何 承

（深圳信息職業(yè)技術(shù)學(xué)院，廣東 深圳 518172）

1 云計(jì)算

云計(jì)算是一種基于互聯(lián)網(wǎng)的計(jì)算模式，它將計(jì)算資源（如網(wǎng)絡(luò)、服務(wù)器、存儲、應(yīng)用等）作為一種服務(wù)，按需提供給用戶，實(shí)現(xiàn)了資源的彈性伸縮和按量付費(fèi)。云計(jì)算的概念最初由美國國家標(biāo)準(zhǔn)化技術(shù)研究所（NIST）提出，它是分布式計(jì)算、效用計(jì)算、虛擬化等技術(shù)的綜合應(yīng)用和發(fā)展[1]。

云計(jì)算可以快速大規(guī)模部署計(jì)算資源，滿足不同的業(yè)務(wù)需求和負(fù)載變化。還能夠降低用戶的初始投入和運(yùn)維成本，實(shí)現(xiàn)資源的最優(yōu)利用，節(jié)約能源。在應(yīng)對市場變化上，用戶可以提高業(yè)務(wù)創(chuàng)新能力和靈活性，促進(jìn)信息共享和協(xié)同工作，提高工作效率和質(zhì)量。

根據(jù)服務(wù)的層次不同，云計(jì)算通常分為三大類：基礎(chǔ)設(shè)施即服務(wù)（Infrastructure as a Service，IaaS），向用戶提供虛擬化的硬件資源，如存儲、網(wǎng)絡(luò)等；平臺即服務(wù)（Platform as a Service，PaaS），向用戶提供軟件開發(fā)和運(yùn)行的環(huán)境和工具，如編程語言、數(shù)據(jù)庫等，用戶可以在其上開發(fā)和運(yùn)行自己的應(yīng)用程序；軟件即服務(wù)（Software as a Service，SaaS），向用戶提供按需使用的應(yīng)用程序，如辦公軟件、社交軟件等，用戶可以通過網(wǎng)絡(luò)訪問這些應(yīng)用程序。

在近幾年的發(fā)展中，云計(jì)算深入到各個方面，無論是商品交易服務(wù)、售前售后服務(wù)，還是政府企業(yè)的數(shù)據(jù)存儲服務(wù)，對云計(jì)算的依賴越來越高，而這也為網(wǎng)絡(luò)安全帶來了更大的挑戰(zhàn)[2]。

2 云計(jì)算下網(wǎng)絡(luò)安全現(xiàn)狀和趨勢

2.1 身份、憑證、訪問和密鑰管理低效率

《云計(jì)算的最大威脅：大流行11》中提出了IT專業(yè)人士最關(guān)注的云計(jì)算問題。其中，身份和訪問問題排在首位。研究者認(rèn)為，現(xiàn)在的云計(jì)算客戶更關(guān)注導(dǎo)致信息泄露的根本原因（如數(shù)據(jù)訪問、錯誤配置、不安全的應(yīng)用程序）[3]。

身份和訪問管理已經(jīng)成為用戶關(guān)注的重點(diǎn)。攻擊者不再試圖以暴力方式進(jìn)入企業(yè)基礎(chǔ)設(shè)施，而是通過冒充合法用戶來避免被發(fā)現(xiàn)。他們利用多種方法來破壞和竊取企業(yè)憑證。隨著越來越多的企業(yè)將其應(yīng)用程序遷移到云端，身份管理面臨著更多的挑戰(zhàn)。IT團(tuán)隊(duì)不僅要驗(yàn)證員工的身份，還要保護(hù)與客戶和合作伙伴在云中互動的數(shù)據(jù)。身份的冒用會帶來嚴(yán)重的安全風(fēng)險(xiǎn)[4]。

2.2 不安全的接口和APl

APl和類似的接口是云計(jì)算中不可或缺的組件，但也可能存在各種漏洞，如錯誤配置、編碼缺陷或認(rèn)證和授權(quán)不足。這些漏洞可能使它們?nèi)菀资艿綈阂饣顒拥挠绊?。一方面，云開發(fā)的速度大大加快了，傳統(tǒng)方法需要幾天或幾周的過程，在云中可以在幾秒鐘或幾分鐘內(nèi)完成。另一方面，使用多個云供應(yīng)商也增加了復(fù)雜性，因?yàn)槊總€供應(yīng)商都有獨(dú)特的能力，而且不斷地在更新和擴(kuò)展。這種動態(tài)環(huán)境需要敏捷和主動的方法來控制和修復(fù)變化，但許多用戶還沒有掌握這種方法。

2.3 配置錯誤和變更控制不足

配置錯誤是指企業(yè)在配置云計(jì)算的網(wǎng)絡(luò)時(shí)，由于缺乏系統(tǒng)知識或?qū)Π踩O(shè)置和惡意意圖的理解不足而導(dǎo)致的錯誤。

云計(jì)算的一個最大優(yōu)勢是它的可擴(kuò)展性，以及它使用戶能夠創(chuàng)建互連服務(wù)以實(shí)現(xiàn)更順暢的工作流程。但也意味著，一個錯誤的配置可以在多個系統(tǒng)中產(chǎn)生放大的影響，并傳遞到所有鏡像中的錯誤配置和漏洞會傳遞給所有由這些鏡像創(chuàng)建的容器。據(jù)統(tǒng)計(jì)，2022年，大約13%的入侵事件源于系統(tǒng)的配置錯誤[5]。

2.4 缺乏云安全架構(gòu)和戰(zhàn)略

云計(jì)算的快速變化和分散、自助式的管理方式，限制了對技術(shù)和商業(yè)因素的考慮，以及有意識的設(shè)計(jì)能力。然而要想使云計(jì)算的努力既成功又安全，就不能忽視安全問題和風(fēng)險(xiǎn)。當(dāng)涉及多個云供應(yīng)商時(shí)，這些問題會更加復(fù)雜。例如，現(xiàn)在常常有第三方提供具有特殊功能的插件來輔助工作，甚至提供安全保護(hù)功能。用戶必須考慮云供應(yīng)商的默認(rèn)控制、相同級別的控制和第三方安全產(chǎn)品的組合，來應(yīng)對他們特定的風(fēng)險(xiǎn)情況，有時(shí)這種情況在應(yīng)用層面上是不同的。面對新出現(xiàn)的威脅，這增加了很多復(fù)雜性。

2.5 不安全的軟件開發(fā)

雖然云計(jì)算為開發(fā)者提供了一個強(qiáng)大的環(huán)境，但用戶需要確保開發(fā)者了解共同責(zé)任模式如何影響其軟件的安全性。例如，在Kubernetes中的漏洞可能是云服務(wù)供應(yīng)商（Cloud Service Providers，CSP）的責(zé)任，而在使用云原生技術(shù)的網(wǎng)絡(luò)應(yīng)用程序中的錯誤可能是開發(fā)者的責(zé)任，需要修復(fù)。

我國建立了相關(guān)規(guī)定來規(guī)范涉及云計(jì)算軟件的開發(fā)，如2019年公布的《云計(jì)算服務(wù)安全評估辦法》[6]。但是雖然網(wǎng)絡(luò)攻擊和網(wǎng)絡(luò)漏洞的迭代，涉及云計(jì)算的軟件開發(fā)過程和標(biāo)準(zhǔn)并不一定能夠滿足現(xiàn)在的網(wǎng)絡(luò)安全需要，對于軟件開發(fā)是否安全，也是用戶應(yīng)當(dāng)注重的問題。

2.6 不安全的第三方資源

CSP為了提供更全面的云服務(wù)，往往會開放第三方插件平臺，讓用戶可以自由選擇和使用各種功能。然而，這些第三方資源可能存在安全隱患，給用戶帶來風(fēng)險(xiǎn)。一方面，第三方插件可能本身就含有惡意代碼，或者被攻擊者篡改或替換；另一方面，第三方插件會接觸到用戶的敏感信息，如果被攻擊者利用，就可能導(dǎo)致信息泄露或被濫用。

2.7 系統(tǒng)漏洞

系統(tǒng)漏洞是指CSP中存在的缺陷，它們可能會威脅到數(shù)據(jù)和服務(wù)的保密性、完整性和可用性。這些漏洞的原因有多種，例如未及時(shí)修補(bǔ)的零日漏洞，例如，2019年發(fā)現(xiàn)的CVE-2019-19781漏洞，影響了數(shù)百萬臺Citrix設(shè)備。還包括錯誤配置或默認(rèn)設(shè)置導(dǎo)致的安全風(fēng)險(xiǎn)，以及攻擊者可以輕易獲取或破解的弱密碼或默認(rèn)密碼等。據(jù)統(tǒng)計(jì)，2021年62%的系統(tǒng)入侵事件是由供應(yīng)鏈造成的[5]。

3 云計(jì)算下用戶的應(yīng)對策略

針對前文提到的網(wǎng)絡(luò)安全現(xiàn)狀和趨勢，本文介紹當(dāng)下用戶可采取的應(yīng)對策略。

3.1 密鑰管理、身份控制、訪問權(quán)限和加密保護(hù)

密鑰管理、身份管理和數(shù)據(jù)加密是保證數(shù)據(jù)安全的三個重要方面。

密鑰管理可以確保只有受信任的各方才能訪問必要的數(shù)據(jù)，但也會帶來密鑰丟失或被盜用的風(fēng)險(xiǎn)。因此，用戶需要選擇強(qiáng)大而可靠的密鑰管理系統(tǒng)，或者委托專業(yè)的第三方機(jī)構(gòu)來管理密鑰。

身份管理可以控制用戶和系統(tǒng)訪問和權(quán)限，避免不必要的權(quán)限泄露或?yàn)E用。用戶應(yīng)該合理地分配和管理各種身份和角色，及時(shí)刪除或修改過期或不合適的賬號[7]。云基礎(chǔ)設(shè)施授權(quán)管理是一種自動化的云安全解決方案，該方案通過持續(xù)監(jiān)控實(shí)體的權(quán)限和活動，減少過度授權(quán)的風(fēng)險(xiǎn)。

數(shù)據(jù)加密可以保護(hù)PII和其他敏感數(shù)據(jù)，用戶應(yīng)該制定一個明確的政策，規(guī)定哪些敏感數(shù)據(jù)需要被加密以及如何執(zhí)行加密操作[7]。用戶還應(yīng)該將用于加密操作的密鑰安全地存儲，并與云實(shí)例中存儲的數(shù)據(jù)分開。

3.2 APl

API是現(xiàn)代應(yīng)用程序的核心組件，但也是網(wǎng)絡(luò)攻擊的主要目標(biāo)。因此，用戶應(yīng)該采取一系列措施來保護(hù)API的安全性。

第一，用戶應(yīng)該使用強(qiáng)大的身份驗(yàn)證和授權(quán)解決方案，如OAuth2，來控制對API資源的訪問。第二，用戶應(yīng)該遵循最小特權(quán)原則，只暴露或共享必要的數(shù)據(jù)，不要提供多余的信息。第三，用戶應(yīng)該使用TLS加密API流量，防止中間人攻擊和數(shù)據(jù)泄露。第四，用戶應(yīng)該更新傳統(tǒng)的控制并變更管理政策和方法，以適應(yīng)基于云的API增長和變化。第五，用戶應(yīng)該接受自動化，并采用技術(shù)來持續(xù)監(jiān)測異常的API流量，并在近乎實(shí)時(shí)的情況下補(bǔ)救問題。

3.3 配置和變化控制的加強(qiáng)

為了實(shí)時(shí)補(bǔ)救漏洞，用戶需要在有能力的情況下，利用現(xiàn)有的技術(shù)，對配置錯誤的資源進(jìn)行持續(xù)掃描。同時(shí)，變更管理方法也必須適應(yīng)持續(xù)的業(yè)務(wù)轉(zhuǎn)型和安全挑戰(zhàn)的不間斷和動態(tài)性質(zhì)，確保通過實(shí)時(shí)自動驗(yàn)證方式來正確執(zhí)行批準(zhǔn)的變更。技術(shù)迭代更新的速度比一般用戶預(yù)想的更快更頻繁，對配置和變化控制的加強(qiáng)，是在根源上提高安全性的方式。

3.4 增強(qiáng)云安全架構(gòu)和戰(zhàn)略

為了實(shí)現(xiàn)業(yè)務(wù)目標(biāo)、降低風(fēng)險(xiǎn)、防范安全威脅和遵守法律合規(guī)性，用戶尤其是企業(yè)用戶，應(yīng)在服務(wù)和基礎(chǔ)設(shè)施的設(shè)計(jì)和決策中考慮這些因素。鑒于變化的速度很快，而且中央控制權(quán)有限，制定和堅(jiān)持基礎(chǔ)設(shè)施戰(zhàn)略和設(shè)計(jì)原則是至關(guān)重要的，而不是可有可無的。建議為遵循盡職調(diào)查和供應(yīng)商安全評估的基本做法，并在此基礎(chǔ)上進(jìn)行安全設(shè)計(jì)和整合，以避免發(fā)生SolarWinds、Kaseya和Bonobos漏洞中的那種系統(tǒng)性故障。

3.5 軟件開發(fā)、第三方與補(bǔ)丁

及時(shí)安全更新應(yīng)用軟件是保證云環(huán)境安全的必要條件。CSP會為用戶提供安全指導(dǎo)，但用戶需要對自己管理的服務(wù)及時(shí)安裝和更新補(bǔ)丁，防止數(shù)據(jù)泄露和損失。事后應(yīng)對是代價(jià)高昂的做法，會影響企業(yè)和個人的聲譽(yù)和泄露隱私。因此，用戶應(yīng)該定期進(jìn)行漏洞檢測和補(bǔ)丁部署，并結(jié)合嚴(yán)格的身份和訪問管理實(shí)踐，降低系統(tǒng)漏洞帶來的風(fēng)險(xiǎn)。

用戶還應(yīng)該選擇有官方支持、有合規(guī)認(rèn)證、有漏洞賞金計(jì)劃、能夠及時(shí)報(bào)告和修復(fù)安全問題的產(chǎn)品。用戶應(yīng)該識別和跟蹤自己所使用的第三方產(chǎn)品，包括開源軟件、SaaS產(chǎn)品，以及任何可能添加到應(yīng)用程序中的其他集成產(chǎn)品。最后，用戶還應(yīng)該嚴(yán)格限制或撤銷第三方對代碼庫、基礎(chǔ)設(shè)施或應(yīng)用程序的訪問或權(quán)限，避免讓第三方成為最薄弱的環(huán)節(jié)。

3.6 CSP的支持

為了提高應(yīng)用程序的安全性，用戶可以使用云服務(wù)提供商的資源和幫助。用戶可以評估云供應(yīng)商的安全復(fù)原力，例如安全標(biāo)準(zhǔn)的遵守情況，選擇符合自己需求和合規(guī)要求的云服務(wù)提供商。CSP可以輔助測試應(yīng)用程序的安全性，包括靜態(tài)應(yīng)用安全測試（Static Application Security Testing，SAST）和動態(tài)應(yīng)用安全測試（Dynamic Application Security Testing，DAST）。SAST在開發(fā)階段可對源代碼或二進(jìn)制文件進(jìn)行分析，找出可能的漏洞。DAST在測試和質(zhì)量保證階段可對運(yùn)行中的應(yīng)用程序進(jìn)行檢查，發(fā)現(xiàn)合規(guī)性和一般性的安全問題。

CSP還能幫助開發(fā)人員如何進(jìn)行安全編碼，避免引入不安全的庫或框架。用戶還可利用CSP解決云拒絕服務(wù)（Denial of Service，DoS）攻擊的風(fēng)險(xiǎn)。很多CSP都采用了有效的防御措施來應(yīng)對已知的攻擊，并在發(fā)現(xiàn)攻擊時(shí)迅速做出反應(yīng)。

3.7 安全訪問服務(wù)邊緣（Secure Access Service Edge，SASE）

信息隔離是指將敏感或重要的數(shù)據(jù)信息與其他數(shù)據(jù)信息分開存儲和處理，以防止數(shù)據(jù)泄露或篡改。信息隔離可以通過多種方式實(shí)現(xiàn)，其中較為常見的方式有分布式管理、集群管理等。

分布式云是企業(yè)云計(jì)算的下一個發(fā)展方向，它可以降低復(fù)雜性和提高一致性。分布式云是指將云服務(wù)部署在不同的地理位置，而不是集中在一個數(shù)據(jù)中心，以減少網(wǎng)絡(luò)延遲，提高用戶體驗(yàn)，同時(shí)也增加了可靠性和安全性。安全訪問服務(wù)邊緣是一種將網(wǎng)絡(luò)和安全功能集成在一起的解決方案。SASE可以在大規(guī)模和復(fù)雜環(huán)境中提供統(tǒng)一的訪問控制，保護(hù)企業(yè)的云資源和用戶。SASE可以實(shí)現(xiàn)對用戶的云環(huán)境的完全可見性，檢測并阻止任何潛在的威脅。投資者看好SASE，預(yù)計(jì)到2026年，SASE市場預(yù)計(jì)將從12億美元增長到41億美元，幾乎翻兩番[8]。

3.8 其他

除了上述介紹的策略，作為企業(yè)，可以對員工進(jìn)行云存儲使用方面的意識培訓(xùn)，讓他們了解云存儲的優(yōu)勢和風(fēng)險(xiǎn)，以及如何保護(hù)自己的數(shù)據(jù)和賬戶，并且在與云服務(wù)提供商簽署協(xié)議時(shí)，強(qiáng)調(diào)數(shù)據(jù)的安全性和隱私性。如果可能，使用客戶端加密而不是服務(wù)器端加密，以保證自己對密鑰的完全控制。此外，云安全態(tài)勢管理（Certified Security Project Manager，CSPM）、云工作負(fù)載安全防護(hù)平臺（Cloud Workload Protection Platform，CWPP）等防護(hù)平臺也應(yīng)納入用戶的使用范圍。

4 結(jié)束語

云計(jì)算時(shí)代給網(wǎng)絡(luò)安全帶來了新的機(jī)遇和挑戰(zhàn)，用戶需要在享受云計(jì)算帶來的便利和效益的同時(shí)，重視云計(jì)算的安全問題和風(fēng)險(xiǎn)。用戶應(yīng)該建立完善的云安全架構(gòu)和戰(zhàn)略，加強(qiáng)身份、憑證、訪問和密鑰管理，防止不安全的接口和API，避免配置錯誤和變更控制不足，以及及時(shí)應(yīng)對新出現(xiàn)的威脅。只有這樣，用戶才能在云計(jì)算時(shí)代保障自己的數(shù)據(jù)和業(yè)務(wù)的安全，實(shí)現(xiàn)云計(jì)算的可持續(xù)發(fā)展?！?/p>