|
新聞中心
當(dāng)前位置：網(wǎng)站首頁(yè) > 新聞中心
誰(shuí)來(lái)負(fù)責(zé)云安全？
據(jù)有關(guān)報(bào)告顯示，公共云、私有云和混合云的風(fēng)險(xiǎn)差異很大。在向云數(shù)據(jù)和服務(wù)邁進(jìn)的過(guò)程中，許多公司都在重新思考他們的網(wǎng)絡(luò)安全方法。他們需要云安全策略嗎？云安全策略有什么不同？而最近的一些調(diào)查揭示了安全戰(zhàn)略是如何變化的，更重要的一點(diǎn)是，它們應(yīng)該如何改變。本文將講述有關(guān)執(zhí)行成功的云安全策略所需的工具、信息和組織結(jié)構(gòu)的建議。
在云中放置更多IT基礎(chǔ)架構(gòu)在某些方面更安全一些。例如，您可以合理的確定系統(tǒng)正在運(yùn)行補(bǔ)丁的最新版本。云服務(wù)提供商也在構(gòu)建新的功能，例如使用機(jī)器語(yǔ)言進(jìn)行異常檢測(cè)。但是同時(shí)，它也帶來(lái)了新的風(fēng)險(xiǎn)，其中一些是誤解如何管理云安全的結(jié)果。
重要的是要了解公司的云IT戰(zhàn)略——無(wú)論是混合型、私有托管型還是公共型，都影響其網(wǎng)絡(luò)安全戰(zhàn)略和戰(zhàn)術(shù)的執(zhí)行。什么是云安全風(fēng)險(xiǎn)？
來(lái)自云安全提供商Alert Logic的數(shù)據(jù)顯示了與本地?cái)?shù)據(jù)中心相比，每種形式的云環(huán)境的風(fēng)險(xiǎn)性質(zhì)和數(shù)量。在18個(gè)月的時(shí)間里，該公司分析了來(lái)自3，800多家客戶的147 PB的數(shù)據(jù)，以對(duì)安全事件進(jìn)行量化和分類。在此期間，它發(fā)現(xiàn)了超過(guò)220萬(wàn)個(gè)真正的安全事件。主要發(fā)現(xiàn)包括：
·?混合云環(huán)境中平均每個(gè)客戶的安全事件數(shù)是977個(gè)，其次是托管私有云684個(gè)，本地?cái)?shù)據(jù)中心612個(gè)和公共云405個(gè)。
·?到目前為止，最常見(jiàn)的安全事件類型是Web應(yīng)用程序攻擊（75％），其次是暴力攻擊（16％），偵察（5％）和服務(wù)器端勒索軟件（2％）。
·?Web應(yīng)用程序攻擊最常見(jiàn)的載體是SQL（47.74％），Joomla（26.11％），Apache Struts（10.11％）和Magento（6.98％）。
·?Wordpress是最常見(jiàn)的暴力攻擊目標(biāo)，占41％，其次是MS SQL，占19％。
由此可見(jiàn)，無(wú)論是公共云、私有云還是混合云環(huán)境，Web應(yīng)用程序威脅都占據(jù)主導(dǎo)地位，它們之間的不同之處在于其風(fēng)險(xiǎn)程度。Alert Logic的聯(lián)合創(chuàng)始人Misha Govshteyn說(shuō)。
作為防御者，我們有較高的并且有效的保護(hù)公共云的能力，因?yàn)槲覀兛吹搅烁玫男旁氡炔⑶覝p少了更少的噪音攻擊。而當(dāng)我們?cè)诠苍骗h(huán)境中意識(shí)到安全事件時(shí)，我們知道必須要引起注意了。
數(shù)據(jù)顯示，某些平臺(tái)比其他平臺(tái)更容易受到攻擊。盡管你付出了最大努力，但還是會(huì)增加你的攻擊面。他指出盡管人們普遍認(rèn)為，LAMP堆棧比基于Microsoft的應(yīng)用程序堆棧更容易受到攻擊，他還將PHP應(yīng)用程序視為熱點(diǎn)。
Govshteyn說(shuō)：在內(nèi)容管理系統(tǒng)中，特別是Wordpress、Joomla和Django，作為Web應(yīng)用程序的平臺(tái)，其存在的漏洞遠(yuǎn)遠(yuǎn)超過(guò)人們的想象。只有當(dāng)您了解開(kāi)發(fā)團(tuán)隊(duì)傾向于使用的Web框架和平臺(tái)時(shí)，才有可能保證這些系統(tǒng)的安全。但大多數(shù)安全人員幾乎不關(guān)注這些細(xì)節(jié)，并常常存在僥幸心理而做出決定。
為了最大限度地降低云威脅的影響，Alert Logic有三個(gè)主要建議：
·?依靠應(yīng)用程序白名單和阻止訪問(wèn)未知程序。這包括對(duì)組織中使用的每個(gè)應(yīng)用程序進(jìn)行風(fēng)險(xiǎn)與價(jià)值評(píng)估。
·?了解您自己的補(bǔ)丁程序并優(yōu)先處理修補(bǔ)程序的部署。
·?根據(jù)當(dāng)前用戶職責(zé)來(lái)限制管理和訪問(wèn)權(quán)限。保持應(yīng)用程序和操作系統(tǒng)的權(quán)限是最新的。
6種云威脅
今年4月份，云安全平臺(tái)提供商ShieldX概述了它認(rèn)為可能在2018年發(fā)生的六類云安全威脅。大多數(shù)組織都很難降低這些威脅的風(fēng)險(xiǎn)，因?yàn)樗麄兊姆烙c其性質(zhì)之間存在差距。ShieldX首席技術(shù)官兼高級(jí)副總裁Manuel Nedbal說(shuō)：
物理數(shù)據(jù)中心外形與虛擬外圍之間存在不匹配的現(xiàn)象。傳統(tǒng)的安全控件是為了保護(hù)物理形狀因素而建立的，這為安全威脅打開(kāi)了大門。
1.跨云攻擊
通過(guò)跨云攻擊，黑客可以通過(guò)公共云訪問(wèn)內(nèi)部部署系統(tǒng)和私有云系統(tǒng)。由惡意行為者接管的公共云中的工作負(fù)載可能導(dǎo)致將攻擊擴(kuò)散到私有云。
如果防御措施到位，風(fēng)險(xiǎn)就可以降至最低，但通過(guò)遷移到公共云，組織往往忽略了延伸到新環(huán)境的事實(shí)。然而，與內(nèi)部防御相比，公共云不提供相同的安全控件，并且很難移動(dòng)傳統(tǒng)安全性。Nedbal說(shuō)，對(duì)云的攻擊量還正在不斷增加。一旦有公開(kāi)的工作負(fù)載，它就會(huì)受到攻擊，公共云中的防御也比傳統(tǒng)的內(nèi)部部署控件更弱。此外，如果一個(gè)組織對(duì)其內(nèi)部部署和云系統(tǒng)有不同的控件集，那么它可以留下黑客利用的空間。
2.跨數(shù)據(jù)中心攻擊
一旦黑客擊中數(shù)據(jù)中心位置，他們的下一步就是橫向擴(kuò)散。原因是數(shù)據(jù)中心中的交付點(diǎn)（PoD）之間的連接被認(rèn)為是可信區(qū)域。如果攻擊者攻擊一個(gè)PoD，那么它就可以傳播到其他連接的數(shù)據(jù)中心。
在一篇博客文章中，Nedbal建議通過(guò)一個(gè)多層防御系統(tǒng)發(fā)送所有流量，該系統(tǒng)具有與外圍相似的一組安全控件。
3.跨租戶攻擊
在多租戶環(huán)境中，黑客可以利用云租戶之間的網(wǎng)絡(luò)流量。租戶可能會(huì)認(rèn)為提供商已將其資產(chǎn)保護(hù)在云端，但實(shí)際上他們負(fù)責(zé)實(shí)施大部分防御措施。同樣，通過(guò)具有適當(dāng)控件的多層防御系統(tǒng)發(fā)送流量將降低此云威脅的風(fēng)險(xiǎn)，但它需要能夠在需要的地方和時(shí)間以適當(dāng)?shù)谋壤胖眠@些控件。
4.跨工作負(fù)載攻擊
云和虛擬化的工作負(fù)載可以輕松的與其他人連接。無(wú)論是在虛擬桌面、虛擬Web服務(wù)器還是數(shù)據(jù)庫(kù)上，攻擊者都可以訪問(wèn)其他工作負(fù)載。Nedbal說(shuō)：“如果您將所有工作負(fù)載封鎖，那么它們就是安全的，但無(wú)法執(zhí)行它們?cè)O(shè)計(jì)的功能?！痹诓┛臀恼轮校ㄗh將具有類似安全要求的工作負(fù)載放在一個(gè)具有適當(dāng)控制區(qū)域中，除了基本的分段之外，還可以監(jiān)視流量。
5.編排攻擊
Cloud Orchestration支持許多關(guān)鍵任務(wù)，包括配置、服務(wù)器部署、存儲(chǔ)和網(wǎng)絡(luò)管理、身份和權(quán)限管理以及工作負(fù)載創(chuàng)建。黑客通常會(huì)執(zhí)行編排攻擊來(lái)竊取帳戶登錄信息或私人加密密鑰。有了這些，攻擊者可以執(zhí)行編排任務(wù)以基本上獲得控件和訪問(wèn)。Nedbal說(shuō)：“一旦進(jìn)入，攻擊者可以為自己的目的創(chuàng)建額外的工作負(fù)載，如加密挖掘或刪除工作負(fù)載?！彼麄兛梢愿`取的特權(quán)越多，所帶來(lái)的傷害就越大。
Nedbal說(shuō)，防范編排攻擊的方法是通過(guò)監(jiān)控管理員行為。編排威脅需要一種新型的安全監(jiān)控，而不是傳統(tǒng)網(wǎng)絡(luò)安全系統(tǒng)的一部分，它可以尋找異常行為的異常賬戶模式。
6.無(wú)服務(wù)器攻擊
無(wú)服務(wù)器應(yīng)用程序允許組織快速啟動(dòng)云的功能，而無(wú)需構(gòu)建或擴(kuò)展基礎(chǔ)架構(gòu)。通過(guò)所謂的服務(wù)功能（FaaS），它們?yōu)楹诳吞峁┝诵碌臋C(jī)會(huì)，同時(shí)也為網(wǎng)絡(luò)維護(hù)者帶來(lái)了新的挑戰(zhàn)。新功能可能可以訪問(wèn)敏感資產(chǎn)，如數(shù)據(jù)庫(kù)。如果該功能的權(quán)限設(shè)置不正確，攻擊者可能夠通過(guò)該功能執(zhí)行許多任務(wù)，包括訪問(wèn)數(shù)據(jù)或創(chuàng)建新帳戶。與編排攻擊一樣，檢測(cè)無(wú)服務(wù)器攻擊的最佳方法是監(jiān)控帳戶行為，但必須與網(wǎng)絡(luò)流量檢查相結(jié)合才能生效。
如何保護(hù)云
根據(jù)市場(chǎng)研究公司VansonBourne的調(diào)查，并由網(wǎng)絡(luò)監(jiān)控解決方案提供商Gigamon的贊助，73％的受訪者預(yù)計(jì)他們的大部分應(yīng)用程序工作負(fù)載都在公共云或私有云中。然而，35％的受訪者希望以與他們的內(nèi)部部署操作“完全相同的方式”處理網(wǎng)絡(luò)安全。其余的人雖然不愿意改變，但他們也別無(wú)選擇，只能改變他們的云安全策略。
當(dāng)然，并不是每家公司都想要將敏感或關(guān)鍵數(shù)據(jù)遷移到云端。但是，大多數(shù)公司正在遷移關(guān)鍵性和專有的公司信息（56％）或營(yíng)銷資產(chǎn)（53％）。47％的受訪者希望在云中擁有個(gè)人身份信息，這可能是受到新的隱私法規(guī)（如歐盟的GDPR）的影響。
根據(jù)Govshteyn的說(shuō)法，公司應(yīng)該關(guān)注云安全戰(zhàn)略的三個(gè)主要領(lǐng)域：
1.工具。您在云環(huán)境中部署的安全工具，必須能夠保護(hù)Web應(yīng)用程序和云工作負(fù)載。Govshteyn說(shuō)：
為終端保護(hù)制定的安全技術(shù)，主要集中在一組在云中不常見(jiàn)的攻擊媒介，并且不具備應(yīng)對(duì)OWASP Top 10威脅的能力，這些威脅占所有云攻擊的75％。”?他指出，終端威脅針對(duì)Web瀏覽器和客戶端軟件，而基礎(chǔ)架構(gòu)威脅則針對(duì)服務(wù)器和應(yīng)用程序框架。
2.結(jié)構(gòu)。圍繞云提供的安全和管理優(yōu)勢(shì)定義您的架構(gòu)，而不是您在傳統(tǒng)數(shù)據(jù)中心中使用的相同架構(gòu)。Govshteyn說(shuō)：
我們現(xiàn)在有數(shù)據(jù)顯示，純公共環(huán)境允許企業(yè)降低事故率，但只有使用云功能設(shè)計(jì)更安全的基礎(chǔ)設(shè)施才能實(shí)現(xiàn)這一目標(biāo)。
他建議您在自己的虛擬私有云中隔離每個(gè)應(yīng)用程序或微服務(wù)，這樣可以減少入侵范圍。例如雅虎，利用Web應(yīng)用程序作為初始入口，因此在人們看來(lái)最不重要的應(yīng)用程序通常成為您最大的問(wèn)題。此外，不要修補(bǔ)云部署中的漏洞。相反，部署運(yùn)行最新代碼的新云基礎(chǔ)架構(gòu)，并停用舊基礎(chǔ)架構(gòu)。Govshteyn說(shuō)：
只有自動(dòng)化部署才能實(shí)現(xiàn)這一目標(biāo)，但在傳統(tǒng)數(shù)據(jù)中心，您將無(wú)法獲得對(duì)基礎(chǔ)架構(gòu)的控件。
3.連接點(diǎn)。問(wèn)題在于確定云部署與運(yùn)行舊代碼的傳統(tǒng)數(shù)據(jù)中心互連的點(diǎn)。
并非關(guān)于公司現(xiàn)有安全策略的所有內(nèi)容都必須針對(duì)云進(jìn)行更改。Gigamon產(chǎn)品營(yíng)銷高級(jí)經(jīng)理Tom Clavel說(shuō)：
使用相同的安全策略，例如，對(duì)威脅檢測(cè)的深入內(nèi)容檢查（對(duì)于云作為內(nèi)部部署其實(shí)是一個(gè)很好的想法）。追求這一目標(biāo)的公司通常會(huì)尋求其安全架構(gòu)之間的一致性，以限制其安全狀況的差距。但問(wèn)題在于他們?nèi)绾潍@得網(wǎng)絡(luò)流量來(lái)進(jìn)行這種檢查。
云的可見(jiàn)性問(wèn)題
VansonBourne受訪者提出了一個(gè)問(wèn)題，云可能會(huì)在安全領(lǐng)域內(nèi)造成盲點(diǎn)。總體而言，有一半人表示云可以“隱藏”信息，使他們能夠識(shí)別威脅。使用云，他們也丟失了一些加密內(nèi)容（48％）、不安全應(yīng)用程序或流量（47％）或SSL / TLS證書(shū)有效性（35％）的信息。
據(jù)49％的調(diào)查受訪者稱，混合云環(huán)境可能會(huì)進(jìn)一步阻礙可見(jiàn)性，因?yàn)樗赡軙?huì)阻止安全團(tuán)隊(duì)查看數(shù)據(jù)的實(shí)際存儲(chǔ)位置。78％的受訪者表示，在Siloed的數(shù)據(jù)中，其中一些由安全運(yùn)營(yíng)部門和一些網(wǎng)絡(luò)運(yùn)營(yíng)部門控制，這會(huì)使搜索數(shù)據(jù)更模糊。
這些數(shù)據(jù)不僅僅對(duì)安全團(tuán)隊(duì)對(duì)可見(jiàn)性是有限的。百分之七十七的VansonBourne受訪者表示，網(wǎng)絡(luò)盲點(diǎn)是他們保護(hù)組織的障礙。為了獲得更好的可見(jiàn)性，Clavel建議您首先確定如何組織和實(shí)施安全狀態(tài)。他說(shuō)：
不管是在云中，還是從內(nèi)部擴(kuò)展到云？在這兩種情況下，確保應(yīng)用程序網(wǎng)絡(luò)流量的普遍可見(jiàn)性是的安全策略的核心。你能看得越多，你就能越安全。
為了滿足可見(jiàn)性需求，確定一種獲取和優(yōu)化安全工具的網(wǎng)絡(luò)流量的方法，無(wú)論是入侵檢測(cè)系統(tǒng)（IDS）、安全信息和事件管理（SIEM）、取證、數(shù)據(jù)丟失防護(hù)（ DLP）、高級(jí)威脅檢測(cè)（ATD）、或同時(shí)對(duì)所有這些，添加SecOps程序，可以自動(dòng)化檢測(cè)到威脅的可見(jiàn)性和安全性。
這些盲點(diǎn)可見(jiàn)性可能會(huì)產(chǎn)生GDPR合規(guī)性問(wèn)題。66％的受訪者表示，缺乏可見(jiàn)性將使GDPR合規(guī)性變得困難。只有59％的受訪者認(rèn)為他們的組織將在2018年5月前為GDPR做好準(zhǔn)備。
安全策略無(wú)法跟上云應(yīng)用的步伐
根據(jù)2018年Oracle和畢馬威云計(jì)算威脅報(bào)告，87％的公司現(xiàn)在采用云優(yōu)先戰(zhàn)略，90％的公司表示他們?cè)谠浦袚碛械臄?shù)據(jù)中有一半是敏感的。來(lái)自同一報(bào)告的數(shù)據(jù)顯示，雖然這些公司已采取積極的方式采用云，但安全實(shí)踐和政策似乎并沒(méi)有趕上。Oracle / KPMG報(bào)告中的數(shù)據(jù)來(lái)自450個(gè)網(wǎng)絡(luò)安全和來(lái)自世界各地的專業(yè)人士的調(diào)查。受訪者雖然擔(dān)心云安全，但大多數(shù)人都沒(méi)能采取一些明顯的措施來(lái)降低云中敏感數(shù)據(jù)的風(fēng)險(xiǎn)。
·?82％的人認(rèn)為他們的員工不遵守云安全程序，但86％的員工表示無(wú)法收集和分析大部分安全事件數(shù)據(jù)。
·?只有38％的受訪者表示，檢測(cè)和響應(yīng)云安全事件是他們面臨的首要網(wǎng)絡(luò)安全挑戰(zhàn)。
·?只有41％的人擁有專業(yè)的云安全架構(gòu)。
有跡象表明公司將在不久的將來(lái)會(huì)更加重視云安全。84％的受訪者希望提高他們的安全自動(dòng)化水平，89％的受訪者希望在未來(lái)一年增加他們的網(wǎng)絡(luò)安全預(yù)算。
誰(shuí)來(lái)負(fù)責(zé)云安全？
鑒于利害攸關(guān)的問(wèn)題，62％的受訪者表示希望他們的安全運(yùn)營(yíng)中心（SOC）能夠控制網(wǎng)絡(luò)流量和數(shù)據(jù)，以確保在云環(huán)境中提供足夠的保護(hù)。其中一半人愿意了解網(wǎng)絡(luò)流量和數(shù)據(jù)。
由于管理云環(huán)境的組的結(jié)構(gòu)，獲得控制甚至完全可見(jiàn)性可能對(duì)許多組織來(lái)說(shuō)是一個(gè)挑戰(zhàn)。雖然安全運(yùn)營(yíng)負(fù)責(zé)69％的受訪者組織的云安全，但云計(jì)算運(yùn)營(yíng)或網(wǎng)絡(luò)運(yùn)營(yíng)也參與其中。這導(dǎo)致誰(shuí)在云安全方面處于領(lǐng)先地位，以及團(tuán)隊(duì)?wèi)?yīng)如何協(xié)作方面出現(xiàn)問(wèn)題。事實(shí)上，48％的受訪者表示，團(tuán)隊(duì)之間缺乏協(xié)作是識(shí)別和報(bào)告違規(guī)行為的最大障礙。
Clavel說(shuō)：
通常，公司在網(wǎng)絡(luò)、安全和云之間分配責(zé)任，每個(gè)人都有不同的預(yù)算、獨(dú)特的所有權(quán)、甚至是管理這些領(lǐng)域的獨(dú)特工具。獲得對(duì)云的可視性來(lái)確保其安全，則需要打破這三個(gè)組織之間的溝通墻。內(nèi)部部署的相同安全工具也能夠保護(hù)云，因此需要云和安全團(tuán)隊(duì)進(jìn)行溝通。
那么到底誰(shuí)應(yīng)該關(guān)注組織的云安全性？它需要是具有正確技能和承諾能力的人或團(tuán)隊(duì)。我們需要找到這類人或團(tuán)隊(duì)，并讓他們?cè)谖磥?lái)三到五年內(nèi)建立組織的安全策略。
在過(guò)去幾年中，這往往是IT運(yùn)營(yíng)團(tuán)隊(duì)或企業(yè)安全團(tuán)隊(duì)，但始終會(huì)有一個(gè)架構(gòu)師級(jí)別的個(gè)人貢獻(xiàn)者或?qū)ｉT的云安全團(tuán)隊(duì)作為這項(xiàng)工作的核心。這種新型的安全專業(yè)人員可以編寫(xiě)代碼，花費(fèi)80％以上的時(shí)間自動(dòng)化他們的工作，并將開(kāi)發(fā)團(tuán)隊(duì)視為他們的同行而不是對(duì)手。
雖然一些公司的董事會(huì)對(duì)安全問(wèn)題非常感興趣，但他們卻沒(méi)什么能幫助的。Govshteyn說(shuō)：
實(shí)際上，當(dāng)今云安全問(wèn)題的關(guān)鍵決策，大部分來(lái)自能夠跟上公共云快速變化的技術(shù)人員。
超過(guò)一半的受訪者認(rèn)為，保護(hù)云的任務(wù)更加復(fù)雜的是，他們的組織尚未實(shí)施云戰(zhàn)略或框架。雖然幾乎所有的組織都計(jì)劃在未來(lái)這樣做，但目前尚不清楚究竟是誰(shuí)主導(dǎo)了這一倡議。
|
