當(dāng)前位置:聯(lián)升科技 > 技術(shù)資訊 > 應(yīng)用安全 >

企業(yè)上云的七大常見安全錯誤

2021-01-21    作者:安全牛    來源:安全牛    閱讀:
2021年新冠疫情反復(fù)肆虐,全球性的遠(yuǎn)程辦公已經(jīng)成了“基本操作”,大量企業(yè)主動或被動轉(zhuǎn)向云計算大規(guī)模遷徙,但是正如塞倫蓋提大草原上的動物遷徙,沿途危機(jī)四伏。在Menlo Security對200位IT經(jīng)理進(jìn)行的一項調(diào)查中,有40%的受訪者表示,由于企業(yè)大規(guī)模上云,他們正面臨著來自云應(yīng)用和物聯(lián)網(wǎng)(IoT)的安全威脅。

企業(yè)上云面臨的安全威脅很多都是老問題,但這些威脅因為敦刻爾克式的大規(guī)模倉促行動而被放大了,例如影子IT、BYOD和虛擬專用網(wǎng)。遠(yuǎn)程辦公導(dǎo)致2020個人PC市場迎來“偉大復(fù)興”,但我們也應(yīng)該意識到,“個人”PC不再是個人使用,同一臺計算機(jī)可能同時也在運行孩子的網(wǎng)校、網(wǎng)游和社交應(yīng)用,而相關(guān)的安全意識培訓(xùn)和規(guī)則卻并未跟上。可以肯定的是,這對于任何企業(yè)的安全策略來說都不是好苗頭。
以下是企業(yè)上云過程中,常見的七個安全錯誤:
1. 依賴虛擬專用網(wǎng)進(jìn)行遠(yuǎn)程訪問
過去的一年已經(jīng)證明,虛擬專用網(wǎng)可能不是遠(yuǎn)程訪問的最佳答案,甚至頂尖的網(wǎng)絡(luò)安全公司也吃了大虧。2020年12月發(fā)生震驚整個網(wǎng)絡(luò)安全業(yè)界的FireEye黑客事件中,遭到入侵的虛擬專用網(wǎng)賬戶顯然是黑客竊取其工具的切入點。過去,虛擬專用網(wǎng)是保護(hù)遠(yuǎn)程工作者安全的首選方法,但是大規(guī)模遠(yuǎn)程辦公時代,虛擬專用網(wǎng)的安全性遠(yuǎn)遠(yuǎn)不如零信任架構(gòu),后者提供基于身份和上下文的持續(xù)訪問控制。此外,安全主管還應(yīng)確保自疫情大流行以來已經(jīng)制訂了基于家庭的信息安全策略,并將遠(yuǎn)程辦公帶來的新的攻擊面(例如多用戶家用PC)考慮在內(nèi)。
2. 錯誤的云產(chǎn)品組合
需要考慮的因素有很多,例如,您是否需要在私有云上運行關(guān)鍵業(yè)務(wù)數(shù)據(jù),與其他云服務(wù)隔離開?您是否有合適的操作系統(tǒng)子版本運行那些需要在特定配置的Windows和Linux中運行的應(yīng)用程序?是否準(zhǔn)備了正確的連接器和身份驗證保護(hù),以與不上云的本地應(yīng)用程序和設(shè)備一起運行?如果您有舊版大型機(jī)應(yīng)用程序,則可能要先在私有云中運行它,然后嘗試找到最接近于現(xiàn)有大型機(jī)設(shè)置的正確的云環(huán)境。
3. 安全狀況可能不適合上云
常見的云安全錯誤包括不安全的存儲容器、訪問權(quán)限、身份驗證參數(shù)設(shè)置不當(dāng),以及大量開放端口。無論是從本地還是遠(yuǎn)程進(jìn)行連接,企業(yè)都希望保持一致的安全狀態(tài)。因此在將單個應(yīng)用程序遷移到云之前,應(yīng)當(dāng)從一開始就將安全性問題考慮進(jìn)去。強(qiáng)生公司幾年前就這樣做了,當(dāng)時他們將大部分工作負(fù)載遷移到了云中,安全管理模型也隨之變成了集中式。一個可以參考的工具是Netflix剛剛發(fā)布的ConsoleMe開源工具,該工具可以在一個瀏覽器會話中管理多個Amazon Web Services(AWS)賬戶。
4. 沒有測試災(zāi)難恢復(fù)計劃
您上次測試災(zāi)難恢復(fù)(DR)計劃是什么時候?應(yīng)用程序在云中運行并不意味著可以高枕無憂。事實上這些應(yīng)用程序仍然依賴特定的Web和數(shù)據(jù)庫服務(wù)器以及其他基礎(chǔ)架構(gòu)組件。好的災(zāi)難恢復(fù)計劃會記錄這些依賴關(guān)系,并為關(guān)鍵業(yè)務(wù)流程提供預(yù)案。
災(zāi)難恢復(fù)計劃的另一個重要部分是對云故障進(jìn)行連續(xù)測試。云計算也會宕機(jī)和拋錨,過去幾周內(nèi)Google、亞馬遜、微軟、蘋果的云服務(wù)都遭遇了較為嚴(yán)重的業(yè)務(wù)中斷。幾年前,Netflix開發(fā)的Chaos Monkey工具使整體混沌工程廣為流行,它旨在通過不斷(隨機(jī))關(guān)閉各種生產(chǎn)服務(wù)器來測試公司的云基礎(chǔ)架構(gòu)。
企業(yè)可以基于這些工具和方法來開發(fā)自己的混亂故障測試,尤其是與安全相關(guān)的測試,這些測試可以揭示云配置中的弱點,通過自動連續(xù)執(zhí)行測試以發(fā)現(xiàn)基礎(chǔ)架構(gòu)的瓶頸和缺陷。除了Netflix的開源工具外,還有一些商業(yè)產(chǎn)品,例如Verodin/Mandiant的安全驗證,SafeBreach的Breach和Attack Simulation,Cymulate的仿真工具以及AttackIQ的Security Optimization Platform。
5. 沒有為多數(shù)云產(chǎn)品組合優(yōu)化身份驗證
企業(yè)上云之前可能已經(jīng)擁有身份和訪問管理、SIEM、CASB或單點登錄工具,但這些工具在大多數(shù)云和遠(yuǎn)程訪問環(huán)境未必是最適合的身份驗證手段。企業(yè)需要仔細(xì)研究這些工具,確保它們可以適應(yīng)涵蓋特定云環(huán)境和整個應(yīng)用程序組合。例如,雖然CASB非常擅長管理云應(yīng)用訪問,但是您需要確保這個方案可以與內(nèi)部自定義應(yīng)用程序一起使用,可以進(jìn)行基于風(fēng)險的身份驗證的應(yīng)用程序,可以保護(hù)您免受更復(fù)雜的混合云環(huán)境威脅。
6. 過時的Active Directory
Gartner的David Mahdi曾在演講中說:“在數(shù)據(jù)四處流動的今天,身份是新的安全邊界。概括來說就是必須是正確的人,在正確的時間、正確的地點,以正確的理由,訪問正確的資源。”可以肯定的是,企業(yè)的安全團(tuán)隊還有很多事情要做。上云意味著,您的Active Directory(AD)可能無法反映現(xiàn)實,包括當(dāng)前(授權(quán))用戶、應(yīng)用程序和服務(wù)器列表。只有準(zhǔn)確的信息,才能確保上云的過程平滑順暢。
7. 羞于尋求專業(yè)幫助
許多網(wǎng)絡(luò)安全廠商,例如托管安全服務(wù)提供商(MSSP)提供云遷移相關(guān)的安全咨詢和服務(wù),因此,不要羞于向他們尋求幫助。因為企業(yè)的IT團(tuán)隊很可能因為急于將所有內(nèi)容遷移到云中,留下了一些后門或引入了漏洞。
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章,轉(zhuǎn)載請通過安全牛(微信公眾號id:gooann-sectv)獲取授權(quán)】


相關(guān)文章

我們很樂意傾聽您的聲音!
即刻與我們?nèi)〉寐?lián)絡(luò)
成為日后肩并肩合作的伙伴。

行業(yè)資訊

聯(lián)系我們

13387904606

地址:新余市仙女湖區(qū)仙女湖大道萬商紅A2棟

手機(jī):13755589003
QQ:122322500
微信號:13755589003

江西新余網(wǎng)站設(shè)計_小程序制作_OA系統(tǒng)開發(fā)_企業(yè)ERP管理系統(tǒng)_app開發(fā)-新余聯(lián)升網(wǎng)絡(luò)科技有限公司 贛ICP備19013599號-1   贛公網(wǎng)安備 36050202000267號   

微信二維碼