作者丨Owen Garrett

譯者丨陳峻

策劃丨孫淑娟

??據統計??，隨著云服務在各個新興行業的爆炸式增長，全球已有 50% 的企業數據存儲到了云端。各個企業從中獲取到的好處包括但不限于：提高服務的敏捷性、易于擴展、以及更具成本效益。

不過，如果我們從安全性的角度來考慮的話，事情就不那么樂觀了。一直以來，有不少人認為，將一個企業最有價值的大部分(甚至是全部)資產，拱手交給第三方云平臺，是充滿挑戰的。我們應該想方設法從云服務提供商處，獲取 7*24 小時、全天候的安全支持，以保護自己的應用部署和數據存儲。那么，光靠云服務提供商的安全防護夠嗎?顯然不夠，我們還得發揮主觀能動性。

常言道：知易行難。下面我將和您重點探討云安全的基本概念，以及正確實現云端數據保護的十條“軍規”。

責任共擔模型?

云端的安全性，往往需要遵循一種被稱為??“責任共擔”的模型??。該模型規定：服務提供商只對“云服務”的安全性負責，而租戶需要對“云服務中具體部分”的安全性負責。也就是說，在使用云服務運行自己的應用時，作為云服務的租戶，您仍然需要按比例分擔安全配置或管理的部分工作。當然，使用云服務的程度不同，您的責任范圍可能存在著巨大的差異性。例如：若您訂閱了基礎設施即服務 (IaaS)，則您需要自行負責操作系統的相關補丁和更新工作。而如果您只是用到了對象存儲，那么您的職責范圍將僅限于數據丟失的防護(DLP)。

雖然具體的應用場景存在著巨大的多樣性，但是我們有必要從中找出一些通用的準則。例如，絕大多數云服務的漏洞在本質上都能被歸結為：錯誤配置。就算云服務提供商已經為您提供了強大的安全工具，如果您不慎或者是不會用的話，在安全配置中也會存在錯誤或漏洞，進而會無形中拉低了整體應用服務的安全態勢。因此，為了合理有效地構建出云端“護欄”，我們需要在既知其然、又知其所以然的基礎上，盡量減少錯誤發生的可能性、及其影響范圍。

在我們開始討論十項重要的云端安全防護策略之前，讓我們先了解一下，與“傳統”信息安全相比，云端安全到底有哪些不同之處。

了解云端安全的 3 個關鍵點?

由于云基礎架構往往處于一個動態的網絡環境中，因此其中的各個組件也是不斷變化的。總體而言，云端安全性的目標就是，要通過確保系統能夠按照預期運行，并能夠維持其整體的安全態勢。為此，我們有必要重新認識如下三個關鍵性概念：

• 邊界：傳統安全性的本質是基于保護一個受信任的邊界，即所謂的“堡壘(fortress)”。然而，分布在互聯網上的云服務環境，則具有能夠動態衍生出多個相互連接的端點和層次的特點。因此，任何云安全模型都應該以身份認證和訪問管理為中心，專注于加強對于可疑帳戶的權限管控(這通常需要依賴于行為建模)。
• 可擴展性：由于數據的存儲和處理都是動態的，因此云安全框架也應該能夠考慮到基礎設施的演變。換句話說，它需要了解系統的狀態，根據策略做出相應的調整。
• 監控：隨著云端資源的豐富、以及新的攻擊源頭的出現，針對云服務的威脅態勢也在瞬息萬變。各種安全風險的激增，漏洞的深藏，以及攻擊的復雜化，都需要我們通過持續監控，快速掌握現有云端安全環境的變化，并能夠對動態的系統做出及時且積極的反應與處置。

提高云端安全性的十項“軍規”?

規則 1：不要忽視開發用的密鑰與證書

由于供職于一家需要每天持續掃描數以百萬計的公、私有代碼庫的公司，我們深知構建健全的密鑰與證書政策的重要性。您應該確保自己的開發人員僅使用短期有效的證書密鑰，并在投入正式的生產環境之前，撤銷這些僅作開發用途的證書，并且應當執行包括檢測和管理存儲庫中的證書等，各項完備的設置與檢查。我的一位資深客戶就曾指出(https://www.itcentralstation.com/product_reviews/gitguardian-internal-monitoring-review-671614-by-danny)：如果有人跟他說，密鑰與證書檢測并非優先事項的話，他會通過在Google 上自定義搜索，來證明展示證書密鑰泄露的危害性。這也正是我為何將其放在列表首位的原因。

規則 2：持續查看默認配置

云服務提供商通常會預先配置好一些通用的訪問控制策略。這些策略雖然易于快速上手，但是正是由于其通用性，導致了它們不一定適用于您的真實應用服務，特別是在有新的云服務被引入時，它們往往需要在默認控制策略的基礎上，進行定制化的配置。當然，您也可以通過選擇禁用不必要的配置、或未使用到的服務，來減少受攻擊面。

規則 3：列出所有可被公開訪問的存儲

對于云端存儲被攻擊者通過可開放訪問的接口進行入侵之類的新聞，您也許已經司空見慣了。可見，無論您為對象和數據選擇哪種存儲方法，請檢查并確保只公開那些需要被訪問的組件和存儲。

規則 4：定期審查訪問控制

如前所述，云服務的安全性與您的身份認證、及訪問管理策略密切相關。隨著基于身份的安全系統，在整體安全措施中逐漸占據主導地位，它們形成了所謂的“零信任(zero-trust)”策略的基礎。作為實踐，我們可以積極主動地實施“最小特權原則”，對云端的服務、系統、以及網絡的訪問進行安全加固。同時，我們也應當定期安排手動和自動化的檢查方式，來審查管控的執行是否嚴格。

規則 5：利用網絡結構

上述類似的規則和實踐也適用于網絡結構。您應該利用云服務平臺提供的控制工具，來構建更高效、更細粒度的策略，實現對訪問請求的仔細檢查，并按需分流。

規則 6：預防性記錄和監控

沒有強大的監控和日志記錄，我們將無法獲悉當前應用的安全態勢。通過基于風險的日志記錄策略，您不但應該確保違規監控的啟用和正常運行，還可以在安全事件發生之后，協助開展各項調查工作。在理想情況下，您應當能夠通過 API、或其他機制，在自己的日志系統上，聚合來自各種云端的日志。

規則 7：完善您的資產清單

縱然我們可以使用由云服務平臺提供的 API，來減輕庫存管理的巨大壓力，也應該通過有關所有權、用例、以及敏感性級別等附加信息，通過定制化的策略，來完善自己的云端資產清單。

規則 8：提防 DNS 劫持

各類云服務經常需要通過、并在 DNS 條目之間傳遞信任關系。因此，定期檢查您的 DNS 的正確性和云應用的配置，可以有效地以防止出現 DNS 被毒化、接管、以及劫持等情況的發生。

規則 9：災難恢復計劃并非只是可選項

云服務環境雖然提高了應用系統的可用性，但是它并不會提供自動化的災難恢復 (DR) 服務。您應該全面考慮通過何種級別的投資，來應對云端環境可能發生的災難性事件。您可以設計一套 DR 流程，以便通過外部帳戶、提供商、甚至是在本地環境中恢復自己的應用服務。

規則 10：減少手動配置

云原生安全工具和控制往往是以自動化的形式交付的。請記住，漏洞源于錯誤配置，而錯誤配置通常源于手動操作。因此，對于我們人類而言，需要完成的手動工作越多，出錯的可能性就越大。對此，您需要鼓勵自己的團隊善用、多用自動化，盡可能地使用安全即代碼(security-as-code)的方式，保持安全策略的一致性。

小結?

對于安全專業人員而言，云應用安全的管理是極富挑戰性的。畢竟在云端，責任范圍變得不再靜止，不再清晰，且不斷變化。不過，值得慶幸的是，在應對各項新的安全需求、應對新的威脅時，我們不再是單兵作戰了。各個云服務提供商平臺往往能夠提供豐富的工具集，方便我們在安全需求和靈活性之間取得平衡。希望我上文為您提供的 10 條安全軍規，能夠方便您更全面地制定出防護措施，并構建出更好的云端安全性態勢。

譯者介紹?

陳 峻 （Julian Chen），??51CTO社區編輯??，具有十多年的IT項目實施經驗，善于對內外部資源與風險實施管控，專注傳播網絡與信息安全知識與經驗；持續以博文、專題和譯文等形式，分享前沿技術與新知；經常以線上、線下等方式，開展信息安全類培訓與授課。

原文標題：10 Rules for Better Cloud Security，作者：Thomas Segura