常见的云错误配置以及如何避免它们
公司越来越多地将其 IT 运营迁移到 IaaS（基础设施即服务）解决方案。Gartner 估计，到 2022 年，大约 60% 的业务实体将利用云托管产品，这将是 2018 年记录使用量的两倍。
Amazon Web Services （AWS） 等云产品通常是安全的。但是，由于 IaaS 使用共享安全模型，因此很可能会出现数据安全问题，包括网络安全和工作负载问题。迁移到云原生环境时的错误配置可能会无意中导致网络安全漏洞。
配置错误不仅仅是一个理论上的云计算问题。McAfee 的企业安全研究表明，典型的企业每月大约会遇到 3,500 个事件。根据这项研究，90% 的企业报告说他们遇到了 IaaS 安全问题。
因此，正确使用云迁移配置可以显著减少未来的 IaaS 安全问题并促进您的数字化转型。
云配置错误 - 一个主要的安全威胁
云配置错误是指在云采用期间可能使您的环境面临风险的任何故障、差距或错误。这些网络威胁以安全漏洞、外部黑客、勒索软件、恶意软件或利用漏洞访问您的网络的内部威胁的形式出现。
NSA 认为云配置错误是云环境中的主要漏洞。虽然这些风险通常不那么复杂，但这些问题的普遍性通常非常普遍。
配置错误是一个云计算问题，因为多云环境可能非常复杂，并且很难检测和手动修复错误。根据 Gartner 的一项调查，这些问题导致了 80% 的数据安全漏洞，到 2025 年，高达 99% 的云环境故障将归因于人为错误。
考虑到云配置错误问题（如云泄漏）没有一次性补救措施，这很棘手。但是，在构建阶段实施安全程序会有所帮助。因此，DevOps 和安全团队必须协同工作。
了解导致数据泄露的主要错误配置>
常见的云错误配置及其解决方案
让我们深入研究一下迁移到云环境时可能需要处理的最常见的云错误配置。
1. 不受限制的入站端口
所有向 Internet 开放的端口都可能存在问题。云服务大多使用大量 UDP 或 TCP 端口来防止暴露风险，但坚定的黑客仍然可以嗅探它们。混淆可能会有所帮助，但其本身是不够的。
迁移到多云环境时，请确保您了解所有开放端口，然后限制或锁定那些并非绝对必要的端口。
2. 不受限制的出站端口
一旦系统遭到入侵，这些端口就会为安全事件创造机会，例如数据泄露、横向移动和内部网络扫描。授予对 RDP 或 SSH 的出站访问权限是一种常见的云配置错误。应用程序服务器很少需要通过 SSH 连接到其他网络服务器，因此没有必要使用 SSH 的开放出站端口。
确保限制出站端口访问，并使用最低权限原则来限制出站通信。
3. “秘密”管理
此配置问题可能会对您的组织造成损害。保护 API 密钥、密码、加密密钥和管理员凭证等密钥至关重要。但大多数公司通过受损的服务器、配置不佳的云存储桶、HTML 代码和 GitHub 存储库公开利用这些。这与将家的锁舌钥匙贴在前门上一样危险。
您可以通过在云中维护所有公司机密的清单并定期评估它们的保护方式来解决这个问题。否则，威胁行为者很容易破坏您的系统、访问您的数据并溢出您的云资源，从而造成不可逆转的损害。
您还可以使用 Hashicorp Vault、AWS Secrets Manager、Azure Key Vault 和 AWS Parameter Store 等秘密管理解决方案和服务。
4. 禁用监控和日志记录
令人惊讶的是，大多数组织无法配置、启用或查看公有云提供的遥测数据和日志，这些数据和日志可能很复杂。有人负责定期审查和标记与安全相关的事件会有所帮助。
这个有价值的提示不仅限于 IaaS 公有云。您还将从存储即服务供应商那里获得相同的信息，您还必须定期查看这些信息。维护警报或更新公告可能会给您的组织带来深远的安全隐患，但如果没有人关注，它将无济于事。
5. ICMP 保持打开状态
ICMP （Internet Control Message Protocol） 报告网络设备错误，但它是威胁行为者的常见目标。发生这种情况是因为虽然该协议可以显示您的服务器是否响应和在线，但网络犯罪分子也可以使用它来定位攻击。
此外，它还是拒绝服务 （DDoS） 和多种类型恶意软件的攻击媒介。Ping 泛洪或 ping 扫描可能会使 ICMP 消息不堪重负。虽然这是一种过时的攻击策略，但它仍然有效。因此，请确保您的云配置阻止 ICMP。
6. 不安全的自动备份
云环境面临的内部威胁是一种始终存在的网络安全风险。根据 McAfee 的数据，大约 92% 的商业组织在暗网上出售了员工证书。内部威胁可能特别具有破坏性的一个部分是当您未能正确保护自动云数据备份时。
您可能已经保护了主数据，但配置不当的备份将在无意中仍然容易受到攻击并面临内部威胁。
迁移到云时，请确保您的备份是静态的还是动态的。此外，请验证权限以限制对备份的访问。
7. 存储访问
大多数云用户认为，“经过身份验证的用户”仅涵盖在相关应用程序或组织中已对存储桶进行身份验证的用户。不幸的是，事实并非如此。
>“经过身份验证的用户”是指具有 AWS 身份验证的任何人，基本上是任何 AWS 客户端。由于这种误解，以及由此产生的控制设置配置错误，您的存储对象可能会完全暴露在公共访问中。在设置存储对象访问权限以仅向组织内的人员授予存储对象访问权限时，请特别小心。
8. 缺乏验证
这个云配置错误是一个元问题：大多数组织不会创建和实施系统来识别出现错误配置的系统。无论是外部审计员还是内部资源，您都需要有人来验证权限和服务是否已正确配置和部署。
创建一个计划，确保验证像发条一样进行，因为随着云环境的发展，错误是不可避免的。您还需要定期审核云配置的严格流程。否则，您可能会留下网络犯罪分子可以利用的安全漏洞。
9. 无限制访问非 HTTPS/HTTP 端口
Web 服务器用于将 Web 服务和网站托管到 Internet，以及用于数据库或管理的 RDP 或 SSH 等其他服务。但是，您必须阻止它们访问互联网的每个部分。
端口配置不当可能会使您的云基础设施暴露给希望暴力破解或利用身份验证的恶意行为者。向 Web 打开这些端口时，请确保将它们限制为接受来自特定地址（例如您的办公室）的流量。
10. 对虚拟机、容器和主机的访问过于宽松
您是否会将数据中心中的虚拟或物理服务器直接连接到 Internet，而不使用防火墙或过滤器对其进行保护？您可能不会，但人们一直在他们的云基础设施中这样做。
一些最常见的示例包括：
- 在云主机上启用传统协议和端口（如 FTP）
- 物理服务中的旧协议和端口（如 rexec、rsh 和 telnet）已虚拟化并迁移到云中
- 将 Kubernetes 集群的 etcd（端口 2379）公开到公共互联网
您可以通过保护重要端口并禁用（或至少锁定）云环境中的传统、不安全的协议来避免这种云配置错误，就像对待本地数据中心一样。
11. 启用过多的云访问权限
云计算的一个主要好处是它的可扩展性。然而，这种简单的扩展并非没有缺点。随着云环境变得越来越大和越来越复杂，管理员很快就会失去对系统控制的监督。
缺乏可见性会使管理员更难查看权限和限制访问权限。他们可能还会发现，为所有用户启用默认权限设置以避免处理大量涌入的访问请求会更容易。
不必要的权限会大大增加内部威胁的风险，这可能导致云泄漏和数据泄露。
组织应寻求采用新兴的安全访问服务边缘 （SASE） 架构，以实现更高效的云安全性，包括使用云访问服务代理 （CASB） 和云安全态势管理 （CSPM） 解决方案来管理多云环境中的用户权限。
12. 子域劫持（又名悬空 DNS）
此类网络攻击的一个常见原因是组织从其虚拟主机（例如 AWS、Azure、Github 等）中删除子域，但忘记从域名系统 （DNS） 中删除其关联记录。
一旦攻击者发现未使用的子域，他们就可以通过托管平台重新注册它，并将用户路由到他们自己的恶意网页。
此类劫持可能会导致恶意软件注入或网络钓鱼攻击，攻击毫无戒心的用户，并可能对原始子域所有者造成严重的声誉损害。
为避免子域劫持，组织应始终记住删除所有不再使用的域和子域的 DNS 记录。
13. 特定于您的云提供商的错误配置
虽然开放端口和过于宽松的访问等错误配置适用于所有云提供商，但存在许多更特定于您正在使用的服务的错误配置。例如，S3 存储桶的默认公有访问设置是一个众所周知的 AWS 缺陷。
组织应研究特定于其云服务提供商的云错误配置。
下面链接了常用云提供商的一些常见已知错误配置。
- 单击此处了解常见的 Amazon AWS 错误配置。
- 单击此处了解常见的 Microsoft Azure 错误配置。
- 单击此处了解常见的 Google Cloud 错误配置。
如何保护您的数据免受云错误配置的影响
以下专家建议将帮助您安全地配置云环境并维护其安全性：
- 记住被遗忘的服务 - 开发和运营团队大多创建新的云应用程序和服务器，对其进行配置，然后无法重新检查配置。确保您知道云服务和资产的位置及其状态。
- 制定策略和模板 - IT 领导者必须将工作安全设置传播到其环境的基本配置设置中，以允许云基础架构或应用程序的未来实例从过去的经验中受益。
- 自动执行安全和配置检查 - 敏捷开发方法利用广泛的自动化来创建和部署安全代码。因此，请务必检查正在运行的基础设施和应用程序的安全性和安全性。自动化在这里可能是有益的。
- 利用提供商工具 - 您必须了解您与云提供商分担安全责任的程度。基础设施即服务云的责任更多在于客户，而云服务提供商主要管理 SaaS 产品。
- 进行风险评估 - 网络安全风险评估可帮助您在将数据和作迁移到云时识别云存储和其他基础设施部分中的潜在威胁。
即使配置出色，威胁仍然存在
了解云迁移过程中的不同错误配置并避免它们可以帮助您识别和消除大多数安全漏洞。但是，消除云安全风险几乎是不可能的。这是监控网络流量至关重要的主要原因。
决策者可以利用涵盖公司网络整个范围（从边缘的每台设备到云核心）的持续监控来发现表明安全和错误配置问题的不一致或异常活动。
网络管理员可以评估重要的网络安全指标，并在这些问题导致云数据泄露、DDoS 攻击、勒索软件和恶意软件注入或其他具有深远影响的网络攻击之前为这些问题提供有效的补救措施。
像 UpGuard 这样的自动化解决方案可以通过实时监控和简化的修复工作流程来帮助减少攻击面并管理第三方云风险。