公共性云安全性依然是机构关心的关键难题

2021-03-30 04:10| 发布者: | 查看: |

公共性云安全性依然是机构关心的关键难题 公共性云选用遭遇的较大威协是粗心大意的客户、易受进攻的配备和互联网进攻,这些配备和进攻会穿过杀伤链进到云服务平台以得到浏览管理权限。

公共性云选用遭遇的较大威协是粗心大意的客户、易受进攻的配备和互联网进攻,这些配备和进攻会穿过杀伤链进到云服务平台以得到浏览管理权限。

虽然选用率更高且盈利明显,很多机构依然担忧将其财产代管在公共性云上。

近期的1些调研汇报强调了人们的忧虑。来自Cybersecurity Insiders和ISC2的2019年汇报发现,93%的机构对公共性云安全性拥有中度到极度的关心。Bitglass企业近期公布的云安全性汇报中,90%以上的受访者对公共性云安全性表明关心。

这两份汇报和另外一份由Cybersecurity Insiders编写并由Check Point冠名赞助的汇报都详尽表明了机构这般关心的缘故。

这些汇报中列出了受访者觉得对公共性云选用的最大威协的相近清单。关键难题包含数据信息遗失和泄露、未经受权的浏览和云服务平台的不正确配备。别的包含外界数据信息共享资源、欠缺可视性性、故意內部人员、故意手机软件/敲诈勒索手机软件、数据信息隐私保护、合规性和数据信息主权。

Enterprise Strategy Group企业高級首席剖析师Jon Oltsik表明,这些调研結果其实不让人诧异。

他说, 并且一些安全性恶性事件1直在产生,这将会会提升错误的将会性。比如,假如公司在器皿中代管运用程序流程,则务必掌握器皿周边的系统漏洞和进攻空间向量。假如应用的是无服务器实体模型,则将会会产生一样的状况。这1切都会更改公司置放安全性控制的部位,和必须监管的內容。

Oltsik表明,他将叙述最大的公共性云安全性威协,这些威协阻拦选用方法略有不一样,将其范畴变小到粗心大意的客户,易受进攻的配备,和超越杀伤链进到云端以获得浏览管理权限的进攻。

他说,不管是因为欠缺专业知识還是压根不关注,总会有1些粗心大意的客户。除文化教育客户以外,OLTSik自始至终强调以可以鉴别故意、可疑或粗心大意个人行为的方法监管客户的关键性。保证这1点的最好方式包含限定客户能够根据最少管理权限、根据人物角色的浏览操纵和强身份认证来做甚么。他提议应用客户个人行为剖析和个人行为监管专用工具,和实践活动优良的身份和浏览管理方法(IAM)。

人们还能够应用SIEM(安全性信息内容和恶性事件管理方法)来撰写1些关系标准,这样就了解假如有人持续实行第1步、第2步和第3步,那便是不正确。 他填补道。

至于处理易受进攻的配备,Oltsik提议执行扫描仪和剖析专用工具。他说, 比如,保证S3储存桶不容易对任何人开展身份认证,这是几年前的默认设置配备,而且让许多人深陷窘境。

有关公共性云安全性的最终1个难题,互联网进攻能够超越 杀伤链 进到云服务平台,并获得对比较敏感数据信息的浏览,这是1个很大的难题。正如Oltsik解释的那样,网络黑客或应用做为当地浏览数据信息的方法,或根据互联网垂钓、社交媒体新闻媒体或别的进攻来破坏客户,应用该载体浏览云中的数据信息。他说, 这是1个繁杂的难题,但有许多方式能够处理。

他解释说, 公司务必掌握客户和开发设计人员在做甚么,和甚么是一切正常个人行为,才可以发现出现异常状况,并掌握它们怎样危害下游的运用程序流程和数据信息。换句话说,人们必须了解杀伤链:在1个地区产生的事儿会将怎样危害在另外一个地区产生的事儿。

他填补说,了解和监管杀伤链的最好方式之1是应用Mitre Att ck架构,这是进攻者在对机构开展破坏时应用的战术和技术性的专业知识库。

遗留下安全性专用工具的难题

这3份调研汇报都强调了这样1个客观事实,即为內部布署自然环境设计方案的安全性专用工具并不是自身可转移到云计算技术自然环境中。正如Check Point企业的调研汇报所说, 传统式安全性专用工具并不是对于云计算技术的动态性、遍布式虚似自然环境而设计方案的。66%的受访者表明,传统式安全性处理计划方案或压根不起功效,或在云计算技术自然环境中出示比较有限的作用。

Oltsik说, 这是真的,但有许多方式能够处理, 比如,对內部布署安全性专用工具开展重特大项目投资的机构将会不期待废料这些专用工具,并选购新专用工具。相反,她们能够在云中布署代理商,在传统式安全性操纵和云安全性操纵之间建立混和专用工具。

但这是权宜之计。ESG企业的科学研究发现,要是这些专用工具与传统式专用工具集成化,公司就更喜爱为云计算技术而专业搭建的专用工具。

Oltsik说, 许多公司不想拷贝政策、搜集数据信息和稽查标准,但云服务平台是1个不一样的自然环境,监管和操纵它的方法是不一样的,因此要是合适公司的总体安全性对策,就必须向云服务平台对外开放不一样的实体模型。

但从长久看来(1般在3年内),公司将促进整合。

Oltsik说, 现如今,项目投资于多云中的內部和运用程序流程其实不罕见。这将是1个对映异构的全球,这代表着公司必须可以自始至终融入全部这些自然环境的安全性专用工具。公司期待可以浏览工作中负载和数据信息,而不用依据数据信息的部位和工作中负载的部位撰写标准。

ESG企业发现,公司趋向于从单独的云安全性专用工具刚开始,并在将来几年内将它们集成化到她们的自然环境中。他说, 这便是为何看到思科、PaloAlto、Checkpoint等供货商回收云计算技术专用工具,并将它们集成化到自身构架中的缘故。

有关阅读文章:


22:51:58 云计算技术 云服务并不是赢家通吃的销售市场 亚马逊、谷歌和微软近期都公布了云计算技术数据信息,指引房屋朝向同1个方位。
<
>

 
QQ在线咨询
售前咨询热线
18720358503
售后服务热线
18720358503
返回顶部