企業(yè)組織在信息化辦公環(huán)境中，在網(wǎng)絡(luò)中進行辦公及數(shù)據(jù)傳輸?shù)臐撛谖ｋU正在加大，有必要對數(shù)據(jù)安全進行防范。在上周召開的RSA會議上，CSA(云安全聯(lián)盟)列出的“Treacherous 12”，即企業(yè)組織在2016年將面臨的12大頂級云計算安全威脅。CSA發(fā)布了相關(guān)的報告，來幫助云客戶和供應商加強他們的防御力度。

　　云計算的共享、按需的性質(zhì)，自然帶來了新的安全漏洞，從而可能抵消了企業(yè)用戶遷移到使用云技術(shù)所帶來的任何收益，CSA警告說。在CSA之前所發(fā)布的報告中指出，云服務(wù)天生的性質(zhì)決定了其能夠使得用戶繞過整個企業(yè)組織的安全政策，并在服務(wù)的影子IT項目中建立自己的賬戶。因此，必須采取新的管制措施，并將其落實到位了。

　　“這項2016年頂級云安全威脅名單的發(fā)布，反映了企業(yè)管理隊伍所做出的糟糕的云計算決策將產(chǎn)生可怕的后果。”CSA的研究執(zhí)行副總裁J.R. Santos表示說。

　　安全威脅1：數(shù)據(jù)泄露

　　在云環(huán)境中其實面臨著許多與傳統(tǒng)企業(yè)網(wǎng)絡(luò)相同的安全威脅，但由于大量的數(shù)據(jù)存儲在云服務(wù)器，使得云服務(wù)供應商成為了一個更具吸引力的攻擊目標。潛在損害的嚴重程度往往取決于數(shù)據(jù)的敏感性。暴露了個人財務(wù)信息往往會成為頭條新聞，但其實涉及到涉及健康信息、商業(yè)秘密和知識產(chǎn)權(quán)的數(shù)據(jù)泄漏往往是更具破壞性的。

　　當發(fā)生數(shù)據(jù)泄露事故時，企業(yè)組織可能會被罰款，他們甚至可能會面臨訴訟或刑事指控。而相應的違規(guī)調(diào)查活動和客戶通知會耗費大量的成本。而間接的惡性影響，還包括諸如企業(yè)品牌損失和業(yè)務(wù)損失，甚至可能會影響企業(yè)組織多年的時間而無法翻身。

　　云服務(wù)供應商通常都會部署安全控制來保護他們的環(huán)境。但最終，企業(yè)組織都需要負責保護他們存儲在云中的數(shù)據(jù)。CSA建議企業(yè)組織使用多因素身份驗證和加密的方式，來盡量防止數(shù)據(jù)泄露事故的發(fā)生。

　　安全威脅2：憑據(jù)或身份驗證遭到攻擊或破壞

　　數(shù)據(jù)泄露和其他攻擊經(jīng)常是由于企業(yè)組織內(nèi)部松散的身份驗證、弱密碼、和糟糕的密鑰或證書管理所造成的。由于企業(yè)組織試圖將權(quán)限分配給相應的工作職位上的員工用戶，故而經(jīng)常需要處理身份管理的問題。更重要的是，當某個工作職能發(fā)生改變或某位用戶離開該企業(yè)組織時，他們有時會忘記刪除該用戶的訪問權(quán)限

　　諸如一次性密碼、手機認證和智能卡認證這樣的多因素認證系統(tǒng)能夠保護云服務(wù)，因為這些手段可以讓攻擊者很難利用其盜取的密碼來登錄企業(yè)系統(tǒng)。例如，在美國第二大醫(yī)療保險服務(wù)商Anthem公司數(shù)據(jù)泄露事件中，導致有超過8000萬客戶的個人信息被暴露，就是因為用戶憑據(jù)被盜所導致的結(jié)果。Anthem公司沒有部署多因素認證，所以一旦攻擊者獲得憑證，就會導致大麻煩。

　　許多開發(fā)人員誤將憑證和密鑰嵌入到了源代碼中，并將其發(fā)布到了諸如GitHub等面向公眾的存儲庫。密鑰需要進行適當?shù)谋Ｗo，而安全的公共密鑰基礎(chǔ)設(shè)施是必要的，CSA表示說。他們還需要定期修改密鑰，從而使得攻擊者在沒有獲得授權(quán)的情況下更難利用他們所盜取的密鑰了。

　　那些計劃與云服務(wù)提供商聯(lián)合采取身份驗證措施的企業(yè)組織需要了解他們的云服務(wù)提供商所采用的安全措施，以便保護身份驗證平臺。將身份驗證集中到一個單一的存儲庫中有其風險。企業(yè)組織需要在集中方便的身份驗證與面臨成為攻擊者最高價值攻擊目標存儲庫的風險之間進行權(quán)衡取舍。

　　安全威脅3：接口和API被黑客攻擊

　　現(xiàn)如今，幾乎每一款云服務(wù)和應用程序均提供API。IT團隊使用接口和API來管理，并實現(xiàn)與云服務(wù)的交互，包括提供云服務(wù)的配置、管理、業(yè)務(wù)流程協(xié)調(diào)和監(jiān)控的服務(wù)。

　　云服務(wù)的安全性和可用性——從身份認證和訪問控制再到加密和活動監(jiān)測——均需要依賴于API的安全性。隨著依賴于這些API和建立在這些接口上的第三方服務(wù)的增加，相應的安全風險也在增加，企業(yè)組織可能需要提供更多的服務(wù)和憑據(jù)，CSA警告稱。糟糕的接口和API或?qū)⒈┞冻銎髽I(yè)組織在保密性、完整性、可用性和問責制方面的安全問題。

　　API和接口往往是企業(yè)系統(tǒng)中最容易被暴露的部分，因為它們通常是通過開放的互聯(lián)網(wǎng)訪問的。CSA建議，企業(yè)組織應當將適當控制作為“防御和檢測的第一線”，而安全威脅模型應用程序和系統(tǒng)建模，包括數(shù)據(jù)流和系統(tǒng)架構(gòu)設(shè)計，便成為了開發(fā)生命周期的重要組成部分。CSA還建議，安全工作應當重點關(guān)注在代碼審查和嚴格的滲透測試方面。

　　安全威脅4：利用系統(tǒng)漏洞

　　系統(tǒng)漏洞，或利用程序中的bug，并不是什么新聞了，但他們的確已經(jīng)成為多租戶云計算中所出現(xiàn)的大問題了。企業(yè)組織以一種接近彼此的方式共享內(nèi)存、數(shù)據(jù)庫和其他資源，創(chuàng)建了新的攻擊面。

　　慶幸的是，針對系統(tǒng)漏洞的攻擊可以通過“基本的IT流程”來減輕，CSA表示說。最佳實踐方案包括定期的漏洞掃描，及時的補丁管理，并迅速跟蹤報告系統(tǒng)的安全威脅。

　　根據(jù)CSA介紹，相對于其他IT支出，減輕系統(tǒng)漏洞的成本較小。通過IT流程來發(fā)現(xiàn)和修補漏洞的費用相對于潛在的損失要小很多。受到相應規(guī)范嚴格監(jiān)管的行業(yè)需要盡快打補丁，最好是將這一過程自動化，并經(jīng)?；?，CSA建議。變更控制流程能夠解決緊急修補問題，從而確保企業(yè)的技術(shù)團隊能夠正確記錄整治活動的和審查過程。

　　安全威脅5：賬戶被劫持

　　網(wǎng)絡(luò)釣魚、欺詐和軟件漏洞仍然能夠成功攻擊企業(yè)，而云服務(wù)則增加了一個新的層面的威脅，因為攻擊者可以竊聽活動，操縱交易，并修改數(shù)據(jù)。攻擊者也可以使用云應用程序發(fā)動其他攻擊。

　　常見的深度防護保護策略可以包含安全違規(guī)所造成的損害。企業(yè)組織應該禁止用戶和服務(wù)之間共享帳戶憑證，并實現(xiàn)多因素身份驗證方案。賬戶，甚至包括服務(wù)帳戶都應該被監(jiān)控，以便每筆交易可以追溯到相關(guān)的所有者。而關(guān)鍵是要保護帳戶憑據(jù)不被盜取，CSA表示說。

　　安全威脅6：來自企業(yè)內(nèi)部的惡意人員

　　來自企業(yè)內(nèi)部的安全威脅包括了許多方面：現(xiàn)任或前任員工、系統(tǒng)管理員、承包商或商業(yè)伙伴。惡意破壞的范圍從竊取企業(yè)機密數(shù)據(jù)信息到報復行為。而在遷移采用了云服務(wù)的情況下，一個來自企業(yè)內(nèi)部的惡意人員可能會摧毀企業(yè)組織的整個基礎(chǔ)設(shè)施或操作數(shù)據(jù)。而如果僅僅是純粹依賴于云服務(wù)提供商的安全性，如加密，則風險是最大的。

　　CSA建議企業(yè)組織需要控制加密過程和密鑰，實行職責分離，最大限度的減少用戶的訪問。實施有效的記錄、監(jiān)控和審核管理員的活動也是至關(guān)重要的。

　　正如CSA所指出的那樣，很容易將一個拙劣的嘗試對日常工作的執(zhí)行誤解為“惡意”的內(nèi)部攻擊活動。這方面的一個例子便是：一名管理員不小心將一個敏感的客戶數(shù)據(jù)庫復制到了一個公開訪問的服務(wù)器上。企業(yè)組織通過在云中實施適當?shù)呐嘤柡凸芾恚瑏矸乐惯@些錯誤正變得越來越重要了，從而得以避免更大的潛在風險。安全威脅7：APT寄生蟲

　　CSA將“寄生”形式的攻擊恰當?shù)胤Q之為高級的持續(xù)性威脅(APT)。APT滲透到企業(yè)組織的系統(tǒng)，建立一個立足點，然后悄悄地在較長的一段時間內(nèi)將數(shù)據(jù)和知識產(chǎn)權(quán)漏出。

　　APT通過網(wǎng)絡(luò)進行典型的橫向移動，以融入正常的數(shù)據(jù)傳輸流量，所以他們很難被檢測到。主要的云服務(wù)提供商利用先進的技術(shù)來防止APT滲入他們的基礎(chǔ)設(shè)施，但企業(yè)客戶需要積極的檢測APT對于其云帳戶的攻擊，因為其可能會在他們內(nèi)部部署的系統(tǒng)中。

　　進入的共同點包括魚叉式網(wǎng)絡(luò)釣魚、直接攻擊、預裝惡意軟件的USB驅(qū)動器、以及對第三方網(wǎng)絡(luò)的攻擊。特別是，CSA建議企業(yè)組織需要培訓用戶識別網(wǎng)絡(luò)釣魚技術(shù)。

　　定期加強企業(yè)員工用戶的安全意識，保持員工用戶保持警覺，就不太可能被欺騙，讓一個APT易于進入企業(yè)網(wǎng)絡(luò)。而企業(yè)用戶的IT 部門需要了解最新的先進性攻擊。而采取先進的安全控制、流程管理、事件響應計劃、員工培訓等措施固然會增加企業(yè)組織的安全預算。單企業(yè)組織應該權(quán)衡這些成本與成功的攻擊對于企業(yè)所造成的潛在的經(jīng)濟損失。

　　安全威脅8：永久性的數(shù)據(jù)丟失

　　鑒于現(xiàn)如今的云服務(wù)已經(jīng)日趨成熟，因此由服務(wù)供應商的錯誤所造成的永久性的數(shù)據(jù)丟失已經(jīng)變得非常罕見了。但惡意黑客已經(jīng)能夠永久的刪除云中的數(shù)據(jù)以對企業(yè)造成危害了，而同時，云數(shù)據(jù)中心的任何設(shè)施也更容易受到自然災害的損害。

　　云供應商建議在多個區(qū)域進行分布式數(shù)據(jù)和應用程序的托管，以增加保護。充足的數(shù)據(jù)備份措施也是必不可少的措施，以及堅持實施確保業(yè)務(wù)連續(xù)性和災難恢復的最佳做法。日常數(shù)據(jù)備份和異地存儲在云環(huán)境仍然是很重要的。

　　防止數(shù)據(jù)丟失的責任并不是只在云服務(wù)提供商這一方。如果企業(yè)客戶對數(shù)據(jù)進行了加密，然后上傳到云端，那么企業(yè)客戶就需要要小心保護加密密鑰。一旦密鑰丟了，數(shù)據(jù)也就丟失了。

　　合規(guī)政策經(jīng)常規(guī)定了企業(yè)組織必須保留其審核記錄和其他相關(guān)文件多長時間。失去這些數(shù)據(jù)可能會產(chǎn)生嚴重的監(jiān)管后果。歐盟最新的數(shù)據(jù)保護規(guī)則還將數(shù)據(jù)破壞和個人數(shù)據(jù)受損納入數(shù)據(jù)泄露的范疇，要求進行適當?shù)耐ㄖ?。因此，企業(yè)用戶必須熟悉各種規(guī)則，以避免陷入麻煩。

　　安全威脅9：缺乏盡職調(diào)查

　　那些尚未充分理解云環(huán)境及其相關(guān)的風險就采用了云服務(wù)的企業(yè)組織可能會遭遇到“無數(shù)的商業(yè)、金融、技術(shù)、法律及合規(guī)風險”，CSA警告說。通過盡職調(diào)查，能夠分析一家企業(yè)組織是否試圖遷移到云中或與另一家公司在云中合并(或工作)。例如，企業(yè)組織沒有細看合同可能沒有意識到如若發(fā)生數(shù)據(jù)丟失或泄密的情況下，供應商的相關(guān)責任。

　　如果一家公司的開發(fā)團隊缺乏對云技術(shù)的熟悉，則會出現(xiàn)操作和架構(gòu)問題，因為應用程序需要部署到特定的云服務(wù)。CSA提醒企業(yè)組織必須進行全面的盡職調(diào)查，了解當他們訂購一項云服務(wù)時，其所應當承擔的風險。

　　安全威脅10：云服務(wù)的濫用

　　云服務(wù)可以被征用以支持違法活動，如利用云計算資源破解加密密鑰以發(fā)動攻擊。其他的例子包括發(fā)動DDoS攻擊，發(fā)送垃圾郵件和釣魚郵件，和托管惡意內(nèi)容。

　　云服務(wù)供應商需要識別云服務(wù)被濫用的類型——比如審查流量以識別DDoS攻擊;為客戶提供工具，以監(jiān)控他們云環(huán)境的健康狀況。企業(yè)客戶應該確保供應商提供了報告云服務(wù)被濫用的機制。雖然企業(yè)客戶可能不會成為惡意行為的直接獵物，但云服務(wù)的濫用仍然會導致服務(wù)的可用性問題和數(shù)據(jù)丟失。

　　安全威脅11：DoS攻擊

　　DoS攻擊已經(jīng)存在多年了，但由于云計算的興起，他們所引發(fā)的問題再一次變得突出，因為它們往往會影響到云服務(wù)的可用性。系統(tǒng)可能會變得運行緩慢或是簡單的超時。“經(jīng)歷拒絕服務(wù)攻擊時，就像被困在交通高峰期的交通擁堵中一樣，此時要到達你的目的地只有這一種方式，除了坐在那里等待之外沒有什么是你能做的。”該報告稱。

　　DoS攻擊消耗了大量的處理能力，而企業(yè)客戶最終還可能不得不為其買單。雖然大容量的DDoS攻擊是非常常見的，企業(yè)組織應該意識到不對稱的、應用程序?qū)拥腄oS攻擊，其目標是攻擊Web服務(wù)器和數(shù)據(jù)庫漏洞。

　　較之他們的企業(yè)客戶，云服務(wù)提供商往往能夠更好地準備處理DoS攻擊，CSA說。關(guān)鍵是要有一套計劃，在攻擊發(fā)生之前以減輕其損害程度，所以當管理員們需要時，他們應該有權(quán)訪問這些資源。

　　安全威脅12：共享的科技，共享的危險

　　共享技術(shù)的漏洞對云計算構(gòu)成了重大威脅。云服務(wù)供應商共享基礎(chǔ)設(shè)施、平臺和應用程序，如果一個漏洞出現(xiàn)在任何這些層中，其會影響到每個云服務(wù)的租戶。“一個單一的漏洞或錯誤，會導致整個供應商的云服務(wù)被攻擊。”該報告說。

　　如果一部分組件被破壞泄露，例如，一款系統(tǒng)管理程序、一個共享的平臺組件、或應用程序被攻擊，其將潛在的使得整個云環(huán)境被攻擊。CSA推薦采用深層防御的策略，包括在所有主機、基于主機和基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)，采用多因素身份驗證，應用最小特權(quán)的概念，網(wǎng)絡(luò)分割，和修補共享的資源。

　　這12大云計算安全危險給企業(yè)組織很好地梳理了防范的必要手段，但如果要做到萬無一失，還需要企業(yè)相關(guān)部門及管理人員提高警惕，因為網(wǎng)絡(luò)環(huán)境下，黑客攻擊手段的多樣化往往出其不意。