河北慧日信息技術(shù)有限公司

黑客總是在IT系統(tǒng)中尋找漏洞，企業(yè)一直在警惕防備。雖然有許多工具可以幫助保護(hù)數(shù)據(jù)和檢測(cè)威脅，但這些工具都存在云安全風(fēng)險(xiǎn)：工具不能避免人為因素。

人無(wú)完人，終端用戶(hù)和IT團(tuán)隊(duì)也一樣。他們?nèi)菀资艿骄W(wǎng)絡(luò)釣魚(yú)攻擊，也可能會(huì)發(fā)生普通的失誤，例如：他們可能會(huì)在外部環(huán)境使用機(jī)密信息或者不正確地部署安全服務(wù)。更重要的是，云安全最佳實(shí)踐經(jīng)常不能得到員工的全面遵守和支持，因?yàn)閱T工總希望盡量快速和高效地完成工作，有些安全策略會(huì)帶來(lái)少許限制。

要解決云環(huán)境中人的風(fēng)險(xiǎn)因素，組織需要理解工具存在的局限性，并培養(yǎng)員工的信息安全意識(shí)。

終端用戶(hù)

網(wǎng)絡(luò)釣魚(yú)攻擊旨在誘騙個(gè)人用戶(hù)通過(guò)網(wǎng)站鏈接和網(wǎng)頁(yè)直接響應(yīng)暴露敏感信息。在許多情況下，軟件看起來(lái)是合法的，結(jié)果員工就成了攻擊和破壞IT系統(tǒng)的受害者。

此外，隨著移動(dòng)設(shè)備和云服務(wù)的興起，大量企業(yè)數(shù)據(jù)也都轉(zhuǎn)移到了外部環(huán)境。這就增加了用戶(hù)在家里、咖啡店或者酒店訪問(wèn)敏感信息的機(jī)會(huì)，那些環(huán)境中的網(wǎng)絡(luò)可能遭到竊聽(tīng)。

為了保障信息安全，可以使用數(shù)據(jù)泄露保護(hù)服務(wù)，它可以識(shí)別包含敏感信息的文檔（例如賬號(hào)信息）并警告員工潛在的云安全風(fēng)險(xiǎn)。在某些情況下，這些工具還可以禁止訪問(wèn)某些外部環(huán)境數(shù)據(jù)。在這個(gè)領(lǐng)域有一些專(zhuān)門(mén)的供應(yīng)商，包括CA技術(shù)公司、思科公司、Digital Guardian公司、Veracode公司和賽門(mén)鐵克公司。

IT團(tuán)隊(duì)

IT團(tuán)隊(duì)也容易發(fā)生可導(dǎo)致云安全風(fēng)險(xiǎn)的人為錯(cuò)誤。例如：補(bǔ)丁管理就是個(gè)長(zhǎng)期存在的問(wèn)題。IT團(tuán)隊(duì)更新補(bǔ)丁消除漏洞的操作有時(shí)候是滯后的，因?yàn)樗麄冞€有其它更緊迫的問(wèn)題要處理。不過(guò)，在公共云環(huán)境中云服務(wù)提供商會(huì)負(fù)責(zé)更新補(bǔ)丁，這會(huì)降低這方面風(fēng)險(xiǎn)。

但是，不要指望（云環(huán)境）提供商對(duì)云環(huán)境的所有安全問(wèn)題負(fù)責(zé)，IT團(tuán)隊(duì)仍然需要防護(hù)安全威脅。例如，許多公司現(xiàn)在有內(nèi)部開(kāi)發(fā)人員拼湊云應(yīng)用程序，這些人員專(zhuān)業(yè)技術(shù)能力很有限甚至非常不專(zhuān)業(yè)。雖然他們構(gòu)建這些應(yīng)用程序的工具可能也有安全選項(xiàng)或功能，但一些新手可能不會(huì)使用或沒(méi)有啟用安全策略，這會(huì)給應(yīng)用程序留下漏洞。

一般來(lái)說(shuō)，向云環(huán)境遷移意味著IT團(tuán)隊(duì)需要調(diào)整他們的管理過(guò)程。云安全聯(lián)盟CEO Jim Reavis認(rèn)為，不是所有的遺留系統(tǒng)都需要遷移到云環(huán)境，有一些是沒(méi)有意義的。公司需要改變思維，部署下一代防火墻，把工具當(dāng)作服務(wù)運(yùn)作，而不是當(dāng)成設(shè)備。

許多組織都有安全工具或者服務(wù)，可以監(jiān)視云部署和系統(tǒng)日志。這些工具很多都可以檢測(cè)潛在威脅并自動(dòng)發(fā)送警告。不過(guò)其中有一些警告可能是合法的，有一些不合法，這會(huì)給安全運(yùn)維團(tuán)隊(duì)帶來(lái)很大工作量。面對(duì)如此巨量的數(shù)據(jù)，IT專(zhuān)業(yè)人士可能會(huì)忽略潛在云安全風(fēng)險(xiǎn)中的一些警告，等發(fā)現(xiàn)的時(shí)候已經(jīng)太遲了。這些警告背后的風(fēng)險(xiǎn)可能會(huì)破壞系統(tǒng)或產(chǎn)生實(shí)際的攻擊。

Reavis說(shuō)：“過(guò)去幾年里計(jì)算資源出現(xiàn)了爆炸式增長(zhǎng)，遠(yuǎn)遠(yuǎn)超過(guò)了過(guò)去許多年的發(fā)展。許多公司還沒(méi)有擴(kuò)展和增加安全方面的專(zhuān)業(yè)人員來(lái)負(fù)責(zé)評(píng)估潛在風(fēng)險(xiǎn)。”

更重要的是，IT團(tuán)隊(duì)經(jīng)常以點(diǎn)對(duì)點(diǎn)模式部署安全控制策略，這個(gè)過(guò)程中就會(huì)出問(wèn)題。兼并和收購(gòu)會(huì)加劇這種問(wèn)題，因?yàn)榘踩ぞ咭话愣疾皇菢?biāo)準(zhǔn)化的。實(shí)際上，這相當(dāng)于一個(gè)云安全團(tuán)隊(duì)管理多個(gè)自治虛擬私有網(wǎng)絡(luò)，可能會(huì)忘記修改其中某一個(gè)網(wǎng)絡(luò)的配置，這就會(huì)給攻擊留下可乘之機(jī)。

著眼長(zhǎng)遠(yuǎn)

企業(yè)需要制定公司級(jí)策略，部署標(biāo)準(zhǔn)化的工具，并在培訓(xùn)終端用戶(hù)和IT團(tuán)隊(duì)方面投資，讓員工更好地理解云環(huán)境安全中他們的角色。要避免響應(yīng)式處理問(wèn)題的模式，最好的做法讓人為錯(cuò)誤最小化，為長(zhǎng)期解決方案投資，全面遵循云環(huán)境安全最佳實(shí)踐。

Security Architects Partners公司管理合作伙伴兼首席咨詢(xún)顧問(wèn)Dan Blum說(shuō)：“管理層需要意識(shí)到，降低90%的風(fēng)險(xiǎn)問(wèn)題不是一蹴而就的事。”