越来越多的业务开始上云，但通常情况下云环境的搭建和配置往往是优先考虑的事情，而安全性则被置于次要地位。大多数组织(54%)将本地安全工具简单的迁移到云端，但是这些工具并非为云而设计，这限制了它们的扩展能力。云业务的显著增长也带来了威胁和数据泄露的大幅增加。在过去的十八个月中，大多数利用云计算能力的企业都经历了某种形式的数据泄露。希望本文能帮助组织提高应对高级威胁意识，尤其是在进行云计算迁移和安全建设时重点考虑云安全威胁。

01、数据泄露

数据泄露是指敏感、受保护或机密信息被未经授权的个人发布、查看、窃取或使用，包括但不限于个人健康信息、财务信息、个人可识别信息、商业秘密和知识产权。数据泄露可能是针对性攻击导致的结果，也可能仅仅是人为错误、应用程序漏洞或不充分的安全实践导致的结果。

关键要点

云对攻击者来说是极具吸引力的目标资产。组织可以通过选择一系列安全措施保护数据安全，包括执行最小权限、创建带有恢复计划的不可变备份、启用加密，并定期审查数据安全措施来保护其数据。数据正成为网络攻击的主要目标。定义数据的商业价值和数据丢失的影响对于拥有或处理数据的组织来说非常重要。

保护数据正变成一个谁可以访问它，在什么时间访问，在什么地点访问，以什么样方式访问等问题。

通过互联网访问的数据是最易受错误配置或利用的资产。

加密技术可以帮助保护数据，但可能会影响系统性能，影响用户体验。

02、配置错误和变更控制不足

云资源的配置错误是数据泄露的主要原因，而缺乏有效的变更控制是云环境中配置错误的常见原因。云环境与传统信息技术不同，在企业数据中心中静态的基础设施元素在云中被抽象为软件，它们的整个生命周期可能只持续几分钟或几秒钟。同时，多云环境也增加了安全防护的复杂性。这种动态的云环境需要一种敏捷和主动的云安全方案，但是许多公司尚未采取对应措施。

关键要点

云配置错误是指不正确地设置云资产的行为。这意味着它们可能被恶意活动利用，可能导致安全漏洞的检测时间延长，使关键的企业数据处于不安全状态。在过去的两年中，特权账户的泄露占所有与身份相关的安全漏洞的34%。然而，只有38%的组织正在使用多因素认证来保护他们的特权账户。这增加了数据泄露的机会，因为它为网络犯罪分子提供了一个黄金机会，他们可以通过利用配置错误的账户来访问敏感数据。

基于云的资源高度复杂和动态变化情况，使它们难以配置。

传统的控制措施和策略变更管理方法在云中无效。

应采用自动化工具，能够持续扫描配置错误，并实时解决问题的技术。

03、缺乏云安全架构和策略

很多组织仍然只是简单地将现有的IT堆栈和安全控制措施“转移”到云环境中，安全建设往往落后于功能迁移，对共享安全责任模型理解不足。为降低被网络攻击可能性，组织需要实施适当的安全架构并制定强大的安全策略，包括利用云原生工具增加云环境中的可见性来最小化风险和成本。

关键要点

确保安全架构与业务目标一致。

制定并实施安全架构。

确保威胁模型不断更新。

将持续监控纳入整体安全姿态。

04、身份、凭据、访问和密钥管理不足

因为云计算深刻影响身份、凭据和访问管理。在公有云和私有云设置中，云供应商和云消费者都需要在不影响业务运转的情况下安全管理IAM。云环境中安全事件和数据泄露可能发生，原因包括：

凭据保护不足。

缺乏定期自动轮换加密密钥、密码和证书。

缺乏可扩展的身份、凭据和访问管理系统。

未使用多因素认证。

未使用强密码。

凭据和加密密钥不得嵌入源代码或发布类似GitHub这样公开平台，密钥需要使用安全良好的公钥基础设施(PKI)来保护，以确保密钥管理活动得到执行。此外，身份管理系统必须支持在人员变动时(如离职或角色转换)立即撤销对资源的访问权限。这种身份管理生命周期流程应集成在云环境中和能够完全自动化。

关键要点

云服务供应商提供各种处理密钥管理的方法，从完全依赖云供应商进行完全托管的服务器端加密，到客户自己生成和管理密钥并在上传数据之前进行加密的完全客户端加密方法。

安全账户，包括多因素认证，对root账户进行严格限制使用。

对云用户和身份实施最严格的身份和访问控制。

根据业务需求和最小权限原则，对账户、VPC和身份组进行隔离和分段。

轮换密钥，移除未使用的凭据或访问权限，并采用集中、程序化密钥管理。

05、账户劫持

在云环境中，风险最高的账户是云服务账户和订阅账户。钓鱼攻击、利用基于云的系统或窃取的凭据可能会危及这些账户。这些风险源于云服务的交付模式，以及其组织和治理：数据和应用程序驻留在云服务中，云服务驻留在云账户或订阅账户中。

关键要点

账户和服务劫持意味着完全失陷，包括业务中断、数据资产泄露等等。恶意攻击者可以使用网络钓鱼技术、暴露的凭据等脆弱性来获得云租户的初始访问权限。他们还可以利用过于“宽松”的访问控制策略进一步渗透到环境中，获取对敏感资源的访问权限。访问控制策略应仔细配置，以确保仅授予用户必要的最少权限，此外还需实施职责分离，以特别保护敏感操作和资源。

账户劫持是一种必须严肃对待的威胁，不仅仅是重置密码。

深度防御和IAM控制是减轻账户劫持的关键。

06、内部威胁

内部威胁是指“拥有或曾经拥有对组织资产授权访问的个人，利用他们的访问权限，无论是恶意的还是无意的，以可能对组织产生负面影响的方式行事。” 内部人员可能是当前或以前的员工、承包商或其他受信任的商业伙伴。与外部威胁行为者不同，内部人员在公司的安全信任圈内操作，他们可以直接访问网络、计算机系统和敏感公司数据。

根据波恩蒙研究所研究，员工或承包商的疏忽占内部威胁比例的64%，而23%与犯罪内部人员有关，13%与凭据盗窃有关。一些常见的情况包括配置错误的云服务器、员工在他们自己的不安全个人设备和系统上存储公司敏感数据以及员工或其他内部人员成被钓鱼邮件，导致公司资产被恶意攻击。

关键要点

采取措施减少内部人员的疏忽可以减轻内部威胁的后果。下面概述的行动可以帮助解决用户疏忽和管理引入的安全问题。

安全培训：为团队提供培训，正确安装、配置和监控您的计算机系统、网络、移动设备和备份设备。定期的意识培训，告知他们如何处理安全风险，要求使用强密码并经常更新密码等。

修复配置错误的云服务器：定期审计云中和本地的服务器，然后纠正与组织内设置的安全基线偏离的任何偏差。

限制对关键系统的访问：确保拥有特权访问的人员限制在少数员工中，监控任何权限级别的所有计算机服务器的访问。

07、不安全的接口和API

API和UI通常是系统最暴露的部分，可能是唯一具有公共IP地址的资产，可在受信任的组织边界之外使用。作为“前门”，它们很可能会被持续攻击，因此需要有足够的控制措施来保护它们免受攻击。

关键要点

测试 API 和微服务是否存在因配置不当、编码不当、身份验证不足和授权不当而导致的漏洞。API安全关键点如下：

API 的攻击面必须受到监控、配置和保护。

确保妥善保护API密钥，避免重复使用。

使用能够持续监控异常 API 流量，能够使用准实时修复问题的技术。

08、系统漏洞

云服务平台存在系统漏洞。它们可能被用来破坏数据的机密性、完整性和可用性，从而可能扰乱服务运营。

关键要点

系统漏洞是系统组件内部的故障，经常由人为错误引起，使黑客更容易利用企业的云服务。

结合严格的 IAM 程序，可以通过常规漏洞识别和补丁分发来显着减轻系统漏洞造成的安全威胁。

09、有限的可见性

组织无法分析云服务使用是否安全，主要表现在两个方面，首先是一些未经授权的应用程序使用。这种情况导致了大量影子资产，而安全攻击中有三分之一将通过影子IT系统和资源发起。其次，组织通常无法分析他们批准的应用程序是如何被内部人员利用的，无法确定他们的行为是否超出正常要求或是否满足安全合规要求。

关键要点

构建完整的云可见性解决方案，包括CSPM、CWPP、CIEM等。

强制执行全公司接受云使用政策的培训和执行。

所有云服务都必须经过云安全架构师或第三方风险管理的审查和批准。

在组织内实施零信任模型。

10、滥用和恶意使用云服务

托管的恶意软件的云服务可能看起来更合法，因为恶意软件使用CSP的域名。此外，云托管的恶意软件可以使用云共享工具作为攻击向量，进一步传播自身。滥用云资源的其他例子包括：

发起DDoS攻击

电子邮件垃圾邮件和网络钓鱼活动

挖矿

托管恶意或盗版内容

关键要点

企业必须意识到这些新的云攻击向量，并采取措施应对，需要采购能够监控云基础设施或API调用的安全技术。

监控所有云， 技术监控并阻止任何未经授权的数据泄露。

采用新一代先进云安全方案，传统安全防护机制无法减轻云服务的风险。