5个风险点，缓解云安全事件的关键
上云的便利性和适用性在科技飞速发展的今天已经体现得淋漓尽致，其不但优化了用户的采购和管理等工作，还为物联网和加密货币的新技术应用提供了有利条件，但随之而来的，云安全问题也变得越来越严峻。各行各业的安全团队并云安全厂商都在努力弥合云上云下安全措施的实施差距，争取根据云环境独有的特点建设出最适合的安全体系。
越来越多的企业会将业务迁移到云平台，大趋势加强了各行各业对云安全的重视。在此基础上，我们可以看到企业的云服务大多是由云计算服务商提供的，而想要得到更安全、更长远的发展，企业中相关的安全人员需要多多关注云安全，以确保配置正确，避免各种云环境带来的风险。
■ 云安全主要面临的风险隐患是：
1、“云”具有庞大的数据储存能力，所以云安全首要面临的就是如何保障数据安全在云计算中把握好对数据的安全控制力度，避免造成数据泄露与数据的恶意销毁。
2、云计算环境中有很多虚拟服务器共享着相同的配置，因此必须为网络和服务器配置执行服务水平协议以确保云安全。
3、由于企业的很多数据、应用程序和资源都集中在云计算中。因此，只有保证云安全，才能保证用户信息的安全。
4、在应用程序的生命周期中，必须部署严格的审核过程，开发者可以运用某些准则来处理身份验证以及访问权限的控制等问题，以确保云安全运行。
5、如果不能正确地使用云服务，势必会给云安全造成很大的威胁。云管理与监督部门必须不断精进技术，防止黑客的攻击来保证云安全。
而就在这几天，根据Sysdig的一份报告显示，最大的两个云安全风险仍然是错误的配置和漏洞，其中漏洞越来越多的主要成因是由软件供应链引起的。
报告指出，虽然零信任已成为各行各业安全团队的首要任务，但作为零信任基础架构的最低访问权限仍没有得到适当执行，数据显示，几乎90%的授权未被使用，这样会给窃取凭据的攻击者留下很多机会。
Sysdig对客户每天运行的700多万个容器进行了分析，然后得出了这些数据。同时，报告还参考了从GitHub、Docker Hub和CNCF等公共数据源中所显示的数据，并分析了北美、南美、澳大利亚、欧盟、英国和日本的客户数据。
近87%的容器图像显示，其内包含了许多高危漏洞，具体数值要高于去年报告的75%。Sysdig指出，部分容器还存在多个漏洞，虽然市场上大部分组织都意识到了这一危险，但在保持敏捷开发、快速发展的前提下，不得不与层出不穷的漏洞作斗争。
此外，许多漏洞尽管已经修复，但仍然存在带宽和优先级问题。当在生产环境中有87%的运行容器存在严重漏洞时，DevOps或安全工程师可以因此查看到数百甚至数千个存在漏洞的映像。
Sysdig的威胁研究工程师Crystal Morin表示：“浏览漏洞列表、修复漏洞问题需要大量的时间，对于大多数开发人员来说，为新应用程序编写代码是他们的主要工作内容，因此他们花在应用修复程序上的时间越多，开发新应用程序的时间就越少，没人会和自己的工资过不去。”
报告显示，只有15%的高危漏洞存在于运行时加载的包中，过滤掉那些实际使用、易受攻击的软件包，企业可以将精力集中在真正会带来风险的可修复漏洞上。
Sysdig按包的类型不同，测量运行时加载包的漏洞百分比是多少，以此确定哪种语言、库或文件类型存在最大漏洞风险。结果发现，在所有运行包中一共存在320000多个漏洞，其中61%是由Java包造成的，而Java包只占运行时加载包的24%。
Sysdig表示，运行时在软件包中暴露的漏洞会导致更多的数据泄露和攻击风险，而Java在运行时所暴露的漏洞最多。虽然Java不是所有容器映像中最流行的，但它是运行时最常用的。
Morin说：“出于这个原因，我们认为不管是安全人员、IT人员还是黑客，为了获得最大的回报，所有人都会关注Java包。由于它的广泛应用，bug猎人可能会更专注于Java语言漏洞。”
虽然较新或不怎么常见的包看起来更安全，但Morin表示，这可能是因为这些包尚未被发现漏洞，甚至更糟的是，这些包已经被发现了漏洞，但尚未公开。
“安全左移”指的是将安全程序（代码审查、分析、测试等等）移动到软件开发生命周期（SDLC）早期阶段，从而防止缺陷产生和尽早找出漏洞的过程。通过在早期阶段修复问题，防止其演变为需花费巨资加以修复的灾难性漏洞，安全左移可达到节省时间和金钱的目的。然而，即使采用完美的安全左移措施，在生产时也会出现威胁。
Sysdig建议，组织应该遵循左移右护的策略，安全屏蔽权强调保护、监视运行服务的机制。Morin说：“只依赖于防火墙和入侵防御系统（IPS）等工具，只靠这些传统的安全实践是远远不够的，因为它们会留下空白，它们无法深入了解容器化的工作负载和周围的云原生环境。”
Sysdig提出，运行时的可见性可以帮助组织改进安全左移实践。一旦容器投入生产，将运行时发现的问题与底层代码关联起来，它们的循环反馈将帮助开发人员知道关键的要点该集中在哪里，而静态安全测试也可以通过智能通知，来确定在运行应用程序的容器中执行了哪些包。
Morin补充道：“这可使开发人员降低未使用软件包的漏洞优先级，转而专注于修复可利用的运行漏洞。我们需要注意的是，每份安全计划的目标都应该是全生命周期的安全。”
尽管漏洞是一个令人担忧的问题，但配置错误仍然是云安全事件中最主要的原因，所有组织都应该对此提高警惕。根据Gartner的数据显示，到2023年为止，75%的安全故障是由身份、访问和权限管理不足所导致，而在2020年时这一比例仅为50%。而Sysdig自己的数据显示，在对为期90天左右的窗口进行分析时，授予非管理员用户的权限只有10%是被利用的。
Sysdig对此进行了逐年分析，结果显示，各组织要么正在授予更多员工访问权限，要么正在加速其身份和访问管理（IAM）实践。Sysdig指出，用户数量的增长会使得企业将更多业务转移到云环境，同时因云上业务的增长，员工也会相应的增加，这便形成了一种闭环。
今年，Sysdig对其客户云环境做了调查，结果发现其中有58%的身份是非人类角色，这一数值低于去年的88%。Sysdig表示，这些非人类角色通常是临时使用的，如果它们不再被使用或未被删除，就是在为不法者提供便捷的访问点。Morin说：“角色类型转变的原因，可能是组织的云使用正在增长，随着云采用的增多，更多的员工被授予了云访问权限，从而改变了人类和非人类角色之间的平衡。”
Sysdig指出，在授予非人类身份的权限中，98%以上的权限至少有90天未被使用，而这些未使用的权限通常会被授予孤立的身份，比如过期的测试帐户或第三方帐户。
对此，国内也有安全专家认为，当企业过多的将注意力放到应用、程序的推陈出新上，可能会对云计算平台的配置产生影响。因此，他认为开发人员可以定期对生产代码进行小幅更改，采用变通的方法对应用和程序进行更新，以避免在需要进行调整时，为了获得管理员权限而耗费时间。
此外，企业与第三方或应用程序组件之间的联系越多，出现错误配置的可能性就越大。常见的API错误包括对象级别、用户级别和功能级别的授权中断。而在企业的API中暴露太多信息也可能为黑客提供破解其代码的线索，云原生容器化应用程序也可能构成威胁，因为单个容器中的无意漏洞可能使黑客能够访问企业的整个软件堆栈。
最后此安全专家提出，云计算架构的复杂性对错误配置风险有重大影响。单一的云环境的风险有限，因为没有其他人在同一台机器上存储代码；但在多租户云环境中，随着IT人员需要进行配置以确保黑客不在同一台机器上的虚拟机上运行代码，风险就会增加。当代码和数据在各种不同的地方存储和处理时，多云或混合云架构中的风险会呈指数级增长。
因此，无论企业选择如何保护自己免受云安全漏洞的影响，采用现代基础设施和更灵活的应用程序开发流程的企业都需要构建更现代的安全态势。
回到国外，Sysdig认为安全团队应该以管理人类身份的方式，将最低权限原则应用于非人类身份，同时安全团队还应尽可能删除未使用的测试帐户，以防止访问风险。Sysdig指出，虽然手动确定这一点很繁琐，但权限筛选器可以使这过程变得更高效。
非人类和人类的最低权限原则是一样的。组织需要授予人类完成工作所需的最低访问权限，这同样适用于非人类，比如那些需要访问才能完成工作的应用程序、云服务或商业工具等。类似于在手机上请求访问联系人、照片、相机、麦克风等权限的应用程序，我们可以允许它获得权限，也可以选择屏蔽。
Morin说：“因此，我们还必须考虑对这些非人类实体的访问管理。授予过多的权限而不定期管理就会为不法者提供额外的初始访问、横向移动和权限升级等风险。”
对于云安全所带来的风险会造成哪些影响，安全人员又该如何应对，国内安全专家如此建议。
某科技公司安全负责人朱士贺表示，随着企业发展和技术演进，云安全也不断面临新威胁，风险主要体现在供应链、API、配置错误、高危漏洞、云上认证凭证等多方面，风险不是唯一的，风险在发生之前也不能非常准确的划分威胁级别，需要综合多种因素和环境考虑。
朱士贺指出，企业可以通过几方面着手应对，既不能一蹴而就，也不能随意对待，因此他建议：
一是审计提高风险可见性，严谨的审计措施，可以挖掘潜在的风险，发现遗留的问题。
二是预算和安全产品的支持，当风险超出现有企业安全能力范围内，需要引入外部专业机构或厂商辅以解决，过程中可能需要安全设备的能力落地，提升企业现有安全防护与检测能力。
三是云服务的责任共担模式，与客户共同承担起安全责任，明确企业的责任范围并对客户给予指导，共建云上安全化解部分云安全风险。
某互联网安全专家李磊表示：“云，既简化了传统IDC网络架构的复杂度和上手成本，也带来了基础设施和架构的新变化。企业云上安全建设不是一蹴而就的，除了面临业务变化带来的新风险，还要面对新的云产品推出和云平台自身迭代更新可能产生的新风险，需要保持长期的持续学习和投入。”
因此，李磊有几个观点要大家分享：
1.云上OCBC安全管控框架中的C控制天然具备安全属性，单纯的管理要求或职责转嫁，安全始终会处于一个被动收拾的角色，建议安全团队主动承担或提供标准的平台化安全能力支撑。
2.云上安全建设在不同云厂商平台间具备通用性和可复制性。基于用户需要对云产品理解的一致性，各云平台默契地在云产品设计时就兼顾用户认知（尤其典型的权限IAM、存储桶等产品），来规避从其他云平台迁移到自身带来的学习成本。
3.云是个特别复杂的东西，涉及大量新知识和新观点，尤其针对业务完全运行在云上的甲方企业。如果希望熟练掌握云安全相关领域，既要从云平台的维度加深对云底层的理解，又要从甲方用云的角度深入理解云上产品特点，这样才能更好的在业务场景中应用，从根本上规避或降低安全风险。
4.完全依赖云厂商的安全能力和平台来构建企业自身云上安全治理是不现实的，所有云产品拿来即用的思路也是不可取的。同时，希望引入三方非云平台安全产品需要考虑云平台环境的融入性和复杂度。
5.每家云平台都可能存在安全漏洞，只是存在多与少、发现早与晚的问题。但是，更多的时候，其实是作为甲方企业没有安全、合规的使用云而造成的安全漏洞或数据泄露，云平台间接成了“背锅侠”。所以，坚持做好用云安全第一责任人的角色定位是重要的。（更多关于云安全的知识分享：https://mp.weixin.qq.com/s/QcMkBOH6KzMMwSJUjqp9Ug）
而万科信息安全负责人吴致远认为，经过这么多年，业界对云安全的风险其实已经研究得很多，万科当前是多云混合架构，吴致远从他们用云的角度聊聊云安全风险及其应对。对云资源或服务的使用，一般分为IaaS、PaaS或SaaS，三种不同的使用类型对应的风险各有不同：
一、使用IaaS云资源，云安全风险主要体现在以下方面：
1、缺乏统一的云安全架构和策略，企业容易成为网络攻击的受害者，如混合云的出入口无统一的管控，业务系统不受管控的申请EIP进行互联网发布；
2、企业缺乏合适的安全基线，可能会导致其云计算资源受到攻击，如未做加固sudo被攻击者利用来提权。
二、使用PaaS云资源，云安全风险主要体现在以下方面：
1、云资源配置不当，可能会导致企业数据泄露或服务不可用，如存放敏感数据的OSS桶设置为公开访问，不当安全组配置，云硬盘未开启快照等；
2、云资源开放的API被滥用，如云平台支持API方式创建、销毁主机等实例，可能会导致应用系统服务中断或增加企业攻击暴露面。
三、使用SaaS云资源，云安全风险主要体现在以下方面：
1、SaaS服务访问控制不当，可能会导致企业应用系统未授权访问，如登陆入口未开启双因素验证；
2、数据泄露和数据丢失，由于数据存储在云服务提供商的基础设施上，因此可能会发生数据泄露和数据丢失的情况，特别是在数据传输和存储中缺乏适当的加密措施时。
另外，混合云的使用必然也会存在混合云管的问题，如身份、凭据（AK/SK）等泄露、对云资源访问控制细粒度不足导致企业数据泄露等风险。
针对以上云安全风险，其实主要还是围绕着Gartner提出的三大产品线去做相应的应对，针对IaaS层风险则使用CWPP产品加上CIS安全基线对混合云工作负载进行安全防护；针对PaaS层则风险使用CSPM产品，结合企业漏洞扫描策略进行云安全配置管理；针对SaaS层风险则使用CASB产品对员工行为及企业应用系统进行数据防泄漏；当然各企业可以跟进自身的情况增加一些纵深的防御，如互联网资产测绘，攻击暴露面管理等。目前无论国内还是国外，都有相关成熟的产品可以参考使用。
最后吴致远建议：在企业安全建设中，在用云的过程中，要有开发合作的心态，我们始终立足生态圈，加强合作伙伴视角和开放协作机制，聚焦纵向价值挖掘，共建数字生态系统，未来希望可以连接更多合作伙伴，大家一起砥砺前行，共同进步，成就彼此。
《Misconfiguration and vulnerabilities biggest risks in cloud security: Report》
《云安全：这是三个因素容易造成云安全风险》