[[172828]]

對于保護企業(yè)免受外部和內部威脅來說，云IAM策略是非常重要的。專家Rob Shapland介紹了如何加強云IAM。

云安全聯(lián)盟的一份最新報告顯示，身份認證與訪問管理是眾多正在部署云應用的企業(yè)所面臨的最大問題之一。有超過二成的受訪者表示，憑證泄露被證明是數據泄露的直接原因。攻擊者總是青睞竊取合法憑證;對于絕大多數企業(yè)的監(jiān)控系統(tǒng)來說，他們是很難區(qū)分黑客使用真實用戶名密碼登錄和真實用戶登錄的。只有更為先進的防御系統(tǒng)才能夠檢測到已登錄用戶的不正常行為。

在CSA報告中，只有大約一半的企業(yè)表示，他們正在使用單點登錄，這意味著在很多情況下，用戶是使用密碼方式來訪問云計算應用程序的，而其帳戶策略可能與企業(yè)政策不符。這也就意味著，工作人員需要記住更多的密碼，這將有可能導致一些不好的使用習慣，例如使用相同密碼或者寫下密碼。沒有SSO的云計算應用程序也不可能被連接到企業(yè)監(jiān)控軟件，所以成功和失敗的的登錄嘗試都不會被記錄下來。這是黑客們所夢寐以求的，因為利用密碼管理不善的漏洞是入侵任何組織的最簡單方法之一。

黑客如何利用云IAM弱點

大多數企業(yè)都采用了過期密碼的策略——例如，八個具有一定復雜性的字符，這個策略無助于抵御黑客用來獲得訪問密碼的方法。防范密碼猜測攻擊的正確方法是使用密碼短語。但是，即便是那些正確實施密碼短語的企業(yè)也可能會發(fā)現中云中使用這個策略，因為很多云應用都限制了密碼的最大長度。

密碼猜測并不是黑客用于獲取帳戶訪問權限的唯一方法;通過電子郵件釣魚方式盜竊訪問憑證通常更為簡單，這是民族主義黑客和有組織犯罪攻擊者最喜歡使用的一種方式。云IAM策略需要反映這一風險，而企業(yè)應當竭盡所能降低這一風險的發(fā)生概率，例如在所有面向互聯(lián)網的服務中使用多重身份驗證。

加強企業(yè)的IAM策略

確保正確管理云IAM的第一步就是驗證正確的IAM策略，以便防范現代黑客用于獲取用戶帳戶的實際方法?，F有的IAM策略在推出應用于云服務之前，應確保IAM策略的現代化和強大。一旦策略實施到位并經過測試，那么下一步就是將這個策略擴展覆蓋云應用。但是，該策略不應只是應用于企業(yè)本身，它還應覆蓋外包IT、供應商以及第三方。然后應集中控制策略，這是關鍵的挑戰(zhàn)之一。

云IAM并不完全就是關于密碼的配置;它還涉及確保在雇員變更崗位或離職時的應對措施，如改變訪問權限或刪除訪問帳戶。這就要求一個涵蓋所有云服務的強大參與者、變崗者和離職者策略，要求企業(yè)能夠了解和理解影子云服務。不理解誰有訪問云應用的權限，以及為什么外部黑客和內部用戶有可能顯著增加風險。

云IAM是安全擴展企業(yè)網絡邊界并囊括云的一個主要挑戰(zhàn)。其中關鍵的一點就是理解誰有訪問權限以及訪問了哪些應用。企業(yè)IAM策略需要擴展涵蓋用戶已經確定的云應用，然后整合能夠報告云服務中異常登錄活動的報警機制。通過實施這一過程，它能減少在企業(yè)沒有意識到的情況下訪問憑證被盜和誤用的可能性。