本文來自微信公眾號“GoUpSec”。
云計算已成為企業(yè)數(shù)字化轉型的主流工具，但企業(yè)的云安全能力卻往往并不入流。調查顯示，98%的企業(yè)將財務、業(yè)務、客戶、員工信息存儲在云端，但同時，95%的云安全專業(yè)人士對檢測和響應云安全事件的能力缺乏信心。
八種常見的云安全錯誤
以下是企業(yè)云環(huán)境中最常見的八種云安全錯誤：
●云配置錯誤。可能會導致攻擊者獲得對系統(tǒng)功能和敏感數(shù)據(jù)進行未授權訪問的權限，并有可能損害企業(yè)云的完整性和安全性。
●可公開訪問的密鑰、憑證等。最常見的云安全錯誤之一是以純文本存儲或在代碼中包含可公開訪問的密鑰、憑證和其他敏感信息。此類信息能讓未經授權的攻擊者訪問云資源。
●不使用多因素身份驗證(MFA)。這是一個糟糕的習慣，攻擊者可以輕松竊取用戶密碼（通過網絡釣魚、惡意軟件、暴力破解等）并訪問存儲在云中的數(shù)據(jù)。
●未定義訪問控制策略。云資源的有效管理需要清晰且定義良好的訪問控制策略。如果企業(yè)未定義此類策略，云資源可能容易受到未經授權的訪問，從而可能導致數(shù)據(jù)泄露、未經授權的訪問可用于進一步破壞帳戶以及網絡和系統(tǒng)破壞。
沒有完善的數(shù)據(jù)備份策略，這會導致企業(yè)在網絡攻擊事件中面臨數(shù)據(jù)丟失和業(yè)務中斷的重大風險。
●忽視修補和更新系統(tǒng)。網絡犯罪分子總是在積極尋找弱點（漏洞）并利用它們訪問系統(tǒng)、投放惡意軟件和竊取數(shù)據(jù)。企業(yè)補丁管理流程的最佳實踐包括：采用基于風險的方法進行補丁管理、建立基線清單以及按優(yōu)先級和風險對資產進行分類。
●缺乏持續(xù)監(jiān)控。會讓企業(yè)面臨重大云安全風險，因為這意味著攻擊者利用漏洞后可在系統(tǒng)中長期駐留不被發(fā)現(xiàn)。常見的監(jiān)控措施包括：實施XDR、監(jiān)控日志和事件、設置警報、利用AI和機器學習分析數(shù)據(jù)、建立成熟的威脅檢測計劃等。
●未加密數(shù)據(jù)。這可能對企業(yè)造成嚴重后果：如果攻擊者獲得了未加密數(shù)據(jù)的訪問權限，他們就可以輕松讀取、復制或修改數(shù)據(jù)，而不會留下任何痕跡。這可能會導致數(shù)據(jù)泄露，暴露敏感信息，例如客戶數(shù)據(jù)、財務記錄、知識產權或商業(yè)秘密。
ESET研究人員補充了另一個常見的云安全錯誤：過分信任云服務商。
研究人員指出：“許多IT領導者認為，投資云意味著將一切都外包給值得信賴的第三方。這并不完全正確。云計算的安全的責任是由云服務提供商(CSP)和客戶共同承擔的。”
云安全需要整體策略和方案
數(shù)據(jù)、用戶、應用程序和基礎設施在云中需要不同的保護措施。用戶需要謹慎分配并經常審查數(shù)據(jù)訪問權限，此外，創(chuàng)建企業(yè)內部數(shù)據(jù)資產的全面清單和分類也至關重要。
企業(yè)應實施數(shù)據(jù)泄露防護(DLP)、數(shù)據(jù)加密和通過MFA和單點登錄進行授權的零信任模型。此外，企業(yè)還應密切監(jiān)控用戶活動并使用云訪問安全代理(CASB)加強威脅檢測并在云應用程序中執(zhí)行安全策略。
為了更好地保護云端應用，建議企業(yè)部署和使用：
●具有主動修復策略的漏洞掃描
●用于問題分析的靜態(tài)應用程序安全測試(SAST)
●用于識別配置錯誤的滲透測試
●用于開源代碼安全分析的軟件成分分析(SCA)
●監(jiān)控應用程序訪問和權限更改的變更和配置審計
此外，完善的云基礎設施安全措施還包括定期的配置審計以確保遵守組織政策，對網絡組件和權限中的配置錯誤進行自動監(jiān)控，以及實施事件預防、檢測和響應措施，例如高級惡意軟件防護、入侵檢測系統(tǒng)和流量監(jiān)控等。
