十二大主流云安全威胁

越来越多的数据和应用程序被转移到云中，这带来了独特的信息安全挑战。以下是企业在使用云服务时面临的12大安全威胁。

云计算正在不断改变组织使用、存储和共享数据、应用程序和工作负载的方式。这也带来了一系列新的安全威胁和挑战。随着大量数据进入云计算——，特别是公共云服务，这些资源自然成为坏人的目标。

Gartner的副总裁兼云安全主管杰伊·海泽(Jay Heiser)表示:公共云的使用正在快速增长，因此不可避免地会将大量敏感内容暴露在潜在风险之下。

与大多数人的想法相反，保护云中企业数据的主责任不在于服务提供商，而在于云客户。

“我们正处于云安全转型时期，重点正从供应商转移到客户。企业意识到花大量时间试图找出某个云服务提供商是否“安全”并不重要。“

云安全联盟(CSA)发布了《云计算十二大顶级威胁：行业洞察报告》的最新版本，以便让组织了解云安全问题的最新发展，从而能够就云使用策略做出明智的决策。

该报告描述了CSA安全专家一致同意的当前云面临的最大安全问题。CSA表示，尽管云计算存在许多安全问题，但本文重点讨论了与云计算的共享和按需分发功能相关的12个问题。以下报告《云计算的最大威胁：深度挖掘》(云计算面临的最大威胁:深度潜水)列出了这12种威胁的案例研究。

为了识别主要威胁，CSA对行业专家进行了调查，并收集了关于云计算面临的主要安全问题的专业意见。以下是一些顶级云安全问题(按调查结果的严重性排序):

1. 数据泄露

CSA表示，数据泄漏可能是由目标攻击造成的，也可能是由人为错误、应用程序漏洞或安全措施不佳造成的。数据披露可能涉及任何不打算披露的信息，包括个人健康信息、财务信息、个人身份信息、商业秘密和知识产权信息。组织的云数据对于不同的对象可能有不同的值。数据泄漏的风险并非云计算独有，但它始终是云客户最关心的问题。

在他的报告《深度挖掘》(深度潜水)中，他引用了2012年领英密码黑客攻击作为主要例子。由于领英没有加密密码数据库，攻击者窃取了1.67亿个密码。该报告称，该泄漏警报的组织应始终使用salt hash加密包含用户凭据的数据库，并进行日志记录和异常行为分析。

2. 身份、凭据和访问管理不当

伪装成合法用户、操作员或开发人员的外部入侵者可以读取、修改和删除数据；释放控制面板和管理功能；监控传输中的数据或具有合法分发来源的恶意软件。因此，身份、凭据或密钥的不当管理可能导致未经授权的数据访问，并可能给组织或最终用户带来灾难性的后果。

根据Deep Dive的报告，不当访问管理的一个例子是蒙古数据库默认安装设置的风险。数据库在默认安装设置中打开一个端口，允许访问者在没有身份验证的情况下访问数据库。该报告建议在所有周围环境中实施预防性控制，并要求组织扫描托管、共享和公共环境中的漏洞。

3. 不安全接口和应用程序接口(API)

云提供商公开了一种软件用户界面或应用编程接口客户可以通过它来管理云服务并与之交互。加空局表示，供应、管理和监控都是使用这些接口进行的，通用云服务的安全性和可用性取决于应用编程接口的安全性。它们需要被设计成防止意外的和恶意的逃避政策的企图。

4. 系统漏洞

系统漏洞是程序中可以利用的漏洞。攻击者可以利用这些漏洞潜入系统窃取数据、控制系统或中断服务操作。CSA表示，操作系统组件中的漏洞对所有服务和数据的安全构成了重大风险。随着云用户的增加，不同组织的系统相互靠近，并被赋予共享内存和资源的访问权限，从而创造了一个新的攻击角度。

5. 账户劫持

CSA指出帐户或服务劫持并不新鲜，但是云服务的出现带来了新的威胁。如果攻击者获得用户凭据，他们可以监控用户活动和交易，操纵数据，返回伪造信息，并将客户重定向到非法站点。帐户或服务实例可能成为攻击者的新基础。攻击者可以使用窃取的凭据访问云计算服务的关键部分，从而破坏这些服务的机密性、完整性和可用性。“深度潜水”报告中的一个例子:肮脏母牛高级持续威胁(APT)团队可以通过弱审查或社会工程接管现有账户，以获得系统的根权限。报告建议实施“需要知道”和“需要访问”的访问权限政策，以及针对帐户接管政策的社会工程培训。

6. 恶意内部人员

CSA表示，尽管威胁程度值得商榷，但毫无疑问，内部威胁会带来风险。恶意内部人员(如系统管理员)可以访问潜在的敏感信息，逐渐获得对更关键系统的更高级别访问，并最终访问数据。如果仅仅依靠云服务提供商来保证系统的安全，系统将面临巨大的安全风险。

报告引用了一名不满的Zynga员工从公司下载并窃取机密商业数据的例子。当时，还没有防损控制措施。深度潜水报告建议实施数据丢失预防控制，以提高安全性和隐私意识，从而改进可疑活动的识别和报告。

7. 高级持续威胁(APTs)

CSA表示，尽管威胁程度值得商榷，但毫无疑问，内部威胁会带来风险。恶意内部人员(如系统管理员)可以访问潜在的敏感信息，逐渐获得对更关键系统的更高级别访问，并最终访问数据。如果仅仅依靠云服务提供商来保证系统的安全，系统将面临巨大的安全风险。

8. 数据丢失

CSA表示，尽管威胁程度值得商榷，但毫无疑问，内部威胁会带来风险。恶意内部人员(如系统管理员)可以访问潜在的敏感信息，逐渐获得对更关键系统的更高级别访问，并最终访问数据。如果仅仅依靠云服务提供商来保证系统的安全，系统将面临巨大的安全风险。

9. 尽职调查不够彻底

CSA表示，尽管威胁程度值得商榷，但毫无疑问，内部威胁会带来风险。恶意内部人员(如系统管理员)可以访问潜在的敏感信息，逐渐获得对更关键系统的更高级别访问，并最终访问数据。如果仅仅依靠云服务提供商来保证系统的安全，系统将面临巨大的安全风险。

10. 滥用和恶意使用云服务

CSA表示，尽管威胁程度值得商榷，但毫无疑问，内部威胁会带来风险。恶意内部人员(如系统管理员)可以访问潜在的敏感信息，逐渐获得对更关键系统的更高级别访问，并最终访问数据。如果仅仅依靠云服务提供商来保证系统的安全，系统将面临巨大的安全风险。

DNS提供商Dyn是深度潜水报告的DoS攻击的一个主要例子。一个外部组织使用Mirai未组合恶意软件通过物联网设备在Dyn上发起分布式拒绝服务。攻击成功，因为被攻击的物联网设备使用默认凭据。该报告建议分析异常网络流量，并审查和测试业务连续性计划。

CSA表示，尽管威胁程度值得商榷，但毫无疑问，内部威胁会带来风险。恶意内部人员(如系统管理员)可以访问潜在的敏感信息，逐渐获得对更关键系统的更高级别访问，并最终访问数据。如果仅仅依靠云服务提供商来保证系统的安全，系统将面临巨大的安全风险。

CSA指出，云服务提供商通过共享基础设施、平台或应用程序来提供可扩展的服务。云技术带来了“即服务”的概念，而没有对现有的硬件和软件——进行实质性的改变，有时是以牺牲安全性为代价的。支持云服务部署的基本组件可能无法为多用户架构或多用户应用程序提供强大的隔离功能。这可能会导致共享技术漏洞，这些漏洞可能会在所有交付模型中被利用。

CSA表示，尽管威胁程度值得商榷，但毫无疑问，内部威胁会带来风险。恶意内部人员(如系统管理员)可以访问潜在的敏感信息，逐渐获得对更关键系统的更高级别访问，并最终访问数据。如果仅仅依靠云服务提供商来保证系统的安全，系统将面临巨大的安全风险。

深度潜水报告中的一个示例是云出血漏洞，在该漏洞中，外部人员可以使用其软件中的漏洞从安全服务提供商云flare窃取应用编程接口密钥、密码和其他凭据。该报告建议加密所有敏感数据，并根据敏感级别对数据进行分段。

11. 拒绝服务 (DoS)

2018年1月，研究人员报道了大多数现代微处理器的一个共同设计特征。使用此功能，恶意Javascript代码可以用来从内存中读取内容，包括加密数据。这种漏洞的两个变种分别称为崩溃和幽灵，它们影响从智能手机到服务器的各种设备。正是因为后者，我们才将其列入云威胁列表。

Spectre和Mixture都可以执行旁路攻击，因为它们打破了应用程序之间的隔离。可以通过非特权登录访问系统的攻击者可以从内核读取信息，如果攻击者是来宾虚拟机(虚拟机)上的根用户，则可以读取主机内核。

这对云服务提供商来说是个大问题。当补丁可用时，攻击者更难发起攻击。修补可能会降低性能，因此一些企业可能会选择不修补系统。CERT建议更换所有受影响的处理器——，但是当没有可用的替换时，很难做到这一点。

到目前为止，还没有已知的漏洞利用崩溃或幽灵，但是专家同意这些漏洞很可能很快就会出现。对于云提供商来说，防范它们的最佳建议是确保所有最新补丁都已安装到位。客户应该要求云提供商提供他们应对Meldown和Spectre的策略。