無(wú)論如何，云基礎(chǔ)設(shè)施已經(jīng)牢固地確立了自己作為幾乎所有組織的關(guān)鍵組成部分的地位，預(yù)計(jì)公共云支出將在未來(lái)五年內(nèi)繼續(xù)飆升。與任何組織范圍內(nèi)的采用計(jì)劃一樣，云基礎(chǔ)架構(gòu)計(jì)劃需要廣泛的計(jì)劃才能成功且安全地采用和擴(kuò)展范圍。缺乏對(duì)云基礎(chǔ)設(shè)施計(jì)劃的規(guī)劃可能會(huì)造成復(fù)雜性和風(fēng)險(xiǎn)，最終為攻擊者滲透到組織的攻擊面打開(kāi)了大門(mén)。

編輯搜圖

這個(gè)領(lǐng)域最常見(jiàn)的復(fù)雜性是配置錯(cuò)誤和誤解默認(rèn)設(shè)置和安全最佳實(shí)踐之間的差異的問(wèn)題。錯(cuò)誤配置一直是業(yè)內(nèi)一些最大違規(guī)行為的根源，包括萬(wàn)豪在2020年的第二次違規(guī)行為。從共同責(zé)任到管理不善的默認(rèn)設(shè)置，云配置錯(cuò)誤的根本原因增加了巨大的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。好消息是，有幾個(gè)關(guān)鍵的重點(diǎn)領(lǐng)域可以幫助組織取得成功。

識(shí)別并驗(yàn)證所有用戶

在云中，人員、設(shè)備和應(yīng)用程序的安全和驗(yàn)證通常很困難。安全專業(yè)人員必須強(qiáng)制識(shí)別和驗(yàn)證訪問(wèn)組織云網(wǎng)絡(luò)的任何實(shí)體，即使“身份”似乎來(lái)自可信來(lái)源。如果攻擊者無(wú)需進(jìn)一步檢查就可以訪問(wèn)經(jīng)過(guò)驗(yàn)證的數(shù)字身份或隱含信任的基礎(chǔ)設(shè)施區(qū)域，他們可以在很長(zhǎng)一段時(shí)間內(nèi)提取公司數(shù)據(jù)而未被注意到和未被檢測(cè)到。

這就是為什么身份和訪問(wèn)管理(IAM)是三大云服務(wù)提供商(CSP)中最關(guān)鍵和最復(fù)雜的架構(gòu)之一。IAM控制有權(quán)訪問(wèn)特定資源的人員，根據(jù)需要了解的情況將權(quán)限隔離給那些人，并包括按角色授予訪問(wèn)權(quán)限和技術(shù)的組織策略。

在IAM實(shí)施的同時(shí)采用適當(dāng)?shù)恼咧陵P(guān)重要;如果IAM處理不當(dāng)，組織可能會(huì)遭受憑證不安全和跨角色無(wú)處不在的訪問(wèn)的后果。

注意安全組默認(rèn)值

云安全組充當(dāng)傳統(tǒng)IT環(huán)境的控制和執(zhí)行點(diǎn)。他們根據(jù)規(guī)則控制入口(入站)和出口(出站)流量并做出相應(yīng)響應(yīng)，通知安全和IT團(tuán)隊(duì)可疑活動(dòng)、惡意活動(dòng)或其他活動(dòng)。不幸的是，安全和IT專業(yè)人員可能會(huì)被警報(bào)、通知和請(qǐng)求所淹沒(méi)，這促進(jìn)了速度與質(zhì)量的文化。團(tuán)隊(duì)可以創(chuàng)建兩個(gè)或三個(gè)安全組，并在整個(gè)基礎(chǔ)架構(gòu)中將它們重復(fù)用于不同目的。

雖然這聽(tīng)起來(lái)很有效，但這類似于為您的用戶帳戶提供域管理員權(quán)限，并且是一種經(jīng)常被利用的錯(cuò)誤配置。它可以為攻擊者留下機(jī)會(huì)并增加您的攻擊面，因?yàn)槟J(rèn)情況下，所有主要CSP都會(huì)阻止所有入站流量并允許所有出站流量。跨多個(gè)CSP的組織面臨的風(fēng)險(xiǎn)最大，因?yàn)榭鏑SP的通用配置很少，因此組織需要相應(yīng)地自定義每個(gè)平臺(tái)，以確?？缢性苹A(chǔ)架構(gòu)的應(yīng)用程序安全。

定義“經(jīng)過(guò)身份驗(yàn)證的”用戶并相應(yīng)記錄

在討論云時(shí)，“經(jīng)過(guò)身份驗(yàn)證的用戶”一詞可能會(huì)產(chǎn)生誤導(dǎo)。認(rèn)為該術(shù)語(yǔ)嚴(yán)格適用于組織內(nèi)已通過(guò)身份驗(yàn)證的人員是一個(gè)有效的假設(shè)。不幸的是，這在管理主流CSP時(shí)并不準(zhǔn)確。

任何擁有“經(jīng)過(guò)身份驗(yàn)證的用戶”權(quán)限的人都可以訪問(wèn)您的云，無(wú)論他們是在您的組織內(nèi)部還是外部。通過(guò)加深對(duì)用戶可訪問(wèn)性的理解和相應(yīng)的規(guī)劃來(lái)防止未經(jīng)授權(quán)的訪問(wèn)至關(guān)重要。

盡管看起來(lái)很乏味，但管理和跟蹤對(duì)云基礎(chǔ)架構(gòu)進(jìn)行更改的眾多用戶變得越來(lái)越重要。日志可以成為識(shí)別可疑活動(dòng)和快速修復(fù)安全狀況的關(guān)鍵。

在充滿外部威脅的環(huán)境中，基本的云衛(wèi)生沒(méi)有妥協(xié)的余地。最初可能是默認(rèn)設(shè)置的錯(cuò)誤，最終可能會(huì)導(dǎo)致企業(yè)領(lǐng)導(dǎo)者、員工和客戶面臨非常昂貴的危機(jī)。通過(guò)將重點(diǎn)明確放在云衛(wèi)生和定期安全審查上，企業(yè)可以走上一條戰(zhàn)略性的云路徑，以支持結(jié)束網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的使命。