安全漏洞快速增長

漕文華

云計(jì)算的應(yīng)用如今正在爆炸式增長，云中存儲的數(shù)據(jù)量同樣也在爆炸式增長。而且，由于具有低成本、簡單性、可靠性、靈活性以及其他特性，公有云或者包含它的混合云或多云成為企業(yè)業(yè)務(wù)運(yùn)營環(huán)境的首選。但是行業(yè)專家表示，任何事物都有自己的缺點(diǎn)，值得注意的是，公有云中工作流程的增加可能會(huì)增加更多的安全漏洞。

Dig Security公司的首席執(zhí)行官兼聯(lián)合創(chuàng)始人Dan Benjamin表示：“企業(yè)在其公有云環(huán)境中正在經(jīng)歷數(shù)據(jù)爆炸式增長，這將導(dǎo)致擴(kuò)展的數(shù)據(jù)攻擊面，可能導(dǎo)致數(shù)據(jù)違規(guī)或合規(guī)性失敗的情況。”

數(shù)據(jù)院動(dòng)態(tài)堯復(fù)雜而且易受攻擊

使用公有云模型，所有服務(wù)器、存儲、硬件、軟件和其他支持基礎(chǔ)設(shè)施都由云計(jì)算提供商擁有和管理。并且，這些信息與其他組織或“租戶”共享。截至2022年，60 %以上的企業(yè)數(shù)據(jù)存儲在云端，這一比例在2015年就達(dá)到了30 %，并且隨著企業(yè)尋求提高可靠性和靈活性，這一比例還在繼續(xù)增長。

預(yù)計(jì)2023年公有云市場的收入將達(dá)到5 256億美元，復(fù)合年增長率接近14 %。毫無疑問，這個(gè)市場只會(huì)繼續(xù)增長，而且將會(huì)加快，到2027年的市場收入將超過8 810億美元。

根據(jù)調(diào)研機(jī)構(gòu)Gartner公司的估計(jì)，到2026年，公有云支出將超過所有企業(yè)IT支出的45 %，2021年的這一比例還不到17 %。

Benjamin指出，像Uber和LastPass公司出現(xiàn)的令人矚目的數(shù)據(jù)泄露事件已經(jīng)證明了云數(shù)據(jù)存儲是多么脆弱，即使對于了解網(wǎng)絡(luò)安全并投資于數(shù)據(jù)保護(hù)的企業(yè)也是如此。他說：“數(shù)據(jù)是動(dòng)態(tài)和復(fù)雜的，它以各種形式存在，并不斷被收集，因此它在公有云上不斷變化。”他解釋說，云計(jì)算環(huán)境通常是復(fù)雜生態(tài)系統(tǒng)的一部分，其中包括多個(gè)公有云和內(nèi)部部署設(shè)施。此外，許多企業(yè)同時(shí)運(yùn)行多個(gè)SaaS應(yīng)用程序、虛擬機(jī)、容器和云實(shí)例，從而增加了更多的抽象層。隨著數(shù)據(jù)在這些資產(chǎn)之間傳輸，發(fā)現(xiàn)數(shù)據(jù)并繪制數(shù)據(jù)流是一項(xiàng)挑戰(zhàn)，因此很容易失去控制。

關(guān)注影子數(shù)據(jù)

云安全機(jī)構(gòu)Solvo公司的首席執(zhí)行官兼聯(lián)合創(chuàng)始人Shira Shamban說：隨著企業(yè)快速行動(dòng)并更快地交付到生產(chǎn)，他們將大量權(quán)力交給了IT或開發(fā)運(yùn)營以外的領(lǐng)域。當(dāng)然，他們在無意中創(chuàng)建了沒有遵循安全最佳實(shí)踐的影子數(shù)據(jù)。影子數(shù)據(jù)是指IT團(tuán)隊(duì)未主動(dòng)管理的數(shù)據(jù)。Benjamin解釋說：“它可以包括用于開發(fā)和測試目的的快照、備份和數(shù)據(jù)副本。它主要存在于電子表格、數(shù)據(jù)庫的本地副本、電子郵件、演示文稿和個(gè)人設(shè)備上。”

安全控制和策略通常沒有應(yīng)用于這些數(shù)據(jù)，這使得跟蹤、管理和監(jiān)控更加困難。Benjamin表示：“這也使它容易受到未經(jīng)授權(quán)的訪問和泄露，這在數(shù)據(jù)安全和合規(guī)性方面都帶來了重大風(fēng)險(xiǎn)，而沒有遵守這些法規(guī)可能會(huì)導(dǎo)致罰款和聲譽(yù)損害，削弱的數(shù)據(jù)安全態(tài)勢會(huì)在多個(gè)層面上泄露企業(yè)的數(shù)據(jù)。造成的損害會(huì)降低客戶的信任，并導(dǎo)致聲譽(yù)損害、罰款、法律費(fèi)用和知識產(chǎn)權(quán)盜竊。公有云的性質(zhì)使得創(chuàng)建新的數(shù)據(jù)存儲很容易，但安全團(tuán)隊(duì)很難監(jiān)控該數(shù)據(jù)存儲的內(nèi)容，因此，企業(yè)必須改變他們對數(shù)據(jù)安全的看法。”

復(fù)雜的數(shù)據(jù)環(huán)境

行業(yè)專家表示，從整體來看，保護(hù)云計(jì)算數(shù)據(jù)既關(guān)鍵又具有挑戰(zhàn)性———無論是私有云、公有云、混合云還是多云。

Shamban表示，在云端最常見的網(wǎng)絡(luò)攻擊與在內(nèi)部部署設(shè)施遭遇的網(wǎng)絡(luò)攻擊沒有什么不同。在通常情況下，會(huì)遭遇憑證盜竊。云中的獨(dú)特攻擊向量與云計(jì)算技術(shù)的錯(cuò)誤配置有關(guān)。

Benjamin認(rèn)為有多種方法可以滲透到云計(jì)算環(huán)境中，網(wǎng)絡(luò)攻擊者通常利用軟件漏洞、泄露的憑證或錯(cuò)誤配置進(jìn)行訪問。但是，無論云計(jì)算環(huán)境是如何被滲透的，網(wǎng)絡(luò)攻擊者的目標(biāo)總是竊取或破壞數(shù)據(jù)以獲得經(jīng)濟(jì)或其他利益。這就是為什么專注于保護(hù)數(shù)據(jù)如此重要的原因。

可見性很重要

企業(yè)有很多工具來保護(hù)自己，其中常見的一個(gè)工具是云安全態(tài)勢管理（CSPM）。通過可見性的自動(dòng)化、不間斷監(jiān)控、威脅檢測和補(bǔ)救工作流程來識別和補(bǔ)救風(fēng)險(xiǎn)。它在不同的云計(jì)算環(huán)境和基礎(chǔ)設(shè)施（包括軟件即服務(wù)、基礎(chǔ)設(shè)施即服務(wù)和平臺即服務(wù)）中搜索錯(cuò)誤配置。

Gartner公司最近引入了數(shù)據(jù)安全態(tài)勢管理（DSPM）的概念。Gartner公司的副總裁分析師Patrick Hevesi表示，數(shù)據(jù)安全態(tài)勢管理包括：合規(guī)評估、風(fēng)險(xiǎn)識別、運(yùn)行監(jiān)測、DevSecOps集成、策略實(shí)施和威脅保護(hù)。

Benjamin解釋道：“這種方法可以與類似的數(shù)據(jù)檢測和響應(yīng)新概念一起工作，數(shù)據(jù)檢測和響應(yīng)提供實(shí)時(shí)監(jiān)控、檢測和響應(yīng)。人們越來越意識到存在的風(fēng)險(xiǎn)，并朝著更好的治理和監(jiān)控?cái)?shù)據(jù)資產(chǎn)的方向發(fā)展。數(shù)據(jù)安全態(tài)勢管理、云數(shù)據(jù)丟失預(yù)防、數(shù)據(jù)檢測和響應(yīng)的功能可以幫助企業(yè)應(yīng)對挑戰(zhàn)。”

工具和文化的混合

最終，企業(yè)必須培訓(xùn)他們的開發(fā)人員和研發(fā)團(tuán)隊(duì)，讓安全在他們的思維中根深蒂固。Shamban表示，他們還必須配備正確的工具，以幫助自動(dòng)化一些日常決策和補(bǔ)救任務(wù)，因?yàn)檫@將為他們騰出時(shí)間進(jìn)行更復(fù)雜的項(xiàng)目。

Shamban說，“我們不能停止使用云計(jì)算服務(wù)，這就是學(xué)習(xí)如何更有效、更安全地使用它的原因。”

Benjamin對此表示認(rèn)同，并承認(rèn)企業(yè)由于公有云具有眾多優(yōu)勢而不會(huì)放棄使用。他說，“云計(jì)算具有無與倫比的靈活性、性能和速度。”