日前推出的兩個(gè)新的調(diào)查報(bào)告表明企業(yè)在部署公共云、私有云和混合云的風(fēng)險(xiǎn)有著巨大差異。以下是關(guān)于企業(yè)成功實(shí)施云計(jì)算安全策略所需的工具、信息和組織結(jié)構(gòu)的建議。
如今，將數(shù)據(jù)和服務(wù)遷移到云端已經(jīng)讓很多公司反思他們的安全策略和措施。他們是否需要云計(jì)算安全策略?他們的云計(jì)算安全策略有什么不同?最近的兩項(xiàng)調(diào)查揭示了企業(yè)的安全策略如何變化，更重要的是它們應(yīng)該如何改變。
在云端部署更多的IT基礎(chǔ)設(shè)施在某種程度上比內(nèi)部部署的數(shù)據(jù)中心更加安全。例如，企業(yè)可以清楚了解系統(tǒng)正在運(yùn)行的最新版本，并及時(shí)提供適當(dāng)?shù)难a(bǔ)丁。云計(jì)算服務(wù)提供商也正在構(gòu)建新的功能，例如使用機(jī)器語(yǔ)言進(jìn)行異常檢測(cè)。但是這也帶來(lái)了新的風(fēng)險(xiǎn)，其中一些是企業(yè)誤解了如何管理云計(jì)算安全的結(jié)果。
企業(yè)需要了解云計(jì)算IT戰(zhàn)略(無(wú)論是混合云、私有托管還是公共云)如何影響其網(wǎng)絡(luò)安全策略以及該策略的戰(zhàn)術(shù)執(zhí)行情況，這一點(diǎn)非常重要。
什么是云計(jì)算安全風(fēng)險(xiǎn)?
在云計(jì)算安全提供商Alert Logic公司的調(diào)查報(bào)告中，分析了與內(nèi)部部署數(shù)據(jù)中心相比的各種形式的云環(huán)境的風(fēng)險(xiǎn)性質(zhì)和數(shù)量。在18個(gè)月的時(shí)間里，該公司分析了來(lái)自3800多名客戶的147 PB數(shù)據(jù)，并對(duì)安全事件進(jìn)行了量化和分類。在此期間，該公司分析了超過(guò)220萬(wàn)個(gè)企業(yè)積極應(yīng)對(duì)的安全事件。其主要發(fā)現(xiàn)包括：
•混合云環(huán)境的安全事件數(shù)量最高，達(dá)到977起，，其次是托管私有云(684)，內(nèi)部部署數(shù)據(jù)中心(612)和公共云(405)。
到目前為止，最常見(jiàn)的事件類型是Web應(yīng)用程序的攻擊(75%)，其次是暴力攻擊(16%)，偵測(cè)(5%)和服務(wù)器端勒索軟件(2%)。
•Web應(yīng)用程序攻擊最常見(jiàn)的因素是SQL(47.74%)，Joomla(26.11%)，Apache Struts(10.11%)和Magento(6.98%)。
Wordpress是最常見(jiàn)的暴力攻擊的目標(biāo)(41%)，其次是MS SQL(19%)。
無(wú)論是公共云、私有云還是混合云環(huán)境，Web應(yīng)用程序的威脅是主要因素。他們之間的不同是企業(yè)所面臨的風(fēng)險(xiǎn)水平。“Alert Logic公司從安全廠商的角度來(lái)看，公共云的有效保護(hù)能力較高，因?yàn)橛兄玫男旁氡群洼^少嘈雜的攻擊。”Alert Logic公司Misha Govshteyn聯(lián)合創(chuàng)始人說(shuō)，“在公共云環(huán)境中發(fā)生安全事件時(shí)，企業(yè)應(yīng)該會(huì)更多地關(guān)注，因?yàn)樗鼈兺ǔ１容^隱秘，不易被人發(fā)現(xiàn)。”
調(diào)查表明，一些平臺(tái)的安全性比其他平臺(tái)更脆弱。 Govshteyn說(shuō)：“盡管企業(yè)盡了最大的努力，但還是會(huì)增加攻擊面。”他舉例說(shuō)，“人們普遍認(rèn)為，LAMP堆棧比基于微軟的應(yīng)用堆棧更加脆弱。”他還將PHP應(yīng)用程序視為一個(gè)熱點(diǎn)。
Govshteyn說(shuō)：“內(nèi)容管理系統(tǒng)(尤其是Wordpress，Joomla和Django)作為Web應(yīng)用程序的平臺(tái)，其安全性的脆弱性遠(yuǎn)遠(yuǎn)超過(guò)大多數(shù)人的想象，并且具有許多漏洞。只有了解這些特性的開(kāi)發(fā)團(tuán)隊(duì)傾向于使用的Web框架和平臺(tái)，才能保證這些系統(tǒng)的安全。大多數(shù)安全人員很少關(guān)注這些細(xì)節(jié)，而是根據(jù)糟糕的假設(shè)做出決定。”
為了最大限度地減少云計(jì)算威脅的影響，Alert Logic公司有三個(gè)主要建議：
•依靠應(yīng)用程序白名單來(lái)阻止對(duì)未知程序的訪問(wèn)。這包括為組織中使用的每個(gè)應(yīng)用程序進(jìn)行風(fēng)險(xiǎn)與價(jià)值評(píng)估。
•了解企業(yè)自己的修補(bǔ)過(guò)程并優(yōu)先安裝補(bǔ)丁程序。
•根據(jù)當(dāng)前用戶的職責(zé)限制管理和訪問(wèn)權(quán)限。這將需要企業(yè)保持最新的應(yīng)用程序和操作系統(tǒng)的權(quán)限。
如何保護(hù)云平臺(tái)
網(wǎng)絡(luò)監(jiān)控解決方案提供商Gigamon公司委托市場(chǎng)研究機(jī)構(gòu)VansonBourne公司進(jìn)行的調(diào)查表明，73%的受訪者表示他們的大部分應(yīng)用工作負(fù)載運(yùn)行在公共云或私有云中。然而，這些受訪者中有35%的人希望以“完全相同的方式”處理網(wǎng)絡(luò)安全，就像他們?cè)趦?nèi)部部署數(shù)據(jù)中心操作一樣。其余的人表示他們別無(wú)選擇，只能改變他們對(duì)云計(jì)算的安全策略。
當(dāng)然，并不是每個(gè)公司都將敏感或重要的數(shù)據(jù)遷移到云中，所以對(duì)于他們而言，改變策略的理由就更少了。但是，大多數(shù)公司正在遷移關(guān)鍵和專有公司信息(56%)或營(yíng)銷資產(chǎn)(53%)。47%的人希望在云端擁有個(gè)人身份信息，這由于將會(huì)受到新的隱私法規(guī)即將實(shí)施(例如歐盟的GDPR)的影響。
Govshteyn表示，企業(yè)應(yīng)該把重點(diǎn)放在云計(jì)算安全策略的三個(gè)主要領(lǐng)域上：
1.工具。企業(yè)在云環(huán)境中部署的安全工具必須是原生的，并且能夠保護(hù)Web應(yīng)用程序和云端工作負(fù)載。 Govshteyn表示：“安全技術(shù)都集中在端點(diǎn)保護(hù)制定一套攻擊向量。這在云端并不常見(jiàn)，并且沒(méi)有足夠的能力處理OWASP的十大威脅，這占到所有云計(jì)算攻擊的75%。”他指出，端點(diǎn)威脅針對(duì)的是Web瀏覽器和客戶端軟件，而基礎(chǔ)設(shè)施威脅則針對(duì)服務(wù)器和應(yīng)用程序框架。
2.體系。體系結(jié)構(gòu)的定義圍繞云計(jì)算提供的安全和管理優(yōu)勢(shì)，而不是企業(yè)在傳統(tǒng)數(shù)據(jù)中心中使用的相同體系結(jié)構(gòu)。 Govshteyn說(shuō)：“現(xiàn)在有數(shù)據(jù)顯示，純粹的公共云環(huán)境可以讓企業(yè)降低事件率，但只有使用云計(jì)算功能來(lái)設(shè)計(jì)更安全的基礎(chǔ)架構(gòu)才能實(shí)現(xiàn)。”他建議企業(yè)將每個(gè)應(yīng)用程序或微服務(wù)隔離在自己的虛擬私有云中，這樣可以減少任何入侵的范圍。
“像雅虎公司數(shù)據(jù)泄露這樣的主要違規(guī)行為最初是以簡(jiǎn)單的Web應(yīng)用程序作為初始輸入向量，因此不太重要的應(yīng)用程序往往成為企業(yè)最大的問(wèn)題。”另外，企業(yè)不要在云部署中修補(bǔ)漏洞。相反，部署運(yùn)行最新代碼的新的云計(jì)算基礎(chǔ)設(shè)施，并停用原有的基礎(chǔ)設(shè)施。
Govshteyn表示：“只有在部署自動(dòng)化的情況下才能做到這一點(diǎn)，但是企業(yè)將獲得傳統(tǒng)數(shù)據(jù)中心永遠(yuǎn)無(wú)法實(shí)現(xiàn)的基礎(chǔ)設(shè)施控制級(jí)別的能力。”
3.連接點(diǎn)。企業(yè)需要確定云部署與運(yùn)行傳統(tǒng)代碼的傳統(tǒng)數(shù)據(jù)中心相互連接的點(diǎn)。他說(shuō)：“這些問(wèn)題很可能是企業(yè)最大的問(wèn)題來(lái)源，因?yàn)槲覀兛吹揭粋€(gè)明顯的趨勢(shì)，即混合云部署往往會(huì)遭遇大部分安全事件。”
并非企業(yè)現(xiàn)有安全策略的所有內(nèi)容都必須為云計(jì)算而改變。“企業(yè)在某些方面可以使用相同的安全策略，例如，對(duì)于取證和威脅檢測(cè)的深度內(nèi)容檢測(cè)。對(duì)于云端來(lái)說(shuō)，其本身并不是一個(gè)壞主意。追求這一目標(biāo)的企業(yè)一般都在尋求其安全架構(gòu)之間的一致性，以減少其安全狀況的差距。”Gigamon產(chǎn)品營(yíng)銷高級(jí)經(jīng)理Tom Clavel說(shuō)。
Clavel補(bǔ)充說(shuō)：“企業(yè)面臨的挑戰(zhàn)是如何獲得網(wǎng)絡(luò)流量來(lái)進(jìn)行這種檢查。雖然這些數(shù)據(jù)可以通過(guò)多種方式在本地部署的數(shù)據(jù)中心獲得，但在云端無(wú)法使用。另外，即使他們能夠訪問(wèn)流量，也不必將信息泄漏到內(nèi)部工具進(jìn)行檢查，而沒(méi)有人工智能的幫助則成本高，并且會(huì)適得其反。”
云計(jì)算的可見(jiàn)性問(wèn)題
在VansonBourne公司進(jìn)行的調(diào)查中，很多受訪者抱怨說(shuō)，云計(jì)算可能會(huì)在安全領(lǐng)域造成盲點(diǎn)?？傮w而言，有一半的受訪者表示，云計(jì)算能夠“隱藏”識(shí)別威脅的信息。他們還表示在云端缺少有關(guān)正在加密(48%的受訪者表示)、不安全的應(yīng)用程序或流量(47%)或SSL/TLS證書(shū)有效性的信息(35%的受訪者表示)。
49%的受訪者表示，混合云環(huán)境可能會(huì)進(jìn)一步阻礙可見(jiàn)性，因?yàn)樗梢宰柚蛊髽I(yè)安全團(tuán)隊(duì)看到數(shù)據(jù)實(shí)際存儲(chǔ)的位置。78%的受訪者表示，孤立的數(shù)據(jù)(一些由安全操作部門(mén)掌控，另一部分由網(wǎng)絡(luò)操作部門(mén)掌控)可能會(huì)使查找數(shù)據(jù)更加惡化。
不僅僅數(shù)據(jù)是這樣，企業(yè)安全團(tuán)隊(duì)的可視性也很有限。67%的調(diào)查受訪者表示，網(wǎng)絡(luò)盲點(diǎn)是他們保護(hù)組織數(shù)據(jù)安全的障礙。為了獲得更好的可視性，Clavel建議企業(yè)首先確定如何組織和實(shí)施安全狀態(tài)。“人們會(huì)問(wèn)，這一切都在云端嗎?還是從內(nèi)部部署擴(kuò)展到云端?在這兩種情況下，確保應(yīng)用程序網(wǎng)絡(luò)流量的普遍可見(jiàn)性是安全策略的核心。企業(yè)看到的越多，就能獲得更多的安全保障。”他說(shuō)。
“為了解決可見(jiàn)性需求，企業(yè)需要確定一種方法來(lái)獲取、匯總和優(yōu)化網(wǎng)絡(luò)流量的安全工具，無(wú)論它們是入侵檢測(cè)系統(tǒng)(IDS)、安全信息和事件管理(SIEM)、取證、數(shù)據(jù)丟失防護(hù)DLP、高級(jí)威脅檢測(cè)(ATD)，或同時(shí)進(jìn)行所有這些檢測(cè)。”Clavel補(bǔ)充說(shuō)，“最后，添加SecOps程序，即使隨著企業(yè)的云計(jì)算足跡增長(zhǎng)，也能自動(dòng)檢測(cè)威脅的可見(jiàn)性和安全性。”
這些盲點(diǎn)和低信息可見(jiàn)性可能會(huì)導(dǎo)致GDPR合規(guī)性問(wèn)題。66%的受訪者表示缺乏可見(jiàn)性會(huì)使GDPR合規(guī)困難。只有59%的受訪者認(rèn)為他們的組織將在2018年5月的截止日期之前為GDPR的實(shí)施做好了準(zhǔn)備。
機(jī)器學(xué)習(xí)會(huì)提供幫助嗎?
云計(jì)算服務(wù)提供商正在努力提高客戶識(shí)別和解決潛在威脅的能力。例如，亞馬遜網(wǎng)絡(luò)服務(wù)(AWS)在2017年推出了了兩項(xiàng)依靠機(jī)器學(xué)習(xí)來(lái)保護(hù)客戶資產(chǎn)的服務(wù)。
在2017年8月，AWS推出了Macie服務(wù)，主要側(cè)重于PCI、HIPAA和GDPR合規(guī)。它會(huì)根據(jù)用戶在Amazon S3存儲(chǔ)桶中的內(nèi)容進(jìn)行培訓(xùn)，并在檢測(cè)到可疑活動(dòng)時(shí)通知客戶。AWS GuardDuty于2017年11月份發(fā)布，它使用機(jī)器學(xué)習(xí)來(lái)分析AWS CloudTrail，VPC Flow Logs和AWS DNS日志。像Macie一樣，GuardDuty專注于異常檢測(cè)，以提醒客戶的可疑活動(dòng)。
機(jī)器學(xué)習(xí)的有效性取決于由算法和訓(xùn)練數(shù)據(jù)組成的模型。這個(gè)模型與其所訓(xùn)練的數(shù)據(jù)一樣好，任何超出模型數(shù)據(jù)的事件都不會(huì)被Macie或GuardDuty等服務(wù)檢測(cè)到。
也就是說(shuō)，像AWS這樣的云計(jì)算安全提供商將擁有比任何個(gè)人客戶都更加豐富的數(shù)據(jù)集。AWS在其整個(gè)網(wǎng)絡(luò)中都具有可視性，使得在正常的和可能是惡意的情況下訓(xùn)練其機(jī)器學(xué)習(xí)模型變得更加容易。但是，客戶需要了解機(jī)器學(xué)習(xí)不會(huì)檢測(cè)到機(jī)器學(xué)習(xí)模型中的培訓(xùn)數(shù)據(jù)之外的威脅。他們不能只靠guardduty Macie和GuardDuty這樣的服務(wù)。
誰(shuí)擁有云安全?
考慮到這一點(diǎn)，毫不奇怪的是，62%的受訪者表示希望他們的安全運(yùn)營(yíng)中心(SOC)能夠控制網(wǎng)絡(luò)流量和數(shù)據(jù)，以確保在云計(jì)算環(huán)境中提供充分的保護(hù)。他們中有一半人會(huì)意識(shí)到需要保護(hù)網(wǎng)絡(luò)流量和數(shù)據(jù)。
由于管理云環(huán)境的結(jié)構(gòu)問(wèn)題，對(duì)于許多組織來(lái)說(shuō)，獲得控制權(quán)甚至獲得完全可見(jiàn)性可能是一個(gè)挑戰(zhàn)。雖然69%的受訪者組織負(fù)責(zé)安全操作，但云端操作(54%)或網(wǎng)絡(luò)操作也會(huì)涉及云計(jì)算安全，這導(dǎo)致出現(xiàn)了企業(yè)與云計(jì)算安全廠商以及IT團(tuán)隊(duì)?wèi)?yīng)該如何合作的問(wèn)題。事實(shí)上，有48%的受訪者表示，團(tuán)隊(duì)之間缺乏合作是識(shí)別和報(bào)告違規(guī)行為的最大障礙。
Clavel說(shuō)：“企業(yè)通常將網(wǎng)絡(luò)、安全和云端的責(zé)任分開(kāi)。每方面都有不同的預(yù)算、獨(dú)特的所有權(quán)，甚至是管理這些領(lǐng)域的獨(dú)特工具。要獲得云計(jì)算的可視性，需要打破這三個(gè)組織之間的溝通障礙。部署在本地部署數(shù)據(jù)中心的相同安全工具也將能夠保護(hù)云端，因此云計(jì)算提供商和安全團(tuán)隊(duì)需要溝通。”
哪些人應(yīng)該關(guān)注組織的云安全?企業(yè)需要具有專業(yè)技能和長(zhǎng)期能力的工作人員或團(tuán)隊(duì)。 Govshteyn說(shuō)：“企業(yè)需要找到能夠最快地轉(zhuǎn)向新的云計(jì)算安全模式的人員或團(tuán)隊(duì)，并讓他們?cè)谖磥?lái)三到五年內(nèi)建立企業(yè)安全策略。
“在過(guò)去的幾年中，這些往往是IT運(yùn)營(yíng)團(tuán)隊(duì)或企業(yè)安全團(tuán)隊(duì)在實(shí)施，但總是有一個(gè)架構(gòu)師級(jí)別的個(gè)人貢獻(xiàn)者或?qū)ｉT(mén)的云計(jì)算安全團(tuán)隊(duì)。這個(gè)新的安全專業(yè)人員可以編寫(xiě)代碼，花費(fèi)超過(guò)80%的時(shí)間自動(dòng)完成工作，并將開(kāi)發(fā)團(tuán)隊(duì)視為同行而不是對(duì)手。”Govshteyn說(shuō)。他補(bǔ)充說(shuō)，在科技公司，安全有時(shí)是工程團(tuán)隊(duì)所做的工作。
盡管目前很多企業(yè)的高層對(duì)安全問(wèn)題非常感興趣，但他們不會(huì)提供具體的幫助。他說(shuō)：“事實(shí)上，一半以上(53%)的受訪者表示云計(jì)算安全的任務(wù)進(jìn)一步復(fù)雜化，這是因?yàn)樗麄兊慕M織沒(méi)有實(shí)施云計(jì)算安全策略或框架。雖然幾乎所有這些組織都打算在未來(lái)這樣做，但誰(shuí)在領(lǐng)導(dǎo)實(shí)施很多人卻不清楚。”
Clavel說(shuō)：“安全和監(jiān)控工具也將能夠利用同一個(gè)安全交付平臺(tái)提供更大的靈活性，因此網(wǎng)絡(luò)、安全和云計(jì)算方面的團(tuán)隊(duì)也需要同意分擔(dān)安全交付平臺(tái)的責(zé)任。作為SOC的一部分——或至少要建立共同預(yù)算和共享所有權(quán)的安全交付平臺(tái)，鞏固其安全和監(jiān)控活動(dòng)的企業(yè)，將獲得更好的靈活性、更快的決策，以及跨平臺(tái)和云端部署的一致安全性。”
版權(quán)聲明：本文為企業(yè)網(wǎng)D1Net編譯，轉(zhuǎn)載需注明出處為：企業(yè)網(wǎng)D1Net，如果不注明出處，企業(yè)網(wǎng)D1Net將保留追究其法律責(zé)任的權(quán)利。
京公網(wǎng)安備 11010502049343號(hào)