使用云来托管业务的数据，应用程序和其他资产在管理，访问和可扩展性方面提供了多种好处。但云也存在一定的安全风险。传统上，这些风险主要集中在拒绝服务，数据丢失，恶意软件和系统漏洞等方面。云安全联盟周二发布的一份报告认为，云安全方面的最新威胁现已转移到围绕云战略和实施做出的决策上。

根据对云行业安全问题的241位行业专家的调查，CSA的报告  “云计算的顶级威胁： 恶劣11”  重点关注云环境中的11个显着威胁，风险和漏洞。对于所描述的每种威胁，报告以关键要点的形式突出显示了业务影响，具体示例和建议。

1.数据泄露

数据泄露可以是任何网络安全事件或攻击，其中敏感或机密信息被未经授权的个人查看，窃取或使用。

商业冲击

数据泄露可能会损害公司的声誉并助长客户和合作伙伴的不信任。

违规可能导致竞争对手失去知识产权（IP），从而影响新产品的发布。

监管影响很多导致经济损失。

对公司品牌的影响可能会影响其市场价值。

可能会产生法律和合同责任。

事故响应和取证可能导致财务费用。

关键要点和建议

定义数据的业务价值及其损失的影响对于拥有或处理数据的组织至关重要。

保护数据正在演变成谁可以访问它的问题。

通过Internet访问的数据是错误配置或利用最容易受到攻击的资产。

加密技术可以保护数据，但也会妨碍系统性能并降低应用程序的用户友好性。

一个强大且经过充分测试的事件响应计划考虑了云提供商和数据隐私法，可以帮助数据泄露受害者恢复。

2.配置错误和变更控制不足

如果计算资产设置不正确，则会导致配置错误，从而使其容易受到恶意活动的攻击。错误配置的一些示例包括：不安全的数据存储元件或容器，过多的权限，未更改的默认凭据和配置设置，禁用的标准安全控件，未打补丁的系统以及禁用的日志记录或监视，以及对端口和服务的无限制访问。

商业冲击

业务影响取决于错误配置的性质以及检测和解决的速度。最常见的问题是存储在云存储库中的数据的暴露。

关键要点和建议

由于基于云的资源可能是复杂且动态的，因此它们可能难以配置。

传统的变更管理控制和方法在云中无效。

公司应该采用自动化和使用技术，不断扫描错误配置的资源并实时修复问题。

3.缺乏云安全架构和策略

随着公司将部分IT基础架构迁移到公共云，最大的挑战之一是实施适当的安全措施以防范网络攻击。假设您可以将现有的内部IT堆栈和安全控制“提升并转移”到云端，这可能是一个错误。

商业冲击

在云中安全地移动，部署和运行需要适当的安全架构和策略。由于安全性较弱而成功的网络攻击可能导致经济损失，声誉受损，法律影响和罚款。

关键要点和建议

确保安全架构与您的业务目标和目标保持一致。

开发并实施安全架构框架。

确保威胁模型保持最新。

持续了解实际的安全状况。

4.身份，凭证，访问和密钥管理不足

由于凭证保护不充分，加密密钥和密码缺乏定期自动轮换，缺乏可扩展的身份和凭证管理系统，无法使用多因素身份验证以及无法使用强密码，因此可能会发生安全事件和违规行为。

商业冲击

身份，凭证或密钥管理不足可能会导致未经授权的数据访问。因此，伪装成合法用户的恶意行为者可以读取，修改和删除数据。黑客还可以发布控制平面和管理功能，窥探传输中的数据，并释放看似来自合法来源的恶意软件。

关键要点和建议

保护包含双因素身份验证的帐户并限制root帐户的使用。

为云用户和身份实施最严格的身份和访问控制。

根据业务需求和最小权限原则，对帐户，虚拟私有云（VPC）和身份组进行隔离和分段。

旋转密钥，删除未使用的凭据和权限，使用中央和程序密钥管理。

5.帐户劫持

通过帐户劫持，攻击者可以访问和滥用具有高度特权或敏感性的帐户。在云环境中，风险最大的帐户是云服务帐户或订阅。

商业冲击

由于帐户劫持意味着对帐户的完全妥协和控制，依赖于帐户的业务逻辑，功能，数据和应用程序都可能存在风险。

帐户劫持的后果可能很严重。最近的一些违规案例导致严重的运营和业务中断，包括完全消除资产，数据和功能。

帐户劫持可能会导致数据泄露，从而导致声誉受损，品牌价值下降，法律责任风险以及敏感的个人和商业信息披露。

关键要点和建议

帐户劫持是一种必须认真对待的威胁。

深度防御和IAM控制是减轻帐户劫持的关键。

6.内部威胁

内部人员不必突破防火墙，虚拟专用网络（VPN）和其他安全防御，而是在可信赖的级别上运行，他们可以直接访问网络，计算机系统和敏感数据。

商业冲击

内部威胁可能导致专有信息和知识产权的丢失。

与insder攻击相关的系统停机会影响公司的工作效率。

数据丢失会降低对公司服务的信心。

处理内部安全事件需要遏制，补救，事件响应，调查，事后分析，升级，监控和监视，所有这些都会增加公司的工作量和安全预算。

关键要点和建议

采取措施尽量减少内幕疏忽，以减轻内部威胁的后果。

为您的安全团队提供培训，以正确安装，配置和监控您的计算机系统，网络，移动设备和备份设备。

为您的常规员工提供培训，告知他们如何处理安全风险，例如网络钓鱼，并保护他们在笔记本电脑和移动设备上携带的公司数据。

需要强密码和频繁的密码更新。

告知员工与参与恶意活动有关的影响。

定期审核云和内部部署的服务器，然后更正整个组织中安全基准集的任何更改。

确保特权访问安全系统和中央服务器仅限于最少数量的员工，并且这些人员仅包括那些接受过关键任务计算机服务器管理培训的人员。

监视对任何权限级别的所有计算机服务器的访问。

7.不安全的接口和API

API（应用程序编程接口）和UI（用户界面）通常是系统中暴露最多的部分，通常是在可信边界之外可用的公共IP地址的唯一资产。从身份验证和访问控制到加密和活动监视，这些接口必须设计为防止意外和恶意企图绕过安全。

商业冲击

虽然大多数云提供商都试图将安全性集成到他们的模型中，但云客户也必须了解安全隐患。一组弱接口和API使组织面临与机密性，完整性，可用性和责任相关的各种安全问题。

关键要点和建议

实践良好的API卫生。这包括对库存，测试，审核和异常活动保护等项目的勤勉监督。

确保正确保护API密钥并避免重复使用。

考虑使用标准和开放API框架（例如，开放云计算接口（OCCI）和云基础架构管理接口（CIMI））。

8.弱控制平面

控制平面使安全性和完整性能够补充数据平面，从而提供数据的稳定性。弱控制平面意味着负责人不能完全控制数据基础设施的逻辑，安全性和验证。

商业冲击

弱控制平面可能导致数据丢失，无论是盗窃还是腐败。也可能发生数据丢失的监管处罚。

由于控制平面较弱，用户可能也无法保护其基于云的业务数据和应用程序。

关键要点和建议

通过云提供商提供的充分安全控制是必要的，以便云客户可以履行其法律和法定义务。

云客户应执行尽职调查，并确定他们打算使用的云服务是否拥有足够的控制平面。

9.元结构和应用失败

在元结构和应用结构模型中存在多个层面的潜在故障。例如，云提供商的不良API实施为攻击者提供了通过中断服务的机密性，完整性或可用性来破坏云客户的机会。

商业冲击

元结构和应用程序是云服务的关键组件。在云提供商级别涉及这些功能的故障会严重影响所有服务使用者。同时，客户的错误配置可能会在财务和操作上扰乱用户。

关键要点和建议

云提供商必须提供可见性并公开缓解措施，以抵消云对客户的固有缺乏透明度。

云客户应在云原生设计中实施适当的功能和控制。

所有云提供商都应进行渗透测试并向客户提供调查结果。

10.有限的云使用可见性

当组织无法可视化和分析组织内的云服务使用是安全还是恶意时，就会发生有限的云使用可见性。

商业冲击

缺乏治理。当员工不熟悉正确的访问和治理控制时，敏感的公司数据可以放在公共访问位置和私人访问位置。

缺乏意识。当数据和服务在公司不知情的情况下使用时，他们无法控制其IP。这意味着员工拥有数据，而不是公司。

缺乏安全感。当员工错误地设置云服务时，它不仅可以用于驻留在其上的数据，还可用于未来的数据。恶意软件，僵尸网络，加密货币挖掘恶意软件等可以危害云容器，放置组织数据，服务和财务风险。

关键要点和建议

降低这些风险始于从上到下开发完整的云可见性工作。这个过程通常始于创建一个与人员，流程和技术相关的综合解决方案。

在全公司范围内就可接受的云使用政策和执法进行培训。

所有未经批准的云服务都应由云安全架构师或第三方风险管理部门审核和批准。

投资云访问安全代理（CASB）或软件定义网关（SDG）等解决方案，以分析出站活动并帮助发现云使用情况，风险用户，并遵循有资质的员工识别异常的行为。

投资Web应用程序防火墙（WAF），以分析云服务的所有入站连接，以查找可疑趋势，恶意软件，分布式拒绝服务（DDoS）和僵尸网络风险。

选择专门用于监控和控制所有关键企业云应用程序（企业资源规划，人力资本管理，商务体验和供应链管理）的解决方案，并确保可以减轻可疑行为。

在整个组织中实施零信任模型。

11.滥用和恶意使用云服务

恶意行为者可以利用云计算资源来定位用户，组织或其他云提供商，还可以在云服务上托管恶意软件。滥用云资源的一些示例包括：发起DDoS攻击，电子邮件垃圾邮件和网络钓鱼活动，数字货币“挖掘”，大规模自动点击欺诈，被盗凭证数据库的暴力攻击以及恶意或盗版内容的托管。

商业冲击

如果攻击者破坏了客户云基础架构的管理平面，则攻击者可以在客户支付账单时将云服务用于非法目的。如果攻击者消耗大量资源（例如挖掘加密货币），那么该法案可能会很大。

攻击者还可以使用云来存储和传播恶意软件。企业必须有适当的控制来处理这些新的攻击媒介。这可能意味着采购可以监控来自云服务的云基础架构或API调用的安全技术。

关键要点和建议

企业应该监控云中的员工，因为传统机制无法降低云服务使用带来的风险。

采用云数据丢失防护（DLP）技术来监控和阻止任何未经授权的数据泄露。

CSA全球研究副总裁John Yeoh在新闻发布会上说：“云的复杂性可能是攻击者隐藏的最佳场所，可以隐藏起来作为进一步伤害的启动板。” “不了解威胁，风险和漏洞使得保护组织免受数据丢失变得更具挑战性。因此，Top Threats报告的这一次迭代中概述的安全问题是一种行动呼吁，用于开发和增强云安全意识，配置和身份管理。“