云環(huán)境下的安全問題值得仔細(xì)梳理，供大家參考參考CSA在RSA發(fā)布的云安全面臨的十二大威脅。

企業(yè)對于云計算并未袖手旁觀，他們考慮是否冒著風(fēng)險將應(yīng)用和數(shù)據(jù)進(jìn)行上云遷移。在這個過程中，安全問題依然是一個重要的考量。首先要做的是評估云環(huán)境面臨的風(fēng)險，評估面臨的風(fēng)險優(yōu)先級。

CSA(云安全聯(lián)盟)警告道：“云服務(wù)的共享、按需所取的特性帶來了新的安全問題，足以抵消云計算帶來的任何紅利”。如CSA之前的幾項報告所示，云服務(wù)的的特質(zhì)容許用戶繞過組織已有安全策略去通過影子IT服務(wù)建立自己的賬戶，必須采取妥當(dāng)?shù)目刂拼胧?。CSA的執(zhí)行副總裁J.R. Santos談到：“云計算12大威脅的發(fā)布反映了此前在管理層面缺少相關(guān)考量”。

[[212209]]

一、數(shù)據(jù)泄露

云環(huán)境同傳統(tǒng)企業(yè)網(wǎng)絡(luò)一樣面臨著同樣的眾多安全威脅，但由于云服務(wù)存儲著更大量的數(shù)據(jù)，云服務(wù)提供商越來成為了更重要目標(biāo)。所面臨威脅的嚴(yán)重性來源于所保護(hù)的數(shù)據(jù)資產(chǎn)如果發(fā)生泄露產(chǎn)生的危害性，雖然對于涉及泄露個人財務(wù)信息的事件更吸引世人眼球，但是發(fā)生在健康信息、商業(yè)機(jī)密和知識產(chǎn)權(quán)領(lǐng)域的安全事件后果更嚴(yán)重。

當(dāng)發(fā)生數(shù)據(jù)泄露事件后，公司可能面臨罰款、法律訴訟或者背后衍生的黑產(chǎn)交易，商業(yè)違約調(diào)查和對客戶的通知要花費巨大的成本。另外代理的間接影響包括未來數(shù)年內(nèi)的品牌信譽損失和丟失商業(yè)機(jī)會。

不同的云服務(wù)環(huán)境均采用部署不同的安全控制策略來保護(hù)，但是最終客戶有責(zé)任保護(hù)自己的云上數(shù)據(jù)。CSA建議客戶使用多種認(rèn)證手段和加密措施以防止數(shù)據(jù)泄露事件的發(fā)生。

二、使用證書和認(rèn)證體系

數(shù)據(jù)泄露等安全事件的攻擊的源頭經(jīng)常是簡單身份認(rèn)證體系、弱口令和簡單的密鑰或證書系統(tǒng)。云上客戶經(jīng)常根據(jù)內(nèi)部人員的角色身份認(rèn)證系統(tǒng)應(yīng)用不同的權(quán)限，但是需要關(guān)注的是：人員工作內(nèi)容變更或者離開部門時經(jīng)常忘記移除相應(yīng)的用戶權(quán)限。

多因素認(rèn)證系統(tǒng)例如一次性密碼、手機(jī)短信驗證碼、智能卡可以使攻擊者更難以通過所竊取的口令登錄系統(tǒng)達(dá)到保護(hù)云服務(wù)的效果。開發(fā)人員經(jīng)常會犯在源代碼中嵌入口令認(rèn)證信息或者密鑰，然后在無意間發(fā)布在類似于GitHub這樣的公開源代碼平臺發(fā)布。認(rèn)證口令需要被妥善保管且需采用具備符合安全性的公鑰基礎(chǔ)設(shè)施。定期更改口令策略以讓攻擊者難以有效利用從公開渠道獲取的口令。

對于規(guī)劃使用云服務(wù)商提供認(rèn)證平臺的客戶，需要了解服務(wù)商采用何種措施來保護(hù)認(rèn)證平臺。統(tǒng)一集成認(rèn)證方式其存在一定風(fēng)險?？蛻粜枰獧?quán)衡采用此種方式的便利性和這將使得資產(chǎn)成為攻擊者的高價值目標(biāo)之間的關(guān)系。

三、外部接口和API攻擊

幾乎每個云服務(wù)及應(yīng)用均提供API服務(wù)。IT團(tuán)隊使用接口和API去管理和調(diào)用包括云資源、管理、服務(wù)編排和鏡像等云服務(wù)。這些云服務(wù)的安全和可用性依賴于API的安全性。CSA警告第三方服務(wù)依賴于或者調(diào)用這些接口服務(wù)時，客戶一旦引入更多的服務(wù)或者認(rèn)證時，面向的風(fēng)險也隨之增加。 由于API和接口大都對外部互聯(lián)網(wǎng)開放，幾乎是暴露是系統(tǒng)暴露在最外圍的部分。CSA建議視此視為“防御和監(jiān)測的第一道前線”進(jìn)行充足的安全控制和防范。此外對應(yīng)用程序和系統(tǒng)進(jìn)行威脅建模、數(shù)據(jù)流分析和架構(gòu)設(shè)計也應(yīng)成為應(yīng)用開發(fā)生命周期的重要一環(huán)。同時CSA也建議展開代碼review和嚴(yán)格的安全滲透測試。

四、存在弱點的系統(tǒng)漏洞

系統(tǒng)漏洞或程序中的安全缺陷問題由來已久，但是隨著云計算引入的多租戶模式后果越來越嚴(yán)重。不同租戶間的內(nèi)存共享、數(shù)據(jù)庫以及其他的鄰近資源產(chǎn)生了新的攻擊面。CSA認(rèn)為值得慶幸的是系統(tǒng)漏洞層面的攻擊可以通過傳統(tǒng)的IT運維環(huán)節(jié)來緩解，目前的最佳實踐包括常規(guī)的漏洞掃描、盡快的漏洞修復(fù)和快速應(yīng)對所報告反饋的漏洞和威脅。

根據(jù)CSA報告，降低系統(tǒng)漏洞風(fēng)險的花費經(jīng)常“相比于傳統(tǒng)的IT成本少得多”。相比于所面臨的破壞后果，讓IT去處理風(fēng)險和修復(fù)漏洞所或者的支持援助還是過少。CSA建議傳統(tǒng)行業(yè)需要盡可能的將漏洞快速修復(fù)的工作通過固化至自動化工作流程或者通過持續(xù)閉環(huán)實現(xiàn)。技術(shù)團(tuán)隊?wèi)?yīng)記錄和回顧在應(yīng)急處理修復(fù)漏洞時的各項變更實施過程。

五、賬戶劫持

網(wǎng)絡(luò)釣魚、欺詐和軟件存在的漏洞在云環(huán)境仍然有效，使用云服務(wù)因攻擊者可以竊取活動、操作業(yè)務(wù)和修改數(shù)據(jù)從而增加攻擊面。攻擊者也可使用云服務(wù)發(fā)起其他對外的攻擊。

CAS認(rèn)為現(xiàn)有的深度防御保護(hù)策略存在被此種方式繞過的缺口。租戶應(yīng)當(dāng)阻止共用用戶和服務(wù)之間的賬戶信息并啟用多因素認(rèn)證模式。為實現(xiàn)業(yè)務(wù)可被監(jiān)測至個人用戶粒度。個人賬戶、服務(wù)賬戶均應(yīng)當(dāng)被監(jiān)測。當(dāng)然一切的關(guān)鍵在于保護(hù)賬戶認(rèn)證信息不被竊取。

六、內(nèi)部惡意行為

內(nèi)部威脅來源于存在多處：在職或者離職員工、系統(tǒng)管理員、外包人員、商業(yè)伙伴。惡意行為包括從數(shù)據(jù)竊取到報復(fù)行為。在云環(huán)境中，內(nèi)部人員可以摧毀整個IT基礎(chǔ)設(shè)施或進(jìn)行數(shù)據(jù)的操作。依賴于單獨的云服務(wù)提供的安全系統(tǒng)，例如加密服務(wù)仍然處在極大的風(fēng)險中。

CSA建議租戶合理控制加密程序和口令，區(qū)分使用者責(zé)任、利用最小權(quán)限原則。同時啟動日志記錄、監(jiān)測、審計管理員活動也很重要。

CSA進(jìn)一步解釋道，很容易將工作人員日常工作中的誤操作視為“惡意行為”，舉例來說有可能管理員有臨時拷貝包含敏感內(nèi)容的用戶數(shù)據(jù)庫至可公開訪問的服務(wù)器行為。此舉會泄露更大的攻擊面，需要通過適當(dāng)?shù)膬?nèi)部訓(xùn)練和管理制度來避免這樣的錯誤對云環(huán)境造成更嚴(yán)重的后果。

七、APT寄生蟲

CSA形象的比喻高級可持續(xù)攻擊(APT)為“寄生”形式的攻擊，攻擊行為潛藏入系統(tǒng)占領(lǐng)一處“據(jù)點”，緩慢地、長時間小批量竊取數(shù)據(jù)和其他知識產(chǎn)權(quán)的內(nèi)容。

由于APT攻擊通常在網(wǎng)絡(luò)邊界發(fā)生，且夾雜在正常的流量中難以識別。主流云服務(wù)商雖提供先進(jìn)技術(shù)來防止APT攻擊滲透其基礎(chǔ)設(shè)施，但是顧客也需在其自己的內(nèi)網(wǎng)系統(tǒng)中一樣，盡力檢測云環(huán)境存在的APT攻擊。

常見的突破點包括魚叉式攻擊、直接漏洞攻擊、USB驅(qū)動預(yù)裝病毒以及通過第三方網(wǎng)絡(luò)的跳板。CSA建議訓(xùn)練雇員識別釣魚攻擊。

常見的IT安全意識培訓(xùn)讓員工保持警惕以減少將APT攻擊帶人內(nèi)部網(wǎng)絡(luò)之中，同時IT部門需要持續(xù)關(guān)注最新的先進(jìn)攻擊手段。

八、數(shù)據(jù)永久丟失

隨著云計算的逐步成熟，因供應(yīng)商失誤導(dǎo)致的數(shù)據(jù)丟失的事件報告逐步變得稀少，但是惡意攻擊者已經(jīng)知道永久刪除云上數(shù)據(jù)來損害公司利益，同時云數(shù)據(jù)中心同任何設(shè)施一樣，同樣面臨著自然災(zāi)害的隱患。云服務(wù)商建議通過異地容災(zāi)備份機(jī)制來維護(hù)應(yīng)用和數(shù)據(jù)作為加強(qiáng)保護(hù)措施。秉承業(yè)務(wù)連續(xù)性和災(zāi)難恢復(fù)演練的最佳實踐，很有必要采用合理的備份機(jī)制。在云環(huán)境中日常數(shù)據(jù)備份和離線存儲的仍然至關(guān)重要。

防止數(shù)據(jù)永久丟失的責(zé)任并只由云服務(wù)商承擔(dān)，一旦客戶在數(shù)據(jù)上云之前對此進(jìn)行加密操作，客戶必須妥善保管密鑰，否則一旦密鑰丟失，這些數(shù)據(jù)也將完全丟失。

審計策略經(jīng)常規(guī)定組織應(yīng)當(dāng)保留一段時間的審查記錄和材料。丟失這些數(shù)據(jù)可能在監(jiān)管方面產(chǎn)生嚴(yán)重的后果，最近頒布的歐盟數(shù)據(jù)保護(hù)法規(guī)也對數(shù)據(jù)破壞和個人數(shù)據(jù)泄露有適當(dāng)?shù)囊?，需了解這些法規(guī)以避免犯錯。

九、積極性不足

CAS警告道：用戶機(jī)構(gòu)組織在上云時并非完全了解云環(huán)境及其相關(guān)風(fēng)險可能導(dǎo)致“大量的商業(yè)、金融、技術(shù)、法律和合規(guī)性風(fēng)險”。當(dāng)組織機(jī)構(gòu)嘗試云遷移或者同其他公司在云上的一些合并動作時應(yīng)當(dāng)多加留意。例如：用戶如果沒有詳細(xì)檢查相關(guān)云業(yè)務(wù)合同將導(dǎo)致在數(shù)據(jù)丟失或者泄露時，不能及時清晰明確供應(yīng)商應(yīng)該承擔(dān)的責(zé)任。

如果公司開發(fā)團(tuán)隊缺乏云相關(guān)的技能時就將應(yīng)用部署在云上將導(dǎo)致未知運維和架構(gòu)問題。CSA提醒上云客戶必須盡職盡責(zé)地去理解他們使用的云服務(wù)面臨的風(fēng)險。

十、濫用云服務(wù)

云計算資源可以被黑色產(chǎn)業(yè)鏈利用進(jìn)行譬如在攻擊時使用計算資源進(jìn)行破解、運行ddos攻擊，發(fā)用垃圾郵件、發(fā)送釣魚郵件、發(fā)布惡意內(nèi)容等。

云服務(wù)提供商需要識別這些濫用資源的行為，例如識別網(wǎng)絡(luò)流量中是否存在ddos攻擊，為客戶提供安全檢查工具去評估客戶云環(huán)境的安全度?？蛻粢矐?yīng)確保服務(wù)商提供了相應(yīng)的檢查機(jī)制。雖然有時候客戶不會被這種類型的惡意軟件直接感染，但是濫用云服務(wù)的情況會對影響服務(wù)可用性和導(dǎo)致數(shù)據(jù)丟失。

十一、DDOS攻擊

Ddos攻擊數(shù)年來時有發(fā)生，但是近年來由于對云服務(wù)的可用性造成影響而飽受關(guān)注。系統(tǒng)會因DSOS而運行緩慢或者服務(wù)響應(yīng)超時。報告形容到：“遭受ddos攻擊時就像在高峰路段發(fā)生的堵車情況，你被卡在唯一的通道，但是你束手無策卻只能坐下耐心等待”。

Ddos攻擊在按需付費場景下會消耗處理大量的系統(tǒng)資源，客戶或許不得不對此支付高昂的費用。伴隨著常見的大流量式的ddos攻擊，客戶也需注意到另外一種攻擊面–在web和數(shù)據(jù)庫應(yīng)用層面的ddos攻擊。

云服務(wù)提供商在處理ddos事件比客戶大都得心應(yīng)手，關(guān)鍵在于提前演練計劃，在事件發(fā)生時降低事態(tài)，讓管理員處理這些事情也可以獲取到足夠的支持和資源。

十二、 共享技術(shù)帶來的威脅

共享技術(shù)中的漏洞給云計算構(gòu)成重大威脅，云服務(wù)提供商共享基礎(chǔ)設(shè)施、平臺、應(yīng)用等，如果漏洞在任何一個層面發(fā)生，均會波及每個客戶。報告顯示“一個漏洞或一次錯誤的配置將對整個云服務(wù)商層面造成危害”。

如果一個內(nèi)部組件發(fā)生損害，例如hypervisor層，共享平臺組件、應(yīng)用。將會導(dǎo)致整個云平臺發(fā)生危害。CSA建議對此使用深度防御體系，內(nèi)容包括對主機(jī)的多因素認(rèn)證、基于主機(jī)和網(wǎng)絡(luò)的入侵檢測系統(tǒng)、使用最小權(quán)限原則，合理的網(wǎng)絡(luò)劃分，及時更新補丁。