2022年云计算应用关键威胁调研

发布时间：2022-09-01 11:24 所属栏目：53 来源：互联网

导读：云工作负载、供应链、边缘计算、物联网（IoT）以及区块链等新技术的流行和应用改变了云计算应用的安全格局。为了提高对云中威胁、漏洞和风险的认知，国际云安全联盟（CSA）不久前就当前云计算领域的应用安全问题展开研究，对700余名云计算技术行业专家进行了

　　云工作负载、供应链、边缘计算、物联网（IoT）以及区块链等新技术的流行和应用改变了云计算应用的安全格局。为了提高对云中威胁、漏洞和风险的认知，国际云安全联盟（CSA）不久前就当前云计算领域的应用安全问题展开研究，对700余名云计算技术行业专家进行了调研，并编写发布《云计算顶级威胁报告》。报告认为，以下11个方面的安全挑战正在成为阻碍云计算应用的关键性威胁。

　　威胁1
　　身份、凭据、访问权限
　　和密钥管理不善
　　身份、凭据、访问管理系统中一般包含了允许组织管理、监控和保护用户对关键资源进行访问的各类工具和策略，这些关键资源可能包括电子文件、计算机系统和物理资源，例如服务器机房或建筑物等。在此过程中，适当地维护和持续监控身份、凭据、访问管理系统至关重要。在身份和访问管理（IAM）中使用风险评分可增强安全态势。使用清晰的风险分配模型、持续的监控以及适当的行为隔离和细分有助于交叉检查（cross-check）IAM系统。

　　防护要点
　　• 使用多因素身份验证；

　　• 对云用户和身份使用严格的访问控制，特别是限制root账户的使用；

　　• 根据业务需求和最小特权原则隔离和细分账户；

　　• 采用程序化、集中式方法轮换密钥；

　　• 及时删除未使用的凭据和访问特权。

　　威胁2
　　不安全的接口和API
　　组织为了给第三方开发人员和客户提供更好的数字体验，正在加速采用API。但随着API日趋普及，保护这些接口的安全性也变得至关重要。必须检查API和微服务是否存在由于错误配置、不良编码实践、缺乏身份验证和不当授权而导致的漏洞。这些漏洞可能会使接口易受攻击。

　　API和其他接口的错误配置是安全事件和数据泄露的主要原因，常见的问题有：未经身份验证的端点；弱认证；权限过大；禁用标准安全控制；系统未打补丁；逻辑设计问题；禁用日志记录或监控等。这些问题可能会导致资源渗漏、删除或修改，数据调整或服务中断等。

　　业务影响
　　API和不安全接口对业务的影响主要是敏感或私有数据意外暴露，此类风险的严重程度取决于API使用方式以及检测和缓解漏洞的速度。

　　威胁3
　　错误配置和变更控制不足
　　错误配置是指计算资产的不正确或不合理设置，使它们易受意外损坏或恶意活动的影响。常见的错误配置包括：不安全的数据存储元素或容器；过多的权限；保持默认凭据和配置设置不变；禁用标准安全控制；系统未打补丁；禁用日志记录或监控；不受限制地访问端口和服务；不安全地管理秘密；配置不当或缺乏配置验证。云资源配置错误是数据泄露的主要原因，可能导致资源删除或修改以及服务中断。

　　云环境中的不当变更控制可能会导致错误配置，并阻碍错误配置的修复。云环境和云计算方法与传统信息技术（IT）的不同之处在于它使更改更难以控制。传统的变更流程涉及多个角色和许可，因此需要数天或数周才能投入使用。云计算依靠自动化、角色扩展和访问来支持快速变更，这使得其很难控制变更。此外，使用多个云提供商会增加复杂性，每个提供商的独特功能几乎每天都在增强和扩展。这种动态环境需要一种敏捷和主动的变更控制和修复方法。

（编辑：ASP站长网）