微信号:YunTouTiao

介绍:云计算领域科技媒体:传播观点,传播价值;Web:www.yuntoutiao.com ,欢迎互动~~~

12大云计算安全威胁

2016-05-08 15:04 云头条


虽然如今比以往更多的公司企业向云迁移,但云计算领域仍然并非完全没有风险。为了应对其中一些威胁,云安全联盟(CSA)制作了《12大威胁》报告。虽然这些威胁确实存在,不过有一些方法可以限制有害影响的风险。


数据泄露


云环境和更传统的本地网络上都有可能发生数据泄露。贵公司的数据对某些人来说具有不同的价值。比如说,有组织的犯罪团伙可能设法获取财务、健康或个人信息,帮助实施欺诈活动。与此同时,竞争对手可能想要获得专有信息或知识产权。你可能还会遇到这种人:对方只想泄露秘密,让你难堪,或者给你造成破坏。如果发生数据泄露,公司可能遭受巨额罚款,在一些情况下还可能面临民事诉讼和刑事指控。


云服务提供商在某些方面制定有严格的安全规程,不过最终还得由公司客户来负责保护其在云端的数据。最好的第一步就是安装一款高效的安全软件。如果采用多因子验证和加密机制,你就能减小数据泄露的几率。


身份、登录信息和访问管理不到位


据CSA的报告声称,“之所以会出现数据泄露或给攻击造成可趁之机,是由于缺少可灵活扩展的身份访问管理系统,没有使用多因子验证,使用弱密码,以及加密密钥、密码和证书缺少日常的自动轮换机制。”要考虑到:身份管理系统必须可灵活扩展,以便为数百万用户以及托管服务提供商(MSP)处理生命周期管理。如果员工由于某种原因离开公司,或者在公司内部变换角色,身份管理系统需要立即更新其访问级别。


冒充合法用户、操作人员或开发人员的不法之徒可以获取、篡改和删除数据。对攻击者来说,任何含有数据秘密(包括密码、私钥和客户数据库)的集中式存储机制都是诱人的攻击目标。密码和密钥集中存储是很方便,但不是最安全的做法。监控和保护身份及密钥管理系统应该是任何公司的重要优先事项。随着这些系统变得更加密切关联,托管服务提供商有助于减小用户维护的需要。


不安全的接口和API


云服务提供商要暴露一套软件用户接口(UI)或应用编程接口(API),供客户使用。这些接口在设计时一定要防范无意和有意规避策略的企图。API和UI通常是系统中最暴露的部分;由于企业组织和第三方在这些接口的基础上为客户提供增值服务,这可能会加大风险。


公司必须明白使用、管理、编排和监控云服务方面给安全带来的影响。威胁建模应用程序和系统(包括数据流和架构)是开发生命周期的重要部分。除了仅仅执行侧重安全的代码审查外,渗透测试也从可有可无变成必不可少。


系统安全漏洞


系统安全漏洞“是程序中可被人利用的错误(bug),攻击者可以利用漏洞渗入到计算机系统,以便窃取数据、控制系统,或者干扰服务运行。”程序错误不是什么新鲜事,但网络搭建起来后,就可能被人远程利用。由于来自不同企业组织的系统放在相邻位置,共享内存和资源带来了一种新的攻击面。


幸好,基本的IT流程可以减少这些攻击:一致的安全漏洞扫描,报告系统威胁,安装安全补丁和更新版,这些做法都大有帮助。未打上补丁的系统安全漏洞存在很大的隐患――相比可能造成的危害,实施IT流程以便发现并修补任何安全漏洞的成本要低得多。这对受到高度监管的企业组织来说特别重要,比如银行或政府机构。必须模拟安全漏洞场景,确保所有活动都妥善记入文档并受到了评估。如果使用了另一种方法来处理威胁,包括淘汰、转移或接受,这种方法也要记入文档,并予以跟踪。


账户劫持


网络钓鱼、欺诈和利用软件安全漏洞继续是获取敏感数据的有效方法。云平台(包括AWS和Azure)更是增加了新的难题:“如果攻击者访问了你的登录信息,他们就能窃听你的活动和交易事务,操控数据,返回虚假信息,并且将你的客户重定向到非法网站。”如果你好不容易树立起了良好信誉,一两次这样的攻击确实会严重破坏你的可信度。


借助窃取的登录信息,攻击者就能访问云的关键部分,窃取数据、影响服务、破坏声誉,不一而足。为了避免这种情况,企业组织应该尽量避免在用户和服务当中共享帐户登录信息。积极采用强有力的多因子验证也是个很好的举动。另外要密切跟踪所有帐户和帐户活动。要是无法查明问题出在某个所有人身上,就要引起注意了。


恶意内部人员


欧洲核子研究组织是这样定义内部人员威胁的:“对企业组织构成威胁的恶意内部人员是指现任或前任员工、合同工或其他业务合作伙伴,他们可授权访问企业的网络、系统或数据,但是有意逾越或滥用这种访问权,从而给企业的信息或信息系统的机密性、完整性或可用性带来了负面影响。”


这是云服务提供商感到头痛的方面之一。实施的加密方法仍有可能受到攻击。但是如果不断监控、审查和记录活动,企业组织就能避免内部人员威胁。公司还可以亲自控制访问和密钥,以便按照角色分配职务、限制访问。

另外有必要提醒一下,“内部人员威胁”未必意味着有人为非作歹。比如说,员工可能只是不小心将敏感数据上传到了公共论坛。


高级持续性威胁(APT)


APT是“一种寄生形式的网络攻击,它渗入系统后,在目标攻击的计算基础设施建立根据地,然后偷偷往外窃取数据和知识产权。”APT的常见入口点包括:鱼叉式网络钓鱼(通过USB设备来分发攻击代码)、径直攻击系统、通过合作伙伴网络来渗透,以及使用不安全的网络或第三方网络。


想检测APT可能比较困难,因为它们常常灵活多变,规避旨在防范它们的安全措施。一旦它们潜入进来,就会在数据中心网络中横向移动,与网络上的正常流量混杂在一起。IT部门需要随时了解最新的高级网络安全攻击,而且知道如何识别并处理鱼叉式网络钓鱼之类的社会工程学伎俩。用户想防范APT,小心谨慎是最有效的措施之一。当然,在打开附件或点击链接之前,始终要三思而后行,如果你不认识发件人,更要小心。


数据丢失


恶意企图并不是数据丢失的唯一原因。像火灾和地震这些自然灾害,以及用户或提供商不小心犯下的错误,也会导致数据永久性删除。数据还有可能因加密而丢失――客户可能在将数据上传到云端之前加密数据,可是后来丢失了加密密钥。信息可谓是几乎每一家企业组织的核心资产。实际上,按照新的欧盟数据保护法规,数据销毁和个人数据损坏也被认为是一种数据泄露――所以确保你采取了保护数据的措施。


任何优秀的云服务提供商应该已经采取了措施,备份数据,并遵循业务连续性和灾难恢复方面的最佳实践。它们还会每天备份数据,可能将一些数据或所有数据存储在异地。企业组织常常也要保留审计记录或类似的文档,以证明遵从法规。确保数据没有丢失很重要,否则合规性就会岌岌可危。


尽职调查不到位


想最大可能地获得成功,评估技术和云服务提供商时,为尽职调查制定一份可靠的路线图,并确保核对列表,这项工作必不可少。如果一家公司先不进行全面深入的调查研究,就贸然采用云或其他任何技术,就有可能面临众多风险。


商业风险也许不是云服务提供商担心的首要风险,比如刚设计的客户服务,依赖提供商来开发新的系统和流程。技术风险也有可能存在;如果设计人员在云技术方面经验有限,可能会设计发送到云端的应用程序。而从法律层面上来说,企业组织必须认识到在国外的使用中数据、传输中数据或静态数据。此外,如果把依赖“内部”网络层数据隐私和安全控制机制的应用程序移到云,要是那些控制机制消失,就会突然面临合规风险。公司必须执行全面深入的尽职调查,并广泛了解自己承担的潜在风险。


滥用和违法使用云服务


我们前面讲过了不法之徒,他们利用云计算资源攻击用户、企业组织或其他云服务提供商。CSA白皮书举了许多例子,包括“发动分布式拒绝服务(DDoS)攻击、垃圾邮件和网络钓鱼活动,‘挖掘’数字货币、大规模自动化点击欺诈、蛮力攻击失窃登录信息数据库,以及托管恶意或盗版内容。”这种违法使用减少了实际客户的可用计算容量,有时导致业务中断的成本增加。


为了尽量降低这种风险,云服务提供商应该制定一个事件响应框架,应对任何滥用资源的情况。这包括客户有办法报告滥用情况,并监控云工作负载的状态。与往常一样,积极主动胜过消极被动。


拒绝服务


拒绝服务(DoS)攻击“旨在阻止服务的用户能够访问其数据或应用程序。通过迫使被攻击的云服务耗用数量过多的有限系统资源,比如处理器能力、内存、磁盘空间或网络带宽,一个或多个攻击者(就像分布式拒绝服务攻击中那样)导致系统速度慢得让人无法接受,让所有合法的服务用户都感到困惑、发怒,不知为何服务没有响应。”


在你像某些人那样将计算机扔到垃圾堆之前,应明白缓解DDoS攻击的关键是,在攻击发生之前有所准备。系统管理员必须能够立即访问可用来尽量减小风险的资源。云服务提供商常常更有能力缓解这些种类的攻击,你在尽职调查期间应该能发现这一点。一旦DDoS攻击发生,CSA白皮书就将这比作遇上出行高峰期:“你无法抵达目的地,除了坐等外,你无计可施。”


共享技术问题


云服务提供商能够通过共享基础设施、平台或应用程序,提供可灵活扩展的服务。CSA白皮书声称,构成部署基础设施的底层部件(比如CPU缓存或GPU)“也许在设计当初并没有为多租户架构(IaaS)、可重复部署的平台(PaaS)或多客户应用系统(SaaS)提供强有力的隔离机制。这会导致共享技术安全漏洞,可能在所有交付模式中都会被人利用。”这种安全漏洞来得特别危险,因为它有可能不仅仅影响一个客户,而是有可能同时影响整个云环境。


计算、存储、网络、应用程序和用户安全执行以及监控都应该利用起来,不管服务模式是PaaS、IaaS还是SaaS。还有另外的方法可以降低风险,比如在所有主机上实施多因子验证,在内部网络上实施基于主机的入侵检测系统(HIDS)和基于网络的入侵检测系统(NIDS),并且对共享资源打上补丁。


为了消除云安全风险,第一步是教育自己。一旦你认识到这些威胁带来的潜在危害,就能制定一种积极主动的方法来阻止危害,或者起码缓解危害。如果你还有什么问题,可以访问云安全联盟网站(https://cloudsecurityalliance.org/membership/solution-providers/),了解更多信息。


相关阅读:

数百万的Web服务器面临ImageMagick攻击之虞

废弃防火墙:Google决定不再区分内外网

关于加强党政部门云计算服务网络安全管理的意见

你的 OpenStack云够安全吗?

Gartner认为安全性将取代成本和敏捷性成为政府部门采用云服务的首要原因

为何云安全是你的下一个棘手难题?

云计算会革安全的命?

轻松保护网络 十大基于云的安全工具

全球技术采用指数:大数据、云计算、安全等

十大注定要被淘汰的安全技术


安全群欢迎加入,群主微信:aclood




 
云头条 更多文章 2014年美国风投趋势解读(上) 2015年云计算市场预测(Forrester) 惠普再度摇摆:公有云退还是不退? 中国暂时不向IBM们要源代码了 全球托管收入将在2017年达到360亿美元
猜您喜欢 【测试框架】创建一个有效的GUI自动化框架 小鱼天气:关心你身边每一平方公里的空气质量 ❥ 5.1假期旅行住宾馆时,怎么知道房间有没有针孔摄像头? Android ListView工作原理完全解析,带你从源码的角度彻底理解(郭林) App定位和地图的那些坑