11个主要的云安全威胁

内部人士造成的损害并不一定怀有恶意，他们可能会无意间使数据和系统面临风险。云安全联盟(CSA)引用了波洛蒙研究所的2018年内部威胁成本研究报告，该报告指出，报告的所有内部事件中有64%是由于员工或承包商的疏忽所致。这种疏忽可能包括配置错误的云计算服务器，在个人设备上存储敏感数据，或成为网络钓鱼电子邮件的受害者。

云安全联盟(CSA)关于内部威胁的关键要点包括：

• 对员工进行有关正确做法的培训和教育，以保护数据和系统。使教育成为一个持续的过程。
• 定期审核和修复配置错误的云计算服务器。
• 限制对关键系统的访问。

7.不安全的接口和API

不安全的接口和API从去年的第三名跌至第七名。2018年发生了众所周知的Facebook数据泄露事件，影响了全秋5000多万个帐户，这是其查看方式功能中引入的漏洞的结果。尤其是当与用户界面相关联时，API漏洞可以为攻击者提供窃取用户或员工凭据的清晰途径。

云安全联盟(CSA)报告指出，企业需要了解API和用户界面是系统中最容易暴露的部分，并且鼓励通过设计方法来构建它们来保证安全性。

云安全联盟(CSA)关于不安全的接口和API的关键要点包括：

• 采取良好的API做法，例如监督库存、测试、审计和异常活动保护等项目。
• 保护API密钥并避免重用。
• 考虑开放的API框架，例如开放云计算接口(OCCI)或云基础设施管理接口(CIMI)。

8.控制平台薄弱

控制平台涵盖了数据复制、迁移和存储的过程。根据云安全联盟(CSA)的说法，如果负责这些过程的人员无法完全控制数据基础设施的逻辑、安全性和验证，则控制平台将很薄弱。管理人员需要了解安全配置、数据流向以及架构盲点或弱点。否则可能会导致数据泄漏、数据不可用或数据损坏。

云安全联盟(CSA)关于控制平台薄弱的关键要点括：

• 确保云计算服务提供商提供了履行法律和法定义务所需的安全控制。
• 进行尽职调查，以确保云计算服务提供商拥有足够的控制平台。

9.元结构和应用程序结构故障

云计算服务提供商的元结构保存有关如何保护其系统的安全信息，并通过API调用公开该信息。云安全联盟(CSA)将元结构称为云服务提供商/客户的“分界线”。API帮助客户检测未经授权的访问，但还包含高度敏感的信息，例如日志或审核系统数据。

这条“分界线”也是潜在的故障点，可能使攻击者能够访问数据或破坏云客户。API实施不佳通常是导致漏洞的原因。云安全联盟(CSA)指出，例如，不成熟的云计算服务提供商可能不知道如何正确地向其客户提供API。

另一方面，客户可能不了解如何正确实施云计算应用程序。当他们连接非为云环境设计的应用程序时，尤其如此。

云安全联盟(CSA)关于元结构和应用程序结构失败的关键要点包括：

• 确保云计算服务提供商提供可见性，并公开缓解措施。
• 在云原生设计中实施适当的功能和控件。
• 确保云计算服务提供商进行渗透测试并向客户提供发现结果。

10.云计算使用情况有限的可见性

安全专业人员普遍抱怨云计算环境使他们对检测和防止恶意活动所需的许多数据视而不见。云安全联盟(CSA)将这种有限的使用可见性挑战分为两类：未经批准的应用程序使用和未经批准的应用程序滥用。

许可的应用程序滥用可能是使用许可的应用程序的授权人员或使用被盗凭据的外部威胁参与者。云安全联盟(CSA)报告称，安全团队需要能够通过检测异常行为来区分有效用户和无效用户。

云安全联盟(CSA)关于有限的云使用可见性的关键要点包括：

• 从上到下开发与人员、流程和技术相关的云计算可见性工作。
• 在组织范围内进行强制性培训，了解可接受的云使用政策和执行情况。
• 让云安全架构师或第三方风险管理人员查看所有未经批准的云服务。
• 投资云访问安全代理(CASB)或软件定义的网关(SDG)，以分析出站活动。
• 投资Web应用程序防火墙以分析入站连接。
• 在整个组织中实施零信任模型。

11.滥用和恶意使用云计算服务

攻击者越来越多地使用合法的云计算服务来支持其活动。例如，他们可能使用云计算服务在GitHub等站点上托管伪装的恶意软件，发起DDoS攻击，分发网络钓鱼电子邮件，挖掘数字货币，执行自动点击欺诈或进行暴力攻击以窃取凭据。

云安全联盟(CSA)表示，云计算服务提供商应有适当的缓解措施，以防止和发现滥用行为，例如付款工具欺诈或滥用云计算服务。对于云计算提供商来说，建立事件响应框架以应对滥用并允许客户报告滥用也很重要。

云安全联盟(CSA)关于滥用和滥用云服务的关键要点包括：

• 监控员工的云计算使用情况是否受到滥用。
• 使用云计算数据丢失防护(DLP)解决方案来监视和阻止数据泄露。

【编辑推荐】

1. 常见的云安全错误认知以及应对方法！
2. 避免云计算提供商锁定的6种策略
3. 开源云操作系统OpenStack频被放弃 或再掀云计算自主可控VS开源之争
4. 中国智能化转型与技术创新高层研讨会在京举行 《中国云计算产业发展白皮书》正式发布
5. 杀死密码可提高云计算安全性的三个原因

（编辑：核心网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!