐至關(guān)重要。業(yè)務(wù)用戶、部門和其他實體必須遵守業(yè)務(wù)的既定標準，以消除漏洞并保持整個組織的安全。

4.不安全的API

不相關(guān)的軟件產(chǎn)品使用API進行通信和互操作，而無需了解彼此代碼的內(nèi)部工作原理。API通常需要敏感的業(yè)務(wù)數(shù)據(jù)，并授予對這些數(shù)據(jù)的訪問權(quán)。許多API被公開以幫助加速采用，使外部開發(fā)人員和業(yè)務(wù)合作伙伴能夠訪問企業(yè)的服務(wù)和數(shù)據(jù)。

但是有時會在沒有足夠的身份驗證和授權(quán)的情況下實現(xiàn)API。它們完全向公眾開放，因此任何具有互聯(lián)網(wǎng)連接的人都可以訪問并可能危害數(shù)據(jù)。因此，不安全的API迅速成為黑客和其他惡意行為者的主要攻擊向量。

無論是使用云計算提供商的API還是創(chuàng)建部署在云中的業(yè)務(wù)API，使用以下內(nèi)容開發(fā)和使用API都是很重要的：

強身份驗證 數(shù)據(jù)加密 活動監(jiān)控和記錄 訪問控制

開發(fā)和實現(xiàn)API的企業(yè)應(yīng)將API視為敏感代碼，并應(yīng)該進行全面的安全審查，包括滲透測試。云計算和其他外部API應(yīng)該受到同樣的審查。避免使用不符合既定安全準則的外部API。

5.違規(guī)

在云計算服務(wù)的應(yīng)用中，云計算提供商負責云平臺的安全性，而客戶負責其數(shù)據(jù)的安全性。

在這種共享責任模型中，云計算提供商維護基礎(chǔ)設(shè)施的完整性和操作，并控制客戶資源和數(shù)據(jù)的分離?？蛻糌撠熍渲脩?yīng)用程序和數(shù)據(jù)安全，例如訪問控制。

當威脅成功利用漏洞并在沒有適當?shù)纳虡I(yè)目的的情況下訪問數(shù)據(jù)時，企業(yè)應(yīng)對該破壞和任何后續(xù)后果承擔全部責任。考慮以下常見的例子：

敏感的客戶數(shù)據(jù)被盜，使企業(yè)違反了現(xiàn)行的監(jiān)管義務(wù)，并損害了其聲譽。 重要數(shù)據(jù)被盜，這會導(dǎo)致知識產(chǎn)權(quán)損失，損害企業(yè)的競爭地位，并危害產(chǎn)生該數(shù)據(jù)的投資。 內(nèi)部業(yè)務(wù)數(shù)據(jù)被更改或擦除，這會產(chǎn)生大量潛在影響，例如生產(chǎn)問題。

違規(guī)行為通常會對企業(yè)造成處罰。例如，違反監(jiān)管義務(wù)的行為可能導(dǎo)致處罰和罰款。涉及為客戶或客戶存儲的數(shù)據(jù)的違規(guī)行為可能會導(dǎo)致違反合同的行為，從而導(dǎo)致耗時的訴訟和成本高昂的補救措施。

確保配置正確，并遵循本文概述的其他預(yù)防措施，以減輕任何監(jiān)管或法律風險。

6.中斷

云計算基礎(chǔ)設(shè)施非常龐大，但確實會發(fā)生故障——通常會導(dǎo)致影響廣泛的云中斷。這種中斷是由硬件問題和配置疏忽造成的，正是影響傳統(tǒng)數(shù)據(jù)中心的問題。

云平臺也可能受到分布式拒絕服務(wù)和其他旨在損害云計算資源和服務(wù)可用性的惡意機制的攻擊。如果網(wǎng)絡(luò)攻擊者可以使公共云資源或云計算服務(wù)不可用，它將影響使用這些資源和服務(wù)的云計算用戶。云計算提供商擅長應(yīng)對網(wǎng)絡(luò)攻擊，當特定業(yè)務(wù)工作負載受到網(wǎng)絡(luò)攻擊時，企業(yè)的支持團隊可以提供幫助。

盡管企業(yè)和其他公共云用戶無法防止云計算中斷和攻擊，需要考慮此類中斷對云計算工作負載和數(shù)據(jù)源的影響，并將此類事件作為災(zāi)難恢復(fù)策略的一部分進行規(guī)劃。

鑒于公共云的廣泛性質(zhì)，通?？梢酝ㄟ^跨云區(qū)域或區(qū)域?qū)嵤┑母呖捎眯约軜?gòu)解決災(zāi)難恢復(fù)。不過這并不是自動的，企業(yè)必須仔細設(shè)計它們并定期進行測試，以確保業(yè)務(wù)不會受到任何影響。
責任編輯：YYX