云計算環(huán)境中與安全性有關(guān)的弱點或缺陷可能會給企業(yè)帶來沉重打擊。在網(wǎng)絡(luò)攻擊者進行攻擊之前，企業(yè)需要找出其薄弱環(huán)節(jié)。

有些企業(yè)認(rèn)為云計算可以自動保護其工作負(fù)載和數(shù)據(jù)免受攻擊、盜竊和其他不當(dāng)行為侵害，這是一種錯誤的想法。因為即使在云平臺中，安全漏洞和潛在的網(wǎng)絡(luò)攻擊也是不可避免的。

云平臺是一種多租戶環(huán)境，可以在分布在全球各地的客戶之間共享基礎(chǔ)設(shè)施和資源。云計算提供商必須努力維護其共享基礎(chǔ)設(shè)施的完整性。與此同時，云計算是一個自助服務(wù)平臺，每個客戶都必須仔細(xì)定義其每個工作負(fù)載和資源的具體控制。

在深入研究這些云安全挑戰(zhàn)以及如何防范安全風(fēng)險之前，企業(yè)必須了解三種主要危險類型之間的差異：威脅、漏洞、風(fēng)險。這些術(shù)語通常可以互換使用，但是對于IT安全專業(yè)人員來說它們具有不同的含義。

威脅是指組織必須防范的實際發(fā)生的事情，例如拒絕服務(wù)(DoS)攻擊、人為錯誤或自然災(zāi)害。

漏洞是指組織安全態(tài)勢中的疏忽、漏洞、弱點或其他缺陷。這可能包括配置不當(dāng)?shù)姆阑饓?、未修補的操作系統(tǒng)或未加密的數(shù)據(jù)。

風(fēng)險是需要仔細(xì)評估的組織脆弱性的潛在威脅。例如，有人將未加密的數(shù)據(jù)存儲在公共云中，人為錯誤可能會導(dǎo)致數(shù)據(jù)被訪問或更改。這可能被認(rèn)為是必須防范的重大業(yè)務(wù)風(fēng)險。

當(dāng)用戶了解公共云漏洞時，他們可以識別潛在的安全漏洞和常見錯誤。IT團隊需要識別并解決各種類型的危險，以防止其系統(tǒng)被利用。以下是六個最常見的云計算的安全問題：

1.配置錯誤

用戶自己負(fù)責(zé)配置，因此企業(yè)的IT團隊需要優(yōu)先掌握各種設(shè)置和選項。云計算資源受到一系列配置設(shè)置的保護，這些設(shè)置詳細(xì)說明了哪些用戶可以訪問應(yīng)用程序和數(shù)據(jù)。配置錯誤和疏忽可能會泄露數(shù)據(jù)，并允許誤用或更改該數(shù)據(jù)。

每個云計算提供商都使用不同的配置選項和參數(shù)。用戶有責(zé)任學(xué)習(xí)和理解承載其工作負(fù)載的平臺如何應(yīng)用這些設(shè)置。

IT團隊可以通過多種方式減少配置錯誤：

除非特權(quán)對于特定的業(yè)務(wù)或應(yīng)用程序任務(wù)是必需的，否則采用并執(zhí)行最低特權(quán)或零信任的策略來阻止對所有云計算資源和服務(wù)的訪問。

采用云計算服務(wù)策略以確保默認(rèn)情況下資源為私有。

創(chuàng)建并使用清晰的業(yè)務(wù)策略和準(zhǔn)則，概述云計算資源和服務(wù)所需設(shè)置的配置。

學(xué)習(xí)云計算提供商的配置和安全設(shè)置，可以考慮學(xué)習(xí)提供商提供特定的課程和認(rèn)證。

在默認(rèn)情況下，使用加密來保護靜止和傳輸中的數(shù)據(jù)。

使用Intruder和Open Raven等工具檢查配置錯誤和審核日志。

2.訪問控制不良

未經(jīng)授權(quán)的用戶利用不良的訪問控制繞過薄弱或缺乏的身份驗證或授權(quán)方法。

例如，惡意行為者利用弱密碼來猜測憑據(jù)。強大的訪問控制可實現(xiàn)其他要求，例如最小密碼長度、大小寫混合、標(biāo)點符號或符號以及頻繁更改密碼。

訪問控制的安全性可以通過幾種常見的策略來增強。

強制使用強密碼，并要求定期重置。

使用多因素身份驗證技術(shù)。

要求用戶定期重新認(rèn)證。

采用最低特權(quán)或零信任的策略。

避免使用第三方訪問控制，而對云平臺中的服務(wù)和資源采用基于云計算的訪問控制。

3.影子IT

任何人都可以創(chuàng)建公共云帳戶，然后可以使用其帳戶來提供服務(wù)以及遷移工作負(fù)載和數(shù)據(jù)。但是那些不精通安全標(biāo)準(zhǔn)的人常常會誤解安全選項——留下可利用的云漏洞。在許多情況下，這種“影子IT”部署甚至可能永遠不會識別或報告漏洞。這使得企業(yè)在損失發(fā)生很久之后才有機會緩解問題。

當(dāng)今的企業(yè)對影子IT的容忍度更高，但實施標(biāo)準(zhǔn)配置和實踐至關(guān)重要。業(yè)務(wù)用戶、部門和其他實體必須遵守業(yè)務(wù)的既定標(biāo)準(zhǔn)，以消除漏洞并保持整個組織的安全。

4.不安全的API

不相關(guān)的軟件產(chǎn)品使用API??進行通信和互操作，而無需了解彼此代碼的內(nèi)部工作原理。API通常需要敏感的業(yè)務(wù)數(shù)據(jù)，并授予對這些數(shù)據(jù)的訪問權(quán)。許多API被公開以幫助加速采用，使外部開發(fā)人員和業(yè)務(wù)合作伙伴能夠訪問企業(yè)的服務(wù)和數(shù)據(jù)。

但是有時會在沒有足夠的身份驗證和授權(quán)的情況下實現(xiàn)API。它們完全向公眾開放，因此任何具有互聯(lián)網(wǎng)連接的人都可以訪問并可能危害數(shù)據(jù)。因此，不安全的API迅速成為黑客和其他惡意行為者的主要攻擊向量。

無論是使用云計算提供商的API還是創(chuàng)建部署在云中的業(yè)務(wù)API，使用以下內(nèi)容開發(fā)和使用API??都是很重要的：

強身份驗證

數(shù)據(jù)加密

活動監(jiān)控和記錄

訪問控制

開發(fā)和實現(xiàn)API的企業(yè)應(yīng)將API視為敏感代碼，并應(yīng)該進行全面的安全審查，包括滲透測試。云計算和其他外部API應(yīng)該受到同樣的審查。避免使用不符合既定安全準(zhǔn)則的外部API。

5.違規(guī)

在云計算服務(wù)的應(yīng)用中，云計算提供商負(fù)責(zé)云平臺的安全性，而客戶負(fù)責(zé)其數(shù)據(jù)的安全性。

在這種共享責(zé)任模型中，云計算提供商維護基礎(chǔ)設(shè)施的完整性和操作，并控制客戶資源和數(shù)據(jù)的分離?？蛻糌?fù)責(zé)配置應(yīng)用程序和數(shù)據(jù)安全，例如訪問控制。

當(dāng)威脅成功利用漏洞并在沒有適當(dāng)?shù)纳虡I(yè)目的的情況下訪問數(shù)據(jù)時，企業(yè)應(yīng)對該破壞和任何后續(xù)后果承擔(dān)全部責(zé)任。考慮以下常見的例子：

敏感的客戶數(shù)據(jù)被盜，使企業(yè)違反了現(xiàn)行的監(jiān)管義務(wù)，并損害了其聲譽。

重要數(shù)據(jù)被盜，這會導(dǎo)致知識產(chǎn)權(quán)損失，損害企業(yè)的競爭地位，并危害產(chǎn)生該數(shù)據(jù)的投資。

內(nèi)部業(yè)務(wù)數(shù)據(jù)被更改或擦除，這會產(chǎn)生大量潛在影響，例如生產(chǎn)問題。

違規(guī)行為通常會對企業(yè)造成處罰。例如，違反監(jiān)管義務(wù)的行為可能導(dǎo)致處罰和罰款。涉及為客戶或客戶存儲的數(shù)據(jù)的違規(guī)行為可能會導(dǎo)致違反合同的行為，從而導(dǎo)致耗時的訴訟和成本高昂的補救措施。

確保配置正確，并遵循本文概述的其他預(yù)防措施，以減輕任何監(jiān)管或法律風(fēng)險。

6.中斷

云計算基礎(chǔ)設(shè)施非常龐大，但確實會發(fā)生故障——通常會導(dǎo)致影響廣泛的云中斷。這種中斷是由硬件問題和配置疏忽造成的，正是影響傳統(tǒng)數(shù)據(jù)中心的問題。

云平臺也可能受到分布式拒絕服務(wù)和其他旨在損害云計算資源和服務(wù)可用性的惡意機制的攻擊。如果網(wǎng)絡(luò)攻擊者可以使公共云資源或云計算服務(wù)不可用，它將影響使用這些資源和服務(wù)的云計算用戶。云計算提供商擅長應(yīng)對網(wǎng)絡(luò)攻擊，當(dāng)特定業(yè)務(wù)工作負(fù)載受到網(wǎng)絡(luò)攻擊時，企業(yè)的支持團隊可以提供幫助。

盡管企業(yè)和其他公共云用戶無法防止云計算中斷和攻擊，需要考慮此類中斷對云計算工作負(fù)載和數(shù)據(jù)源的影響，并將此類事件作為災(zāi)難恢復(fù)策略的一部分進行規(guī)劃。

鑒于公共云的廣泛性質(zhì)，通?？梢酝ㄟ^跨云區(qū)域或區(qū)域?qū)嵤┑母呖捎眯约軜?gòu)解決災(zāi)難恢復(fù)。不過這并不是自動的，企業(yè)必須仔細(xì)設(shè)計它們并定期進行測試，以確保業(yè)務(wù)不會受到任何影響。

新聞標(biāo)題：可能破壞企業(yè)運營環(huán)境的6個云計算安全問題
網(wǎng)站鏈接：http://m.newbst.com/news0/201500.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供微信小程序、網(wǎng)站營銷、外貿(mào)建站、網(wǎng)站設(shè)計公司、靜態(tài)網(wǎng)站、網(wǎng)站維護

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)