云计算环境中与安全相关的弱点或缺陷可能会给企业带来沉重打击。企业需要在 *** 攻击者攻击之前找出其薄弱环节。
一些企业认为云计算可以自动保护其工作负荷和数据免受攻击、盗窃和其他不当行为的侵犯，这是一个错误的想法。因为即使在云平台上，安全漏洞和潜在的 *** 攻击也是不可避免的。
云平台是一种多租户环境，可以在分布在全球各地的客户之间共享基础设施和资源。云计算提供商必须努力维护其共享基础设施的完整性。与此同时，云计算是一个自助服务平台，每个客户都必须仔细定义其每个工作负载和资源的具体控制。
在深入研究这些云安全挑战以及如何防范安全风险之前，企业必须了解三种主要风险类型之间的差异：威胁、漏洞和风险。这些术语通常可以交换，但对于IT对于安全专业人员来说，义。
- 威胁是指组织必须预防的实际事情，如拒绝服务(DoS)攻击、人为错误或自然灾害。
- 漏洞是指组织安全态势中的疏忽、漏洞、弱点或其他缺陷。这可能包括配置不当的防火墙、未修补的操作系统或未加密的数据。
- 风险是对组织脆弱性的潜在威胁，需要仔细评估。例如，如果有人在公共云中存储未加密的数据，人为错误可能会导致数据访问或更改。这可能被认为是必须预防的主要业务风险。
当用户了解公共云漏洞时，他们可以识别潜在的安全漏洞和常见的错误。IT团队需要识别和解决各种类型的危险，以防止其系统被使用。以下是云计算中最常见的六个安全问题：
1.配置错误
用户自己负责配置，所以企业IT团队需要优先考虑各种设置和选项。云计算资源受到一系列配置设置的保护，详细说明哪些用户可以访问应用程序和数据。错误和疏忽可能会泄露数据，并允许误用或更改数据。
每个云计算提供商使用不同的配置选项和参数。用户有责任学习和理解如何应用这些设置来承载其工作负荷。
IT团队可以通过多种方式减少配置错误：
- 除非特权需要特定的业务或应用程序任务，否则采用并实施更低特权或零信任策略，以防止访问所有云计算资源和服务。
- 采用云计算服务策略，确保默认资源为私有。
- 对云计算资源和服务所需的配置进行总结和运用明确的业务策略和准则。
- 学习云计算提供商的配置和安全设置，可以考虑学习提供商提供特定的课程和认证。
- 在默认情况下，使用加密来保护静态和传输数据。
- 使用Intruder和Open Raven检查配置错误和审核日志。
2.访问控制不良
未经授权的用户使用不良访问控制绕过薄弱或缺乏身份验证或授权。
例如，恶意行为者使用弱密码来猜测凭证。强大的访问控制可以满足最小密码长度、大小写混合、标点符号或符号以及频繁更改密码等其他要求。
通过几种常见的策略，可以提高访问控制的安全性。
- 强制使用强密码，并要求定期重置。
- 采用多因素身份验证技术。
- 要求用户定期重新认证。
- 采用更低特权或零信任的策略。
- 基于云计算的访问控制是避免使用第三方访问控制的。
3.影子IT
任何人都可以创建公共云账户，然后使用其账户提供服务和迁移工作负荷和数据。但那些不精通安全标准的人往往会误解安全选项——留下可用的云漏洞。在许多情况下，这种情况“影子IT”部署甚至可能永远不会识别或报告漏洞。这给了企业一个缓解问题的机会。
今天的企业对影子IT容忍度较高，但实施标准配置和实践至关重要。业务用户、部门和其他实体必须遵守既定的业务标准，以消除漏洞，保持整个组织的安全。
4.不安全的API
使用不相关的软件产品API在不了解彼此代码内部工作原理的情况下进行通信和相互操作。API对这些数据的访问权通常需要敏感的业务数据。API外部开发人员和业务外部开发人员和业务伙伴可以访问企业的服务和数据。
但有时在没有足够的身份验证和授权的情况下实现API。它们完全向公众开放，因此任何具有互联网连接的人都可以访问并可能危害数据。因此，不安全的API迅速成为黑客和其他恶意行为者的主要攻击向量。
无论是云计算提供商API或者创建部署在云中的业务API，开发和使用以下内容API都很重要:
- 强身份验证
- 数据加密
- 监控和记录活动
- 访问控制
开发和实现API的企业应将API视为敏感代码，应进行全面的安全审查，包括渗透试验。云计算等外部API同样的审查的审查。避免使用不符合既定安全标准的外部API。
5.违规
云计算提供商负责云平台的安全，客户负责云计算服务的应用。
在这种共享责任模型中，云计算提供商维护基础设施的完整性和运行，并控制客户资源和数据的分离。客户负责配置访问控制等应用程序和数据安全。
当威胁成功利用漏洞并在没有适当商业目的的情况下访问数据时，企业应后续后果承担全部责任。考虑以下常见的例子：
- 敏感的客户数据被盗，使企业违反了现行的监管义务，损害了其声誉。
- 重要数据被盗，会导致知识产权损失，企业竞争地位受损，数据投资受损。
- 内部业务数据被更改或删除，会产生很多潜在的影响，比如生产问题。
违规行为通常会对企业造成处罚。例如，违反监管义务可能会导致处罚和罚款。违反客户或客户存储的数据可能导致违反合同，导致耗时的诉讼和昂贵的补救措施。
确保配置正确，并遵循本文所述的其他预防措施，以降低任何监管或法律风险。
6.中断
云计算基础设施非常庞大，但确实会出现故障——影响广泛的云中断通常是由硬件问题和配置疏忽引起的。
云平台也可能受到分布式拒绝服务和其他恶意机制的攻击，旨在损害云计算资源和服务的可用性。如果 *** 攻击者可以使公共云资源或云计算服务不可用，它将影响使用这些资源和服务的云计算用户。云计算提供商擅长处理 *** 攻击，当特定业务负荷受到 *** 攻击时，企业支持团队可以提供帮助。
虽然企业和其他公共云用户无法防止云计算的中断和攻击，但他们需要考虑这种中断对云计算工作负荷和数据源的影响，并计划这些事件作为灾难恢复策略的一部分。
鉴于公共云的广泛性质，灾难恢复通常可以通过跨云区域或区域的高可用性架构来解决。然而，这并不是自动的。企业必须仔细设计并定期进行测试，以确保业务不受任何影响。