云網(wǎng)絡(luò)始終開啟且始終可用。雖然方便，但這也意味著黑客可以隨時訪問它們。因此，這些網(wǎng)絡(luò)中的任何漏洞(例如云配置錯誤)都可能使企業(yè)面臨安全威脅。

在本文中，我們將研究不同類型的云配置錯誤以及它們發(fā)生的原因。然后，我們將探討企業(yè)團隊可以采取哪些措施來防止配置錯誤并確保企業(yè)的數(shù)據(jù)和商業(yè)利益的安全。

1、什么是云配置錯誤

根據(jù)美國國家安全局的說法，錯誤配置是最常見的云安全漏洞。云配置錯誤通常發(fā)生在未正確構(gòu)建云資源時，使企業(yè)的系統(tǒng)容易受到攻擊。

云環(huán)境配置錯誤可能導(dǎo)致系統(tǒng)中斷、意外停機或安全風(fēng)險。原因可能包括過于復(fù)雜的環(huán)境、安全實踐知識不足以及手動過程導(dǎo)致的人為錯誤。

2、云配置錯誤的類型

云環(huán)境和資源的錯誤配置可能包含廣泛的安全問題。

以下為兩種最常見的錯誤配置類型：訪問控制不足和網(wǎng)絡(luò)訪問許可。

1)資源訪問控制不足

云上的默認權(quán)限通常以最小的障礙開始。這意味著在開發(fā)人員或系統(tǒng)管理員實施訪問控制之前，每個人都可以訪問所有內(nèi)容。因此，務(wù)必記住立即設(shè)置這些控件。

另一種情況是當(dāng)開發(fā)人員決定在配置應(yīng)用程序時將所有內(nèi)容設(shè)置為開放訪問。雖然這讓他們在此過程中的工作更輕松，但如果他們不去重新實施訪問控制，企業(yè)的系統(tǒng)將面臨更高的數(shù)據(jù)泄露風(fēng)險。

2)許可網(wǎng)絡(luò)訪問

與訪問控制類似，當(dāng)團隊成員建立網(wǎng)絡(luò)或新服務(wù)器時，他們可能會在配置應(yīng)用程序時應(yīng)用相對寬松的端口訪問和路由。

關(guān)鍵是確保只公開預(yù)期的面向外部的端口，從而減少資源之間的通信選項。這消除了惡意方可以使用的許多攻擊載體。

3、與云配置錯誤相關(guān)的風(fēng)險

云配置錯誤可能會給企業(yè)的安全性和為客戶服務(wù)的能力帶來各種風(fēng)險。根據(jù)錯誤配置的類型，這種風(fēng)險可能從性能或可靠性問題到重大安全風(fēng)險。

兩個最常見的風(fēng)險是敏感數(shù)據(jù)泄露和服務(wù)中斷。

1)敏感數(shù)據(jù)泄露

許多訪問控制錯誤配置可能會暴露敏感數(shù)據(jù)或使有價值的文件面臨被盜的風(fēng)險。允許攻擊者從企業(yè)的數(shù)據(jù)庫中讀取數(shù)據(jù)或從云存儲中檢索文件會使企業(yè)面臨間諜活動的風(fēng)險，暴露用戶的個人信息并使惡意行為者能夠刪除關(guān)鍵數(shù)據(jù)。

2)服務(wù)中斷

如果攻擊者訪問企業(yè)的網(wǎng)絡(luò)或服務(wù)器，他們可能會破壞企業(yè)的服務(wù)。

這種中斷可能包括勒索軟件攻擊。黑客可以加密企業(yè)的文件或服務(wù)器，刪除資源，甚至使用企業(yè)的服務(wù)器發(fā)送垃圾郵件或非法挖掘比特幣。

此外，錯誤配置的服務(wù)器、網(wǎng)絡(luò)或容器可能會阻止在負載下正確擴展或阻礙站點災(zāi)難恢復(fù)。這可能會導(dǎo)致企業(yè)用戶中斷，并迫使企業(yè)為環(huán)境支付更多費用。

4、云配置錯誤是如何發(fā)生的

作為 IT 專業(yè)人員，我們不會故意錯誤地配置資源或設(shè)置環(huán)境，以免以后出現(xiàn)問題。大多數(shù)錯誤配置是由于人為錯誤造成的，主要是由于基礎(chǔ)設(shè)施過于復(fù)雜或?qū)Π踩珜嵺`了解不足等因素。

1)過于復(fù)雜的基礎(chǔ)設(shè)施

當(dāng)環(huán)境的復(fù)雜性超出我們的習(xí)慣時，通常會發(fā)生人為錯誤。在可擴展的架構(gòu)中快速創(chuàng)建資源、添加組件或新容器以及更改配置——這些都是常見的錯誤來源。

雖然企業(yè)需要采取這些措施來發(fā)展業(yè)務(wù)，但實施一套安全檢查表也很重要。因為在企業(yè)的環(huán)境中沒有某種形式的標(biāo)準化，企業(yè)可能很難確保所有組件都正確配置和保護。

2)對安全的理解不足

大多數(shù)開發(fā)人員和 DevOps 團隊在開發(fā)和使用應(yīng)用程序和基礎(chǔ)架構(gòu)時不會優(yōu)先考慮安全性。這些團隊主要專注于確保服務(wù)正常工作并提供功能。

因此，企業(yè)在開發(fā)團隊開始工作時，牢記安全性是關(guān)鍵。確保他們了解重要概念，例如靜態(tài)加密、最小特權(quán)原則和應(yīng)用程序強化。

開始密切關(guān)注云配置可能看起來很乏味，但從長遠來看是值得的。

5、減少錯誤配置的提示

我們可以實施許多解決方案和流程來降低配置錯誤的風(fēng)險并顯著降低它們發(fā)生的可能性。

以下是企業(yè)的 IT 團隊可以部署的一些工具和技術(shù)示例，具體取決于其環(huán)境和組織的性質(zhì)。

1)采用變更管理實踐

變更管理實踐，例如定期變更節(jié)奏和變更審查小組，可以顯著減少錯誤配置的機會。

在沒有額外工具的情況下，以標(biāo)準化方式調(diào)度、審查和實施變更可以顯著降低配置錯誤的風(fēng)險。

2)簡化自身環(huán)境

與其為環(huán)境中部署的每個組件都定制基礎(chǔ)架構(gòu)，不如標(biāo)準化一些組件并使用模板進行部署。

這種標(biāo)準化允許團隊成員快速發(fā)現(xiàn)不同的組件配置，并使整個環(huán)境的管理更加簡單。

3)進行記錄

企業(yè)應(yīng)確保團隊像任何其他關(guān)鍵數(shù)據(jù)集一樣維護和備份環(huán)境文檔和配置，以將當(dāng)前環(huán)境與預(yù)期環(huán)境進行比較。

記錄配置和環(huán)境一開始可能看起來很乏味，但從長遠來看，額外的工作將變得有益。這些文檔將幫助企業(yè)團隊跟蹤問題、排除故障并幫助管理者確定未來要做什么以發(fā)揮關(guān)鍵作用。

4)采用基礎(chǔ)設(shè)施即代碼實踐

基于變更管理實踐的理念，建議采用工具和流程來構(gòu)建基礎(chǔ)設(shè)施即代碼。當(dāng)企業(yè)將基礎(chǔ)架構(gòu)定義為代碼并定期查看時，會很難出現(xiàn)配置錯誤。

如果企業(yè)采用持續(xù)交付工具來保持配置常青，那么防止配置漂移和回滾意外更改也容易得多。

5)掃描漏洞

建議企業(yè)定期掃描自身環(huán)境以查找所有漏洞。這種掃描包括從靜態(tài)和動態(tài)應(yīng)用程序安全測試到掃描網(wǎng)絡(luò)和防火墻的所有內(nèi)容，以確保端口和路由保持鎖定狀態(tài)。

各種配置代碼掃描器，如 Bridgecrew 和 Snyk，使企業(yè)團隊能夠在基礎(chǔ)架構(gòu)即代碼框架中查找和修復(fù)常見配置錯誤。

6)執(zhí)行滲透測試

除了定期的漏洞掃描，對自身環(huán)境和應(yīng)用程序運行實際滲透測試可以幫助發(fā)現(xiàn)和修復(fù)架構(gòu)中的潛在弱點。

滲透測試作為一項專業(yè)服務(wù)可能非常昂貴，但是進行某種形式的定期滲透測試可確保企業(yè)應(yīng)用程序盡可能強大。

7)采用 DevSecOps 文化

長期以來，在開發(fā)和部署過程中，安全性都是事后才考慮的問題。開發(fā)、安全和運營 ( DevSecOps ) 文化通過將安全集成為應(yīng)用程序設(shè)計和開發(fā)的一個方面來解決這個問題。

在應(yīng)用程序設(shè)計和開發(fā)團隊中擁有豐富的安全資源有助于將安全性融入應(yīng)用程序的基礎(chǔ)。通過防止問題的出現(xiàn)，可以為企業(yè)避免之后解決問題的麻煩。

即使在現(xiàn)在的技術(shù)領(lǐng)域，配置錯誤仍然是云環(huán)境中的常見現(xiàn)象，導(dǎo)致各種規(guī)模的公司出現(xiàn)系統(tǒng)中斷和數(shù)據(jù)泄露。

企業(yè)可以使用更明確、更標(biāo)準化的安全方法來解決各種錯誤配置，并將這種方法融入開發(fā)流程和工具中。通過將開發(fā)實踐擴展到基礎(chǔ)架構(gòu)管理并添加安全重點，企業(yè)可以大大減少錯誤配置的影響和發(fā)生率。