企業(yè)還在PaaS和IaaS上擴(kuò)展應(yīng)用程序和業(yè)務(wù)。2020年，有76%的企業(yè)在AWS云平臺上運行其應(yīng)用程序，63%的企業(yè)在MicrosoftAzure云平臺上運行應(yīng)用程序。
CapitalOne公司技術(shù)顧問和前任首席信息安全官(CISO)MichaelJohnson表示，這些公共云服務(wù)都是必需的且富有成效的，甚至比傳統(tǒng)的數(shù)據(jù)中心提供更安全的環(huán)境。但是，它們也給正在處理和存儲在云平臺中的敏感數(shù)據(jù)帶來了獨特的風(fēng)險，其中大多數(shù)風(fēng)險是由這些服務(wù)的設(shè)置和管理中的客戶錯誤引起的。
Johnson以該公司在2019年發(fā)生的數(shù)據(jù)泄露事件為例，此次事件泄露了8000萬的個人記錄。在其中，網(wǎng)絡(luò)攻擊者利用了配置不當(dāng)?shù)牡谌皆朴嬎悱h(huán)境。Johnson和他的團(tuán)隊彌補了這一漏洞，并借助強(qiáng)大的響應(yīng)計劃，與企業(yè)董事會和執(zhí)行團(tuán)隊的透明性以及與執(zhí)法部門之間的合作關(guān)系，在數(shù)據(jù)被利用之前迅速幫助執(zhí)法機(jī)構(gòu)抓獲網(wǎng)絡(luò)攻擊者。
制定應(yīng)對計劃以應(yīng)對在云平臺中放置敏感數(shù)據(jù)的風(fēng)險，這應(yīng)該是任何云安全策略的一部分。要開始制定有關(guān)公共云使用的數(shù)據(jù)保護(hù)政策，重要的是要了解攻擊者如何竊取來自第三方云服務(wù)的數(shù)據(jù)。
數(shù)據(jù)在云中如何受到攻擊
根據(jù)云安全聯(lián)盟(CSA)發(fā)布的2020年度威脅報告，第三方云服務(wù)中的數(shù)據(jù)泄露主要是由于配置錯誤和變更控制不充分(例如，過多的權(quán)限、默認(rèn)憑據(jù)、配置不正確的AWSS3存儲桶以及禁用的云安全控制)造成的。這份報告指出，這意味著缺乏云計算的安全策略或架構(gòu)，是造成數(shù)據(jù)泄露的另一個常見原因，其次是身份和密鑰管理不足，其次是不安全的API、結(jié)構(gòu)故障以及對云計算活動和安全控制的有限可見性。
云安全聯(lián)盟(CSA)首席執(zhí)行官JimReavis表示：“由于越來越多的企業(yè)員工開展遠(yuǎn)程工作，SaaS在2021年已成為我們關(guān)注的重點。公共云采用率出現(xiàn)了驚人的增長，但是很多企業(yè)在匆忙中卻忘記了對邊緣網(wǎng)絡(luò)的安全保護(hù)。例如，人們在多個云服務(wù)中重復(fù)使用其憑據(jù)，因此憑據(jù)填充攻擊正日益增多。”
根據(jù)安全服務(wù)商McAfee公司的一項調(diào)查，到2020年5月，思科WebEx的使用量增加了600%，Zoom增長了350%，MicrosoftTeams增長了300%，Slack增長了200%。Reavis指出，在企業(yè)最初支持遠(yuǎn)程工作的過程中，有許多可能導(dǎo)致數(shù)據(jù)泄漏的故障：IT團(tuán)隊沒有保護(hù)云中的存儲桶、實施安全的開發(fā)人員實踐，或協(xié)調(diào)身份和訪問程序。有些甚至是網(wǎng)絡(luò)攻擊者在存儲庫中發(fā)現(xiàn)的硬編碼應(yīng)用程序憑據(jù)。他補充說，“這是非常基本的東西。”
企業(yè)遵循以下三個最佳實踐將顯著降低在云中存儲或處理數(shù)據(jù)的風(fēng)險。
1.盤點云服務(wù)的使用情況
首席信息安全官IanPoynter建議，應(yīng)對云平臺中數(shù)據(jù)威脅的最佳方法是控制云應(yīng)用程序的使用，并在涉及公共云服務(wù)的任何新舉措的規(guī)劃階段執(zhí)行風(fēng)險評估。
首席信息安全官(CISO)之間的共識是，用戶的云計算實例并非總是得到授權(quán)，并且很少針對公開數(shù)據(jù)進(jìn)行有效監(jiān)控。Poynter說，“這就是首席信息安全官(CISO)需要成為執(zhí)行團(tuán)隊成員的原因，他們需要了解正在發(fā)生的事情，并且還需要創(chuàng)建一個協(xié)作環(huán)境，業(yè)務(wù)部門主管希望與他們共享新項目或產(chǎn)品，然后讓他們評估正在尋找的云計算產(chǎn)品以獲得支持。”
他表示，他曾向以前任職的一家公司的會計部門發(fā)出警告，告知哪些第三方云應(yīng)用程序和平臺的費用報銷需要獲得批準(zhǔn)。如果未經(jīng)事先批準(zhǔn)，在批準(zhǔn)服務(wù)以外購買的業(yè)務(wù)單位或個人用戶的報銷申請將被拒絕。
這是強(qiáng)制執(zhí)行云計算應(yīng)用程序白名單的人為但有效的方法。云計算應(yīng)用程序允許和拒絕列表也是通常部署在企業(yè)控制的端點上或通過零信任技術(shù)(例如瀏覽器隔離)來控制用戶、企業(yè)和云計算應(yīng)用程序之間遠(yuǎn)程會話的強(qiáng)大技術(shù)控制。
2.云原生的安全性
Johnson表示，在企業(yè)已經(jīng)實現(xiàn)標(biāo)準(zhǔn)化的成熟云服務(wù)和應(yīng)用程序中使用云原生安全產(chǎn)品。例如，評估正在使用的應(yīng)用程序的配置合規(guī)性的AWSInspector，以及可以檢測惡意活動和未經(jīng)授權(quán)的行為的AmazonGuardDuty。他表示，企業(yè)需要對云計算提供商的聲譽進(jìn)行盡職調(diào)查，并盡量采用規(guī)模較大的云計算提供商的服務(wù)，因為通常他們會在數(shù)據(jù)保護(hù)和可見性控制方面獲得更高的評分。
服務(wù)模型之間的原生安全性有所不同。IaaS和PaaS供應(yīng)商為購買者在其基礎(chǔ)設(shè)施或平臺中升級的應(yīng)用程序提供安全性和配置工具。這些是本地提供的，也可以通過第三方提供。對于SaaS應(yīng)用程序(例如DocuSign、Slack或Box)，安全性多數(shù)是原生的。例如，Microsoft356為ActiveDirectory的Exchange、SharePoint和Azure實例(除其他安全產(chǎn)品)提供高級審核。
通過Box企業(yè)云的應(yīng)用，可以了解第三方云計算提供商對敏感數(shù)據(jù)的處理過程。Box云平臺管理多個應(yīng)用程序，以支持工作流、數(shù)字合同、人力資源、Zoom會議、歷史數(shù)據(jù)存儲、人力資源加載和其他人力資源功能。用戶可以通過BoxShuttle將Box云平臺連接到其他云服務(wù)。
Box公司安全、隱私和法規(guī)遵從產(chǎn)品副總裁AlokOjha表示，隨著越來越多的應(yīng)用程序在Box云平臺的應(yīng)用，面向用戶的嵌入式安全和法規(guī)遵從工具集將成為關(guān)鍵。Ojha引用ContentCloud作為Box用戶在不同工作流中實現(xiàn)一致安全性和可視性的地方，以查看應(yīng)用程序中正在處理哪些文件和數(shù)據(jù)，以及誰在訪問數(shù)據(jù)以及出于什么目的訪問。
另一個原生工具BoxShield可配置為查找和分類敏感數(shù)據(jù)，對分類數(shù)據(jù)實施適當(dāng)控制，減少內(nèi)部和惡意軟件威脅的風(fēng)險，了解與數(shù)據(jù)相關(guān)的監(jiān)管要求，并確保監(jiān)管機(jī)構(gòu)的審計跟蹤。他還建議重新關(guān)注身份和訪問管理(IAM)，特別是使用多因素身份驗證，以供外部用戶和合作伙伴使用，而不要使用可重復(fù)使用的密碼。
3.保護(hù)數(shù)據(jù)層的數(shù)據(jù)
數(shù)據(jù)保護(hù)服務(wù)商Titaniam公司創(chuàng)始人兼首席執(zhí)行官ArtiRaman警告說，不要過度依賴身份和訪問控制來防止數(shù)據(jù)泄漏，并表示還需要直接關(guān)注存儲在公共云中的數(shù)據(jù)。但是，從端點到企業(yè)再到云計算的數(shù)據(jù)保護(hù)非常困難，并且必須具有足夠的靈活性以跨越這些邊界，以保護(hù)生命周期中的數(shù)據(jù)。
她說：“我們認(rèn)為，當(dāng)數(shù)據(jù)被索引、搜索、聚合、查詢或以其他方式操作時，加密和數(shù)據(jù)保護(hù)應(yīng)該保持存在，其方法是保持?jǐn)?shù)據(jù)以自適應(yīng)保護(hù)格式使用，而不限制任何功能。這包括傳統(tǒng)加密技術(shù)以及新的可搜索技術(shù)，這些技術(shù)在其之上使用傳統(tǒng)加密以滿足法規(guī)遵從性標(biāo)準(zhǔn)。”
Box公司的Ojha補充說，數(shù)據(jù)終止策略也很重要。企業(yè)應(yīng)遵循數(shù)據(jù)安全的法規(guī)要求，最好自動刪除不再需要在第三方云平臺或基礎(chǔ)設(shè)施中運行的數(shù)據(jù)。
