人們在現(xiàn)實(shí)世界中看到了很多云計算配置錯誤，這有些令人感到害怕。

云計算基礎(chǔ)設(shè)施安全提供商Fugue公司對300名IT專業(yè)人員進(jìn)行的調(diào)查表明，大多數(shù)企業(yè)都容易受到云計算配置錯誤(包括數(shù)據(jù)泄露和系統(tǒng)停機(jī)事件)導(dǎo)致的安全事件的影響。

[[246539]]

報告中指出：

• 十分之九的人對由于配置錯誤導(dǎo)致的安全風(fēng)險存在真正的擔(dān)憂，并且不到三分之一的人持續(xù)關(guān)注這些風(fēng)險。
• 企業(yè)團(tuán)隊(duì)每天報告50個或更多錯誤配置，但只有一半團(tuán)隊(duì)在每日或更長時間內(nèi)審查警報和修復(fù)問題，從而導(dǎo)致危險的基礎(chǔ)設(shè)施脆弱性時間段過長。

當(dāng)然，這份報告(與任何供應(yīng)商贊助的報告一樣)都是自助式的。但是這個信息反映了人們?nèi)缃裨诂F(xiàn)實(shí)世界中看到的很多東西，這令人感到害怕。

配置錯誤意味著公共云服務(wù)器實(shí)例(例如存儲和計算)的配置方式使其容易受到攻擊。例如，當(dāng)有人能夠通過瀏覽器從其AmazonS3實(shí)例訪問安全文檔時，美國國家安全局最近遇到了一個令人尷尬的時刻。這是一個錯誤配置的典型示例，破壞了安全的默認(rèn)配置。

雖然這似乎是一個“虛假和虛擬”的時刻，但事實(shí)是公共云配置很復(fù)雜，需要專門的培訓(xùn)，如果做得不對，那么企業(yè)在云端運(yùn)行的任何安全系統(tǒng)都無法阻止黑客竊取其數(shù)據(jù)。

那么，企業(yè)需要做什么?按以下順序執(zhí)行以下三項(xiàng)操作：

(1)了解配置是安全性的一部分。它通常不被考慮。實(shí)際上，企業(yè)必須向客戶多次解釋其重要性，這意味著他們沒有實(shí)踐整體安全。

(2)使用可以不斷查看配置的第三方安全工具。這樣，企業(yè)就不依賴于原生云所說的內(nèi)容。相反，它提供了一個持續(xù)的獨(dú)立檢查，并在配置錯誤時發(fā)出警告。

(3)聘請外部安全測試人員以確保正確配置所有內(nèi)容。人們經(jīng)常發(fā)現(xiàn)這些審核確實(shí)找到了客戶遺漏的東西。

云計算的復(fù)雜性以及人為錯誤的可能性會讓企業(yè)陷入困境。因此，在部署之前不要吝惜制定安全計劃，也不要在部署之后進(jìn)行安全驗(yàn)證。