近年來(lái)，云應(yīng)用程序和軟件的人氣急劇上升。越來(lái)越多的企業(yè)和政府以及學(xué)校都加大了對(duì)云應(yīng)用的重視程度，紛紛投入使用。對(duì)于企業(yè)員工來(lái)說(shuō)，使用云應(yīng)用程序能夠讓他們從任何地方登錄企業(yè)系統(tǒng)，為其帶來(lái)了很大的方便。但由于使用范圍的不斷加大，云應(yīng)用的相關(guān)漏洞也隨之產(chǎn)生。云安全專家Scott Piper表示，在2021年8月至2022年1月期間，安全研究人員在主要云服務(wù)平臺(tái)上共發(fā)現(xiàn)了8個(gè)“嚴(yán)重”的漏洞。
云漏洞產(chǎn)生最常見的后果就是會(huì)導(dǎo)致數(shù)據(jù)泄露和引發(fā)網(wǎng)絡(luò)安全威脅。慶幸的是，有越來(lái)越多的專家提出了針對(duì)云漏洞的方法。
一、云安全中人為錯(cuò)誤的原因
那么，企業(yè)的員工在設(shè)置云安全時(shí)會(huì)犯哪些錯(cuò)誤呢?最常見的原因有兩個(gè)：
1、缺乏網(wǎng)絡(luò)安全方面的培訓(xùn)或安全經(jīng)驗(yàn)
顯然，大多數(shù)無(wú)意中泄露數(shù)據(jù)或錯(cuò)誤配置和其他錯(cuò)誤可能是追由于員工對(duì)安全設(shè)置如何工作缺乏了解。這其中包括缺乏關(guān)于如何重新配置默認(rèn)安全參數(shù)的知識(shí)等多個(gè)方面，這些知識(shí)是阻止外部入侵者攻擊的最根本之處。
通俗的表述就是，網(wǎng)絡(luò)攻擊者可以憑借繞過(guò)云計(jì)算提供商創(chuàng)建的默認(rèn)安全設(shè)施來(lái)達(dá)到暴露數(shù)據(jù)的目的。保留默認(rèn)安全參數(shù)(有時(shí)是文字)相當(dāng)于使用“admin”作為密碼的行為。
這將是一個(gè)長(zhǎng)久存在的問(wèn)題，因?yàn)樵瓢踩寄艿目杖甭毼惶?，而符合條件的應(yīng)聘者很少，在一般情況下，企業(yè)就會(huì)雇傭一些經(jīng)驗(yàn)比較少，甚至是未經(jīng)培訓(xùn)的員工。導(dǎo)致結(jié)果就是云漏洞越來(lái)越普遍。
2、云計(jì)算供應(yīng)商服務(wù)更新速度快
由于按需提供云計(jì)算服務(wù)，并且云計(jì)算供應(yīng)商不斷改進(jìn)他們的云計(jì)算服務(wù)，包括安全性，因此安全設(shè)置的工作方式經(jīng)常發(fā)生變化。不難發(fā)現(xiàn)，企業(yè)員工們知識(shí)和專業(yè)軟件技能沒(méi)有能跟上時(shí)代發(fā)展的步伐，通常是因?yàn)樗麄兠τ谄渌ぷ鞫鴽](méi)有足夠的時(shí)間關(guān)注。
有人提出，云計(jì)算供應(yīng)商應(yīng)該放慢軟件或云計(jì)算服務(wù)的更新速度，讓客戶的安全人員跟上其發(fā)展步伐。
這種方法容易產(chǎn)生一系列問(wèn)題，尤其是當(dāng)云計(jì)算供應(yīng)商對(duì)修復(fù)已知漏洞猶豫不決時(shí)。與其相反，企業(yè)和云計(jì)算供應(yīng)商需要更好地協(xié)調(diào)，以更好地適應(yīng)這些變化。
二、企業(yè)如何防范云安全
然而，云計(jì)算供應(yīng)商還需要意識(shí)到他們?cè)诮鉀Q方案中扮演的角色，則需要更加耦合的協(xié)調(diào)來(lái)解決這個(gè)問(wèn)題。由此可見，企業(yè)應(yīng)該采取以下措施：
1、同行認(rèn)可的配置
要求同行審查安全設(shè)置并確認(rèn)其正確性。這意味著找到另一位云安全管理員來(lái)查看企業(yè)的安全措施并確保沒(méi)有遺漏任何內(nèi)容。圍繞這一點(diǎn)的問(wèn)題包括同行可能比較熟悉的，從而忽視了真正審查設(shè)置?；蛘哂行┚有牟涣嫉膯T工可能故意讓同事難堪。
2、自動(dòng)配置檢查和測(cè)試
企業(yè)可以在DevOps的世界中找到許多此類工具，將DevOps測(cè)試?yán)砟顢U(kuò)展到安全配置以及應(yīng)用程序和數(shù)據(jù)，確保修復(fù)更多的漏洞。
3、為系統(tǒng)盡快打上安全補(bǔ)丁
為了提高網(wǎng)絡(luò)安全性，云軟件和應(yīng)用程序同樣需要打補(bǔ)丁，及時(shí)完成這項(xiàng)工作很重要，這樣才能確保企業(yè)能夠防御網(wǎng)絡(luò)威脅。
4、對(duì)云上的數(shù)據(jù)進(jìn)行離線備份
云計(jì)算技術(shù)的主要優(yōu)點(diǎn)之一，就是用戶可以從任何地方、任何設(shè)備訪問(wèn)存儲(chǔ)在云端的數(shù)據(jù)。勒索軟件團(tuán)伙常用的手法就是刪除存儲(chǔ)在云端的備份內(nèi)容。所以，保護(hù)數(shù)據(jù)安全特別重要，企業(yè)應(yīng)及時(shí)對(duì)數(shù)據(jù)做離線備份，這樣，當(dāng)云端數(shù)據(jù)丟失或無(wú)法訪問(wèn)時(shí)，企業(yè)可以使用備份來(lái)正常工作。隨著云安全的愈發(fā)嚴(yán)峻，對(duì)于云安全人才的需求，無(wú)論在量還是質(zhì)上，都在急劇地增長(zhǎng)。
作為信息安全行業(yè)領(lǐng)軍企業(yè)，普一科技是國(guó)內(nèi)極具實(shí)力的全線網(wǎng)絡(luò)安全廠商，自主研發(fā)了多個(gè)網(wǎng)絡(luò)安全產(chǎn)品和可信安全管理平臺(tái)、擁有專業(yè)的技術(shù)研發(fā)團(tuán)隊(duì)以及多樣化的解決方案，助力企業(yè)和政府進(jìn)行數(shù)字化轉(zhuǎn)型，全力保障企業(yè)云安全。