人們?cè)诂F(xiàn)實(shí)世界中看到了很多云計(jì)算配置錯(cuò)誤，這有些令人感到害怕。

云計(jì)算基礎(chǔ)設(shè)施安全提供商Fugue公司對(duì)300名IT專業(yè)人員進(jìn)行的調(diào)查表明，大多數(shù)企業(yè)都容易受到云計(jì)算配置錯(cuò)誤(包括數(shù)據(jù)泄露和系統(tǒng)停機(jī)事件)導(dǎo)致的安全事件的影響。

[[246539]]

報(bào)告中指出：

• 十分之九的人對(duì)由于配置錯(cuò)誤導(dǎo)致的安全風(fēng)險(xiǎn)存在真正的擔(dān)憂，并且不到三分之一的人持續(xù)關(guān)注這些風(fēng)險(xiǎn)。
• 企業(yè)團(tuán)隊(duì)每天報(bào)告50個(gè)或更多錯(cuò)誤配置，但只有一半團(tuán)隊(duì)在每日或更長(zhǎng)時(shí)間內(nèi)審查警報(bào)和修復(fù)問題，從而導(dǎo)致危險(xiǎn)的基礎(chǔ)設(shè)施脆弱性時(shí)間段過長(zhǎng)。

當(dāng)然，這份報(bào)告(與任何供應(yīng)商贊助的報(bào)告一樣)都是自助式的。但是這個(gè)信息反映了人們?nèi)缃裨诂F(xiàn)實(shí)世界中看到的很多東西，這令人感到害怕。

配置錯(cuò)誤意味著公共云服務(wù)器實(shí)例(例如存儲(chǔ)和計(jì)算)的配置方式使其容易受到攻擊。例如，當(dāng)有人能夠通過瀏覽器從其AmazonS3實(shí)例訪問安全文檔時(shí)，美國(guó)國(guó)家安全局最近遇到了一個(gè)令人尷尬的時(shí)刻。這是一個(gè)錯(cuò)誤配置的典型示例，破壞了安全的默認(rèn)配置。

雖然這似乎是一個(gè)“虛假和虛擬”的時(shí)刻，但事實(shí)是公共云配置很復(fù)雜，需要專門的培訓(xùn)，如果做得不對(duì)，那么企業(yè)在云端運(yùn)行的任何安全系統(tǒng)都無法阻止黑客竊取其數(shù)據(jù)。

那么，企業(yè)需要做什么?按以下順序執(zhí)行以下三項(xiàng)操作：

(1)了解配置是安全性的一部分。它通常不被考慮。實(shí)際上，企業(yè)必須向客戶多次解釋其重要性，這意味著他們沒有實(shí)踐整體安全。

(2)使用可以不斷查看配置的第三方安全工具。這樣，企業(yè)就不依賴于原生云所說的內(nèi)容。相反，它提供了一個(gè)持續(xù)的獨(dú)立檢查，并在配置錯(cuò)誤時(shí)發(fā)出警告。

(3)聘請(qǐng)外部安全測(cè)試人員以確保正確配置所有內(nèi)容。人們經(jīng)常發(fā)現(xiàn)這些審核確實(shí)找到了客戶遺漏的東西。

云計(jì)算的復(fù)雜性以及人為錯(cuò)誤的可能性會(huì)讓企業(yè)陷入困境。因此，在部署之前不要吝惜制定安全計(jì)劃，也不要在部署之后進(jìn)行安全驗(yàn)證。