2018年已經(jīng)到來(lái)，IT安全團(tuán)隊(duì)在這一年中將繼續(xù)努力確保他們的 云部署 安全。人們需要注意與API、物聯(lián)網(wǎng)以及人為錯(cuò)誤相關(guān)的常見風(fēng)險(xiǎn)。

雖然保護(hù)數(shù)據(jù)的需求并不新鮮，但企業(yè)云的使用情況的變化使傳統(tǒng)的安全模型變得更加復(fù)雜，這為用戶和提供商帶來(lái)了新的風(fēng)險(xiǎn)。

以下展望一下2018年企業(yè)將面臨的五個(gè)云安全威脅，以及防范這些威脅的最佳實(shí)踐。

1．缺乏責(zé)任感

一些組織錯(cuò)誤地認(rèn)為，由于他們的工作負(fù)載在云端，保護(hù)其工作負(fù)載的安全不再是他們的工作。但事實(shí)上， 云計(jì)算 提供商沒有義務(wù)保護(hù)用戶的工作負(fù)載或數(shù)據(jù)，確保安全并沒有列在服務(wù)級(jí)別協(xié)議中。這意味著云端的數(shù)據(jù)保留、恢復(fù)能力和安全性主要是用戶的責(zé)任，而不是云計(jì)算提供商的責(zé)任。

企業(yè)務(wù)必了解其云計(jì)算提供商的共享責(zé)任模式以及需要采取哪些步驟來(lái)保護(hù)其云工作負(fù)載。

此外，通過(guò)分布在兩個(gè)或更多云區(qū)域的冗余工作負(fù)載和存儲(chǔ)服務(wù)，可以降低數(shù)據(jù)丟失的風(fēng)險(xiǎn)，實(shí)施進(jìn)一步的數(shù)據(jù)保護(hù)實(shí)踐（如快照，備份和恢復(fù)），使用數(shù)據(jù)加密，并確保妥善管理和保護(hù)加密密鑰。

2．安全工具和測(cè)試不足

公共云計(jì)算提供商提供一系列工具和服務(wù)，旨在提高云計(jì)算的安全性，驗(yàn)證云資源的安全狀態(tài)，并減輕攻擊。例如，亞馬遜網(wǎng)絡(luò)服務(wù)提供虛擬私有云、應(yīng)用程序防火墻、基于本地傳輸層安全性的加密，以及專用連接等服務(wù)以避免來(lái)自公共互聯(lián)網(wǎng)的網(wǎng)絡(luò)攻擊。用戶可以利用Google Stackdriver和Azure Monitor等監(jiān)控工具來(lái)識(shí)別潛在的云安全威脅。

進(jìn)行滲透測(cè)試，預(yù)測(cè)系統(tǒng)如何響應(yīng)攻擊并發(fā)現(xiàn)漏洞。這些測(cè)試實(shí)質(zhì)上授權(quán)對(duì)系統(tǒng)進(jìn)行模擬攻擊以識(shí)別薄弱點(diǎn)。云計(jì)算提供商允許并協(xié)助對(duì)授權(quán)資源進(jìn)行滲透測(cè)試。

云計(jì)算用戶幾乎不可能應(yīng)對(duì)和處理某些網(wǎng)絡(luò)攻擊，例如正在進(jìn)行的分布式拒絕服務(wù)（DDoS）攻擊。這是因?yàn)檫@些類型的攻擊可能導(dǎo)致云計(jì)算工作負(fù)載無(wú)法響應(yīng)。由于越來(lái)越多的云資源需要擴(kuò)展以滿足惡意流量的需求，因此應(yīng)對(duì)DDoS攻擊也可能增加大量的成本。而用戶使用提供商的DDoS防護(hù)服務(wù)可以自動(dòng)發(fā)現(xiàn)和減輕這些云計(jì)算的安全威脅。

3．人為錯(cuò)誤

人的因素仍然是IT安全中最薄弱的環(huán)節(jié)之一。而在云計(jì)算中，人為錯(cuò)誤的風(fēng)險(xiǎn)會(huì)增加，因?yàn)樾孤痘虮I用的憑證可能會(huì)對(duì)應(yīng)用程序和數(shù)據(jù)造成嚴(yán)重破壞。網(wǎng)絡(luò)釣魚、欺詐和其他形式的社交工程使黑客竊取憑據(jù)并可能劫持云賬戶。但是請(qǐng)記住，并非所有的云計(jì)算安全威脅都來(lái)自外部，企業(yè)更需防范內(nèi)部攻擊。

組織還面臨著認(rèn)證執(zhí)行力度不夠、密碼強(qiáng)度較弱、身份和訪問(wèn)管理配置不當(dāng)，以及其他安全協(xié)議的問(wèn)題。薄弱的防御措施不僅將會(huì)遭到更多的攻擊，而且會(huì)導(dǎo)致員工犯下代價(jià)高昂的錯(cuò)誤或采取不正當(dāng)?shù)男袆?dòng)。

防范來(lái)自人為錯(cuò)誤的云計(jì)算安全威脅有很多方法。企業(yè)的工作人員應(yīng)該為用戶提供安全教育和認(rèn)證，編寫明確可接受的使用策略，并應(yīng)用其他安全最佳實(shí)踐。例如，云計(jì)算賬戶所有者不應(yīng)使用或顯示根證書；確保為每個(gè)用戶或組創(chuàng)建和配置唯一的憑據(jù)。

4．易受攻擊的系統(tǒng)和API

API使軟件能夠連接到外部服務(wù)，包括來(lái)自云計(jì)算提供商的服務(wù)。例如，企業(yè)可能會(huì)開發(fā)一個(gè)應(yīng)用程序，使用多個(gè)API來(lái)訪問(wèn)和交換加密的數(shù)據(jù)與云計(jì)算提供商的存儲(chǔ)資源。這些接口和API中的缺陷將會(huì)引入新的云計(jì)算安全威脅。

對(duì)軟件漏洞最好的防御是開發(fā)者和運(yùn)營(yíng)人員的勤勉和及時(shí)的糾正措施。其實(shí)施的關(guān)鍵任務(wù)（如漏洞掃描、報(bào)告、補(bǔ)丁管理和配置執(zhí)行）可以幫助找到并減輕云端的軟件漏洞。高級(jí)開發(fā)策略還可以實(shí)現(xiàn)復(fù)雜的威脅建模、詳細(xì)的代碼安全性檢查和詳細(xì)的滲透測(cè)試。

5．未受保護(hù)的物聯(lián)網(wǎng)設(shè)備

未來(lái)幾年，將會(huì)增加數(shù)以百億計(jì)的配備個(gè)人數(shù)據(jù)采集傳感器和執(zhí)行器的物聯(lián)網(wǎng)（IoT）設(shè)備。每個(gè)設(shè)備都是一個(gè)配置IP地址的網(wǎng)絡(luò)端點(diǎn)。糟糕的軟件設(shè)計(jì)、配置錯(cuò)誤和其他疏漏可能會(huì)導(dǎo)致對(duì)物聯(lián)網(wǎng)設(shè)備的惡意操作，并暴露設(shè)備數(shù)據(jù)。

物聯(lián)網(wǎng)設(shè)備需要進(jìn)行大量的自動(dòng)化設(shè)置、配置和修補(bǔ)。單一的錯(cuò)誤或疏忽可能會(huì)在不知不覺中通過(guò)使用自動(dòng)物聯(lián)網(wǎng)管理工具而增加，并創(chuàng)造數(shù)千甚至數(shù)百萬(wàn)新的攻擊向量。

威脅不僅僅來(lái)自收集數(shù)據(jù)的傳感器。無(wú)數(shù)的物聯(lián)網(wǎng)執(zhí)行器響應(yīng)通過(guò)網(wǎng)絡(luò)發(fā)送的命令，包括通過(guò)云端托管的工作負(fù)載。

企業(yè)需要確保下一代物聯(lián)網(wǎng)設(shè)備具有強(qiáng)大的網(wǎng)絡(luò)安全功能。另外，定期檢查物聯(lián)網(wǎng)設(shè)備的設(shè)置和管理，確保它們保持最安全的設(shè)備狀態(tài)。工作人員的經(jīng)驗(yàn)是至關(guān)重要的，采用的工具必須能夠提供日志記錄和警報(bào)功能，記錄隨時(shí)間發(fā)生的任何變化。