譯者 | 晶顏

審校 | 重樓

組織有各種云部署選項，每個選項都有自己的一組功能和安全挑戰。在本文中，我們將探討五種關鍵云安全環境——公共云、私有云、混合云、多云和多租戶云——的主要特征、安全威脅以及最佳實踐。

一、公共云環境

公共云架構是由云服務提供商托管的共享基礎設施。公共云使多個企業能夠通過互聯網共享池共享資源。公共云提供程序托管和管理環境，具有可擴展性和成本效率。保護這些云資源的責任是共享的，云提供商負責基礎設施安全，客戶則負責訪問、應用程序安全和數據管理。在這種共享責任范式下，用戶對維護云環境的完整性負有很大的責任。

1.公共云安全風險

雖然公共云系統提供了可擴展性、靈活性和成本效益，但如果沒有得到適當的保護，它們也可能帶來重大風險。所有云（和IT）環境都有共同的安全問題和解決方案，但對于公共云用戶來說，合規性、訪問控制和適當的配置實踐尤為重要。

數據泄露

實現方式：對敏感數據的未經授權訪問可能是由于漏洞和錯誤配置（例如有缺陷的訪問權限或未受保護的數據和實例）造成的。

預防：實現強大的加密、訪問限制、數據分類、安全連接和事件響應策略。

訪問控制不足

實現方式：權限配置不當可能允許未經授權的個人訪問應用程序和數據，進而導致數據泄露和破壞以及其他安全風險。

預防：應用最小特權原則或“零信任”的概念，進行頻繁的訪問審計，并使用身份和訪問管理（IAM）工具。

不安全的API和云接口

實現方式：易受攻擊的API和保護不充分的云接口很容易被濫用，從而導致數據泄露和破壞。

預防：API安全實踐和工具，執行定期的漏洞測試，并實施嚴格的訪問控制。

賬戶劫持

實現方式：攻擊者使用被盜的用戶憑據獲取非法訪問，這可能導致未經授權的帳戶和數據訪問以及濫用。

預防：要求多因素身份驗證（MFA），對用戶進行密碼安全教育，并定期監控帳戶的可疑活動。

記錄和監控不足

實現方式：如果沒有足夠的日志記錄和監控，就很難實時檢測安全事件，從而使云環境容易受到影響。

預防：激活云日志并使用SIEM系統持續監控網絡和系統活動。

DDoS攻擊

實現方式：分布式拒絕服務（DDoS）攻擊使云和網絡系統過載，中斷訪問并引發業務中斷。

預防：通過使用DDoS防護服務、安裝流量過濾、部署內容交付網絡（CDN）來處理額外的流量，可以防范和緩解DDoS攻擊。

數據丟失

實現方式：無意的數據刪除、損壞或盜竊可能導致不可逆轉的數據丟失，破壞操作并暴露敏感數據，進而觸犯數據隱私法規。

預防：定期備份數據，制定數據分類和保留策略，利用版本控制功能，使用數據丟失預防（DLP）工具，并教育員工有關數據管理和策略遵守的知識。

2.公共云環境最佳實踐

考慮以下方法來提高公共云部署中的安全性：

• 采用強大的身份驗證：使用多因素身份驗證（MFA）提高用戶登錄安全性，這增加了額外的驗證級別，以防止非法訪問。
• 定期更新和修復：通過定期升級和修補軟件及應用程序來保護云環境，以防止已知漏洞。
• 持續監控：實現對云資源的持續監控，實時檢測可疑活動。設置警報，以便在潛在的安全漏洞發生時及時獲取通知。
• 安全指南和程序：開發和實施全面的安全策略和流程來管理組織的云應用，確保一致性和合規性。
• 數據分類：根據數據的敏感性對數據進行分類，并采取適當的安全措施。這種量身定制的方法保證了數據根據其重要性得到適當的保護。
• 員工教育：培訓員工了解云安全最佳實踐以及與云使用相關的可能風險。記住，應對威脅的第一道防線是消息靈通的員工。

二、私有云環境

私有云環境將資源專用于單個業務，從而實現更好的控制、隱私和安全性。私有云為數據、應用程序和資產在專用環境中隔離提供了額外的保障。盡管如此，私有云安全需要許多與其他云環境相同的措施。

1.私有云安全風險

應對私有云安全的這些挑戰需要技術、流程和戰略規劃的組合。

安全配置錯誤

實現方式：私有云同樣需要正確配置，錯誤配置可能導致暴露數據、帳戶、應用程序和其他資產。

預防：執行頻繁的安全審計和漏洞評估，并在可能的情況下自動化配置，以減少人為錯誤。云安全態勢管理（CSPM）是確保正確配置云環境的一個好工具。

單點故障

實現方式：缺乏冗余可能導致系統中斷。

預防：確保云環境包括冗余、故障轉移措施和負載平衡。

合規問題

實現方式：合規性問題在私有云中可能更容易一些，特別是如果它們可以避免地理數據位置問題，但是合規性挑戰仍然存在。

預防：通過使用治理、風險和合規性（GRC）工具來實現合規性需求。

2.私有云環境最佳實踐

請考慮以下方法來幫助確保私有云系統的安全性：

• 設置私有云基礎設施：根據具體需求和預算，在內部部署和第三方托管之間進行選擇；無論哪種方式，安全都應該是最重要的。
• 優化虛擬化：為了實現資源的靈活性和隔離性，可以使用虛擬化和容器等技術。
• 實現網絡分段：通過創建VLAN來減少攻擊面，為每個網段啟用特定的安全規則、訪問限制和防火墻。
• 設置訪問規則：為了限制數據和資源的訪問，需要執行嚴格的身份驗證、基于角色的訪問規則和權限。
• 敏感數據加密：啟用傳輸和靜態數據加密功能，確保密鑰管理安全。
• 監視和日志：應該實現持續的監視、警報和廣泛的日志記錄，以便盡快檢測和響應異常和安全漏洞。
• 自定義合規性策略：創建特定于組織需求和合規性標準的安全策略。
• 應用補丁：維護定期的補丁管理策略，以解決漏洞，并保持基礎設施和應用程序的最新狀態。
• 實現事件響應：為漏洞檢測、遏制、緩解和恢復創建全面的事件響應策略。建立清晰的通信線路，以便對安全問題作出快速反應。
• 確保故障轉移機制：維護冗余和災難恢復系統，以提供高可用性和業務連續性。
• 培訓：在公司內部建立安全文化，教育員工安全最佳實踐，如網絡釣魚預防和數據管理。

三、混合云環境

混合云架構集成了公共云和私有云。它使企業能夠利用公共云資源的靈活性，同時將敏感數據保存在私有云中。這兩種環境之間的數據交換是可能的，從而提供了成本效率和安全性的平衡。然而，這種靈活性也帶來了復雜性，混合云安全必須結合本地和云安全控制，以保護環境內部和環境之間的數據。

1.混合云安全風險

混合云使企業能夠從公共云的可擴展性和靈活性中受益，同時在自己的基礎設施中保護更敏感的數據。然而，混合云安全也帶來了獨特的挑戰。

共享責任

實現方式：由于在混合云中識別角色和職責至關重要，因此共享責任可能導致誤解和意外的安全弱點。

預防：了解您的職責，并跨所有環境管理數據、訪問和應用程序安全性，包括事件響應。

應用程序漏洞

實現方式：管理跨多個環境的應用程序安全性需要一致的規則、控制、身份驗證和監視，以防止可能的漏洞并確保整個混合配置的合規性。

預防：實施“左移”原則，將安全性集成到開發的早期階段，并使用DevSecOps工具跟蹤問題和修復。

數據丟失及外泄

實現方式：由于混合云在多個位置傳播數據，因此加劇了非法訪問或數據暴露的風險。

預防：數據加密、數據分類和訪問控制的復雜性需要仔細管理。使用加密技術保護傳輸和靜止的數據，并使用DLP和訪問管理工具控制風險。

合規風險

實現方式：在多個供應商和體系結構的混合設置中滿足合規性標準可能很困難。

預防：激活云提供商的內置合規性功能，結合合規性和審計，以及自動監控和報告。

集成的復雜性

實現方式：由于技術的多樣性、潛在的沖突以及確保連續數據流的需要，集成云系統可能會很困難。

預防：仔細規劃集成，維護無縫數據流，并使用API和配置最佳實踐來保護所有環境中的數據。

2.混合云環境最佳實踐

下述方法可以適當地保護混合云環境，同時保持其優勢：

• 加密和監控流量：對傳輸和靜態數據進行加密和監控。
• 監視和審計配置：持續監視和審計設置，以發現與最佳實踐的偏差，并確保合規性。自動化有助于維護安全的配置。
• 漏洞掃描：定期進行漏洞掃描，以檢測系統缺陷，并優先考慮潛在攻擊。
• 應用安全補丁：經常使用安全更新來修復已知漏洞并提高安全性。通過縮短補丁發布和實施之間的時間，減少網絡攻擊的機會。
• 強制零信任安全：基于零信任安全原則實施強認證和訪問規則，將所有用戶和設備視為不受信任的實體，優先考慮最低權限訪問。
• 制定恢復計劃：為漏洞檢測、遏制、緩解和恢復創建事件響應策略。
• 安全端點：實現端點安全控制，例如端點檢測、響應（EDR）和多因素身份驗證，以防止設備和用戶訪問點的非法訪問和數據泄露。

四、多云環境

在多云環境中，可以同時使用多個公有云和私有云。它們的設計是分散的，應用程序和數據分散在多個云提供商之間。冗余、成本最小化和靈活性都是其優點，但是跨不同提供商維護安全性可能很復雜，需要統一的安全解決方案、策略和保護實踐。

1.多云安全風險

為了獲得多云環境的靈活性和可擴展性優勢，企業面臨著各種各樣的困難，其中最重要的是潛在的攻擊面要大得多。下面是一些主要的多云安全威脅。

云賬戶劫持

實現方式：攻擊者獲得對云帳戶的未經授權訪問，這可能導致數據盜竊、資源操縱和其他惡意行為。

預防：即使在憑據被盜的情況下，強身份驗證和訪問控制以及適當的配置管理也可以幫助保護云帳戶。

數據泄露

實現方式：由于數據分散在許多云環境中，未經授權訪問、數據泄漏和破壞的風險進一步加劇。

預防：實施強大的訪問控制和身份驗證，并確保正確配置每個云實例。

DDoS攻擊

實現方式：由于需要防御的云攻擊面更大，DDoS攻擊可能更難預防。

預防：為保證業務的持續可用性，可通過流量過濾、基礎設施加固、預留空間（overprovisioning）等方式實施DDoS防范和緩解措施。

身份和訪問管理（IAM）錯誤

實現方式：不安全的帳戶和過多的權限可能導致未經授權的訪問、數據泄露和資源濫用。

預防：合理配置IAM策略、定期審計、遵循最小權限原則、保護特權帳戶。

第三方風險

實現方式：多云系統中使用第三方供應商和服務可能會引入額外的風險，并且風險會擴展到軟件供應鏈中的軟件依賴關系。

預防：為了成功地管理這些風險，第三方風險管理（TPRM）工具是一個很好的選擇。

可視性不足

實現方式：多云有許多與其他云計算方法相同的挑戰，只是這些挑戰在更多的環境中成倍增加。

預防：優先考慮可以跨云環境跟蹤風險的可見性和監控技術。

2.多云環境最佳實踐

保護多云部署需要周密的規劃和定義良好的策略，可以考慮以下因素和方法：

• 定義責任：了解組織和云服務提供商在所有環境中的安全責任。
• 盡早集成安全性：遵循“左移安全性”原則，將安全性盡早建到軟件開發生命周期（SDLC）中。
• 基礎設施即代碼（IaC）：使用IaC來確保基礎設施的一致性、可重復性、版本控制和安全性。
• 自動化：使用自動化來簡化和加速網絡策略更新、CVE修復和訪問授權修改等操作。
• 優先考慮可見性和監視：使用全面的監視解決方案來確保安全策略保持有效并響應不斷變化的威脅。為了改進可見性和事件響應，可以考慮像CNAPP和SIEM這樣的解決方案。

五、多租戶云環境

多租戶云架構是最常見的公共云架構。它允許多個客戶或“租戶”利用相同的環境，同時保持數據分離。這種體系結構經常用于基礎設施即服務（IaaS）和平臺即服務（PaaS）環境，在這些環境中，數據交換被仔細管理以維護安全性和隔離性。多租戶的程度取決于云服務提供商的體系結構以及用戶或組織的個人需求。

1.多租戶安全風險

雖然多租戶提供了可觀的成本節約和資源效率，但它也帶來了許多安全和隱私方面的挑戰。為了確保共享云環境中的安全共存，必須解決下述問題。

數據泄露和暴露

實現方式：在多租戶環境中，漏洞、弱密碼、錯誤配置、API和訪問控制問題比以往任何時候都更加重要。

預防：強大的訪問管理、身份驗證、加密、適當的配置和員工培訓都可以發揮作用，DLP等技術也可以及早發現問題。

未經授權的訪問

實現方式：租戶隔離不足可能導致數據污染或非法訪問。

預防：通過使用虛擬化、適當的控制和配置以及云網絡分段來改善租戶隔離。

合規問題

實現方式：由于共享資源、數據混合，甚至云服務的地理位置，滿足監管標準可能會變得更加困難。

預防：確保云服務提供商能夠滿足組織的特定合規性需求，DLP和自動數據分類可以幫助組織對正確的數據實施正確的控制。

2.多租戶環境最佳實踐

在保護多租戶云部署時，訪問限制、數據隔離和合規性都必須優先考慮。具體可以考慮以下策略：

• 訪問控制：基于角色的訪問控制（RBAC）可以用來限制訪問。定期審查和更改訪問控制，以跟上組織的變化。
• 審計跟蹤：實現審計跟蹤和集中日志管理解決方案，以跟蹤用戶操作和系統事件，并發現可疑活動。
• 合規性管理：選擇具有符合行業特定指導方針及法規的合規性功能的云服務。
• 數據加密：使用強大的加密技術來保護靜態和傳輸中的數據。安全地管理加密密鑰。
• 數據丟失防御（DLP）：部署DLP 系統，監控數據移動并執行策略，避免敏感數據泄露。
• 事件響應計劃：制定事件響應策略，明確指定安全事件期間的角色和職責。
• 定期打補丁：創建補丁管理策略，確保軟件、操作系統和安全工具能夠及時升級，解決漏洞問題。
• 租戶隔離：使用虛擬專用云（VPC）等虛擬化工具進行租戶隔離。為了避免數據污染和非法訪問，使用網絡分段和訪問限制。

結語

每種類型的云環境——公共、私有、混合、多云和多租戶——都有自己的一系列風險和需求。從公共云的共同責任到私有云的量身定制保護、混合云的戰略平衡以及多云和多租戶環境的挑戰，采用強大的安全措施對于保護數據、確保合規性和業務連續性至關重要。好消息是，云服務提供商通常都很擅長保護他們的環境。通過各盡其責并為每個環境應用最佳實踐，組織可以在獲得云計算好處的同時保護其數據和資源。

原文標題：How to Secure the 5 Cloud Environment Types，作者：Maine Basan