[[172828]]

對于保護企業免受外部和內部威脅來說，云IAM策略是非常重要的。專家Rob Shapland介紹了如何加強云IAM。

云安全聯盟的一份最新報告顯示，身份認證與訪問管理是眾多正在部署云應用的企業所面臨的最大問題之一。有超過二成的受訪者表示，憑證泄露被證明是數據泄露的直接原因。攻擊者總是青睞竊取合法憑證;對于絕大多數企業的監控系統來說，他們是很難區分黑客使用真實用戶名密碼登錄和真實用戶登錄的。只有更為先進的防御系統才能夠檢測到已登錄用戶的不正常行為。

在CSA報告中，只有大約一半的企業表示，他們正在使用單點登錄，這意味著在很多情況下，用戶是使用密碼方式來訪問云計算應用程序的，而其帳戶策略可能與企業政策不符。這也就意味著，工作人員需要記住更多的密碼，這將有可能導致一些不好的使用習慣，例如使用相同密碼或者寫下密碼。沒有SSO的云計算應用程序也不可能被連接到企業監控軟件，所以成功和失敗的的登錄嘗試都不會被記錄下來。這是黑客們所夢寐以求的，因為利用密碼管理不善的漏洞是入侵任何組織的最簡單方法之一。

黑客如何利用云IAM弱點

大多數企業都采用了過期密碼的策略——例如，八個具有一定復雜性的字符，這個策略無助于抵御黑客用來獲得訪問密碼的方法。防范密碼猜測攻擊的正確方法是使用密碼短語。但是，即便是那些正確實施密碼短語的企業也可能會發現中云中使用這個策略，因為很多云應用都限制了密碼的最大長度。

密碼猜測并不是黑客用于獲取帳戶訪問權限的唯一方法;通過電子郵件釣魚方式盜竊訪問憑證通常更為簡單，這是民族主義黑客和有組織犯罪攻擊者最喜歡使用的一種方式。云IAM策略需要反映這一風險，而企業應當竭盡所能降低這一風險的發生概率，例如在所有面向互聯網的服務中使用多重身份驗證。

加強企業的IAM策略

確保正確管理云IAM的第一步就是驗證正確的IAM策略，以便防范現代黑客用于獲取用戶帳戶的實際方法。現有的IAM策略在推出應用于云服務之前，應確保IAM策略的現代化和強大。一旦策略實施到位并經過測試，那么下一步就是將這個策略擴展覆蓋云應用。但是，該策略不應只是應用于企業本身，它還應覆蓋外包IT、供應商以及第三方。然后應集中控制策略，這是關鍵的挑戰之一。

云IAM并不完全就是關于密碼的配置;它還涉及確保在雇員變更崗位或離職時的應對措施，如改變訪問權限或刪除訪問帳戶。這就要求一個涵蓋所有云服務的強大參與者、變崗者和離職者策略，要求企業能夠了解和理解影子云服務。不理解誰有訪問云應用的權限，以及為什么外部黑客和內部用戶有可能顯著增加風險。

云IAM是安全擴展企業網絡邊界并囊括云的一個主要挑戰。其中關鍵的一點就是理解誰有訪問權限以及訪問了哪些應用。企業IAM策略需要擴展涵蓋用戶已經確定的云應用，然后整合能夠報告云服務中異常登錄活動的報警機制。通過實施這一過程，它能減少在企業沒有意識到的情況下訪問憑證被盜和誤用的可能性。