|
新聞中心
當(dāng)前位置：網(wǎng)站首頁(yè) > 新聞中心
如何重新思考新的云部署帶來(lái)的風(fēng)險(xiǎn)
如今的科技正在快速發(fā)展。IT基礎(chǔ)設(shè)施正在發(fā)生變化，網(wǎng)絡(luò)攻擊面也在不斷增加，企業(yè)的云計(jì)算環(huán)境當(dāng)然也在發(fā)展和進(jìn)步。然而，隨著企業(yè)創(chuàng)建新的云計(jì)算部署場(chǎng)景以加快業(yè)務(wù)運(yùn)營(yíng)，面臨的風(fēng)險(xiǎn)也會(huì)發(fā)生變化。雖然很多風(fēng)險(xiǎn)并不是新的風(fēng)險(xiǎn)，但它們被重新設(shè)計(jì)以滲透到現(xiàn)代架構(gòu)中。
云部署面臨的威脅
本文將揭示現(xiàn)代云部署面臨的主要威脅，提供幫助企業(yè)保持行業(yè)領(lǐng)先地位并預(yù)防威脅的策略。
(1)橫向攻擊
復(fù)雜的網(wǎng)絡(luò)攻擊事件如今屢見不鮮。它涉及在云中未被發(fā)現(xiàn)的橫向移動(dòng)能力。網(wǎng)絡(luò)攻擊者深入網(wǎng)絡(luò)以獲取敏感數(shù)據(jù)和高價(jià)值資產(chǎn)，成功地做到這一點(diǎn)需要了解許多技術(shù)。
通常在橫向攻擊中，網(wǎng)絡(luò)攻擊者首先獲得對(duì)密鑰的訪問(wèn)權(quán)，并使用特定命令設(shè)置臨時(shí)憑證，然后他們獲得對(duì)帳戶的低權(quán)限訪問(wèn)。他們也可能會(huì)嘗試采用暴力攻擊以獲取權(quán)限。然后他們執(zhí)行查找事件以查看可以模擬的活動(dòng)，然后橫向移動(dòng)以在整個(gè)系統(tǒng)中移動(dòng)時(shí)執(zhí)行這些相同的命令，以升級(jí)其功能權(quán)限和角色。他們重復(fù)這一操作，直到具有足夠的權(quán)限來(lái)泄露數(shù)據(jù)庫(kù)和其他信息。
為了消除在這種網(wǎng)絡(luò)攻擊場(chǎng)景中被攻擊的可能性，重要的是限制角色和資產(chǎn)的權(quán)限，只允許員工采取必要的操作。這降低了網(wǎng)絡(luò)攻擊者能夠提升其權(quán)限的風(fēng)險(xiǎn)。此外，創(chuàng)建警報(bào)以顯示異常行為。雖然一個(gè)警報(bào)可能不會(huì)引起關(guān)注，但一系列類似的警報(bào)可以讓企業(yè)更快地采取行動(dòng)，并可能使用自動(dòng)化技術(shù)來(lái)阻止網(wǎng)絡(luò)攻擊的執(zhí)行。
(2)注入攻擊
無(wú)論是在傳統(tǒng)的還是現(xiàn)代的微服務(wù)環(huán)境中，SQL注入、操作系統(tǒng)命令注入、代碼注入等網(wǎng)絡(luò)攻擊仍然是企業(yè)面臨的風(fēng)險(xiǎn)。容器和無(wú)服務(wù)器功能添加到環(huán)境中的復(fù)雜性加劇了阻止注入攻擊的挑戰(zhàn)。
網(wǎng)絡(luò)攻擊的方法保持不變：應(yīng)用程序處理來(lái)自不受信任來(lái)源的輸入。然而，對(duì)于微服務(wù)，輸入是通過(guò)大量事件觸發(fā)的，這很難進(jìn)行人工管理。這意味著人們不能僅僅依賴安全控制和單個(gè)應(yīng)用層，而且要確保代碼安全且不易受到注入攻擊。
由于有大量易受攻擊的代碼可以公開使用，網(wǎng)絡(luò)攻擊者可以很容易地利用這些代碼對(duì)微服務(wù)環(huán)境進(jìn)行攻擊。例如，通過(guò)訪問(wèn)環(huán)境，網(wǎng)絡(luò)攻擊者可以使用注入操作功能代碼來(lái)執(zhí)行網(wǎng)絡(luò)攻擊。為了抵消這種攻擊的可能性，代碼必須具有最低權(quán)限，以確保沒有人可以執(zhí)行或訪問(wèn)超出要求的權(quán)限。執(zhí)行自動(dòng)代碼掃描以識(shí)別企業(yè)使用的任何代碼存儲(chǔ)庫(kù)或庫(kù)中的漏洞也很重要。
(3)身份驗(yàn)證受損
使用微服務(wù)，可以單獨(dú)運(yùn)行數(shù)百個(gè)不同的功能，每個(gè)功能都有自己獨(dú)特的用途，并由不同的事件觸發(fā)。這些功能中的每一個(gè)都需要自己獨(dú)特的身份驗(yàn)證協(xié)議，這就留下了出錯(cuò)的空間。
網(wǎng)絡(luò)攻擊者會(huì)尋找諸如被遺忘的資源或冗余代碼，或打開存在已知安全漏洞的API，以獲得對(duì)環(huán)境的訪問(wèn)權(quán)限。這將允許網(wǎng)絡(luò)攻擊者訪問(wèn)包含敏感內(nèi)容或功能的網(wǎng)站，而無(wú)需進(jìn)行正確的身份驗(yàn)證。
雖然服務(wù)提供商可以處理大部分密碼管理和恢復(fù)工作流程，但客戶需要確保資源本身得到正確配置。但是，如果功能不是從最終用戶請(qǐng)求觸發(fā)的，而是在應(yīng)用程序流程中觸發(fā)時(shí)，事情會(huì)變得更加復(fù)雜，會(huì)繞過(guò)身份驗(yàn)證模式。
為了解決這個(gè)問(wèn)題，對(duì)應(yīng)用程序(包括應(yīng)用程序流)進(jìn)行持續(xù)監(jiān)控非常重要，這樣就可以識(shí)別應(yīng)用程序觸發(fā)器。在這一基礎(chǔ)上，企業(yè)的安全團(tuán)隊(duì)希望在資源未包含適當(dāng)權(quán)限、具有冗余權(quán)限或觸發(fā)的行為異?；虿环弦髸r(shí)創(chuàng)建警報(bào)并對(duì)其進(jìn)行分類。
(4)安全配置錯(cuò)誤
在傳統(tǒng)應(yīng)用程序中，安全配置錯(cuò)誤可能發(fā)生在網(wǎng)絡(luò)、Web服務(wù)器、應(yīng)用程序服務(wù)器、容器等。對(duì)于云平臺(tái)，存儲(chǔ)和數(shù)據(jù)庫(kù)默認(rèn)是加密的。但是，為了增強(qiáng)安全性，客戶可以提供自己的加密密鑰或在多租戶架構(gòu)中創(chuàng)建更多分離。
而了解一些細(xì)微差別很重要。未鏈接的觸發(fā)器、未受保護(hù)的文件和目錄將如何影響企業(yè)的安全狀況?一些示例可能包括網(wǎng)絡(luò)攻擊者試圖識(shí)別錯(cuò)誤配置的區(qū)域，以便他們可以訪問(wèn)并導(dǎo)致拒絕服務(wù)，或泄漏敏感數(shù)據(jù)。
為了解決這個(gè)問(wèn)題，企業(yè)需要確保利用來(lái)自其云計(jì)算提供商的內(nèi)置服務(wù)以及第三方服務(wù)來(lái)掃描其云帳戶以識(shí)別公共資源。企業(yè)安全團(tuán)隊(duì)查看這些資源并驗(yàn)證它們是否已實(shí)施訪問(wèn)控制，并遵循最佳實(shí)踐指南。創(chuàng)建警報(bào)并設(shè)置持續(xù)監(jiān)控云計(jì)算環(huán)境的方法，因此如果檢測(cè)到異常行為或發(fā)現(xiàn)配置錯(cuò)誤，則可以快速解決。對(duì)于微服務(wù)，需要查找未鏈接觸發(fā)器和資源。確保將進(jìn)行超時(shí)設(shè)置和設(shè)置并發(fā)所需的最小值，并始終遵循配置最佳實(shí)踐。
(5)第三方漏洞
這已經(jīng)在之前的一些網(wǎng)絡(luò)攻擊和風(fēng)險(xiǎn)領(lǐng)域中提到過(guò)，但需要再次呼吁。隨著微服務(wù)執(zhí)行的不斷增加，開發(fā)人員對(duì)云計(jì)算基礎(chǔ)設(shè)施有了更多的控制權(quán)，因此在安全方面承擔(dān)了更多的責(zé)任。
云計(jì)算是關(guān)于敏捷性和快速移動(dòng)的。企業(yè)單擊按鈕即可啟動(dòng)應(yīng)用程序和功能，這通常意味著正在復(fù)制代碼和API。如果代碼存儲(chǔ)庫(kù)中內(nèi)置了隱藏的漏洞、廣泛的權(quán)限或冗余，則可以輕松地將它們合并到云計(jì)算應(yīng)用程序環(huán)境中。
然而，這并不像建立安全門或質(zhì)量保證(QA)測(cè)試那么容易。這可能減慢開發(fā)速度并降低云計(jì)算的敏捷性，而這就是系統(tǒng)集成和自動(dòng)化發(fā)揮關(guān)鍵作用的地方。安全團(tuán)隊(duì)在持續(xù)集成(CI)/持續(xù)交付(CD)早期建立自動(dòng)化安全措施很重要。他們必須確保在部署之前將最佳實(shí)踐標(biāo)準(zhǔn)和合規(guī)措施集成到資源中。
安全系統(tǒng)還應(yīng)確保在啟動(dòng)之前掃描代碼以查找漏洞。然后在運(yùn)行時(shí)，對(duì)運(yùn)行時(shí)環(huán)境進(jìn)行連續(xù)掃描以快速識(shí)別漏洞。并在可能的情況下自動(dòng)修復(fù)問(wèn)題，這一點(diǎn)很重要。
結(jié)論
根據(jù)調(diào)研機(jī)構(gòu)451 Research公司的調(diào)查，如今90%的工作負(fù)載都在云中，并且云計(jì)算基礎(chǔ)設(shè)施的部署方式將會(huì)繼續(xù)改進(jìn)和擴(kuò)展。
企業(yè)的安全團(tuán)隊(duì)必須了解威脅格局將如何隨著新興部署模型和不斷變化的攻擊面而進(jìn)行的演變。對(duì)于他們來(lái)說(shuō)，進(jìn)一步與跨職能團(tuán)隊(duì)集成以最好地優(yōu)化安全工具和程序同樣重要。這將確保提高安全性不會(huì)阻止業(yè)務(wù)發(fā)展，并且業(yè)務(wù)發(fā)展不會(huì)危及安全。
|
