云计算

  |  手机版

收藏网站

投稿QQ:1745232315

IT专家网,汇聚专业声音 解析IT潮流 IT专家网,汇聚专业声音 解析IT潮流

网络

专家视点在现场环球瞭望
IT专家网 > 云计算

企业组织面临的12大顶级云计算技术安全威胁

作者:chinaso出处:博客2016-03-22 14:42

  安全威胁3:接口和API被黑客攻击

  现如今,几乎每一款云服务和应用程序均提供API。IT团队使用接口和API来管理,并实现与云服务的交互,包括提供云服务的配置、管理、业务流程协调和监控的服务。

  云服务的安全性和可用性??从身份认证和访问控制再到加密和活动监测??均需要依赖于API的安全性。随着依赖于这些API和建立在这些接口上的第三方服务的增加,相应的安全风险也在增加,企业组织可能需要提供更多的服务和凭据,CSA警告称。糟糕的接口和API或将暴露出企业组织在保密性、完整性、可用性和问责制方面的安全问题。

  API和接口往往是企业系统中最容易被暴露的部分,因为它们通常是通过开放的互联网访问的。CSA建议,企业组织应当将适当控制作为“防御和检测的第一线”,而安全威胁模型应用程序和系统建模,包括数据流和系统架构设计,便成为了开发生命周期的重要组成部分。CSA还建议,安全工作应当重点关注在代码审查和严格的渗透测试方面。

  安全威胁4:利用系统漏洞

  系统漏洞,或利用程序中的bug,并不是什么新闻了,但他们的确已经成为多租户云计算中所出现的大问题了。企业组织以一种接近彼此的方式共享内存、数据库和其他资源,创建了新的攻击面。

  庆幸的是,针对系统漏洞的攻击可以通过“基本的IT流程”来减轻,CSA表示说。最佳实践方案包括定期的漏洞扫描,及时的补丁管理,并迅速跟踪报告系统的安全威胁。

  根据CSA介绍,相对于其他IT支出,减轻系统漏洞的成本较小。通过IT流程来发现和修补漏洞的费用相对于潜在的损失要小很多。受到相应规范严格监管的行业需要尽快打补丁,最好是将这一过程自动化,并经常化,CSA建议。变更控制流程能够解决紧急修补问题,从而确保企业的技术团队能够正确记录整治活动的和审查过程。

  安全威胁5:账户被劫持

  网络钓鱼、欺诈和软件漏洞仍然能够成功攻击企业,而云服务则增加了一个新的层面的威胁,因为攻击者可以窃听活动,操纵交易,并修改数据。攻击者也可以使用云应用程序发动其他攻击。

  常见的深度防护保护策略可以包含安全违规所造成的损害。企业组织应该禁止用户和服务之间共享帐户凭证,并实现多因素身份验证方案。账户,甚至包括服务帐户都应该被监控,以便每笔交易可以追溯到相关的所有者。而关键是要保护帐户凭据不被盗取,CSA表示说。

  安全威胁6:来自企业内部的恶意人员

  来自企业内部的安全威胁包括了许多方面:现任或前任员工、系统管理员、承包商或商业伙伴。恶意破坏的范围从窃取企业机密数据信息到报复行为。而在迁移采用了云服务的情况下,一个来自企业内部的恶意人员可能会摧毁企业组织的整个基础设施或操作数据。而如果仅仅是纯粹依赖于云服务提供商的安全性,如加密,则风险是最大的。

  CSA建议企业组织需要控制加密过程和密钥,实行职责分离,最大限度的减少用户的访问。实施有效的记录、监控和审核管理员的活动也是至关重要的。

  正如CSA所指出的那样,很容易将一个拙劣的尝试对日常工作的执行误解为“恶意”的内部攻击活动。这方面的一个例子便是:一名管理员不小心将一个敏感的客户数据库复制到了一个公开访问的服务器上。企业组织通过在云中实施适当的培训和管理,来防止这些错误正变得越来越重要了,从而得以避免更大的潜在风险。

相关文章

关键词:云安全

责任编辑:zzzz_ll

网警备案