組織將其業務遷移到云端之前，需要了解可能面臨的云安全挑戰，以及如何應對這些挑戰。

所有云計算平臺的主要承諾(例如提高IT效率、靈活性和可擴展性)都面臨一個重大挑戰：安全性。

許多組織無法界定云計算服務提供商(CSP)的職責在何處終止以及他們的職責從何處開始，因此可能存在更多漏洞。云計算的擴展性也增加了組織的潛在攻擊面。而使問題進一步復雜化的是，傳統的安全控制措施通常無法滿足云安全需求。

為了幫助組織了解他們面臨的云計算挑戰，云安全聯盟(CSA)在10年前成立了一個專業團隊。這個由行業人士、架構師、開發人員以及組織高管組成的調查團隊確定了一個包含25種安全威脅的列表，然后由安全專家進行分析，并對這些安全威脅進行排名，并將這些安全威脅精簡到11種最常見的云計算安全挑戰：

• 數據泄露;
• 配置錯誤和變更控制不足;
• 缺乏云安全架構和策略;
• 身份、憑證、訪問和密鑰管理不足;
• 帳戶劫持;
• 內部威脅;
• 不安全的接口和API;
• 控制平臺薄弱;
• 元結構和應用程序結構失效;
• 有限的云使用可見性;
• 濫用和惡意使用云計算服務。

從那時起，云安全聯盟(CSA)每兩年發布一份調查報告。而日前發布的一份名為“令人震驚的云計算的11個最大威脅”的報告，其中詳細說明了這些威脅以及確定是誰的責任，或者是客戶的責任，或者云計算服務提供商(CSP)的責任，還是兩者都有責任，并提供了幫助組織實施云計算安全保護的步驟。

云安全聯盟(CSA)發布的第五份調查報告顯示了一些重大變化。值得注意的是，這11種主要安全威脅中有6種威脅是新出現的。此外，這些威脅并不是云計算服務提供商(CSP)的全部責任，而都與客戶有關，或者是云計算服務提供商(CSP)和客戶共同承擔的責任。

云安全聯盟(CSA)全球研究副總裁John Yeoh表示：“我們注意到，最主要的趨勢是組織對客戶的控制力有所增強。”他將發生的這些變化歸因于兩件事：或者組織對云計算服務提供商(CSP)信任度顯著提高，或者組織希望加強控制并更好地了解他們在云平臺中可以做些什么，以及如何使用云服務滿足其特定的安全要求。

在今年發布的調查報告中，根據對受訪者進行的調查，以下是按嚴重程度排列的11種安全威脅以及每種安全威脅的緩解措施：

1. 數據泄露

云安全聯盟(CSA)的這份調查報告表明，數據泄露仍然是云計算服務提供商(CSP)及其客戶的責任，在2021年仍然是最大的云安全威脅。在過去幾年中，許多數據泄露都歸因于云平臺，其中最引人注目的事件之一就是Capital One公司的云計算配置錯誤。

數據泄露可能會使一些組織陷入困境，聲譽遭受不可逆轉的損害，并且由于監管影響、法律責任、事件響應成本，以及市場價值下降而造成財務方面的困難。

云安全聯盟(CSA)的建議如下：

• 確定數據價值及其損失的影響;
• 通過加密保護數據;
• 制定強有力的、經過充分測試的事件響應計劃。

云安全聯盟(CSA)的云控制矩陣(CCM)規范包括以下內容：

• 執行數據輸入和輸出完整性例程;
• 將最小特權原則應用于訪問控制;
• 建立安全刪除和處置數據的政策和程序。

云安全聯盟(CSA)的云控制矩陣是云安全聯盟(CSA)安全指南的支持文件，這份指南是第四代文檔，概述了各種云域及其主要目標。

云控制矩陣(CCM)提供了按控制區域和控制ID分類的需求和控制的詳細列表，每個列表對應于其控制規范、架構相關性、云交付模型(SaaS、PaaS和IaaS)，以及標準和框架(如PCI DSS、NIST和FedRAMP)。

2. 配置錯誤和變更控制不足

如果資產設置不正確，則很容易受到網絡攻擊。例如，Capital One公司的安全漏洞可以追溯到泄露Amazon S3存儲桶的Web應用程序防火墻配置錯誤。除了不安全的存儲之外，權限過大和使用默認憑據也是出現數據漏洞的另外兩個主要來源。

與此相關的是，無效的變更控制可能會導致云計算配置錯誤。在按需實時云計算環境中，更改控制應該實現自動化以支持快速更改。

客戶的責任，錯誤的配置和變更控制是云安全威脅列表的新增內容。

云安全聯盟(CSA)的建議如下：

• 特別關注可通過互聯網訪問的數據;
• 定義數據的業務價值及其丟失的影響;
• 創建并維護強有力的事件響應計劃。

云控制矩陣(CCM)規范包括以下內容：

• 確保外部合作伙伴遵守內部開發人員使用的變更管理、發布和測試程序;
• 按計劃的時間間隔進行風險評估;
• 對承包商、第三方用戶和員工進行安全意識培訓。

3. 缺乏云安全架構和策略

很多組織在沒有適當的架構和策略的情況下進入云端。在遷移到云平臺之前，客戶必須了解他們所面臨的威脅，如何安全地遷移到云平臺以及共享責任模型的來龍去脈。

這種威脅是清單中的新內容，主要是客戶的責任。如果沒有適當的計劃，客戶將很容易受到網絡攻擊，從而可能導致財務損失，聲譽受損以及法律和合規性問題。

云安全聯盟(CSA)的建議如下：

• 確保安全架構符合業務目標。
• 開發和實施安全架構框架。
• 實施持續的安全監控程序。

云控制矩陣(CCM)包括以下內容：

• 確保風險評估政策包括更新政策、程序、標準和控制措施以保持相關性;
• 根據商定的服務級別和容量級別預期、IT治理以及服務管理政策和程序，設計、開發和部署業務關鍵型/影響客戶的應用程序和API設計和配置以及網絡和系統組件;
• 限制和監視網絡環境和虛擬實例中受信任和不受信任連接之間的流量。

4. 身份、憑證、訪問和密鑰管理不足

大多數云安全威脅以及一般的網絡安全威脅都可以與身份和訪問管理(IAM)問題相關聯。根據云安全聯盟(CSA)指南，這源于以下原因：

• 不正確的憑證保護;
• 缺乏自動的加密密鑰、密碼和證書輪換;
• IAM可擴展性挑戰;
• 缺少多因素身份驗證;
• 弱密碼。

對于頂級云安全挑戰列表來說，新的標準身份和訪問管理(IAM)挑戰由于使用云計算而加劇。執行庫存、跟蹤、監視和管理所需的大量云計算帳戶的方法包括：設置和取消配置問題、僵尸帳戶、過多的管理員帳戶和繞過身份和訪問管理(IAM)控制的用戶，以及定義角色和特權所面臨的挑戰。

作為客戶的責任，云安全聯盟(CSA)的建議如下：

• 使用雙因素身份驗證;
• 對云計算用戶和身份實施嚴格的身份和訪問管理(IAM)控制;
• 輪換密鑰、刪除未使用的憑據和訪問權限，并采用集中式編程密鑰管理。

云控制矩陣(CCM)規范包括以下內容：

• 確定關鍵管理者并制定和維護關鍵管理政策;
• 分配、記錄和傳達執行雇傭終止或程序變更的角色和職責;
• 及時取消供應(無論是撤銷還是修改)用戶對數據和網絡組件的訪問。

5. 帳戶劫持

云計算賬戶劫持是指對云計算環境的運行、管理或維護至關重要的云計算賬戶的泄露、意外泄露或其他泄露行為。這些高度特權和敏感的帳戶如果被遭到破壞，可能會導致嚴重的后果。

從網絡釣魚和憑證填充到薄弱或被盜憑證，再到不正確的編碼，賬戶泄露可能導致數據泄露和服務中斷。

作為云計算服務提供商(CSP)和客戶的責任，云安全聯盟(CSA)的建議如下：

• 記住帳戶劫持不僅僅是密碼重置;
• 使用縱深防御、身份和訪問管理(IAM)控件。

云控制矩陣(CCM)規范包括以下內容：

• 建立、記錄和采用統一的業務連續性計劃;
• 將生產和非生產環境分開;
• 保持并定期更新合規聯絡人，以準備需要迅速與執法部門互動。

6. 內部威脅

與員工和組織網絡內其他人員相關的風險不僅限于云平臺。無論是疏忽還是有意，內部人員(包括現任和前任員工、承包商和合作伙伴)都可能導致數據丟失、系統停機、客戶信心降低和數據泄露。

組織必須解決客戶的責任、涉及泄露或被盜數據的內部威脅、憑證問題、人為錯誤和云錯誤配置。

云安全聯盟(CSA)的建議如下：

• 進行安全意識培訓;
• 修復配置錯誤的云計算服務器;
• 限制對關鍵系統的訪問。

云控制矩陣(CCM)規范包括以下內容：

• 在重新定位或傳輸硬件、軟件或數據之前需要授權;
• 按計劃的時間間隔授權和重新驗證用戶訪問控制;
• 分割其他租戶的多租戶應用、基礎設施和網絡。

7. 不安全的接口和API

客戶通過其與云計算服務進行交互的云計算服務提供商(CSP)的UI和API是云計算環境中最公開的部分。任何云計算服務的安全性都始于對它們的良好保護，這是客戶和云計算服務提供商(CSP)的責任。

云計算服務提供商(CSP)必須確保已經集成安全性，客戶必須努力使用云安全聯盟(CSA)所謂的云計算“前門”來管理、監視和安全。該威脅已從上次報告中的第三大威脅下降到第七，但仍然很重要。

云安全聯盟(CSA)的建議如下：

• 確保API的安全性;
• 避免API密鑰重用;
• 使用標準和開放的API框架。

云控制矩陣(CCM)規范包括以下內容：

• 根據行業領先標準設計、開發、部署和測試API，并遵守適用的法律、法規和監管義務;
• 隔離和限制對與組織信息系統交互的審核工具的訪問，以防止數據泄露和篡改;
• 限制能夠覆蓋系統、對象、網絡、虛擬機和應用程序控制的實用程序。

8. 控制平臺薄弱

作為客戶的責任和2021年的新職責，云計算控制平臺是組織使用的云計算管理控制臺和接口的集合。云安全聯盟(CSA)表示，它還包括數據復制、遷移和存儲。如果安全措施不當，被破壞的控制平面可能會導致數據丟失、監管罰款和其他后果，以及品牌聲譽受損，從而導致收入損失。

云安全聯盟(CSA)的建議如下：

• 要求云計算服務提供商(CSP)進行適當的控制;
• 進行盡職調查以確定潛在的云服務是否具有足夠的控制平臺。

云控制矩陣(CCM)規范包括以下內容：

• 建立信息安全策略和程序并使其易于內部人員和外部業務關系審查;
• 實施和應用深度防御措施，以及時檢測和響應基于網絡的攻擊;
• 制定策略，對數據和包含數據的對象進行標記、處理和保護。

9. 元結構和應用程序結構失效

由云安全聯盟(CSA)定義的元結構是“提供基礎結構層和其他層之間接口的協議和機制”，換句話說，就是將技術聯系起來并實現管理和配置的粘合劑。

元結構是云計算服務提供商(CSP)與客戶之間的分界線。這里存在許多安全威脅：例如，云安全聯盟(CSA)指出云計算服務提供商(CSP)的API實施不佳或客戶使用的云計算應用程序不當。此類安全挑戰可能導致服務中斷和配置錯誤，并造成財務和數據丟失的后果。

該應用程序結構被定義為“部署在云中的應用程序以及用于構建它們的底層應用程序服務”。例如消息隊列、人工分析或通知服務。

報告中的新威脅是客戶和云計算服務提供商(CSP)共同的責任。云安全聯盟(CSA)的建議如下：

• 云計算服務提供商(CSP)提供可見性，并公開緩解措施以解決其客戶缺乏透明度的問題;
• 云計算服務提供商(CSP)進行滲透測試并向客戶提供結果;
• 客戶在云原生設計中實現功能和控件。

云控制矩陣(CCM)規范包括以下內容：

• 制定和維護審計計劃以解決業務流程中斷問題;
• 實施加密以保護存儲、使用中和傳輸中的數據;
• 建立存儲和管理身份信息的策略和過程。

10. 云計算使用可見性有限

長期以來，云計算使用可見性一直是組織管理員關注的問題，但對于這份報告列出的云安全聯盟(CSA)的云安全挑戰來說，這是一個新問題。云安全聯盟(CSA)認為，可見性有限會帶來兩個關鍵挑戰：未經批準的應用程序使用，也稱為影子IT，是指員工使用IT部門不允許的應用程序。

批準的應用濫用是指未按預期使用經過IT批準的應用。例如，這包括有權使用該應用程序的用戶，以及使用通過SQL注入或DNS攻擊獲得的被盜憑據訪問該應用程序的未經授權的個人。

云安全聯盟(CSA)表示，這種有限的可見性導致缺乏治理、意識和安全——所有這些都可能導致網絡攻擊、數據丟失和漏洞。

這是今年新上榜的安全威脅，是云計算服務提供商(CSP)和客戶的共同責任。云安全聯盟(CSA)的建議如下：

• 自上而下開發云計算可見性;
• 強制執行有關可接受的云使用策略的組織培訓;
• 要求所有未經批準的云服務均由云安全架構師或第三方風險管理人員進行審核和批準。

云控制矩陣(CCM)規范包括以下內容：

• 定期進行風險評估;
• 使所有人員意識到他們的合規性、安全性角色和職責;
• 進行清查、記錄和維護數據流。

11. 濫用和惡意使用云計算服務

正如云計算可以為組織帶來很多好處一樣，它也可以被威脅者惡意利用。惡意使用合法的SaaS、PaaS和IaaS產品會影響個人、云計算客戶和云計算服務提供商(CSP)。組織容易通過以下方式濫用云計算服務：

• 分布式拒絕服務攻擊;
• 網絡釣魚;
• 加密采礦;
• 點擊欺詐;
• 暴力攻擊;
• 托管的惡意或盜版內容。

遭到破壞和濫用的云計算服務可能導致費用支出，例如，加密貨幣的損失或攻擊者付款;組織在不知不覺中托管惡意軟件的情況;數據丟失等。

云安全聯盟(CSA)建議云計算服務提供商(CSP)努力通過事件響應框架來檢測和緩解這種攻擊。云計算服務提供商(CSP)還應該提供客戶可以用來監視云計算工作負載和應用程序的工具和控制。

作為客戶和云計算服務提供商(CSP)的共同責任，云安全聯盟(CSA)的建議如下：

• 監控員工云計算的使用情況;
• 使用云計算數據丟失防護技術。

云控制矩陣(CCM)規范包括以下內容：

• 采取技術措施來管理移動設備風險;
• 為組織和用戶擁有的端點(包括工作站、筆記本電腦和移動設備)定義配額和使用權限;
• 創建和維護批準的應用程序的列表。