云配置錯誤的四大原因
由于云配置錯誤導致的數(shù)據(jù)泄露越來越多地成為新聞頭條。隨著云創(chuàng)新步伐的加快，開發(fā)安全事件反復上演。根據(jù)云基礎(chǔ)架構(gòu)廠商VMware和云安全聯(lián)盟的聯(lián)合調(diào)查發(fā)現(xiàn)，2020年17% 的企業(yè)組織報告了配置錯誤導致的云安全漏洞。該研究強調(diào)，缺乏云安全知識、團隊協(xié)調(diào)、風險可見性和速度是阻礙企業(yè)安全團隊實施云安全配置的四個主要挑戰(zhàn)。
1. 云安全知識欠缺
當被問及為什么無法解決導致漏洞出現(xiàn)的云配置錯誤時，59%的受訪者表示，云知識欠缺是云安全面臨的挑戰(zhàn)。目前，在大多數(shù)企業(yè)組織中，對整個組織進行安全培訓的重擔落在了IT團隊身上，有時還會看到一個安全架構(gòu)師為企業(yè)組織中數(shù)百名開發(fā)人員和其他IT人員提供支持。云安全專家的稀缺可能會在整個企業(yè)組織內(nèi)導致一連串的安全問題，但是，要找到熟悉云安全、經(jīng)驗豐富的員工也并不容易。
2. 團隊各自為戰(zhàn)
近一半(49%)的受訪者表示，他們的信息安全、IT 運營和DevOps團隊在云安全策略上不一致。企業(yè)組織的云安全治理需要不同團隊的參與，但每個團隊的安全或合規(guī)目標略有不同，未能保持治理策略的一致是一種安全或合規(guī)風險，對于試圖平衡開發(fā)速度與安全治理的開發(fā)人員來說是一個棘手的問題。在此背景下，企業(yè)組織應考慮建立一個集中的云卓越中心或跨職能團隊，以支持和管理企業(yè)組織內(nèi)云戰(zhàn)略的執(zhí)行。
3. 風險可見性差
63%的受訪者表示，其所在企業(yè)組織無法防止云安全漏洞的主要原因是缺乏對錯誤配置的可見性，91%的受訪者表示，其所在企業(yè)組織目前正在使用解決方案來檢測和修復錯誤配置。企業(yè)組織之所以無法有效識別錯誤配置，是因為一般云提供商提供了部分云安全服務(wù)，在這種情況下，企業(yè)安全團隊經(jīng)常對需要擔負的云安全責任感到困惑。
就自負責任而言，企業(yè)安全團隊需要對云服務(wù)有更廣泛和深度的風險可見性。這意味著企業(yè)安全團隊需要使用適當?shù)牟呗员O(jiān)控云提供商、帳戶和服務(wù)，需要深入了解各種云資源、配置依賴關(guān)系以及黑客訪問數(shù)據(jù)或控制云環(huán)境的眾多路徑。目前，行業(yè)內(nèi)缺乏有效的解決方案來進行全面的安全支持，即使企業(yè)安全團隊有監(jiān)控云的解決方案，也未必具有良好的風險可見性。
4. 應對遲緩
眾所周知，網(wǎng)絡(luò)犯罪分子可以在幾分鐘內(nèi)快速識別并探查在互聯(lián)網(wǎng)上暴露的云資產(chǎn)。因此，企業(yè)安全團隊識別和修復錯誤配置的速度對于能否避免云安全漏洞被利用至關(guān)重要。不幸的是，在調(diào)查中發(fā)現(xiàn)大多數(shù)企業(yè)組織的云安全流程應對滯后。接近一半(44%)的受訪者表示需要一天多的時間來檢測配置錯誤，63%的人表示修復該風險需要一天以上的時間。
在此背景下，安全左移——倡導在軟件開發(fā)早期階段引入安全，使開發(fā)人員能夠在代碼生產(chǎn)之前修復錯誤配置就顯得尤為重要，也應該成為企業(yè)安全團隊的關(guān)鍵優(yōu)先事項。但是，沒有哪種實現(xiàn)方法是萬無一失的，開發(fā)人員也不可能捕獲所有錯誤，因此，企業(yè)組織使用實時安全監(jiān)控解決方案來補充DevSecOps方法，對于有效管理云風險至關(guān)重要。
由于人為因素導致的錯誤配置是云安全漏洞的主要原因。當然，讓開發(fā)人員能夠安全地使用云并降低錯誤配置風險仍然具有挑戰(zhàn)性。企業(yè)安全團隊提高云安全性的最快方法之一是從其他人所犯的錯誤中學習經(jīng)驗教訓。
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
