什么是云计算安全？

• IAM 词汇表
• 什么是云计算安全？

云计算安全，亦称为云安全，是一个总括术语，指用于保护云基础设施、服务和应用以及在云端存储或处理的数据的技术、流程和控制。

什么是云计算？

在深入研究云安全的细节之前，我们必须首先了解什么是云计算。

在传统的数据环境中，组织拥有并运营自己的后端硬件和其他基础设施，要么在本地要么在数据中心（后者被称为“私有云”）。这意味着组织需负责配置、维护和保护所有东西，包括服务器和其他硬件。

在云计算环境中，组织实质上是向云服务提供商“租用”云基础设施。云服务提供商拥有并运营数据中心，包括所有服务器和其他硬件以及所有底层基础设施，例如海底电缆。这使组织不必费力维护和保护云基础设施，并提供了许多其他好处，例如易于扩展和即用即付的定价模式。

并非所有云计算服务都一样。云服务主要有三种类型，现代组织通常将它们组合一起使用：

软件即服务 (SaaS) 是最常见的云服务类型。几乎每个人都使用了 SaaS 应用程序（应用），即使自己并不知道。SaaS 产品采用互联网交付，并通过手机应用、桌面应用或 Web 浏览器访问。SaaS 应用涵盖广泛，包括从 Gmail 和 Netflix 之类的消费级应用到 Salesforce 和 Google Workspace 办公套件之类的商业解决方案。

基础设施即服务 (IaaS) 是一项主要针对组织的云服务，尽管也有一些技术爱好者可能会购买 IaaS 服务供个人使用。云服务提供商提供基础设施服务，例如服务器、存储、网络和虚拟化，而客户则负责处理操作系统以及任何数据、应用、中间件和运行时。人们在谈论“公共云”时通常指的是 IaaS。公共云提供商的示例包括行业三巨头：Amazon Web Services (AWS)、Google Cloud Platform (GCP) 和 Microsoft Azure。

平台即服务 (PaaS) 解决方案直接面向开发人员。客户负责应用和数据，云提供商负责处理其他事项，包括操作系统、中间件和运行时。换句话说，PaaS 解决方案为开发人员提供了一个现成的环境，他们可以在其中构建、部署和管理应用，而不用担心更新操作系统或软件。PaaS 的示例包括 AWS Elastic Beanstalk、Heroku 和 Google App Engine。通常，PaaS 会与 IaaS 一起使用。例如，一家公司可能会使用 AWS 来托管，使用 AWS Elastic Beanstalk 来开发应用。

了解云提供商负责什么和云客户负责什么是理解云安全的关键。

什么是云安全？

云安全是基于所谓的分担责任模型。在这个模型中：

• 云提供商负责云的安全，即他们的物理数据中心和其他资产，例如海底电缆和逻辑云基础设施。
• 您的组织负责云中的安全，即您驻留在云端的应用、系统和数据。

这可以看作类似于租用自助仓储单元。您需负责保护您的单元内的物品，这意味着锁上单元的门，并保管好您的钥匙。自助仓储公司负责通过入口门禁、摄像头、公共区域充足的照明和保安人员等控制措施来保护整栋建筑的安全。自助仓储提供商负责仓储中心的安全，但您需负责您的单元的安全。

云安全的工作原理是什么？

无论我们是谈论 SaaS 应用、IaaS（公共云）部署还是 PaaS 开发者平台，云安全在很大程度上都是基于身份和访问管理 (IAM) 以及数据丢失防护 (DLP)；换句话说，防止未经授权者访问您的云服务和您的数据。

接着说我们的自助仓储示例，如果您的仓储单元的钥匙无人看管，有人偷走了它并用它来进入您的单元，那么仓储提供商的安全控制并没有失效，而是您的安全控制失效了。同样，如果您使用了一个容易被猜到的弱密码来保护您的 Gmail 帐户或 GCP 管理控制台，而威胁行为者窃取了密码，那么安全漏洞就出在您身上，而不是 Google 的问题。

除了防范未经授权的访问和数据盗窃外，云安全还力求防止发生人为错误或疏忽导致的意外数据丢失或损坏，确保在确实发生数据丢失时恢复数据，并遵守用户隐私法规，例如禁止未经授权访问私人健康记录的 HIPAA。云安全是安全事件响应、灾难恢复和业务连续性规划的基础。

常见的云安全措施包括：

• IAM 控制，例如基于角色的访问控制 (RBAC) 和最低特权访问，这意味着员工只能访问完成其工作所需的应用和数据，而不能拥有更多权限
• DLP 工具，用于确定敏感数据、对其进行分类、监视其使用情况并防止数据滥用，例如阻止最终用户在公司业务网络之外共享敏感信息
• 传输数据和静态数据均进行加密
• 安全的系统配置和维护

云安全有风险吗？

以下是与云安全相关的一些最大挑战和风险。

• 云创建了一个没有网络边界的极大扩展的攻击面。组织在迁移到云时犯的最大错误之一是认为可以简单地转移其当前的所有安全工具和政策。虽然云安全的许多方面都与本地安全类似，但保护云环境与保护本地硬件有很大不同，因为云没有明确的网络边界。
• 云中可能缺乏可见性，尤其是在当今高度复杂的数据环境中。仅使用一个公有云的组织很少见。大多数组织至少会使用两个公有云（称为多云环境）或者将公有云与本地基础设施相结合（称为混合云环境）。遗憾的是，每个云环境都有自己的原生监视工具，这使得 IT 管理员和 DevOps 人员很难全面了解整个数据环境中正在发生的事情。
• 工作负载扩散是另一个可见问题，即使对于只使用一个公有云的组织来说也是如此。虚拟机 (VM) 和容器很容易一路上升，这意味着它们可以迅速激增。除了影响安全性外，未使用的虚拟机和容器还会增加云服务的费用。
• 影子 IT 或员工使用未经安全人员审查的应用是另一个云问题。
• 公司可能会面临旧系统和软件的兼容性问题，尤其是旧的业务线 (LOB) 应用，这些应用实际上无法被替换或重构至云端。
• 云配置错误也会导致问题，例如无意中将包含敏感数据的云文件夹设置为公开可见。

云计算安全最佳做法

确保您完全了解分担责任模式以及您的组织负责保护和不负责保护的内容。这听起来可能很明显，但要弄清楚谁应对什么负责可能比较棘手，尤其是在混合环境中。

云计算的好处之一是可以随时随地从任何设备访问资源。但是，从安全角度来看，这意味着有更多的端点需要保护。端点安全和移动设备管理工具将使您能够强制执行访问政策，并部署访问验证解决方案、防火墙、防病毒、磁盘加密和其他安全工具。其他云计算最佳做法包括：

• 加密您在云端存储或处理的所有数据，包括传输数据和静态数据
• 扫描您的环境中是否存在漏洞，并尽快修补任何发现的问题。
• 定期进行数据备份以防发生勒索软件攻击或灾难。
• 记录和监视整个数据环境中的所有用户和网络活动。
• 细心配置您的云设置。一个比较好的经验法则是，您很少会希望保持默认设置不变。充分利用云提供商的安全设置和工具，并使用新的工具和增强功能。
• 实施零信任安全策略，外加网络分段以及强大的身份和访问管理 (IAM) 工具与控制，包括基于角色的访问权限、最低特权访问、高强度密码、设备批准和多步验证 (MFA)。