调查:三分之一的IT人员竟然不知道云共享责任模型

云配置知识很重要

每3个IT人员中就有1个认为云安全是其云提供商的责任,更有65%的IT团队低估了云安全事件可导致的真实伤害。这就是以色列网络安全公司 Check Point 《2019网络安全报告》的主要发现之一。该报告还指出,云服务容易遭遇3大主要安全问题:账户劫持、恶意软件投放和数据泄露。

最重要的是,一些IT人员对这些漏洞的缓解责任归属抱有疑问。

错误理解所需安全级别和不清楚该安全责任归属的现象比比皆是。这就导致通往数据泄露的大门洞开。

62%的IT人员认为,云端错误配置是公共云最大的安全威胁。(迈克菲曾报告称,去年平均每个月发现2,000多起错误配置事件,均为可导致企业数据处于风险之中的那种。)

今年1月,云安全专家Rubrik据称遭遇重大数据泄露,某台错误配置的服务器泄露出保密客户联系人及配置数据,包括归属英国国家医疗服务系统(NHS)和美国国土安全部(DHS)的数据。

你知道提供商共享责任模型吗?

很多云服务和基础设施提供商都遵从所谓共享责任模型。尽管这种双方协议的具体内容因公司而异,一般来说,云提供商是要为其云基础设施上的安全负责的,客户则需为自己存储在云端的数据安全负责。

也就是说,提供商管理和控制托管云基础设施和软件虚拟层之类特定元素。云提供商还需对云基础设施的物理安全提供保障。

AWS共享责任模型

以AWS为例,其客户遵照亚马逊的共享责任模型运营,负责亚马逊弹性计算云(EC2)和亚马逊虚拟私有云(VPC)等服务的配置和管理任务。

如果客户部署亚马逊EC2实例,需要负责管理客户操作系统(包括更新和安全补丁)、客户在实例上安装的任何应用软件或实用工具,以及AWS在每个实例上提供的防火墙(名为安全组)的配置。

想要在云提供商基础设施上安全使用云服务,IT部门就得充分认识到他们的主要义务是什么。各个系统只有正确配置,才能保证安全。

安全与云始终相生相克,任何一方都不能松懈,正如 Check Point 在报告中所说:随着时间流逝,云端威胁仍将继续发展。攻击者会为云端战场继续开发越来越多的工具,刺探公共云服务的极限。事实上,随着新云漏洞利用的出现,下一波攻击已经在路上了。

Check Point 报告获取链接:

https://pages.checkpoint.com/cyber-security-report-2019-cloud-mobile-iot.html?utm_source=blog&utm_medium=cp-website&utm_campaign=cm_wr_19q1_ww_security_report_vol_3_cloud_mobile_iot_ww9

AWS共享责任模型:

https://aws.amazon.com/compliance/shared-responsibility-model/

上一篇:区分攻击:研究人员提出解决在线密码猜测攻击的新方法

下一篇:六年红队实践经验分享