Alert Logic公司在最近發(fā)布了一篇2014云安全報告，報告顯示近期針對云的攻擊事件數(shù)量有明顯增長的趨勢。但是，企業(yè)的云基礎(chǔ)設(shè)施是否為抗擊云攻擊做好了準(zhǔn)備呢?

　　鑒于針對云的攻擊事件數(shù)量日益增多，所有使用云算服務(wù)的組織都應(yīng)當(dāng)對他們已實施的安全控制措施的狀態(tài)進行評估。

　　適用于客戶配置和控制的可用控制措施的類型是取決于所使用的云服務(wù)模式的。對于軟件即服務(wù)(SaaS)而言，唯一可能的配置是在云應(yīng)用程 序的環(huán)境中。該配置可以包括日志記錄和訪問控制(例如密碼策略和多因素身份驗證，MFA等)，以及應(yīng)用程序內(nèi)的角色和權(quán)限分配。對于平臺即服務(wù) (PaaS)部署來說，管理控制是通過服務(wù)控制臺來實現(xiàn)的，它主要關(guān)注訪問控制和用戶的角色與權(quán)限。大多數(shù)的PaaS環(huán)境還提供了對大量應(yīng)用程序編程接口 (API)的訪問，這些都是需要對潛在的安全問題進行仔細評估的。

　　在本文中，我們將討論企業(yè)組織在評估云安全控制措施中應(yīng)當(dāng)遵循的最佳實踐。

　　漏洞掃描與滲透測試

　　漏洞掃描和滲透測試是所有PaaS和基礎(chǔ)設(shè)施即服務(wù)(IaaS)云服務(wù)都必須執(zhí)行的。無論他們是在云中托管應(yīng)用程序還是運行服務(wù)器和存儲基礎(chǔ)設(shè)施，用戶都必須對暴露在互聯(lián)網(wǎng)中的系統(tǒng)的安全狀態(tài)進行評估。大多數(shù)云供應(yīng)商都同意執(zhí)行這樣的掃描和測試，但是這要求他們事先與客戶和/或測試人員進行充分溝通和協(xié)調(diào)，以確保其它的租戶(用戶)不會遭遇中斷事件或受到性能方面的影響。

　　對于在PaaS和IaaS環(huán)境中測試API和應(yīng)用程序的集成來說，與云供應(yīng)商協(xié)作的企業(yè)應(yīng)重點關(guān)注處于傳輸狀態(tài)下的數(shù)據(jù)，以及通過繞過身份認(rèn)證或注入式攻擊等方式對應(yīng)用程序和數(shù)據(jù)的潛在非法訪問。

　　配置管理

　　云安全措施中最重要的要素就是配置管理，其中包括了補丁管理

　　在SaaS環(huán)境中，配置管理是完全由云供應(yīng)商負(fù)責(zé)處理的。如有可能，客戶可通過鑒證業(yè)務(wù)準(zhǔn)則公告(SSAE)第16號、服務(wù)組織控制(SOC)報告或ISO認(rèn)證以及云安全聯(lián)盟的安全、信任和保證注冊證明向供應(yīng)商提出一些補丁管理和配置管理實踐的要求。

　　在PaaS環(huán)境中，平臺的開發(fā)與維護都是由供應(yīng)商來負(fù)責(zé)的。應(yīng)用程序配置與開發(fā)的庫和工具可能是由企業(yè)用戶管理的，因此安全配置標(biāo)準(zhǔn)仍然還是屬于內(nèi)部定義范疇。然后，這些標(biāo)準(zhǔn)都應(yīng)在PaaS環(huán)境中被應(yīng)用和監(jiān)控。

　　對于IaaS環(huán)境，云供應(yīng)商們應(yīng)當(dāng)證明他們內(nèi)部實踐的可行性，但是他們的客戶還管理著他們自己的虛擬機(VM)。鑒于云環(huán)境中的開放程度，這些內(nèi)容都應(yīng)被盡可能安全的保護起來。由互聯(lián)網(wǎng)安全中心從安全配置入手，微軟公司以及其它的操作系統(tǒng)與應(yīng)用程序供應(yīng)商們是一個可靠的途徑，但是企業(yè)用戶不應(yīng)滿足于內(nèi)部運行的安全配置，因為云本質(zhì)上是更具開放性的。關(guān)閉所有不必要的服務(wù)、刪除所有不需要的應(yīng)用程序和代碼、限制用戶和組的訪問權(quán)限至最低需要限度并且始終保證為系統(tǒng)打補丁的實時性。

　　對于用戶正在運行一個私有云實施的IaaS環(huán)境，這就要求各種網(wǎng)絡(luò)控制措施也是可配置的。例如，一個亞馬遜網(wǎng)絡(luò)服務(wù)(AWS)中的虛擬私有云可以通過IPsec支持一個專用的VPN連接。確保IPsec相關(guān)參數(shù)是正確配置的，同時所有其它的網(wǎng)絡(luò)設(shè)施(例如防火墻和入侵檢測與預(yù)防系統(tǒng))的設(shè)置都是被正確設(shè)置和處于被保護中的。

　　云供應(yīng)商的安全控制

　　云供應(yīng)商融入安全配置過程的切入點在哪里?云供應(yīng)商負(fù)責(zé)所有基礎(chǔ)設(shè)施的運行，其中包括了虛擬化技 術(shù)、網(wǎng)絡(luò)以及存儲等各個方面。它還負(fù)責(zé)其相關(guān)代碼，包括了管理界面和API，所以對它的開發(fā)實踐和系統(tǒng)開發(fā)生命周期的評價也是非常必要的。只有IaaS客 戶會對整個系統(tǒng)規(guī)格擁有真正的控制權(quán)；如果虛擬機是基于一個供應(yīng)商提供的模板(例如亞馬遜的虛擬機鏡像)而部署的，那么在實際使用前也應(yīng)對這些虛擬機進行 仔細研究并確保其安全性。

　　結(jié)論

　　一家組織如何確定在強化自身應(yīng)對云攻擊的準(zhǔn)備工作中應(yīng)投入多少的時間、精力和資金?其答案取決于企業(yè)在云中所托管系統(tǒng)和數(shù)據(jù)的敏感性。

　　無論其敏感性具體是如何的，所有的企業(yè)都應(yīng)在評估云供應(yīng)商的安全功能和控制措施上投入必要的時間，從而確定他們是否滿意。云安全聯(lián)盟的共識評估問卷(CAIQ)就是一個向云計算供 應(yīng)商提問的很好出發(fā)點。企業(yè)應(yīng)確保他們的審計和安全團隊能夠定期地查審反饋，以及諸如SOC 2這樣的審計與驗證報告。對于那些部署在云中的系統(tǒng)和應(yīng)用程序，打補丁、配置管理以及應(yīng)用程序安全性(包括開發(fā)和評估)都是需要投資的重要領(lǐng)域。用戶訪問 控制和角色與權(quán)限分配也是至關(guān)重要的。

　　在云環(huán)境中發(fā)生攻擊或事故之前，組織就應(yīng)盡可能多地了解由供應(yīng)商維護的安全控制以及那些由用戶使用的安全控制是非常關(guān)鍵的，因為這將有助于決策層作出更全面和更明智的風(fēng)險決策。

核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/

本文標(biāo)題：應(yīng)對云攻擊 評估云安全控制是關(guān)鍵

本文網(wǎng)址：http://www.ezxoed.cn/html/support/11121516373.html