全球知名的信息安全廠商McAfee公司日前發(fā)布了云采用和風(fēng)險(xiǎn)報(bào)告，該報(bào)告分析了匿名客戶在云平臺(tái)運(yùn)行所遭遇的數(shù)十億個(gè)安全事件，以評估云計(jì)算部署的當(dāng)前狀態(tài)，并發(fā)現(xiàn)風(fēng)險(xiǎn)。該報(bào)告顯示，云中近四分之一的數(shù)據(jù)可歸類為敏感數(shù)據(jù)，如果數(shù)據(jù)被盜或泄露，組織將面臨風(fēng)險(xiǎn)。 

云中的數(shù)據(jù)

這個(gè)研究發(fā)現(xiàn)，雖然組織積極采用公共云為其客戶創(chuàng)建新的數(shù)字體驗(yàn)，但通常每個(gè)企業(yè)的基礎(chǔ)設(shè)施即服務(wù)(IaaS)和平臺(tái)即服務(wù)(PaaS)每月遭遇2,200多次錯(cuò)誤配置事件。

云計(jì)算服務(wù)提供商主要關(guān)注云平臺(tái)本身的安全性，而不是客戶數(shù)據(jù)或客戶對其基礎(chǔ)設(shè)施和平臺(tái)的使用。組織始終負(fù)責(zé)保護(hù)他們無處不在的數(shù)據(jù)，因此強(qiáng)調(diào)需要部署跨越整個(gè)云平臺(tái)范圍的云安全解決方案，從SaaS(軟件即服務(wù))到基礎(chǔ)設(shè)施即服務(wù)(IaaS)和平臺(tái)即服務(wù)(PaaS)。

McAfee公司云計(jì)算安全業(yè)務(wù)高級副總裁Rajiv Gupta表示，“在云中運(yùn)營業(yè)務(wù)已經(jīng)成為組織的新常態(tài)，以至于企業(yè)員工在云中存儲(chǔ)和共享敏感數(shù)據(jù)時(shí)沒有謹(jǐn)慎考慮。SaaS云服務(wù)中的意外共享、協(xié)作錯(cuò)誤、IaaS/PaaS云服務(wù)中的配置錯(cuò)誤以及威脅都在增加。為了繼續(xù)加速業(yè)務(wù)發(fā)展，企業(yè)需要采用云原生并且沒有不良影響的方式持續(xù)保護(hù)其數(shù)據(jù)，并防御各種SaaS、IaaS和PaaS中的威脅。”

云協(xié)作是一種祝福也是一種詛咒

云計(jì)算服務(wù)通過快速擴(kuò)展的能力為組織業(yè)務(wù)發(fā)展提供了一個(gè)重要的機(jī)會(huì)，使企業(yè)能夠靈活地利用其資源，并提供新的協(xié)作機(jī)會(huì)。像Box這樣的云計(jì)算服務(wù)和Office 365等生產(chǎn)力套件用于提高協(xié)作的流動(dòng)性和有效性。但是，協(xié)作意味著共享，不受控制的共享可能會(huì)暴露敏感數(shù)據(jù)。調(diào)查結(jié)果表明：

• 22%的云計(jì)算用戶在外部共享文件，同比增長21%。
• 通過開放、可公開訪問的鏈接共享敏感數(shù)據(jù)，同比增長了23%。
• 發(fā)送到個(gè)人電子郵件地址的敏感數(shù)據(jù)也同比增長12%。

為了保護(hù)云存儲(chǔ)、文件共享和協(xié)作應(yīng)用程序中的敏感數(shù)據(jù)，組織必須首先了解其正在使用的云服務(wù)，保存其敏感數(shù)據(jù)，以及如何共享這些數(shù)據(jù)以及與誰共享。一旦組織獲得了這種可見性，他們就可以執(zhí)行適當(dāng)?shù)陌踩呗?，禁止將高度敏感的?shù)據(jù)存儲(chǔ)在未經(jīng)批準(zhǔn)的云服務(wù)中，并提供防護(hù)措施，防止不合規(guī)地共享來自獲得批準(zhǔn)的云計(jì)算服務(wù)的敏感數(shù)據(jù)，例如與個(gè)人電子郵件共享數(shù)據(jù)時(shí)地址或通過公開的公共鏈接。

IaaS和錯(cuò)誤配置的風(fēng)險(xiǎn)

使用SaaS，保護(hù)數(shù)據(jù)、用戶身份和數(shù)據(jù)訪問主要是客戶的責(zé)任。通過IaaS，客戶可以承擔(dān)更大的安全責(zé)任，其中包括數(shù)據(jù)、身份、訪問、應(yīng)用程序、網(wǎng)絡(luò)控制和主機(jī)基礎(chǔ)設(shè)施。雖然這為客戶提供了更好地控制其云計(jì)算基礎(chǔ)設(shè)施的機(jī)會(huì)，但它也增加了組織的安全風(fēng)險(xiǎn)表面積以及他們對此的責(zé)任。IaaS提供商(如AWS)提供多種基礎(chǔ)設(shè)施和平臺(tái)服務(wù)，每種服務(wù)都具有深入而復(fù)雜的安全設(shè)置。放大IaaS/PaaS安全挑戰(zhàn)的事實(shí)是，組織使用多個(gè)IaaS/PaaS供應(yīng)商的服務(wù)運(yùn)行每個(gè)供應(yīng)商產(chǎn)品的多個(gè)實(shí)例。McAfee公司的調(diào)查研究發(fā)現(xiàn)：

• 使用IaaS/PaaS服務(wù)中，94%采用的是AWS公司的云平臺(tái)，但使用IaaS/PaaS的組織中，78%的企業(yè)同時(shí)擁有AWS和Azure的云平臺(tái)。
• 企業(yè)平均每次運(yùn)行14個(gè)配置錯(cuò)誤的IaaS /PaaS實(shí)例，導(dǎo)致每月發(fā)生2,200多個(gè)單獨(dú)的配置錯(cuò)誤事件。
• 五分之一的AWS S3存儲(chǔ)桶具有全局讀取權(quán)限，使其對公眾開放。

McAfee公司建議，組織需要不斷審核和監(jiān)控其AWS、微軟Azure、谷歌云平臺(tái)和其他IaaS /PaaS配置，同時(shí)保護(hù)存儲(chǔ)在IaaS/PaaS平臺(tái)中的數(shù)據(jù)。作為本地?cái)?shù)據(jù)中心的替代方案，IaaS /PaaS的使用量正在迅速增長。在遭遇安全事件之前，企業(yè)需要盡到他們的安全責(zé)任，采取數(shù)據(jù)保護(hù)和威脅防御措施，就像他們對SaaS云計(jì)算服務(wù)以及IaaS/PaaS云計(jì)算服務(wù)的配置合規(guī)性和安全保護(hù)工作負(fù)載一樣。 

云計(jì)算威脅將會(huì)持續(xù)增長

用戶帳戶和企業(yè)內(nèi)部遭遇的威脅

企業(yè)在云中數(shù)據(jù)的大多數(shù)威脅都來自受損帳戶和內(nèi)部威脅。平均每個(gè)月在云中產(chǎn)生超過32億個(gè)安全事件。此外：

• 云中的威脅事件(如受感染的帳戶、特權(quán)用戶或內(nèi)部威脅)同比增長27.7%。
• 80%的組織每月至少經(jīng)歷一次受到破壞的帳戶威脅。
• 在Dark Web上92%的企業(yè)盜取了云計(jì)算憑證。
• Office 365中的威脅同比增長了63%。

企業(yè)為了應(yīng)對組合帳戶和內(nèi)部威脅，應(yīng)該了解如何使用云計(jì)算服務(wù)。它們還應(yīng)識(shí)別異常行為，例如同一用戶同時(shí)從不同位置訪問云平臺(tái)時(shí)，這可能表示帳戶受到威脅。

作為保護(hù)云中數(shù)據(jù)的***步，應(yīng)實(shí)施云計(jì)算訪問安全代理(CASB)。云計(jì)算訪問安全代理(CASB)是云原生服務(wù)，可為云服務(wù)實(shí)施安全性、合規(guī)性和治理策略。它們可以幫助組織在適當(dāng)?shù)那闆r下利用和擴(kuò)展現(xiàn)有的安全控制，并在適當(dāng)?shù)臅r(shí)候定義和部署新的云本地安全控制，以使企業(yè)能夠始終如一地保護(hù)其數(shù)據(jù)并防御SaaS、IaaS和PaaS中的各種威脅。