每一次大規(guī)模網(wǎng)絡攻擊和每一次鮮為人知的宕機的背后，IT 安全專業(yè)人員、應用程序開發(fā)人員、供應商和 IT 服務供應鏈中的其他人都在彼此達成更緊密地合作，以開發(fā)更強大的云防御。現(xiàn)有的漏洞和新出現(xiàn)的威脅正在被識別，并推出修復方案，開發(fā)和共享最佳實踐。

最近尤其如此，因為許多企業(yè)已經(jīng)增加或轉(zhuǎn)移了 IT 資源以適應遠程工作的員工。許多企業(yè)在匆忙做出這些更改的過程中，發(fā)現(xiàn)他們可能已經(jīng)削弱了 IT 安全態(tài)勢，讓自己面臨新的漏洞，或者暴露了現(xiàn)有的漏洞。

雖然云安全最佳實踐沒有明確清單，但在企業(yè)的開發(fā)團隊、基礎設施和流程方面，有幾個要考慮的事項，以增強企業(yè)的IT安全性。

1、從 DevOps 轉(zhuǎn)向 DevSecOps

實施 DevSecOps — 開發(fā)安全操作。簡而言之，它是關(guān)于內(nèi)置安全性，而不是圍繞應用程序和數(shù)據(jù)外圍的安全性，應用程序和基礎設施安全是整個應用程序生命周期的組成部分。

例如，當企業(yè)進行持續(xù)測試時，包括安全測試。不斷檢查應用程序是否正確使用了應用程序內(nèi)置的 IAM 服務、加密和其他安全流程。確保它們都正常工作。

在云中暫存和部署應用程序后，在整個持續(xù)運營階段保持安全重點。檢查應用程序、數(shù)據(jù)存儲和平臺內(nèi)的 IAM 和加密操作，以確保所有保護措施都處于活動狀態(tài)并正常運行。

2、涵蓋應用安全基礎知識

確保了解這些基本的應用程序安全概念：授權(quán)、審計/日志記錄、機密性和完整性。授權(quán)控制經(jīng)過身份驗證的用戶有權(quán)訪問的資源，例如文件和數(shù)據(jù)庫。

可以訪問整個資源、部分資源或不訪問。審計和日志記錄可確保記錄用戶的操作，從而可以識別可能發(fā)出違規(guī)信號的使用模式，以便采取防御措施。它們對于合規(guī)性或其他法律目的也至關(guān)重要。

機密性是確保數(shù)據(jù)保持私密性并確保未經(jīng)授權(quán)的用戶或監(jiān)視網(wǎng)絡流量的竊聽者無法查看的過程。每當數(shù)據(jù)在系統(tǒng)內(nèi)靜止或移動時，可以使用加密來強制執(zhí)行機密性。

完整性是指確保數(shù)據(jù)在其生命周期內(nèi)的準確性和一致性(有效性)的措施。推薦的做法包括輸入驗證以防止輸入無效數(shù)據(jù)、錯誤檢測/數(shù)據(jù)驗證以識別數(shù)據(jù)傳輸中的錯誤，以及訪問控制、加密和數(shù)據(jù)丟失預防等安全措施。

3、實施漏洞掃描

將漏洞掃描集成到 CI/CD 流程中。確保在交付管道的每個主要階段(從編寫到部署到生產(chǎn)中)檢查代碼是否存在漏洞。確保負責不同管道階段的各方擁有檢測代碼問題的必要工具和培訓。

通常建議使用靜態(tài)應用程序安全測試 (SAST) 來檢測專有代碼中的漏洞，而首選 SCA 工具來檢測和跟蹤組織代碼庫中的所有開源組件。

4、利用運行時保護

跨 CI/CD 管道集成運行時保護，以保護應用程序在開始運行時免受威脅。至少，監(jiān)控應用程序是否存在可能表示違規(guī)的異常行為。制定一個流程來識別變量或配置設置，可能會在運行時產(chǎn)生安全漏洞。

5、考慮具體和一般問題

使用防止特定類型攻擊的安全措施。例如，配置良好的內(nèi)容安全策略 (CSP) 標頭可以防御 XSS 攻擊和其他繞過同源策略的嘗試。強制使用強密碼有助于保護敏感數(shù)據(jù)并防止未經(jīng)授權(quán)的訪問導致的數(shù)據(jù)泄露。在操作層面，使用 DDoS 緩解服務來幫助抵御 DDoS 攻擊。

6、利用容器/服務管理安全特性

確保使用編排工具和服務網(wǎng)格提供的安全功能。這些工具充當容器與外部世界之間高度可擴展的絕緣層，可以處理身份驗證、授權(quán)和加密等任務。它們專為從頭開始的自動化而設計。

確定是否需要啟用或配置它們。例如，Kubernetes 的基于角色的訪問配置 (role-based access configuration，RBAC) 應該是 DevSecOps 的關(guān)鍵元素，但默認情況下不啟用。

7、備份恢復策略

將數(shù)據(jù)保護、備份和恢復作為云安全計劃的一部分。培養(yǎng)具有內(nèi)置安全性的安全環(huán)境和應用程序并不意味著網(wǎng)絡攻擊者無法找到減緩操作或破壞數(shù)據(jù)的方法。

適當?shù)臄?shù)據(jù)保護、備份和恢復策略有助于確保如果企業(yè)的云安全無法阻止攻擊，其最重要的數(shù)據(jù)和應用程序仍然可以訪問和使用。

8、采用合規(guī)標準

如果企業(yè)正在考慮從 CSP 采購云服務，請選擇那些經(jīng)認證符合 PCI DSS 要求或定期接受 HIPAA 合規(guī)性審核的服務 ─ 即使該企業(yè)不在需要遵守這些標準的行業(yè)。符合 PCI 和 HIPAA 的云環(huán)境采用的基礎架構(gòu)和流程使其能夠滿足非常嚴格的安全要求。這將轉(zhuǎn)化為更安全的云環(huán)境。

如果企業(yè)受監(jiān)管要求的約束，請確保其符合要求。許多法規(guī)、政府規(guī)定和行業(yè)標準都需要滿足嚴格的數(shù)據(jù)安全和隱私技術(shù)要求。如果您的企業(yè)合規(guī)，則很有可能擁有大量防御措施來減輕網(wǎng)絡攻擊。請記住，需求會發(fā)生變化，因此合規(guī)性不是一次性的。

9、保持防守

最新的防火墻、廣告攔截器、瀏覽器中的腳本攔截器和電子郵件安全產(chǎn)品可以阻止已知的惡意發(fā)件人并去除已知的惡意附件文件類型。使用白名單來防止軟件下載。隔離“沙盒”技術(shù)可以防止勒索軟件的下載和執(zhí)行免受網(wǎng)絡釣魚鏈接、網(wǎng)絡偷渡和水坑攻擊。

如果企業(yè)團隊不具備監(jiān)控和更新防御的專業(yè)知識，則需考慮使用托管服務提供商來承擔安全責任。此外，也要考慮選擇 CSP 或第三方 IT 安全供應商托管安全服務。企業(yè)將能夠更好地覆蓋所有端點和潛在漏洞。

好處：托管安全性通常意味著無需前期資本支出或內(nèi)部安全專業(yè)知識即可訪問最新和最強大的安全技術(shù)。由于服務提供商負責對企業(yè)的 IT 安全進行監(jiān)控和管理，因此企業(yè)自身的 IT 人員和資源可以騰出用于其他工作。

10、永遠不要放松警惕

接受世界上沒有 100% 安全的云環(huán)境這一現(xiàn)實。當企業(yè)假設其云環(huán)境難以滲透時，很容易對云安全最佳實踐、定期審計、員工安全意識培訓和其他元素松懈。

新的網(wǎng)絡威脅不斷出現(xiàn)，其他威脅也在不斷演變。今天的保護措施可能對之后演變出的新的威脅不起作用。與掌握最新威脅的 CSP 或托管安全公司合作至關(guān)重要。但同樣重要的是，企業(yè)的 IT 員工也要跟上安全前沿的發(fā)展步伐。

關(guān)注一些由值得信賴的安全專家或云公司撰寫的專業(yè)文章、參加 IT 安全網(wǎng)絡研討會、利用供應商和技術(shù)合作伙伴提供的信息都是可行的途徑。