本文關鍵點
- 爲什麼是雲計算，爲什麼是現在?遵循IaaS的安全性和遵從性意味着雲供應商必須在安全和正常運行時間方面滿足一定的法律和行業標準。
- 從雲計算來看。即使是最可靠的數據中心，在正常運行時間和冗餘方面也比不上主流的雲平臺。是時候行動起來了。
- 規劃你的架構。首先審計你的雲計算棧，並考慮在何處以及如何集成不同的業務系統。
- 配置一個集成的系統。確認與雲供應商簽訂的合同，查看在發生攻擊時有哪些適當的故障安全措施。配置IAM，爲所有用戶分配級別訪問。
- 測試你的工作流集成。即使最周密的計劃也可能會失敗。用戶是會犯錯誤的(例如，上傳私鑰、錯誤地使用VPN，等等)。定期測試你的集成是確保基礎設施安全的關鍵。
對於企業所有者和信息技術專業人員來說，雲計算在效率和可支持性方面取得了重大進展。
但與IT行業的任何重大轉變一樣，雲計算也帶來了大量新的安全風險。讓我們來看看與基於雲的業務系統集成相關的最常見風險，以及如何適當地管理它們。
爲什麼是雲計算
在互聯網的早期，公司要麼將硬件託管在本地辦公室，要麼在附近的數據中心購買空間。過去十年徹底顛覆了這種架構，因爲Amazon Web Services或Microsoft Azure等供應商通過雲計算已經使基礎設施即服務(Infrastructure as a Service, IaaS)的模式大爲興起。現在，你的業務必須信任第三方環境中的所有系統和數據，而不需要任何本地(物理)訪問。
在安全和正常運行時間方面，雲供應商必須滿足一定的法律和行業標準，但這並不意味着一家公司可以完全把所有的安全責任都外包出去。相反，在雲計算時代，IT安全實際上變得更加微妙和複雜。
今天，緊密型集成是維護安全的數字系統的關鍵。如果系統之間不能正確地進行通信，則存在更高的安全漏洞風險，可能導致數據泄露或網絡攻擊。
遷移到雲端
當美國聯邦政府將雲戰略作爲其IT現代化計劃的主要支柱時，這表明雲計算和存儲已經成爲新的規範。不出所料，私營企業果然搶先一步，其中許多企業多年來一直在將已有的應用程序遷移到雲上，或者在開發新的雲就緒應用程序。
請記住，遷移雲並不像下載個新軟件那麼簡單。這是一個全新的、完全不同的生態系統，其中包括一系列風險：法律、金融、商業和合規等。如果沒有花足夠長的時間來了解其中的危險，冒然採取這樣的行動可不是一個好主意。
這也不像瞭解在某個特定時刻存在哪些漏洞和威脅那麼簡單。威脅會隨着時間的推移而發生變化。舊的密碼變得不那麼有效，或者進不了黑客的法眼，就會出現新的密碼。
以下步驟將幫助你成功地在雲中以提高組織的安全性的方式而不是犧牲安全性的方式集成業務軟件和流程。
1. 針對常見的雲安全風險進行自我保護
從某種意義上說，雲環境面臨着與傳統數據中心類似的威脅，因爲它畢竟是運行在軟件上的。軟件總是冒着代碼漏洞的風險，總是會有人花費大量的時間試圖找到並利用這些漏洞。
傳統數據中心與雲計算平臺之間的主要區別在於由誰（雲服務供應商(CSP)或消費者）負責降低哪些風險，哪些責任落在消費者身上。這顯然是一件大事，消費者知道並依賴於CSP來履行自己的承諾。
在爲基礎設施制定安全計劃時，需注意以下三個以云爲中心的漏洞：
1 降低可見性和控制力
當將資產和運維轉移到雲中時，與內部運維相比，你的組織將損失一些可見性和控制力。對於外部雲服務，保護基礎設施的責任轉移到CSP。進一步的責任分工因提供者而異。
在深深地陷入雲遷移之前，瞭解你要註冊的雲服務模型是非常重要的。你的選擇有：
- 基礎設施即服務(IaaS)
- 平臺即服務(PaaS)
- 軟件即服務(SaaS)
- 容器即服務(CaaS)
選用每一種方法，其實就是在取捨對數據的不同級別的控制力，以及在數據到達雲之後查看具體處理方式的能力。Amazon Web Services (AWS)將這種共生關係描述爲CSP處理“雲”的安全性，而客戶負責“雲”中的安全性。
前者指保護運行服務的物理基礎設施(硬件、軟件、網絡和設施)，而後者的範圍取決於所購買的具體服務。
理解條款中的責任分工是一件大事。雲計算供應商Nirvanix的客戶在2013年破產，因爲在相同的年份裏有五位ceo明顯浪費了7000萬美元的風險投資。客戶被要求在系統關閉之前的兩週內從服務器上取回他們的數據。
Nirvanix的許多中小企業客戶存儲了大量數據，在截止日期之前幾乎不可能全部取回。儘管Nirvanix做了安排，讓大家通過高速連接將數據轉移到IBM服務器，但這是唯一的選擇。如果客戶想使用谷歌、微軟、亞馬遜或其他替代方案，則需要自己完成傳輸。這，就是丟失了控制力，是最令人沮喪的。
2 已刪除的數據是怎樣“刪除”的
當你從本地系統中刪除數據時，你可以確保它確實消失了（儘管通過特殊手段也可以進行恢復），但存儲在雲中的數據卻不是這樣。
問題在於，你無法直接訪問數據所存儲的位置去驗證已刪除的數據是否已實際刪除。在很大程度上，你必須相信你的CSP說到做到。
設想一下雲的結構。爲實現冗餘，你的數據很可能分佈於多個不同的設備和不同的物理位置。此外，提供者之間的實際刪除過程並不相同。
最重要的是，你無法確切地驗證你的數據是否如你所願消失了，因此不能確定它的安全性。使用的CSP服務越多，威脅風險越大。你可以通過使用單點登錄解決方案、實現端到端加密和經常更新內部軟件來降低這種風險。
許多公衆人物都經歷了慘痛的教訓：從雲端刪除照片並不意味着它們真的消失了。近年來，黑客檢索並公開發布了數百張照片，令那些相信刪除照片就真的刪除了的人很是尷尬。
3 雲遷移之前失敗的盡職調查
如果問，有什麼好的時機可以放慢腳步，做適當數量的供應商研究，那就是在將所有關鍵數據放到雲計算之前了。雖然雲存儲是互聯網顯而易見的現在和可預見的未來，但“現在先把它發上去，我們以後再解決它”的做法是一個糟糕的想法。
如前所述，CSP只負責一定量的數據安全性，其餘部分由使用者負責。在沒有準確理解服務的工作方式之前，不要對數據存儲庫做出決定。如果只是出於每個人都在這麼做，這並不是立即效仿的好理由。
舉個遷移失敗的具體事例，該事件涉及到2018年初英國TSB銀行。回想起來，IT專家們說，他們把這個過程推進得太快了，當實時切換時，客戶數據顯示出錯誤的帳戶、登錄問題和技術錯誤消息，沒有人能夠解釋得了。這是次盡職調查的巨大失敗。
要點
- 無論使用何種平臺(即本地化網絡、雲網絡)，都存在安全風險
- 瞭解你將需要管理的安全級別與將爲你管理的安全級別，對兩者進行比較。
- 如果你託管的數據是機密的，請考慮選擇雲供應商時同時使用它的加密服務。
- 在做出承諾之前，花時間研究一下服務供應商。
2. 制定遷移計劃
在遷移之前，務必瞭解在雲設置中如何處理身份管理(IdM)。大多數服務器允許從請求文件的任何客戶機IP地址到單個文件流不只有一個連接。不同之處在於，IdM可以首先檢查是否可能有多個到文件的連接。然後，它可以一部分一部分地下載文件，而不是在無法暫停下載的地方線性地下載。
- 在遷移之前，還應該檢測靜態加密和傳輸加密之間的差異。
- 靜態數據的加密應該實現像 AES 或RSA 這樣的強加密方法。這允許在用戶名和密碼被攻破時增加安全性。在此階段，還可以在數據庫以及存儲數據庫的物理硬件上實現加密。
- 對於企業級的傳輸加密，請選擇HTTPS、SSL、TLS或FTPS。
- 你的企業還應該設置多租戶。有許多不同的方法可以設置應用程序來啓用登錄和由用戶同意，包括租戶(客戶端註冊的租戶除外)。你可能更喜歡本地客戶端應用程序，因爲它們默認就是多租戶的，而Web客戶機和Web資源(API)是單租戶和多租戶的。
在進行遷移之前，還有各自可以用於審計訪問和數據使用情況的方法。與IT團隊密切合作可以幫助你研究向前推進的最佳方法。
3.規劃你的架構
在最理想的情況下，在將任何服務器、應用程序或服務部署到雲之前，你需要花時間規劃一個分佈式基礎設施架構。然而，情況並非總是如此，尤其是對於必須管理遺留硬件和軟件的企業。
在開始任何安全集成之前，進行一次徹底的審計，以瞭解組織在雲計算堆棧的每個級別上的雲託管基礎設施的全部範圍。你必須完全準確地瞭解基礎設施中使用的所有硬件元素。沒有這些信息，你將無法做出明智的決定，或者將安全作爲首要任務。
一旦你對雲環境做了完全的映射，接下來的任務是決定是投資於一個集所有功能於一身的安全解決方案，還是管理可以手動集成在一起的獨立服務。沒有唯一的正確答案，因爲這取決於公司的需求和遠景。
在評估不同的雲安全解決方案時，自然不能忽略成本。如果一家公司能夠以比一體化解決方案少得多的預付資金購買許多分佈式系統，那麼很容易就能夠做出決定了。
但反過來看，集中式系統通常更容易支持和維護，這從長遠來看可以節省成本。
系統的基礎設施需要特定的安全方法。在確定了一種安全解決方案之後，還需要創建一支團隊。你是希望在內部創建一個，還是將其外包給第三方?
兩者各有優點，但是在處理雲安全時，你需要小心謹慎地處理這個問題。雲在很多方面都很棒，但它確實添加了一些安全元素，因此找到正確的團隊對於系統架構非常重要。
重點:
- 對公司進行全面審計(即軟件、硬件、存儲、可訪問性)。
- 根據組織審計確定公司的需求(即一體化安全、獨立管理的服務)。
- 比較服務提供者之間的解決方案的成本(即，你是在內部處理解決方案/安全性，還是將其外包出去)。
4. 利用雲中安全方面的改進
考慮一下，遷移到雲計算的IT團隊經常會問，“雲計算如何更安全?”要回答這個問題，請將你當前的數據中心與潛在雲供應商的正常運行時間和冗餘度進行比較，方法如下:
1 簡化身份和訪問憑據管理(IAM)
有許多不同的基於雲的軟件公司，這取決於你想要實現的個人需求和目標。Salesforce是家以全面、高質量而聞名的供應商。CRM在許多策略下都是有效的。Box提供雲內容管理，而AWS是來由大型企業Amazon提供的雲服務。
萬事之前，你應該先控制未經授權登錄的風險。
這意味着，儘管鏈接達到了全球覆蓋，但是一組登錄憑證仍然只允許一個人訪問授權使用的所有云應用程序。與傳統的數據中心一樣，每個人只使用自己的登錄信息(不共享)，應該有一套完整的審計跟蹤，讓IT人員瞭解(計算機取證)在發生惡意或意外數據泄露事件時出了什麼問題。
能夠快速提供或刪除訪問程序和數據的能力，讓它如管理員單擊幾個按鈕一樣簡單。當員工離開或被解僱時，應該迅速關閉他們對雲資源的訪問。如果外部IT團隊爲了維護需要訪問關鍵系統，那麼應該爲訪問加上時間限制，讓它會自動過期。
2 利用更好的正常運行時間和冗餘
數據中心通常按層分級，每一層對應於特定的物理、冷卻和電力基礎設施、冗餘級別以及託管供應商承諾的正常運行時間。
分級從第1層開始，幾乎沒有冗餘和非典型的正常運行時間，然後直至第4層，這表示一個數據中心擁有適當的基礎設施、容量和流程，以提供真正最大的正常運行時間。2018年，最佳共享主機的數據中心正常運行時間最高達到99.991%，符合三級數據中心的標準。
相比之下，AWS、谷歌雲平臺和Microsoft Azure沒有遵循相同的分級排名標準。如果你考慮到每個提供者提供的全套服務、可用性區域的廣泛選擇以及全球分佈的數據中心，它們的正常運行時間超過了第4層，並且具有更好的冗餘。[1][2]
3 使用雲自動化
隨着公司的發展，對更多自動化的需求也在增長，而這正是雲計算擅長的事情之一。對於大型公司，雲計算允許通過自動流程高效地設置衛星辦公室。
最重要的是，你能實現的自動化越多越好。你可以從網絡基礎結構組合中提取的人工元素越多(儘管在終結者2中使用了天網)，錯誤和惡意傷害事件就應該越少。如果你事前沒有考慮過這個想法，那麼在網絡安全方面人們會成爲最大的風險因素。限制人爲干擾和錯誤，你將自動使你的網絡更安全。
根據福布斯的統計，使用自動化有助於減少網絡和通信故障(即停機)、數據丟失和黑客攻擊。自動化一旦完善起來，就不會偏離既定的規則；因此，他們從不錯失一步或留下一扇打開的門。
即使在雲計算髮展的早期，將業務操作遷移到雲計算可能也是你最大限度增強安全的實現方式了。如果網絡安全和雲計算現在看起來令人印象深刻，那麼再等幾年吧。我們所觸及到的只是冰山一角而已，在地平線以下還隱藏着令人難以置信的可能性。
不要讓誇張的語言掩蓋了當下的基本利益。在雲中運行已經提供了網絡彈性、按需增減資源的能力、更低的硬件和軟件成本、更好的正常運行時間以及工作的可移植性等等。
簡而言之，在安全性方面，雲計算是安全的，並且正在不斷得到改進。
要點：
- 消除將數據遷移到雲中的恐懼。
- 認識到大公司(如Salesforce、亞馬遜和Box)在雲託管解決方案上投入了大量資金，並維護了一個高級安全團隊。
- 請記住，安全性取決於最薄弱的環節(即你的管理員和用戶)。
- 能夠在瞬間分配/刪除對某些程序的訪問能力，而無需通過雲權限/安全直接接觸用戶的物理機器。
- 減少因硬件故障、斷電和危險天氣而丟失數據的風險。
- 通過自動化服務減少新用戶、新部門甚至新辦公室的設置時間。
5. 配置一個集成的系統
與雲供應商的契約應該規定特定的安全協議和失效保護。在大多數情況下，提供者將負責基礎設施所在的設備和數據中心。這包括物理硬件和網絡設備的安全性，以及用於分配計算能力的虛擬化工具。
這並不意味着永遠不會在設施內或物理層出現安全漏洞，但作爲雲客戶，你的責任將是有限的。
作爲一個雲客戶，你可以期望負責運行在數據中心基礎設施上的所有軟件和服務，以及那些不同系統的集成。必須在操作系統級別以及所有應用程序和數據庫之間監視和維護安全性。
任何企業安全系統的配置都必須始於身份和訪問管理(IAM)，IAM控制用戶對雲資源的權限。作爲一條基本規則，訪問應該僅限於需要後端訪問的個人或部門。某些負責雲集成的IT管理員將需要跨所有參與集成的網絡進行高層次訪問。
要點：
- 大多數雲供應商將管理你的大部分安全和硬件。
- 你將需要管理系統的軟件的安裝、用戶的分配和存儲的位置。
- 無論你管理什麼，你都要記住要保護它(參見第一條)。雲供應商需要保證網絡和硬件的安全，而不是軟件的安全。
6. 測試你的集成工作流
入侵檢測是最關鍵的安全職責之一，你的企業必須爲入投入金錢和精力。每隔一段時間，黑客們就會發明出新的網絡攻擊形式，在雲平臺中搜索可能導致數據泄露的漏洞。
在最壞的情況下，黑客會侵入你的公司系統，而你卻對此毫不知情，然後在你發現攻擊之前造成嚴重的破壞。例如，一位DXC程序員不小心將該公司的AWS私有密鑰上傳到Github，導致該公司在修復漏洞之前損失了逾6.4萬美元。
入侵檢測系統(IDS)需要與所有連接到開放internet的後端服務器緊密集成。其中必須要有一個防火牆，由它監視所有傳入的流量並阻止未知或可疑的請求。如果檢測到潛在的入侵，系統應向IT管理層發出警報，並採取自動化的步驟以保護數據庫。
如果你正在學習如何在不損害雲安全的前提下將業務集成到雲安全中，那麼從過去成功處理過雲安全的其他人那裏，你可能總會有所收穫的。不要害怕與人接觸，發個即時消息、聊聊天，都會從他人身上吸取到重要的經驗教訓的。
很有可能他們會介紹一些好的、壞的和令人厭惡的結果，希望能讓你避免他們在反覆試驗中犯下的一些關鍵錯誤。僅僅口口相傳，你永遠都得不到足夠的知識。針對集成供應商，包括BP Logix Process Director、Wrike、TrackVia、HighGear和Integrity，有許多備受關注的工作流測試。
7. 對你的設置進行滲透測試
爲了驗證集成雲基礎設施的安全性，應該定期安排和執行測試。你的組織應該與擁有運行滲透測試資質的第三方公司合作，通過這些測試模擬不同類型的網絡攻擊，幫助你發現數字系統中的漏洞。
雲計算的普及迫使安全開發人員發揮創造力。儘管雲應用程序和內部系統一樣需要滲透測試，但其設計從本質上增加了技術和法律的複雜性，必須藉助雲治理的思想來解決這些問題。
雲治理指的是，在第二次或第三次部署之後，雲就會變得異常複雜，以至於團隊通常會撞上一堵高牆，服務數量和資源數量已經超出了他們所能手動控制的極限。下步怎麼辦呢？
這時，你會希望已經實現了一個治理方案，該方案使用一個雲管理程序在實際服務和管理它們的人員之間的抽象層上應用一些策略和原則。這是應對不斷增長的雲運維的唯一方法。
對於任何規模的公司來說，雲基礎設施都可以用於向分佈在全球的員工和客戶提供服務。
比如虛擬專用網(VPN)的支持，它使用戶可以通過加密的隧道連接到雲。
爲了提高安全性，應該將Web過濾器或代理服務集成到所有桌面部署中，以阻止可能危及用戶內部網絡中軟件或硬件安全的危險網站。當使用主要的公共雲供應商(如AWS)時，管理員應該定期更新他們的客戶端證書註銷列表(crl)，將明確的壞角色列入黑名單。
要點：
- 要認識到，沒有不可被滲透的系統，包括亞馬遜。
- 尋找一個外部的第三方入侵檢測系統(IDS,全稱Intrusion Detection Systems）供應商，並經常使用這些系統。
- 確保使用良好的加密實踐保護敏感信息。
- 使用付費VPN解決方案確保所有通信的安全。
- 在使用防火牆、代理、VPN和/或Web和電子郵件過濾器的本地級別上集成安全特性。
展望未來
無論公司規模的大小，都應該有一個專門的安全團隊。根據德勤最新的年度技術趨勢報告，DevOps團隊現在應該被視爲DevSecOps：
“組織(應該)將安全、隱私、策略和控制嵌入到其DevOps流程和文化中，使整個IT組織能夠共同承擔安全責任。”
在集成了硬件和軟件並不斷變化的分佈式環境中尤其如此。
雲計算的一個關鍵優勢是它允許使用IaaS產品進行方便地擴展。例如，如果你的公司的Web流量在一個月內翻了一番，那麼你的雲供應商將提高內存和計算能力，以保持性能穩定。
但這也帶來了額外的安全隱患，必須對其進行監測，以確保所有集成在一起的系統的健康。
作者簡介
薩姆·博西塔 曾是一名安全分析師，他職業生涯的大部分時間都在爲海軍測試網絡安全。他現在處於半退休狀態，面向公衆進行安全和隱私技術方面的教育。Sam的大部分工作都與滲透測試彈道系統相關。他分析了我們的網絡，尋找其中的入口點，然後基於我的發現創建了安全漏洞評估。此外，他還幫助計劃、管理和執行了複雜的“道德”黑客演習，以識別漏洞並降低海軍(陸上和海上)所用的企業系統的風險。他的大部分工作集中在識別和防止應用程序和網絡威脅、降低攻擊向量區域、消除漏洞，以及做常規性報告。他能夠發現薄弱點，並制定新的戰略，以加強我們的網絡，抵禦一系列網絡威脅。
查看英文原文： 7 Steps for Improving Cloud Security With Business Integration